올해 1월 22일, 한국이 세계 최초로 AI 전면 규제법을 시행했을 때 업계 반응은 두 갈래였다. "드디어 규칙이 생겼다"는 안도와 "이걸 어떻게 지키라는 거냐"는 당혹. 3개월이 지난 지금, 후자가 좀 더 현실에 가깝다.
법은 발효됐지만 집행은 아직
AI 기본법의 골자는 '고영향 AI'와 '생성형 AI'에 대한 투명성·위험관리 의무다. 의료 진단, 신용평가, 채용 심사, 자율주행처럼 사람의 생명이나 기본권에 직접 영향을 미치는 AI를 운영하는 사업자는 위험 관리 방안을 수립해야 한다. 이용자에게 AI 사용 사실을 명확히 고지하는 건 기본이고, 생성형 AI는 결과물에 워터마크 같은 투명성 표시까지 붙여야 한다.
그런데 시행 이후 실제로 제재를 받은 곳이 있나? 없다. 과기정통부가 최소 1년간 계도기간을 운영하겠다고 선언했기 때문이다. 법적으로는 시행 중이지만, 현장 체감은 '연습 모드'에 가깝다. 기업 입장에서는 아직 긴장감이 떨어질 수밖에 없는 구조다.
7월 21일이라는 숫자
그래서 더 중요한 날짜가 7월 21일이다. 시행령 개정안이 본격 적용되면서 투명성 표시와 위험관리 체계 미비에 대한 법적 리스크가 구체화된다. 계도기간이 완전히 끝나는 건 아니지만, 이 시점부터 사전 고지 의무 위반이 적발되면 사실조사가 들어갈 수 있다.
문제는 대부분의 기업이 자가진단조차 끝내지 못했다는 점이다. 스타트업얼라이언스가 2025년 말 실시한 설문에서 거의 모든 AI 스타트업이 새 프레임워크에 대한 준비가 안 됐다고 답했다. 3개월이 지난 지금 상황이 극적으로 나아졌을 리는 없다. 법을 읽는 것과 법을 구현하는 건 완전히 다른 문제니까.
자율규제라는 이름의 모호함
한국 AI 기본법이 EU AI Act와 결정적으로 갈리는 지점이 여기다. EU는 고위험 AI에 외부 인증을 요구한다. 제3자가 들여다보고 도장을 찍어야 시장에 내놓을 수 있다. 반면 한국은 자가 평가와 자율 준수에 기댄다. 정부 표현을 빌리면 "혁신 친화적" 접근인데, 뒤집으면 기업이 스스로 "우린 고영향 AI 아닙니다"라고 판단해버리면 그만이라는 뜻이기도 하다.
이 모호함이 역설적으로 스타트업에게 더 독하게 작용한다. 명확한 체크리스트가 있으면 하나씩 따라가면 되지만, "알아서 판단하세요" 모드가 되면 판단 자체가 리스크로 전환된다. 법무팀 10명 굴리는 네카라쿠배는 어떻게든 해석을 붙이겠지만, 개발자 5명이 전부인 초기 스타트업은 뭘 보고 어디까지 지켜야 하는지 감이 안 잡힌다.
40인 TF가 꾸려졌다
정부도 이 간극을 알고 있는 것 같다. 시행 3개월이 채 안 된 시점에 산업·학계·시민사회에서 40명 넘는 전문가를 모아 민관합동 태스크포스를 출범시켰다. 과기정통부는 정책 브리핑 빈도도 높이고 스타트업과 직접 소통하는 상담 채널도 확대 중이다.
"세계 최초 AI 전면 규제"라는 수식어는 국제 무대에서 꽤 좋은 명함이지만, 막상 국내에서는 법이 현실을 따라잡지 못하는 전형적인 패턴이 반복되고 있다.
규제가 수출 카드가 되는 역설
재밌는 반전이 하나 있다. 일부 한국 AI 기업은 이 규제를 해외 시장 진입의 무기로 쓰고 있다. 이미 5개 이상의 AI 기업이 AI 기본법 준수를 해외 바이어에게 신뢰의 증거로 제시하며 스케일링 중이다. EU, 일본, 동남아 시장에서 "우리는 세계에서 가장 빠르게 AI 규제를 통과한 회사"라는 포지셔닝이 실제로 먹히는 셈이다.
규제의 글로벌 동조화가 빨라지면서 먼저 컴플라이언스 체계를 갖춘 쪽이 나중에 유리해진다는 논리는 타당하다. 다만 이건 이미 법을 이해하고 체계를 갖출 여력이 있는 곳 한정의 이야기다. 아직 시행령 해석에 매달리고 있는 대다수에게는 그림의 떡이다.
카운트다운
AI 기본법은 나쁜 법이 아니다. 방향은 맞고 EU보다 유연하게 설계됐다. 그런데 "유연함"이 "모호함"으로 읽히는 순간, 혁신 친화적 규제는 그냥 불확실성이 된다. 40인 TF가 7월 전에 현장에서 쓸 수 있는 실질적 가이드라인을 내놓을 수 있느냐가 이 법의 성패를 가를 거다. 석 달이 길어 보이지만, 컴플라이언스 체계를 만들어본 사람은 안다 — 석 달은 아무것도 아니다.