바다이야기오락실 > 골드몽릴게임

최근 한국의 AI 정책 추진 체계가 재정비되고, 정부는 국가 독자 AI 파운데이션 모델 개발 사업을 통해 국내 AI 산업의 경쟁력을 높이려 하고 있다. SK텔레콤, 업스테이지, LG AI연구원 등 국내 기업들이 거대 언어모델과 파운데이션 모델 개발에 뛰어들고 있는 것은 분명 고무적이다. 그런데 올해 1월 22일부터 시행된 「인공지능기본법」(AI기본법)은 AI 모델을 독립된 규제 대상으로 명확히 규정하지 않는다. 정부는 한편으로 파운데이션 모델 개발을 국가 AI 전략의 핵심으로 추진하면서, 다른 한편으로 AI기본법에서는 모델을 독립된 규제 단위로 포착하지 않고 있다. 우리 AI 정책과 법제 사이에 쉽게 이해하기 어려운 간극이 존재한다. 문제는 단순히 모델 규제가 빠져 있다는 데 그치지 않는다. AI기본법은 모델을 독립적인 규제 단위로 두지 않으면서도, 과학기술정보통신부의 여러 가이드라인에서는 AI 모델과 그 훈련, 모델의 작동 원리와 특성, 모델의 누적 연산량 등을 구체적으로 다룬다. 즉 법률에서 명시적으로 규정하지 않은 모델이 법적 구속력이 없는 가이드라인에서 등장한다. 더욱 기묘한 구조는 안전성 확보 의무에서 드러난다. AI기본법 제32조와 시행령 제24조는 인공지능시스템에 안전성 확보 의무를 규정하면서 그 기준 가운데 하나로 '학습에 사용된 누적 연산량' 즉, FLOPs를 사용한다. FLOPs는 본질적으로 AI 모델의 훈련 규모를 나타내는 지표이다. 결국 법률은 모델을 독립적 규제 대상으로 두지 않는다. 그런데 가이드라인은 모델과 훈련을 구체적으로 다루고, 시행령은 시스템의 안전성 의무 적용 기준으로 모델 훈련 규모인 FLOPs를 사용한다. 규제 대상은 시스템인데 규제 기준은 모델에서 가져오는 셈이다. 이는 단순한 기술적 표현의 부정확성이 아니다. 규제 대상과 규제 기준이 서로 일치하지 않는 입법 구조의 모순이다. AI 기술의 구조를 보면 이러한 문제가 왜 중요한지 분명해진다. AI 모델은 대규모 데이터를 이용한 훈련을 통해 기본적인 성능과 능력을 형성한다 몰메가릴게임 . 편향, 환각, 저작권 침해, 보안 취약성 등 중요한 위험도 상당 부분 이 단계에서 형성된다. 이후 모델이 특정 목적, 인터페이스, 데이터 흐름과 결합되어 AI 시스템이 되고, 병원, 은행, 학교, 기업, 공공기관 등의 실제 업무에서 운용될 때 그 위험이 현실화된다. 따라서 모델과 시스템은 밀접하게 연결되어 있지만 동일한 규제 대상은 아니다. 위험이 형성되는 단계가 다르고, 이를 통제할 수 있는 주체와 부담해야 할 책임도 다르다. EU AI법이 ChatGPT 등장 이후 범용 AI 모델을 별도의 규제 단위로 추가한 이유도 여기에 있다. EU는 고위험 AI 시스템뿐 아니라 그 상류에 있는 범용 AI 모델에도 독립된 의무를 부과함으로써, 모델 단계에서 형성된 위험이 하류의 시스템으로 전이되는 과정까지 규율한다. 그러나 우리 AI기본법은 기본적으로 시스템 중심의 규율을 취한다. 그렇다면 규제 기준도 시스템의 용도, 기능과 실제 운용 위험을 중심으로 설계되는 것이 논리적으로 일관될 것이다. 그런데 시스템 안전성 의무의 기준에 모델 훈련 규모인 FLOPs를 끌어오면서, 정작 모델 제공자에게는 이에 상응하는 독립적인 법적 의무를 부과하지 않는다. 그 결과 수범 기업은 근본적인 질문에 부딪힌다. 내가 규제받는 이유는 내가 제공하는 시스템의 위험 때문인가, 아니면 그 시스템에 내재된 모델의 규모 때문인가. 모델 제공자와 시스템 제공자 중 누가 원천 위험을 책임져야 하는가. 외국 빅테크의 범용 AI 모델을 API로 가져와 국내 서비스를 만든 기업은 자신이 통제할 수 없는 모델 훈련 단계의 위험까지 부담해야 하는가. 이것이 바로 '덜규제'의 역설이다. 정부는 국내 스타트업을 포함한 기업의 부담을 줄이기 위해 규제를 최소화하려 했을 수 있다. 그러나 좋은 규제는 단순히 규정의 수가 적은 규제가 아니다. 누가, 무엇에 대해, 어느 단계에서, 어떤 책임을 부담하는지가 명확하고 예측 가능한 규제가 좋은 규제다. 카카오야마토 AI기본법처럼 법률에서는 모델을 독립적으로 규율하지 않으면서 가이드라인에서 모델을 다루고, 다시 시행령에서는 모델의 FLOPs를 시스템 안전성 의무의 기준으로 사용하는 구조에서는 기업이 자신의 법적 지위와 의무 범위를 예측하기 어렵다. 더구나 가이드라인은 법적 구속력이 없다. 기업은 현실적으로 이를 무시하기 어렵지만, 충실히 준수했다고 해서 그것이 자동으로 법적 면책을 보장하는 것도 아니다. 법률이 정해야 할 규제 대상과 책임 구조를 가이드라인이 사실상 보충하는 상황은 규제를 줄인 것이라기보다 규제의 법적 근거와 예측 가능성을 약화시킨 것에 가깝다. 이러한 구조는 국내 기업에 책임을 비대칭적으로 전가할 위험도 있다. 해외 빅테크가 만든 범용 AI 모델의 훈련 과정에서 편향, 환각, 저작권 침해 또는 보안 취약성이 형성되더라도, 모델 자체가 우리 법의 독립된 규제 단위가 아니라면 모델 제공자에게 직접 책임을 묻는 법적 근거가 제한될 수 있다. 반면 그 모델을 이용해 의료, 금융, 채용 등 실제 서비스를 제공하는 국내 기업은 시스템 제공자로서 안전성과 각종 책무를 부담할 수 있다. 즉 모델 단계에서 형성된 위험의 부담이 하류의 시스템 사업자에게 집중되는 구조가 만들어질 수 있다. AI기본법은 훈련(training)과 학습(learning)을 명확히 구별하지 않는 문제도 가지고 있다. 모델을 처음 구축하면서 데이터와 연산을 통해 가중치를 형성하는 훈련과, 이미 구축된 시스템이 실제 운용 과정에서 새로운 데이터에 적응하거나 변화하는 학습 또는 적응은 기술적으로도 법적으로도 다른 단계이다. 그런데 이 법은 이를 폭넓은 학습 개념으로 묶고 있다. 이러한 개념적 포괄성은 책임 배분을 어렵게 한다. 모델 훈련 단계에서 발생한 데이터 편향이나 저작권 문제는 주로 모델 제공자가 통제할 수 있는 위험이다. 반면 시스템 운용 중의 데이터 드리프트, 성능 저하, 자동화 편향 등은 시스템 제공자나 실제 운용 주체가 관리해야 할 위험이다. 릴게임주소 두 단계를 구별하지 않으면 위험이 어디에서 형성되었고 누가 이를 통제할 수 있었는지를 판단하기 어려워진다. 또 하나의 공백은 운용자(deployer) 개념이다. 병원이 AI 진단시스템을 실제 진료에 사용하거나 은행이 AI를 신용평가에 사용하면, 이들 조직은 단순한 AI 서비스의 소비자가 아니다. 자신의 권한 아래 AI 시스템을 실제 업무와 의사결정 과정에 투입하고 그 위험을 관리하는 주체이다. EU AI법은 이러한 주체를 운용자로 별도로 규율한다. 우리 AI기본법도 인공지능이용사업자와 관련 책무를 두고 있지만, AI 시스템을 자신의 권한 아래 실제 조직적 의사결정 과정에 투입하는 주체의 독립적인 운용 책임을 충분히 체계화하고 있다고 보기는 어렵다. 결국 문제는 규제를 많이 하느냐 적게 하느냐가 아니다. 더 중요한 것은 AI의 실제 기술 구조와 법의 규제 구조가 서로 맞느냐이다. 우리 AI기본법은 적어도 세 가지를 바로잡을 필요가 있다. 첫째, 범용 AI 모델을 독립된 법적 규제 단위로 명확히 하고, 모델 제공자의 책임을 규정해야 한다. 둘째, 모델의 훈련과 시스템의 운용 중 학습 또는 적응을 구별해야 한다. 셋째, 시스템을 실제 조직의 업무와 의사결정 과정에 투입하는 운용자의 책임을 명확히 해야 한다. 그리고 무엇보다 법률에서는 모델을 독립적 규제 대상으로 두지 않으면서, 가이드라인에서 모델과 훈련을 다루고, 시행령에서는 시스템에 대한 법적 안전성 의무의 기준을 모델의 FLOPs에서 가져오는 현재의 규제 대상과 규제 기준의 불일치를 해소해야 한다. 우리가 독자 파운데이션 모델을 육성하고 국내 AI 기업의 글로벌 경쟁력을 높이려면 필요한 것은 단순한 '덜규제'가 아니다. 모델은 모델 단계에서, 시스템은 시스템 단계에서, 운용은 운용 단계에서 각각 책임을 묻는 예측 가능한 생애주기 기반 거버넌스가 필요하다. 규제가 적다는 이유만으로 기업 친화적인 법이 되는 것은 아니다. 규제 대상과 기준, 책임 주체가 불분명하면 적은 규제가 오히려 더 큰 불확실성과 더 무거운 책임으로 돌아온다. 현행 AI기본법이 바로 규제 최소화의 역설을 보여주는 이유다. 박노형 명예교수(고려대 로스쿨) 독립된 법적 규제