AI 기본법과 EU AI Act는 무엇이 다를까?

AI 규제를 찾아보다 보면 한국의 AI 기본법과 유럽연합의 EU AI Act가 자주 함께 언급됩니다. 둘 다 인공지능을 다루는 법이라는 점에서는 비슷해 보이지만, 실제로 들여다보면 출발점과 규제 방식이 꽤 다릅니다.

쉽게 말하면, 한국의 AI 기본법은 AI 산업을 키우면서 신뢰 기반을 만들기 위한 법에 가깝습니다. 반면 EU AI Act는 AI가 만들어낼 수 있는 위험을 등급별로 나누고, 위험이 큰 AI에 더 강한 의무를 부과하는 법에 가깝습니다.

한국 AI 기본법의 성격

한국의 AI 기본법은 정식 명칭이 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법입니다. 이름에서도 알 수 있듯이, 인공지능 산업 발전과 신뢰 기반 조성을 함께 다룹니다. AI를 무조건 규제하겠다는 법이라기보다, 국가 차원의 AI 정책 방향, 산업 육성, 윤리와 안전, 고영향 AI 관리 등을 포괄하는 기본법 성격이 강합니다.

EU AI Act의 접근 방식

EU AI Act는 조금 다릅니다. 유럽연합은 AI 시스템을 위험 수준에 따라 나눕니다. 허용되지 않는 AI 관행, 고위험 AI, 투명성 의무가 필요한 AI, 범용 AI 모델 등으로 구분하고, 각각 다른 의무를 적용합니다. 즉, AI를 하나로 뭉뚱그려 보지 않고 “이 AI가 사람에게 어떤 위험을 줄 수 있는가”를 중심으로 접근합니다.

사업자가 먼저 볼 질문이 다르다

이 차이는 사업자 입장에서 꽤 중요합니다. 한국 AI 기본법을 볼 때는 “우리 회사가 AI 사업자인가?”, “고영향 AI에 해당할 가능성이 있는가?”, “생성형 AI 관련 투명성 의무가 있는가?”를 먼저 봐야 합니다. EU AI Act를 볼 때는 “우리가 제공하거나 사용하는 AI가 어떤 위험 등급에 들어가는가?”, “우리가 Provider인지 Deployer인지”, “EU 시장과 연결되는가?”를 확인해야 합니다.

고영향 AI와 고위험 AI

한국 AI 기본법에서 눈에 띄는 개념 중 하나는 고영향 AI입니다. 사람의 생명, 신체, 기본권 등에 중대한 영향을 미칠 수 있는 영역에서 사용되는 AI를 특별히 관리하려는 취지입니다. 의료, 에너지, 채용, 교육, 금융, 공공서비스 등과 연결될 가능성이 있는 AI라면 고영향 AI 여부를 검토해야 할 수 있습니다.

EU AI Act에도 비슷한 개념으로 고위험 AI가 있습니다. 다만 EU는 고위험 AI 시스템에 대해 훨씬 구체적인 의무 체계를 두고 있습니다. 위험관리 시스템, 데이터 거버넌스, 기술문서, 기록 보관, 투명성, 인간의 감독, 정확성, 견고성, 사이버보안 같은 요소들이 핵심 의무로 다뤄집니다.

규제 강도의 차이

여기서 중요한 차이는 강도입니다. 한국 AI 기본법은 아직 시행령, 고시, 가이드라인, 세부 기준을 통해 실무 기준이 구체화되는 단계입니다. 반면 EU AI Act는 위험 등급별 규제 구조가 더 촘촘하게 설계되어 있고, 위반 시 과징금 수준도 상당히 높게 설정되어 있습니다. 그래서 EU 시장에 AI 제품을 제공하는 기업이라면 더 엄격하게 봐야 합니다.

적용 대상과 역할 구분

적용 대상도 다르게 봐야 합니다. 한국 AI 기본법은 국내에서 AI 사업을 하거나 AI를 활용하는 사업자에게 영향을 줄 수 있습니다. 특히 고영향 AI 사업자, 생성형 AI 사업자, 일정한 안전성 의무가 적용되는 사업자는 자기 의무를 따로 점검해야 합니다.

EU AI Act는 역할 구분이 더 세분화되어 있습니다. AI 시스템을 개발하거나 시장에 제공하는 Provider, 실제로 사용하는 Deployer, 수입자, 유통자, 범용 AI 모델 제공자 등이 나뉩니다. 같은 AI라도 내가 어떤 역할을 하느냐에 따라 의무가 달라질 수 있습니다.

유럽 회사가 아니어도 볼 이유

많은 한국 기업이 “우리는 유럽 회사가 아니니까 EU AI Act는 상관없지 않나?”라고 생각할 수 있습니다. 하지만 꼭 그렇지는 않습니다. EU 시장에 AI 시스템을 제공하거나, EU 내 이용자에게 영향을 주는 AI 서비스를 제공하거나, EU와 연결된 고객사에 AI 솔루션을 납품한다면 EU AI Act 검토가 필요할 수 있습니다.

반대로 국내 시장만 대상으로 하는 기업이라면 우선순위는 한국 AI 기본법 대응일 가능성이 큽니다. 다만 한국의 AI 규제도 글로벌 흐름과 완전히 따로 움직이지는 않습니다. EU AI Act가 위험관리, 문서화, 투명성, 인간 감독 같은 기준을 강조하고 있기 때문에, 국내에서도 비슷한 방향의 실무 기준이 점점 중요해질 수 있습니다.

두 법의 공통점

결국 두 법의 공통점도 있습니다. 둘 다 AI를 그냥 편리한 기술로만 보지 않습니다. AI가 사람의 권리, 안전, 기회, 정보 접근, 의사결정에 영향을 줄 수 있다는 전제에서 출발합니다. 그래서 기업에게 묻는 질문도 비슷해집니다. “이 AI는 어디에 쓰이는가?”, “어떤 데이터로 작동하는가?”, “누가 영향을 받는가?”, “문제가 생기면 설명할 수 있는가?”

차이는 질문의 방식입니다. 한국 AI 기본법은 “국내 AI 생태계 안에서 신뢰할 수 있는 AI 활용 체계를 갖추고 있는가”에 가깝습니다. EU AI Act는 “이 AI 시스템의 위험 수준은 무엇이고, 그 위험에 맞는 의무를 이행했는가”에 더 가깝습니다.

가장 현실적인 대응

사업자 입장에서 가장 현실적인 대응은 두 법을 따로 외우는 것이 아닙니다. 먼저 우리 회사가 쓰거나 제공하는 AI 자산을 목록화해야 합니다. 그다음 사용 목적, 적용 산업, 처리 데이터, 이용자 영향, 국내외 제공 여부를 정리해야 합니다. 이 정보가 있어야 한국 AI 기본법이든 EU AI Act든 적용 가능성을 판단할 수 있습니다.

EU와 거래한다면 더 빨리

특히 EU와 거래하는 SaaS, AI 솔루션, HR Tech, FinTech, HealthTech, EdTech 기업이라면 더 빨리 점검해야 합니다. 제품은 한국에서 만들었더라도 고객이 유럽에 있거나, 유럽 이용자에게 영향을 주거나, 글로벌 고객사가 EU AI Act 대응을 요구하는 순간 규제는 남의 일이 아니게 됩니다.

한국 AI 기본법만 보더라도 마찬가지입니다. 2026년 1월 22일 시행 이후에는 AI를 “썼다”는 사실보다 “어떤 기준으로 관리하고 설명할 수 있느냐”가 중요해질 가능성이 큽니다. 고영향 AI 가능성, 생성형 AI 고지, 안전성 확보, 문서와 증빙 관리 같은 주제는 기업 내부 프로세스로 남아야 합니다.

정리하면

정리하면, AI 기본법과 EU AI Act는 같은 방향을 바라보지만 무게중심이 다릅니다. 한국은 AI 산업 발전과 신뢰 기반 조성을 함께 다루는 기본법 성격이 강하고, EU는 위험 등급별 의무와 제재를 촘촘하게 설계한 규제법 성격이 강합니다.

그래서 기업이 지금 해야 할 일은 단순합니다. 우리 회사의 AI 사용 현황을 먼저 정리하고, 국내 규제와 해외 규제 중 어디에 노출되어 있는지 확인하는 것입니다. 법 조문을 모두 외우는 것보다, 우리 회사의 AI 자산과 사용 맥락을 설명할 수 있는 상태를 만드는 것이 먼저입니다.

Kompli는 이런 문제의식에서 출발했습니다. 기업이 보유한 AI 자산을 정리하고, 고영향 AI 가능성을 점검하고, AI 기본법 대응에 필요한 문서와 증빙을 관리할 수 있도록 돕는 AI 컴플라이언스 플랫폼을 준비하고 있습니다.