전 세계의 AI 규제: 프레임워크가 수렴하는 지점, 갈라지는 지점, 그리고 글로벌 사업자에게 의미하는 것

전 세계 AI 규제 지형은 4년이라는 기간 동안 거의 텅 빈 상태에서 종잡을 수 없는 상태로 바뀌었다. 이제 40개가 넘는 관할권이 인공지능을 구체적으로 다루는 구속력 있는 규정, 입법안, 또는 공식 거버넌스 프레임워크를 보유하고 있다. 여러 시장에 AI 시스템을 배포하려는 실무자는 어떤 부분에서는 중첩되고, 어떤 부분에서는 상충하며, 동일한 용어를 서로 다른 의미로 사용하는 의무들의 누더기 같은 조합에 직면한다.

이 글은 그 지형을 기술적으로 지도화한다. 목표는 모든 프레임워크를 개괄하는 것이 아니다 — 그렇게 하면 목록이 나올 뿐, 이해가 생기지는 않는다. 목표는 프레임워크들이 설계 차원에서 진정으로 일치하는 지점, 실질적인 컴플라이언스 충돌을 일으키는 방식으로 갈라지는 지점, 그리고 향후 5년간 구조적 단층선이 어떤 모습일지를 식별하는 것이다.

주요 프레임워크

비교에 앞서, 비교할 가치가 있는 프레임워크들은 다음과 같다:

EU AI Act (Regulation 2024/1689): 수평적이고 위험 기반이며 의무적이다. Annex III에 따른 고위험 시스템에 대한 구체적 의무, 금지 관행, 그리고 범용 AI(GPAI) 모델에 대한 전용 규율 체계를 두며, 시스템적 위험을 수반하는 것으로 추정되는 모델에는 추가 의무를 부과한다 — 누적 훈련 컴퓨트가 10^25 FLOP를 초과하는 경우 그러한 위험이 추정된다(Article 51). 적용은 단계적이다: 금지 관행은 2025년 2월부터, GPAI 의무는 2025년 8월부터, 대부분의 고위험(Annex III) 의무는 2026년 8월 2일부터, 규제 대상 제품에 내장된 고위험 시스템(Annex I)은 2027년 8월 2일부터다. 2026년 6월 유럽의회와 이사회가 채택했고 이 글을 쓰는 시점에는 관보 게재를 기다리고 있는 'Digital Omnibus on AI' 개정안은 Annex III 적용일을 2027년 12월 2일로 연기하는 내용이다.출처: EU AI Act (Reg. 2024/1689) · Article 51 · Digital Omnibus on AI

중국: 계층적 체계 — 알고리즘 추천 규정(2022), 딥 합성 규정(2022), 생성형 AI 규정(2023)이 있고, 포괄적 AI 법이 입안 중이다. 부문 및 응용 분야별로 나뉘며, 중국 사이버공간관리국(CAC)이 주도하고 MIIT 및 공안부(MPS)를 비롯한 기관들과 공동으로 발령한다(알고리즘 추천 규정에는 SAMR가 공동 서명했다).

미국: 2026년 중반 현재 포괄적(수평적) 연방 AI 법률은 없다. EO 14110(2023)은 2025년 1월에 폐지되었고(EO 14148), EO 14179로 대체되었다. 거버넌스는 부문별 규제에 존재한다: 연방준비제도(Federal Reserve)/통화감독청(OCC)의 모델 리스크 지침(SR 11-7), FTC의 집행 권한, FDA의 AI/ML 기반 SaMD 프레임워크, 항공 AI에 대한 FAA 규칙, 주(州) 차원의 입법(콜로라도의 AI Act(SB 24-205, 이후 SB 26-189로 축소됨), 텍사스의 Responsible AI Governance Act(TRAIGA / HB 149, 2025), 일리노이의 BIPA). NIST의 자발적 AI 리스크 관리 프레임워크(NIST AI 100-1, 2023)와 별도의 SP 1270 편향 간행물(2022)이 자발적 기준선이다.출처: EO 14110 · Texas TRAIGA (HB 149) · Colorado SB 26-189 · NIST AI RMF

영국: 의도적인 비(非)입법 노선. AI Security Institute(2023년에 AI Safety Institute로 설립되었다가 2025년 2월에 개칭), 부문별 규제기관 지침(ICO, FCA, CMA, Ofcom, CQC), 그리고 국제 AI 안전 보고서에 의존한다. 혁신 친화적 태도는 2023년 백서 이후 정책으로 굳어졌다.출처: AI Security Institute

캐나다: AIDA(Bill C-27의 일부)는 2025년 1월 의회가 정회되면서 의사일정에서 폐기되었고 2025년 연방 선거 이전에 되살아나지 못했다 — 연방 AI 법률이 제정되려면 새로운 입법이 필요하다. 그 사이에는 부문별 규정과 생성형 AI에 대한 자발적 규범이 적용된다.출처: Bill C-27 / AIDA (analysis)

브라질: 법안 2338/2023은 2024년 12월 연방 상원을 통과해 현재 하원에서 심의 중이며, EU AI Act에서 영감을 받은 위험 기반 구조를 채택하고 있다. 통과될 경우 라틴아메리카에서 가장 포괄적인 AI 프레임워크가 될 것이다.출처: Brazil PL 2338/2023

일본: 가벼운 규율의 AI Promotion Act(2025) — 기본 정책의 '기본법'으로서 구속력을 지니되 벌칙은 없으며, 지침과 자발적 준수('민첩한 거버넌스')에 의존한다 — 여기에 AI 기본 계획, 그리고 표준화 참여에서의 탄탄한 실적(ISO/IEC JTC 1/SC 42)이 더해진다.출처: Japan AI Promotion Act

싱가포르: 모델 AI 거버넌스 프레임워크(2019, 2020년 개정, 2024년 생성형 AI로 확장), AI Verify 테스트 툴킷으로, 자발적이며 산업 중심적이다. 금융 부문 AI에 대해서는 MAS FEAT 지침이 있다.

대한민국: AI Basic Act(정식 명칭 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법) — 2024년 12월 통과, 2025년 1월 공포, 2026년 1월 시행 — 위험 기반이며 '고영향 AI'에 대한 의무를 둔다.출처: South Korea AI Basic Act

베트남: 독립된 AI 법률(Law No. 134/2025/QH15)로 2026년 3월 1일 시행되며, AI 의사결정에 대한 인간의 감독을 핵심 원칙으로 확립하고 고위험 시스템에 대해 인간의 감독을 의무화한다.출처: Vietnam AI Law

유럽평의회: 인공지능에 관한 기본 협약(CETS 225, 2024) — AI에 관한 최초의 구속력 있는 국제 조약으로, 비회원국의 가입에도 개방되어 있다.출처: CoE Framework Convention (CETS 225)

수렴의 영역

1. 위험 기반 계층화

가장 중요한 구조적 수렴은 위험 기반 접근을 조직 원리로 수용한다는 점이다. EU AI Act, 유럽평의회 협약, 브라질의 입법안, 대한민국의 Basic Act, 심지어 중국의 규정들까지 모두 AI 시스템의 잠재적 영향에 근거해 의무를 계층화한다. 저위험 시스템은 기껏해야 공시 요건에 직면하고, 고영향 시스템은 적합성 평가, 문서화, 인간 감독, 시판 후 모니터링에 직면한다.

실무적 함의는 이렇다: EU AI Act의 위험 계층을 위해 구축된 컴플라이언스 아키텍처는 이들 프레임워크 전반에 걸쳐 개념적으로 폭넓게 이전 가능하다. 계층이 동일하지는 않다 — '고위험'의 정의는 상당히 갈라진다 — 그러나 그 밑바탕의 논리는 공유된다.

2. 협상 불가한 원칙으로서의 인간 감독

미국의 부문별 지침을 포함한 모든 주요 프레임워크는 중대한 AI 의사결정이 시스템을 무효화할 수 있는 인간 감독의 대상이 될 것을 요구한다. EU AI Act(Article 14), 베트남의 AI 법률, 미국의 모델 리스크 관리 지침(SR 11-7의 독립적 검증 요건), 그리고 유럽평의회 협약이 모두 이 지점에서 수렴한다.출처: Article 14

기술적 요구사항은 다르지만 구조적 요구사항은 동일하다: 인간이 AI 시스템의 출력물이 구속력 있는 결과를 낳기 전에 그것을 실질적으로 검토하고 무효화할 수 있는 위치에 있어야 한다는 것이다. 여기서 핵심어는 '실질적'이다. 시스템보다 더 깊이 사고할 수 없는 인간 — 그 출력물을 비판적으로 평가할 만한 전문적 깊이가 없는 인간 — 은 형식적 요건은 충족하지만 기능적 요건은 충족하지 못한다. 이것은 컴플라이언스 문제인 동시에 조직 설계의 문제다.

3. 투명성과 설명가능성

모든 주요 프레임워크는 영향을 받는 사람들, 그리고 해당되는 경우 규제기관을 향한 어떤 형태의 투명성을 요구한다. 그 범위는 다양하다: EU AI Act는 문서화, 로그 기록, 사용 지침을 요구한다. 미국 연방거래위원회(FTC)는 설명할 수 없는 AI 의사결정을 기만 행위가 될 수 있는 것으로 취급한다. 중국의 생성형 AI 규정은 AI 생성 콘텐츠의 표시를 요구한다. 유럽평의회 협약은 투명성을 핵심 원칙으로 포함한다.

여기서 함축되는 기술적 기준 — 시스템의 출력물이 식별 가능한 입력과 추론 단계로 추적될 수 있어야 한다는 것 — 은 여러 관할권에 공통된다. 요구되는 기술적 세밀함의 수준은 다르다. EU AI Act는 의사결정을 사후적으로 재구성할 수 있는 감사 로그를 상정한다. 미국 모델 리스크 지침은 모델 논리에 대한 독립적 검증을 요구한다. 둘 다 같은 것을 요구한다: 조사가 있을 때 시스템이 왜 특정 출력물을 냈는지 설명할 수 있는 능력이다.

4. 좁은 금지 규정

더 좁지만 진정한 수렴의 영역이 있다: 개인을 여러 맥락에 걸쳐 평가해 범용적 사회 통제에 사용하는 사회적 신용 평가 시스템은 EU AI Act(Article 5)와 유럽평의회 협약에서 원칙상 금지되거나 강하게 제한된다. 의식적 인지의 문턱 아래에서 이루어지는 잠재의식적 조작도 대부분의 프레임워크에서 마찬가지로 금지된다. 공공장소에서의 실시간 원격 생체인식 식별은 EU에 의해, 그리고 여러 관할권의 데이터 보호 프레임워크에 의해 제한된다.

여기서의 수렴은 의미 있지만 제한적이다: 한 관할권에서 금지되는 것이 다른 관할권에서는 허용되거나 심지어 의무화되는 경우가 많다(참조: 중국이 공공 안전 목적으로 사용하는 안면인식 인프라는 동등한 EU 배포였다면 EU AI Act가 금지했을 것이다).

5. 범용 AI / 파운데이션 모델

EU AI Act의 Chapter V (Articles 51-56) GPAI 의무와 중국의 생성형 AI 규정은 파운데이션 모델을 그 하류의 배포뿐 아니라 모델 자체로서 구체적으로 다루는 최초의 구속력 있는 프레임워크다. 둘 다 역량 평가, 가장 강력한 모델에 대한 시스템적 위험 평가, 그리고 훈련 데이터에 관한 투명성을 요구한다. 미국의 EO 14110(현재 폐지)도 마찬가지로 컴퓨트 임계값을 초과하는 모델에 초점을 맞췄다.

이 수렴은 개념적이다: 전 세계 규제기관은 하나의 모델이 수천 개의 응용을 떠받칠 때 특정 응용을 위해 설계된 위험 기반 프레임워크가 무너진다는 사실과 씨름하고 있다. 기술적 대응 — 역량을 가늠하는 1차 대리 지표로서의 컴퓨트 임계값에 2차 평가를 더하는 방식 — 은 EU가 채택했고, 미국의 접근에도 폐지되기 전까지 존재했다.

발산의 영역

1. 구속력 대 자발성 / 수평적 대 부문별

EU AI Act는 수평적이고(모든 부문에 적용) 의무적이며, 상당한 벌금 부과 권한을 지닌 각국 시장감시 당국에 의해 집행된다(금지 관행 위반의 경우 €35M 또는 전 세계 매출의 7%까지). 영국은 그에 상응하는 것이 없고, 명시적으로 만들지 않기로 선택했다. 미국에는 연방 차원의 수평적 AI 법률이 없다. 일본, 싱가포르, 오스트레일리아는 자발적 프레임워크를 유지한다.출처: Article 99

이는 사소한 절차상의 차이가 아니다. 이는 컴플라이언스가 법적 의무인지 아니면 평판상의 선택인지, 누가 그것을 집행하는지, 그리고 위반의 실제 비용이 무엇인지를 결정한다. EU에 배포된 글로벌 AI 시스템은 특정 응용에 대해 의무적 적합성 평가에 직면한다. 동일한 시스템이 싱가포르에만 배포되면 자발적 체크리스트에 직면한다.

2. 기본권 대 국가안보 축

EU AI Act는 기본권의 토대 위에 세워져 있다. 그 고위험 범주는 건강, 안전, 기본권에 영향을 미칠 잠재력에 의해 정의된다. 그 금지 규정은 인간 존엄과 자율의 관점에서 구성된다. 법적 근거는 역내 시장 규제이지만, 가치 프레임워크는 EU 기본권 헌장이다.

중국의 프레임워크는 다른 가치의 토대 위에 세워져 있다: 사회 안정, 국가안보, 그리고 콘텐츠의 올바른 정치적 방향이다. 생성형 AI 규정은 AI 생성 콘텐츠가 '사회주의 핵심 가치관'에 부합하고 '국가 권력을 전복'하지 않을 것을 요구한다. 딥 합성 규정은 공공질서를 불안정하게 할 수 있는 허위정보 통제에 초점을 맞춘다.

이것들은 같은 목표에 대한 피상적으로만 다른 접근이 아니다. 이것들은 AI 거버넌스가 무엇을 위한 것인가에 관한 진정으로 다른 관념을 나타낸다. EU 요건 준수를 위해 설계된 시스템 — 정치적 표현을 제한하는 특정 콘텐츠 조정 관행에 대한 금지를 포함하는 — 은 바로 그 조정에 대한 중국의 요건과 구조적으로 양립 불가능할 수 있다. 이는 문서화의 문제가 아니라 아키텍처의 문제다.

3. 역외 적용과 브뤼셀 효과(Brussels Effect)

EU AI Act는 공급자가 어디에 설립되어 있든 관계없이 EU 시장에 출시되거나 그 출력물이 EU에서 사용되는 AI 시스템에 적용된다. 이는 Article 2에 명시되어 있다. EU 고객이 사용하는 AI 시스템을 배포하는 두바이 소재 공급자는 EU AI Act의 의무 부담자다.

미국 규제의 역외 적용 범위는 더 좁다: 이는 기술 자체가 아니라 특정 부문의 규제 대상 주체(은행, 의료기기 제조업체, FTC 관할권에 속하는 소비자 대면 기업)에 적용된다. 중국은 데이터 보안 및 네트워크 보안 프레임워크에 일부 역외 조항을 두고 있으나 AI 특화 규정은 더 국내 지향적이다.

실무적 결과는 이렇다: EU AI Act는 EU 고객군을 분리할 수 없는 모든 공급자에게 사실상의 글로벌 표준으로 기능한다. 이것이 작동 중인 브뤼셀 효과다 — 별도의 EU 전용 아키텍처를 구축하는 컴플라이언스 비용이 전 세계적으로 EU 준수형을 구축하는 비용을 초과한다.

4. 기술 표준과 적합성 평가

EU AI Act는 컴플라이언스 입증을 위해 CEN/CENELEC 및 ISO/IEC의 조화된 기술 표준에 의존한다. ISO/IEC 42001(AI 경영 시스템)과 ISO/IEC JTC 1/SC 42 하에 있는 관련 표준이 주요 준거다. 특정 Annex III 범주의 고위험 시스템에는 제3자 적합성 평가가 의무적이다.

미국은 대부분의 부문에 대해 자발적인 NIST 프레임워크(AI RMF, SP 1270)에 의존한다. 방법론은 호환되지만 동등하지는 않다. ISO 42001 인증이 NIST AI RMF 정합성을 자동으로 충족하지는 않으며, 정합성은 별도의 입증을 요한다.

글로벌 사업자에게 이는 표준 항해의 문제를 만든다. ISO 42001에 맞춰 구축하는 것이 EU 컴플라이언스를 위한 가장 안전한 경로다. NIST AI RMF에 맞춰 구축하면 미국 연방 조달 요건을 충족하고 강력한 평판상의 입지를 제공한다. 이 프레임워크들은 둘 다 하는 것이 실현 가능할 만큼 충분히 상보적이지만, 현재로서는 수작업으로 해야 하는 의도적 매핑을 요한다.

5. 금지 대 의무화: 생체인식 문제

EU AI Act는 좁은 예외를 두고 법집행기관에 의한, 공중이 접근 가능한 공간에서의 실시간 원격 생체인식 식별을 금지한다. Article 14(5)에 따르면, 원격 생체인식 식별 시스템의 경우, 식별에 근거한 어떠한 조치도 최소 두 명의 유능한 인력이 별도로 검증하고 확인하지 않는 한 취할 수 없다 — 다만 특정 법집행, 이민, 국경 통제 용도에 대한 예외가 적용된다. 공공 인프라에서의 안면인식은 대부분의 응용에서 금지된다.출처: Article 14(5)

여러 관할권은 특정 응용 — 국경 통제, 공공 안전 감시, 국가안보 — 을 위해 바로 이 인프라를 허용할 뿐 아니라 의무화한다. 생체인식 AI 시스템을 판매하는 공급자는 배포 관할권에 따라 진정으로 양립 불가능한 의무에 직면한다. 이는 문서화나 프로세스로 해결될 수 없으며, 제품 분리를 요한다.

6. 집행 아키텍처

EU AI Act는 분권화된 집행 구조를 만든다: 각 회원국이 국가 관할 당국을 지정하고, 유럽 AI 사무국이 GPAI 감독과 국경 간 사안을 처리한다. 벌금은 위반의 중대성에 따라 조정된다.

중국은 CAC(콘텐츠/생성형 AI), MIIT(일반 제조 및 산업 AI), SAMR(소비자 대면), 그리고 부문별 규제기관을 통해 집행한다 — 상당한 중첩을 지닌 파편화된 다기관 구조다. 집행은 신속하고 중대했다. 알고리즘 추천 위반에 대한 CAC의 벌금은 상당하고 신속했다.

미국에는 주된 AI 집행 기관이 없다. FTC 집행은 Section 5 권한(불공정하거나 기만적인 행위)에 의존하고, 금융 규제기관은 기존의 감독 권한을 사용하며, 주 법무장관들은 점점 더 적극적으로 나서고 있다. 집행의 질감은 예방적·체계적이라기보다 대립적·반응적이다.

구조적 단층선

프레임워크의 지체.

모든 거버넌스 프레임워크는 회고적이다: 이미 배포된 기술로부터 이미 이해된 위험을 성문화한다. 포괄적 AI 입법의 규제 주기는 입안부터 집행까지 5~7년이다. 유의미한 역량 변화의 기술 주기는 12~18개월이다. 이 간극은 과도기적인 것이 아니라 구조적이다. 프레임워크는 언제나 자신이 다루도록 설계된 기술의 이전 버전을 규율하고 있을 것이다.

집행 역량의 간극.

이 분야의 실무자들이 관찰해 왔듯이, EU AI Act는 EU의 제도적 인프라를 위해 설계되었다. 적합성 평가 기관, 시장감시 당국, 기술 표준에 능통한 법률 전문직 — 이것들은 EU 회원국에 존재한다. 동등한 제도적 역량 없이 EU식 프레임워크를 채택하는 관할권에서는 집행이 이론상의 것에 그친다. 법 조문은 올바르게 읽히지만, 아무 일도 일어나지 않는다.

용어의 발산.

'투명성', '책임성', '공정성', '인간 감독'은 사실상 모든 프레임워크에 등장한다. 각각에서 그것들은 서로 다른 것을 의미한다. EU AI Act에서 투명성은 제3자 검토에 충분한 기술 문서와 감사 로그를 의미한다. 중국 규정에서 투명성은 콘텐츠가 AI로 생성되었음을 사용자에게 고지하는 것을 의미한다. 미국 FTC 맥락에서 투명성은 소비자를 기만하지 않는 것을 의미한다. 이 셋 모두를 준수하려면 '투명성'이라 불리는 무언가를 세 가지 다른 방식으로 구현해야 할 수 있다.

미해결의 GPAI 문제.

EU의 GPAI 체계와 중국의 생성형 AI 규정은 파운데이션 모델을 직접 다루는 유일한 구속력 있는 프레임워크다. 나머지 세계는 지켜보거나 기다리고 있다. 근본적 문제 — 하나의 모델이, 각자 고유한 위험 프로파일을 지닌 수천 개의 응용을 떠받친다는 것 — 에는 깔끔한 규제적 해법이 없다. 컴퓨트 임계값은 효율이 향상되면 실패할 1차 근사치다. 역량 평가는 표준화하기 어렵다. GPAI 거버넌스 문제는 진정으로 미해결이며, 이를 시도한 프레임워크들은 서로 다르고 부분적으로 양립 불가능한 접근을 취해 왔다.

글로벌 사업자를 위한 함의

EU AI Act를 컴플라이언스의 하한선으로 삼아 구축하라.

EU 시장 노출이 있는 모든 사업자에게 EU AI Act는 가장 까다로운 수평적 프레임워크이자 직접적인 집행 결과를 부과할 가능성이 가장 높은 프레임워크다. 그 요건에 맞춰 구축된 시스템은 대부분의 다른 관할권에서 과잉 준수 상태가 될 것이다.

관할권이 아키텍처상 양립 불가능한 지점에서는 분리하라.

공공장소에서의 생체인식, 정치적 발언에 대한 콘텐츠 조정, 사회적 신용 평가에 인접한 응용 — 이것들은 프로세스 조정이 아니라 진정한 제품 분리를 요한다. 어떤 단일 아키텍처도 EU의 금지와 중국의 의무화를 동시에 충족하지 못한다.

기술-법률의 간극을 아우를 수 있는 인재에 투자하라.

프레임워크들은 표현은 다르더라도 이 지점에서 수렴한다: 거버넌스는 문서화 작업이 아니다. 기술적 작동과 규제적 맥락을 모두 이해하는 사람이 감사 추적을 재구성할 수 없는 시스템은 거버넌스가 이루어진 것이 아니라 그저 보관된 것이다. 희소한 것은 프레임워크가 아니라, 그 둘을 모두 항해할 수 있는 사람이다.

GPAI 의무를 예외가 아니라 선도적 흐름으로 다루라.

EU AI Act와 중국 생성형 AI 규정의 GPAI 특화 조항은 AI를 응용 계층이 아니라 모델 계층에서 규율하려는 최초의 시도다. 이 접근은 확산될 것이다. 파운데이션 모델을 — API를 통한 경우를 포함해 — 사용하는 조직은 지금 이 의무들을 이해해야 한다. 이들이 구축 중인 응용 계층 컴플라이언스 아키텍처가 아직 자국 관할권에 존재하지 않는 모델 계층 요건을 수용해야 할 수도 있기 때문이다.

법률만이 아니라 표준을 추적하라.

ISO/IEC 42001, NIST AI RMF, 그리고 CEN/CENELEC 하에서 개발 중인 기술 표준은 '컴플라이언스'가 운영상 무엇을 의미하는지를 점점 더 결정할 것이다. 법률은 요건을 일반적 용어로 확립하고, 표준은 그 요건을 충족한다는 것이 기술적으로 어떤 모습인지를 명시한다. 표준 지형은 입법 지형보다 빠르게 움직이고 있으며, 거버넌스 팀이 통상 기울이는 것보다 더 많은 주의를 받을 자격이 있다.

전 세계 AI 규제 지형은 하나의 프레임워크로 수렴하고 있지 않다. 그것은 공유된 문제군 — 위험 계층화, 인간 감독, 설명가능성, 파운데이션 모델 거버넌스 — 으로 수렴하는 동시에, 그 프레임워크들이 보호하도록 설계된 가치, 그것들을 집행하는 제도적 아키텍처, 그리고 그것들이 부과하는 구체적 금지와 의무에서는 갈라지고 있다. 글로벌 사업자에게 실무적 역량은 어떤 프레임워크가 적용되는지를 아는 것이 아니다. 그것은 프레임워크들이 진정으로 양립 가능한 때와 그렇지 않은 때를 아는 것, 그리고 그 차이를 식별할 수 있는 시스템을 구축하는 것이다.