[서울파이낸스] AI 기본법 시행과 규제기준의 불명확성

 채용 서류를 선별하는 프로그램을 만든 어느 스타트업 대표가 지난달 법전을 펼쳐 들었다. 자기 프로그램이 '고영향 인공지능'에 해당하는지 확인하기 위함이다. 한참을 들여다 봤지만, 답은 나오지 않았다. 서류 정리에만 쓰이면 규제 대상이 아닐 수 있지만, 합격여부 판단에 관여하면 규제 대상이 될 수 있다.

 규제 여부가 기술 자체보다 사용 방식에 달려 있기에 자신이 만든 프로그램이 어느쪽에 해당하는지 스스로도 확신할 수 없었다. 결국 규제를 지키고 싶어도 무엇을 지켜야 하는지 알 수 없다. 

 위 사례는 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(이하 'AI기본법')에 대한 이해를 위해 구성한 것이지만, 이러한 고민은 현실 문제가 되고 있다. 인공지능을 규율하는 첫 통합 입법인 AI기본법이 지난 7월 21일 시행됐고,  그 시행령이 8월 20일 시행됐는데 정부는 혼란을 줄이겠다는 취지 아래 제재를 당분간 미루는 계도기간을 뒀다. 

 AI기본법을 두고 사업자가 던지는 질문은 크게 세가지이다. 첫째는 "내 서비스가 고영향인가?" 하는 점이다. AI기본법에 따르면, 에너지 공급, 보건의료, 범죄 수사를 위한 생체정보 분석, 채용과 대출 심사, 공공기관의 의사결정 등 사람의 생명·안전이나 기본권에 크게 영향을 미치는 영역에서 쓰이는 인공지능은 '고영향'으로 본다. 이에 해당하면 위험관리 방안을 세우고, 결과가 어떻게 나왔는지 설명할 방법을 갖추고, 이용자를 보호하고, 사람이 직접 관리·감독해야 한다. 

 문제는 개별 서비스가 고영향 인공지능의 범위에 해당하는지 판단하기 어렵다는 것이다. 고영향인지 스스로 확인하고 영향평가를 하도록 하는 절차를 두었지만, 어떤 경우에 그것을 반드시 거쳐야 하는지 명확하지 않다는 점이 지적된다.  둘째는 "무엇을 표시해야 하나"라는 것이다. 생성형 인공지능이 만든 결과물에는 그 사실을 표시하고, 진짜와 구별하기 어려운 딥페이크에는 이용자가 분명히 알아볼 수 있게 알려야 한다. 그런데 사람이 생성형 인공지능을 보조 도구로 활용해 만든 창작물과의 경계가 없고 표시하는 방법도 제각각이다. 

 딥페이크의 경우 눈에 띄게 알리라고 하면서 그 밖의 생성물에는 보이지 않는 워터마크도 허용한다. 딥페이크라도 예술적이고 창의적인 표현물이면 감상을 해치지 않는 선에서 알려도 된다는 예외 규정도 존재한다. 무엇이 예술적·창의적 표현물이고, 어느 정도의 표시가 향유를 저해하지 않는지 불분명하다.

 셋째로 "위반하는 경우 어떻게 되는가"라는 점이다. 국내에 주소가 없는 큰 사업자는 국내대리인을 둬야 하고, 이런 의무를 어기거나 시정 명령에 따르지 않으면 3천만 원 이하의 과태료가 부과된다. AI기본법이 수범자에게 지우는 의무는 결코 가볍다고 볼 수 없지만, 세가지 물음 모두 '이렇게 하면 된다'고 사업자가 모든 쟁점에 관해 사전에 일관된 답을 얻기는 여전히 어렵다.

 인공지능은 이미 여러분야에서 사람의 삶을 좌우하는 판단을 대신하기 시작하였고, 그런 판단을 기계에 맡기면서 아무런 안전장치를 두지 않는 것은 무책임하다는 점에서 이 법의 필요성은 분명하다. 하지만 규범의 필요성과 규범의 정당성은 다른 문제이다. 규제가 정당하려면 무엇을 금지하는지부터 분명해야 하고, 수범자가 자기 행위가 규제 대상인지를 미리 예측할 수 있어야 한다.

 또한 AI 기본법의 불확실성은 헌법이 정하는 두가지 원칙과 긴장관계에 있다. 먼저 명확성의 원칙이다. 헌법재판소는 직업안정법이 '공중도덕상 유해한 업무'에 대한 직업소개를 처벌하던 조항에 대하여 '공중도덕'이라는 잣대가 사람과 상황에 따라 달라져, 무엇이 금지되는지 수범자가 예측하기 어렵다고 위헌으로 결정한바 있다(헌법재판소 2005. 3. 31. 선고 2004헌바29 결정). '고영향'도 같은 맥락으로 봐야 한다. 무엇이 안에 드는지 사업자가 미리 예측할 수 없다면, 잣대의 이름만 다를 뿐 구조는 유사하다. 

 두 번째는 포괄위임임법 금지 원칙이다. 기본권을 제한하는 핵심을 법률이 정하지 않고 포괄하여 하위 규범에 넘겨서는 안 된다는 것인데, AI기본법은 무엇이 고영향인지, 무엇을 어떻게 표시해야 하는지 같은 핵심을 상당 부분 행정청에 맡겨 두었다. 법이 7월에 시행되고, 8월에야 시행령이 나왔으며, 세부 기준이 아직 고시와 가이드 라인에 넘어가 있기에 규율의 실제 내용이 나중에 정해지는 셈이다.

 기준이 모호한 데 책임이 무겁다면, 사업자로서는 새로운 활용을 시도하기보다 규제 위험을 피하는 선택을 하게 된다. 답이 없으니 저마다 다르게 대응하고, 똑같은 서비스를 두고도 회사마다 결론이 갈릴 것이다. 같은 행위를 두고 감독하는 쪽의 판단이 달라질 여지도 크다. 명확성의 원칙은 이러한 자의(恣意)의 틈을 줄이는 것이기에 무엇보다 중요하다. 

 인공지능의 위험을 그냥 둘 수는 없다. 규제가 필요하지만 그 적용 범위와 의무를 예측할 수 있어야 한다. 필요한 것은 규제의 강도보다 적용 기준의 명확성이다.