산업별 AI 규제 비교: 금융·의료·제약·공공, 우리 업종은 어디까지 규제받나

법무팀 회신이 하루째 없다.

AI 챗봇 파일럿 품의는 이미 올라갔고, 사업부는 다음 주 킥오프를 기다립니다. 그런데 회신 대신 돌아온 건 “이거 고위험 아니냐”는 한 줄이었습니다. 우리 서비스가 규제 대상인지 아닌지, 대상이라면 무엇을 언제까지 준비해야 하는지 아무도 딱 잘라 말해주지 못합니다. 국가별 규제 자료는 넘치는데 정작 필요한 건 산업별 AI 규제 비교인데도 말입니다.

이 글을 처음부터 끝까지 읽을 필요는 없습니다. 자기 업종 섹션과 자가진단표만 보고 나가도 되고, 표와 체크리스트가 먼저 필요하다면 규제 대응 체크리스트가 모여 있는 자료실에서 바로 받아 가도 됩니다.

핵심 요약

• 산업별 AI 규제 비교의 핵심은 국가 차이가 아니라 업종 차이 — 같은 챗봇도 금융 상담용과 의료 상담용은 요구 증빙이 별개
• EU AI Act는 금지·고위험·제한적·최소의 위험 기반 4단계 구조, 고위험 의무는 2027년 12월로 유예(시행 전 재확인 필요)
• 한국 AI 기본법은 2025년 1월 공포·2026년 1월 22일 시행, ‘고영향 AI’ 개념으로 금융·의료·채용·공공 서비스를 우선 겨냥
• 관문은 업종마다 별개 — 금융은 설명가능성과 모델리스크관리, 의료는 SaMD 인허가, 제약은 GxP와 데이터 무결성, 공공은 조달 기준과 영향평가

산업별 AI 규제 비교를 찾는 사람의 질문은 대개 하나로 모입니다. “우리가 지금 쓰려는 이 기능, 걸리나요?” 그런데 검색 결과 대부분은 EU와 미국과 중국을 나란히 놓은 국가 비교표에서 끝납니다. 정작 담당자가 앉은 자리는 국가가 아니라 업종입니다.

규제 강도는 나라보다 업종에서 갈립니다. 같은 요약 기능이라도 마케팅 카피에 쓰면 최소 위험이고, 대출 심사 근거에 쓰면 고위험입니다. 의료기기 소프트웨어로 판정되면 인허가 절차가 통째로 붙습니다.

그래서 이 글은 국가와 산업을 교차한 좌표로 정리했습니다. EU·미국·중국·일본·한국을 세로축에, 금융·의료·제약·공공·모빌리티를 가로축에 놓고 각 칸에 실제 요구 문서가 무엇인지 채웠습니다. KDI의 3-Tech 규제 비교 연구, 한국행정연구원 규제혁신 보고서, 국회도서관 소장 EU AI Act 검토 자료를 근거로 삼았습니다.

읽고 나면 자사 사례가 어느 축에 걸리는지, 고영향 등급인지, 어떤 문서를 언제까지 준비해야 하는지 30분 안에 판별할 수 있습니다. 판별이 먼저고, 대응은 그다음입니다.

왜 ‘AI 규제’는 나라별이 아니라 업종별로 봐야 할까요?

“EU AI Act 요약본은 이미 받아봤습니다.” 자주 듣는 말입니다. 그런데 다음 질문에서 대화가 멈춥니다. “그래서 우리 팀 챗봇은 신고 대상인가요?”

국가 규제는 업종을 가리지 않는 수평 규제입니다. EU AI Act도, 한국 AI 기본법도 모든 산업 위에 얇게 깔립니다.

그 아래에 원래 있던 규제가 따로 있습니다. 금융은 금융감독 규정, 의료기기는 인허가 절차, 제약은 GxP. 이건 수직 규제입니다. AI를 쓰는 순간 두 층이 동시에 적용됩니다.

같은 LLM 챗봇이라도 요구받는 증빙이 달라집니다. 금융 상담용이면 설명가능성과 불완전판매 기록, 의료 상담용이면 의료기기 해당 여부 판단, 채용 스크리닝용이면 차별 검증 로그. 도구는 하나인데 문서는 세 갈래입니다.

실무자가 가장 자주 하는 오해가 여기 있습니다. “AI 기본법만 보면 되지 않나요”라는 착각입니다. 기본법은 바닥이지 천장이 아닙니다.

규제 산업일수록 요청이 구체적입니다. 한 제약사 사업부 교육에서는 시작 전에 이런 주문을 받았습니다. 민감정보를 넣지 말라는 당부로 강의를 열어달라, 할루시네이션 방지를 깊게 다뤄달라. 제약업다운 첫 문장이었습니다.

이 글은 세 단계로 씁니다. 국가×산업 매트릭스로 지형을 보고, 자가진단으로 우리 업무의 위험 등급을 정하고, 업종별로 준비할 문서를 확인하는 순서입니다.

도입 예산과 조직 준비까지 포함한 전체 그림은 규제산업 AI 도입 로드맵을 다룬 필러 글에서 이어집니다. 여기서는 규제 지형 자체만 파고듭니다. 조직의 현재 위치가 궁금하다면 AI 활용 성숙도 5단계를 먼저 확인하는 편이 순서상 자연스럽습니다.

EU AI Act의 위험 4단계, 우리 업무는 어느 칸에 들어가나요?

“우리가 만든 건 그냥 사내 챗봇인데요.” 이 말이 안심의 근거가 되는지, 아닌지가 이 섹션의 주제입니다.

금지·고위험·제한적·최소 4단계와 대표 유스케이스

EU AI Act는 기술이 아니라 용도로 등급을 나눕니다. 같은 모델도 어디에 쓰느냐에 따라 칸이 바뀝니다.

등급	대표 유스케이스	산업 접점	제재·의무 수준
금지	공공장소 실시간 원격 생체인식, 사회적 점수화, 감정 추론(직장·학교)	공공행정, 보안, HR	전 세계 매출 최대 7% 과징금
고위험	신용평가, 채용 선별, 의료기기 소프트웨어, 필수 공공서비스 접근 판정, 자율주행 안전부품	금융, 의료, 공공, 모빌리티	적합성 평가·기술문서·로그 보관·사람 감독
제한적	대화형 챗봇, 딥페이크·합성 콘텐츠	마케팅, 고객센터, 미디어	AI임을 알리는 투명성 고지
최소	스팸 필터, 재고 예측, 문서 요약	제조, 물류, 백오피스	자율 규범 권고

실무에서 헷갈리는 지점은 고위험 칸입니다. 신용평가와 채용 선별이 여기 들어간다는 건, 인사팀 엑셀 자동화도 설계에 따라 고위험이 될 수 있다는 뜻입니다.

한국 AI 기본법의 ‘고영향 AI’는 EU 고위험과 무엇이 다른가

2025년 1월 공포된 한국 AI 기본법은 고영향 AI라는 개념을 씁니다. 의료·에너지·채용·대출심사·공공서비스 같은 영역을 열거하는 방식입니다.

구조는 EU 부속서와 닮았습니다. 다만 사전 적합성 평가보다 사후 확인과 사업자 자율에 무게가 실려 있습니다. 진흥법 성격이 강하기 때문입니다.

그렇다고 부담이 적다고 읽으면 곤란합니다. 국내 규제가 느슨해도 EU에 서비스를 내보내는 순간 엄격한 쪽 기준이 따라붙습니다. 주요국 규제 체계의 조문 단위 비교는 법무법인의 주요국 AI 규제 비교 분석에 정리돼 있습니다.

등급 판정은 생각보다 빨리 끝납니다. 용도 한 줄, 판단 대상 한 줄, 결과의 영향 한 줄이면 대개 칸이 정해집니다. 사내에서 이 판정을 돌려보려면 AI 성숙도 자가진단 체크리스트의 거버넌스 영역 문항이 출발점이 됩니다.

국가 × 산업 교차 매트릭스: 같은 AI가 나라마다 어떻게 다르게 취급되나요?

해외 법인이 있다면 이 질문이 먼저 옵니다. “본사 기준 하나로 통일할까요, 나라별로 갈까요?”

매트릭스 표 읽는 법

행은 산업, 열은 국가입니다. 각 칸의 상·중·하는 사전 승인·문서화 부담의 강도로 읽으면 됩니다.

산업	EU	미국	중국	일본	한국
금융	상 (AI Act 고위험+GDPR)	중 (부처 가이드·주법)	상 (알고리즘 등록제)	중 (금융청 원칙)	중 (신용정보법·AI기본법)
의료	상 (MDR+AI Act 이중)	상 (FDA SaMD 인허가)	상 (NMPA 심사)	중 (PMDA 심사)	상 (식약처 의료기기 인허가)
제약	상 (GxP·EMA 반영)	상 (FDA 데이터 완전성)	중	중	중 (GxP 준용)
공공행정	상 (필수서비스 접근 고위험)	중 (연방기관 지침)	상 (국가안보 연동)	하 (조달 가이드)	중 (행정 AI 도입 기준)
모빌리티	상 (형식승인+AI Act)	중 (NHTSA·주별 상이)	중 (도시별 시범)	중 (도로운송차량법)	중 (규제 샌드박스 병행)

성격을 한 줄씩 붙이면 이렇습니다. EU는 통합 수평법, 미국은 부처와 주로 흩어진 분산형, 중국은 등록제 기반의 실행속도 우선, 일본은 원칙 중심 소프트로입니다.

한국은 진흥과 최소규제를 함께 갑니다. AI 3대 강국을 내건 정책 흐름에서 데이터센터 인허가 간소화와 규제 샌드박스가 같이 언급되는 이유입니다.

표에 안 담기는 뉘앙스도 있습니다. 중국은 생성형 AI 서비스에 알고리즘 등록과 합성 콘텐츠 라벨링을 요구합니다. 규제 강도보다 절차 통과 속도가 변수라는 뜻입니다.

글로벌 사업이라면 어느 기준으로 맞춰야 하나

선택지는 둘입니다. EU 고위험 기준에 전부 맞추는 최고기준 정렬, 혹은 시장별로 갈라 대응하는 분기 전략입니다.

최고기준 정렬은 초기 문서화 비용이 큽니다. 대신 새 시장에 나갈 때 재작업이 거의 없습니다. 분기 대응은 반대로 초기에 가볍고, 서비스 수가 늘수록 관리 비용이 급하게 붙습니다.

존슨앤드존슨에서 북아시아 마케팅을 총괄하며 디지털 가이드라인 수립을 주도한 적이 있습니다. 그때 배운 건 단순합니다. 국가별로 다르게 쓰면 결국 아무도 안 지킨다는 것.

그래서 실무 권고는 기준은 하나, 예외는 문서로입니다. 가장 엄격한 시장을 기본값으로 두고, 완화 적용은 근거를 남겨 승인받는 구조가 감사에 강합니다.

세부 산업으로 내려가면 그림이 또 갈립니다. 리걸테크·프롭테크·핀테크의 규제 체계를 비교한 KDI의 3-Tech 규제 비교 연구가 국내 논의의 출발점으로 유용합니다.

이 기준을 사내에 공유하는 일은 별개의 과제입니다. 규정 문서만 돌리면 읽히지 않습니다. 기업 AI 교육 도입 로드맵에서 다루는 단계별 내재화 방식이 그 간극을 메웁니다.

금융에서 AI를 쓸 때, 감독당국은 정확히 무엇을 봅니까?

“AI 기본법 챙겼으니 됐다”고 생각하는 금융권 담당자를 종종 만납니다. 그런데 감독당국이 먼저 펼치는 서류는 AI법이 아닙니다.

신용정보법, 전자금융감독규정, 금융분야 AI 가이드라인이 먼저 걸립니다. AI 관련 법은 그 위에 한 겹 더 얹히는 구조입니다.

즉 금융 AI 활용 규제는 기존 금융 규제 + AI 규제의 이중 적용으로 이해해야 합니다. 새 법을 공부하는 일보다, 이미 받고 있는 검사 항목에 AI가 어떻게 얹히는지를 보는 편이 빠릅니다.

신용평가·여신심사 AI: 설명가능성과 차별 검증

신용평가와 여신심사 모델은 EU AI Act 기준으로도, 한국 고영향 AI 기준으로도 고위험 AI에 들어갑니다. 고객의 자금 접근권을 직접 좌우하기 때문입니다.

여기서 핵심은 모델 리스크 관리입니다. 개발한 조직과 검증한 조직, 승인한 조직이 분리되어 있는지를 봅니다.

성능이 떨어졌을 때 언제 재학습하는지, 그 주기와 판단 기준이 문서로 남아 있는지도 확인 대상입니다. 모델이 좋다는 증명보다 관리되고 있다는 증명이 먼저입니다.

고객 쪽 권리도 챙겨야 합니다. 자동화된 평가에 대한 설명 요구권, 사람의 재심사를 요청할 권리가 신용정보법 체계 안에 이미 들어와 있습니다.

해외에서는 신용·채용 알고리즘의 차별 논란이 반복적으로 제기돼 왔습니다. 성별·연령 같은 민감 변수를 뺐더라도 상관 변수를 통해 간접 차별이 생길 수 있다는 점이 쟁점이었습니다. 그래서 편향 테스트는 선택이 아니라 검사 대비 문서입니다.

고객 응대·마케팅 AI: 설명의무와 로그 보존

상담 챗봇은 위험등급이 낮아 보이지만 함정이 있습니다. 상품을 권유하는 순간 설명의무와 불완전판매 규제 영역으로 넘어갑니다.

그래서 대화 로그의 보존 기간과 재현 가능성이 중요해집니다. 분쟁이 생겼을 때 “그때 이 답변이 나갔다”를 복원할 수 없으면 방어가 어렵습니다.

클라우드·망분리 규제도 생성형 AI 도입의 실질 병목입니다. 외부 API 호출 구조가 내부 통제 기준과 충돌하는 지점을 먼저 정리해야 합니다.

준비물은 다섯입니다. 모델 카드, 검증보고서, 편향 테스트 결과, 로그 보존정책, 고객 고지문. 핀테크 규제 대응에서도 이 다섯 종은 거의 그대로 요구됩니다.

AI 컴플라이언스는 결국 문서의 문제입니다. 조직이 어느 단계에 와 있는지 감이 없다면 AI 성숙도 자가진단 체크리스트로 현재 위치를 먼저 확인하는 편이 낫습니다.

의료 AI 인허가와 제약 AI 규제 요건은 어디서 갈라지나요?

의료와 제약을 한 묶음으로 보는 분이 많습니다. 규제 언어로는 전혀 다른 세계입니다.

의료는 제품을 허가받는 규제이고, 제약은 공정과 데이터를 검증받는 규제입니다. 이 차이를 모르면 준비 서류가 통째로 어긋납니다.

의료: 소프트웨어 의료기기(SaMD) 판단 기준과 변경관리

기준선은 하나입니다. 그 AI가 진단·치료 의사결정에 영향을 주느냐입니다.

영향을 준다면 소프트웨어 의료기기에 해당하고, 식약처 허가와 임상적 성능 평가 절차로 들어갑니다. 병원 행정 업무를 돕는 요약 도구라면 이 문턱은 걸리지 않습니다.

까다로운 쪽은 그다음입니다. 지속학습 모델은 성능이 바뀔 때마다 변경 사항이 생기고, 그때마다 변경허가를 받으면 제품이 굴러가지 않습니다.

그래서 나온 개념이 사전에 변경 범위와 검증 방법을 정해두는 변경관리 계획입니다. “무엇을, 어디까지, 어떻게 검증하고 바꾼다”를 미리 승인받는 방식이라고 이해하면 됩니다.

제약: GxP 환경의 컴퓨터화 시스템 검증과 데이터 무결성

제약에는 ‘AI 제품 허가’라는 관문이 없는 경우가 많습니다. 대신 GMP·GLP·GCP 환경에서 쓰이는 시스템이라면 검증(CSV/CSA) 대상이 됩니다.

핵심어는 데이터 무결성입니다. ALCOA+ 원칙과 감사추적이 갖춰져 있는지, 누가 언제 무엇을 바꿨는지 되짚을 수 있는지를 봅니다.

같은 회사 안에서도 규제 부담은 크게 갈립니다. 후보물질 탐색 같은 R&D 영역은 상대적으로 자유롭고, 품질검사·일탈관리처럼 GxP에 닿는 순간 부담이 급격히 올라갑니다.

구분	의료 AI	제약 AI(GxP 영역)
규제 성격	제품 인허가	공정·시스템 검증
1차 관문	SaMD 해당 여부	GxP 적용 여부
핵심 증빙	임상적 성능 자료, 변경관리 계획	검증 문서(URS/IQ/OQ/PQ), 감사추적
실사 초점	안전성·유효성	데이터 무결성(ALCOA+)
공통 요구	위험평가서, 접근권한 관리, 공급업체 평가, 변경 이력

한 제약사 사업부 강의를 맡았을 때, 요청사항의 첫 줄이 “민감정보를 넣지 말라는 당부로 시작해달라”였습니다. 이미 부서용 앱까지 만들어 쓰는 팀이었는데도 그랬습니다. 규제 산업의 다음 고민은 도구가 아니라 출처를 어떻게 믿게 만들 것인가였습니다.

할루시네이션 방지를 ‘깊게’ 다뤄달라는 주문도 제약·금융에서는 빠지지 않습니다. 이건 기술 요청이 아니라 AI 거버넌스 요청입니다. 조직 단위로 검증 절차를 세우는 흐름은 AI 활용 성숙도 5단계 관점에서 보면 정리가 빠릅니다.

산업별 규제 체계를 더 파고들 자료가 필요하다면 KDI의 AI를 활용한 3-Tech의 규제 체계 비교 연구가 리걸테크·프롭테크·핀테크 사례를 정리해두었습니다.

공공기관 AI 도입 기준은 민간과 무엇이 다른가요?

민간에서 잘 굴러가던 솔루션이 공공에서 막히는 일이 잦습니다. 성능 문제가 아닙니다. 문턱의 종류가 다릅니다.

공공의 결정은 국민에게 직접 영향을 줍니다. 그래서 투명성, 이의제기 절차, 문서 공개 요구 수준이 민간보다 한 단계 높습니다.

조달 단계에서 이미 갈립니다. 보안성 검토, CSAP 인증 등급 클라우드, 국내 데이터 처리 요건 같은 항목이 제안서 평가 이전에 자격 요건으로 걸립니다.

행정 자동화 결정에는 사전 영향평가와 설명 요구가 따라붙는 방향으로 논의가 진행 중입니다. 한국행정연구원을 비롯한 정책연구도 사후 통제보다 사전 절차 설계 쪽에 무게를 싣고 있습니다.

공공 사업에 들어가려는 벤더가 미리 갖춰두면 좋은 서류는 이렇습니다.

• 보안성 검토 대응 자료(시스템 구성도, 데이터 흐름도, 외부 API 호출 내역)
• 클라우드 이용 시 CSAP 인증 등급 증빙과 데이터 저장 위치 확인서
• 학습데이터 출처·저작권·개인정보 처리 근거를 정리한 데이터 명세
• 알고리즘 설명자료: 판단 로직 요약, 한계, 오류 시 대체 절차
• 이의제기·사람 개입 절차서(자동 결정에 대한 재심 경로)
• 로그 보존정책과 감사 대응 절차

문턱이 높으면 우회로도 있습니다. 규제 샌드박스와 실증특례는 현행 규정으로 답이 안 나오는 서비스를 기간·범위를 한정해 시험하도록 열어주는 경로입니다.

정부가 AI 3대 강국을 내걸고 데이터센터 인허가 간소화 같은 진흥 정책을 함께 굴리는 이유도 여기 있습니다. 규제와 진흥이 같은 테이블에서 움직입니다. 국내외 규제 체계를 비교한 주요국의 AI 규제 체계 비교 자료도 참고할 만합니다.

다만 서류를 갖춘다고 사업이 되는 건 아닙니다. 벤더를 고르는 쪽이든 제안하는 쪽이든 기준이 필요한데, 판단 항목은 기업 AI 교육 업체 비교 9가지 기준에서 정리한 구조를 그대로 응용할 수 있습니다.

우리 회사 AI는 고위험일까요? 12문항 업종별 자가진단

“우리가 쓰는 건 그냥 챗봇인데요.”

이 말이 나오는 회의를 여러 번 봤습니다. 문제는 챗봇이냐 아니냐가 아니라, 그 챗봇의 출력이 누구의 무엇을 바꾸는지입니다.

아래 12문항은 그 판단을 30분 안에 끝내기 위한 도구입니다. 법률 자문을 대신하지는 않지만, 자문을 받을 때 무엇을 물어야 할지는 정해집니다.

공통 6문항: 등급 판별

• 사람의 권리·안전·재산에 영향을 주는 결정을 AI가 자동으로 내리거나, 사실상 결정을 좌우하는가
• 그 결정의 대상이 우리 고객·지원자·환자·민원인 등 외부의 개인인가
• 학습이나 추론에 개인정보, 민감정보, 생체정보가 들어가는가
• 결정을 받은 사람이 “왜 이렇게 됐나”를 물으면 설명할 수 있는 근거가 남는가(로그·버전·입력값)
• AI가 개입했다는 사실을 상대방에게 고지하고 있는가
• 모델이나 프롬프트를 바꿀 때 승인·기록 절차가 있는가

‘예’가 1~2번에 걸리면 고영향·고위험 AI 후보로 봅니다. 4~6번에 ‘아니오’가 많을수록 등급과 무관하게 감사 대응이 어려워집니다.

업종별 6문항: 금융·의료·제약·공공 분기

• 금융: 신용·한도·보험료·이상거래 판정에 모델 점수가 반영되는가 / 그 모델의 검증을 개발자와 다른 조직이 했는가
• 의료: 출력이 진단·치료 방향 제시에 쓰이는가 / 성능이 바뀌는 재학습을 계획하고 있는가
• 제약: GxP 범위의 기록·판정에 닿는가(품질검사, 일탈, 문서 승인) / 감사추적이 삭제 불가로 남는가
• 공공: 급부·자격·순위 결정에 관여하는가 / 이의제기 창구와 담당자가 지정돼 있는가

세부 업종은 이렇게 갈립니다. 리걸테크의 계약 리스크 자동 판정은 ‘자문 대체’ 선을 넘는 순간 성격이 바뀌고, 프롭테크의 자동 감정가 산출은 대출·과세로 이어지면 재산 영향 영역에 들어갑니다. 핀테크 규제는 앱 UI가 아니라 그 뒤의 심사 로직을 봅니다.

점수 해석은 단순하게 씁니다. 공통 1~3번에 ‘예’가 있고 4~6번에 ‘아니오’가 있으면 즉시 대응, ‘예’만 있고 문서가 일부라도 있으면 6개월 내 정비, 전부 ‘아니오’면 분기 모니터링입니다.

결과별 산출물도 미리 붙여두면 회의가 짧아집니다. 즉시 대응군은 영향평가서와 검증보고서, 정비군은 고지문과 로그 보존정책, 모니터링군은 용도 목록 대장 정도입니다. 부서별 산업별 AI 가이드라인은 그 뒤에 얹으면 됩니다.

이 결과를 1페이지로 옮기는 양식은 네 칸이면 충분합니다. 유스케이스명 / 등급 후보 / 없는 문서 / 다음 결정 요청. AI 컴플라이언스 안건은 길게 쓸수록 결재가 늦어집니다.

문항을 더 촘촘하게 돌려보고 싶다면 AI 성숙도 자가진단 30문항이 조직 쪽 빈칸을 같이 잡아줍니다. 세부 업종 규제 비교는 KDI의 3-Tech 규제 체계 비교 연구가 원문 기준으로 참고할 만합니다.

언제까지 준비하면 되나요? 2026~2027 규제 시행 타임라인

“올해는 넘어가도 되는 거죠?”

이 질문에는 절반만 ‘네’라고 답할 수 있습니다. 의무 발효일은 미뤄질 수 있지만, 문서를 만드는 시간은 줄지 않습니다.

글로벌 일정: EU AI Act 단계 시행과 고위험 의무 유예

1. 금지 AI 조항과 AI 리터러시 의무가 가장 먼저 발효됐습니다. 실시간 원격 생체인식류를 쓰지 않는지 확인하는 게 첫 칸입니다.
2. 범용 AI(GPAI) 투명성·문서화 의무가 그다음 단계로 들어왔습니다. 외부 모델을 쓰는 기업은 공급자 문서를 받아두는 일이 실무입니다.
3. 고위험 AI 의무는 단계적으로 적용되며, 부속서 기준 일부에 대해 2027년 12월까지 연기하는 논의가 진행됐습니다. 확정 일정은 반드시 원문과 관보로 확인하는 게 안전합니다.

국내 일정: AI 기본법과 부처별 산업 가이드라인

1. 한국 AI 기본법은 2025년 1월 공포, 2026년 1월 시행 구조입니다. 고영향 AI 판단 기준과 표시 의무의 세부는 시행령·고시로 넘어갔습니다.
2. 금융은 금융분야 AI 가이드라인, 의료는 식약처 허가·심사 지침, 제약은 데이터 무결성 관련 지침이 각기 다른 주기로 개정됩니다. 부처 보도자료와 협회 알림을 한 메일함으로 모으면 놓치는 일이 줄어듭니다.
3. AI 3대 강국 기조에서 데이터센터 인허가 간소화, 규제 샌드박스 같은 진흥 수단도 같이 움직입니다. 규제만 보면 쓸 수 있는 예외를 놓칩니다.

분기	할 일	남는 문서
Q1	AI 용도 전수조사	유스케이스 대장
Q2	등급 판정·자문	영향평가서 초안
Q3	문서 정비·직무 교육	검증보고서, 고지문
Q4	감사 리허설	실사 대응 팩

한 제약사 사업부는 이미 부서용 앱을 만들어 쓰면서도 교육을 요청했습니다. 요청의 첫 항목이 “민감정보를 넣지 말라는 당부로 시작해달라”였습니다. 규제 산업의 시간표는 발효일이 아니라 이런 습관에서 앞당겨집니다.

Q3의 교육 항목은 예산과 승인 절차가 걸려 있어서 가장 늦게 밀립니다. AI 교육 품의서 작성 구조와 기업 AI 교육 도입 8단계를 Q2에 미리 붙여두면 일정이 덜 흔들립니다.

추적 루틴은 분기 1회, 30분이면 됩니다. 관보 검색어 저장, 소관 부처 보도자료 구독, 협회 공지 확인. 입법 동향 자체는 세계법제정보센터의 각국 AI 규제 입법동향에서 원문 단위로 볼 수 있습니다.

자주 묻는 질문

EU AI Act 고위험 AI 시행일이 왜 2027년으로 연기되었나요?

기술 표준과 세부 가이드라인이 제때 나오지 못했고, 산업계의 준비 부담이 컸기 때문입니다. 고위험 AI 의무는 조화된 표준(harmonised standards)이 있어야 기업이 적합성 평가를 수행할 수 있는데, 그 표준 작업이 지연되면서 부속서 기반 고위험 의무의 적용 시점을 뒤로 미루는 논의가 이어졌습니다. 다만 유예 대상은 고위험 부분입니다. 금지 AI 조항과 생성형 AI 투명성 고지 의무는 이미 적용 단계에 들어가 있어, 실시간 생체인식이나 딥페이크 라벨링 같은 항목은 지금 기준으로 점검해야 합니다. 확정 일정은 세계법제정보센터의 각국 AI 입법동향 원문으로 확인하는 편이 안전합니다.

한국 AI 기본법은 어떤 산업에 우선 적용되나요?

고영향 AI로 열거된 영역이 먼저입니다. 신용평가 등 금융, 의료·보건, 채용과 인사 평가, 필수 공공서비스 제공, 에너지·교통 같은 기반 인프라가 여기에 들어갑니다. 이 영역은 사람의 권리나 안전에 직접 영향을 주기 때문에 사전 고지, 위험관리, 설명 가능성 확보 요구가 붙습니다. 여기에 더해 생성형 AI 산출물에는 업종과 무관하게 ‘AI가 만들었다’는 취지의 표시·고지 의무가 걸립니다. 즉 고영향에 해당하지 않는 회사도 챗봇과 콘텐츠 생성 영역에서는 규제 대상이 됩니다.

금융·의료 등 업종별로 AI 규제 강도가 어떻게 다른가요?

강도보다 ‘통제 시점’이 다르다고 보는 편이 정확합니다. 의료와 제약은 사전 인허가·검증형입니다. 쓰기 전에 허가를 받거나 시스템 검증을 끝내야 합니다. 금융은 감독·설명책임형입니다. 도입은 상대적으로 자유롭지만 사후에 모델 근거와 결정 이유를 설명하지 못하면 문제가 됩니다. 공공은 조달·투명성형입니다. 입찰 단계의 보안 요건과 국민에 대한 공개·이의제기 절차가 관문이 됩니다. 같은 예산이라도 어느 산업이냐에 따라 준비 문서의 종류가 완전히 달라지는 이유입니다.

제약회사가 AI를 쓸 때도 의료기기 인허가가 필요한가요?

대부분의 경우 필요하지 않습니다. 후보물질 탐색, 문헌 리뷰, 내부 보고서 초안 같은 R&D·업무 지원 용도는 의료기기 인허가 대상이 아닙니다. 다만 두 가지 예외를 봐야 합니다. 하나는 GxP 영역입니다. 품질검사, 일탈관리, 배치 기록에 AI가 개입하면 시스템 검증과 ALCOA+ 데이터 무결성, 감사추적 요건이 그대로 적용됩니다. 다른 하나는 목적입니다. 산출물이 환자의 진단이나 치료 결정에 쓰이는 순간 의료기기 해당 여부 판단으로 넘어갑니다.

규제 샌드박스를 활용하면 산업별 AI 규제를 피할 수 있나요?

피하는 제도가 아니라 미루는 제도입니다. 규제 샌드박스는 기존 규제가 신기술에 맞지 않을 때 기간·범위·인원을 한정해 실증을 허용하는 특례이고, 승인 조건으로 안전장치와 책임보험, 정기 보고 의무가 함께 붙습니다. 실증 결과는 이후 법령 개정의 근거 자료가 되므로 기록 관리가 더 까다로울 수도 있습니다. 신청은 대한상공회의소 샌드박스지원센터나 소관 부처 창구를 통하고, 금융은 금융위 혁신금융서비스 트랙이 별도로 있습니다.

마무리

규제를 다 외울 필요는 없습니다. 우리 업무가 어느 칸에 들어가는지만 알면 됩니다.

• AI 규제는 국가법(수평)과 산업법(수직)이 겹쳐 적용되며, 실무 부담은 대부분 수직 쪽에서 나옴
• 산업별 차이는 강도가 아니라 통제 시점 — 의료·제약은 사전 검증, 금융은 사후 설명, 공공은 조달 관문
• 등급 판정 없이 시작한 도입은 나중에 문서를 소급 작성해야 하므로 비용이 더 큼

지금 할 수 있는 첫 행동은 하나입니다. 현재 팀이 쓰고 있는 AI 도구를 한 줄씩 적고, 그 옆에 ‘이 결과가 사람에 대한 결정에 쓰이는가’를 예/아니오로 적는 것입니다. 이 표 한 장이 등급 판정의 출발점입니다.

그런데 여기서 막힙니다. 판정은 끝났는데, 그 결과를 예산과 일정이 붙은 문서로 옮기는 일이 남기 때문입니다. 제가 결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해본 경험으로 보면, 반려는 대개 내용이 틀려서가 아니라 ‘그래서 얼마가 들고 언제 회수되는가’가 비어 있어서 생깁니다. 규제 대응은 특히 그렇습니다. 리스크는 크게 적혀 있는데 숫자가 없으면 결재선에서 멈춥니다.

조직 현황 수치가 없어 배경란부터 막힌다면 AI 성숙도 자가진단 체크리스트로 점수와 병목을 먼저 뽑아두는 방법이 있습니다. 산출된 리포트는 품의서 배경란에 그대로 붙일 수 있고, 이후 AI 교육 효과 측정 지표와 연결하면 회수 근거까지 이어집니다. 전체 절차를 처음부터 따라가고 싶다면 기업 AI 교육 도입 8단계 로드맵이 순서를 잡아줍니다.

이미 한 번 반려당하고 재상신 문구를 고민 중이라면, 빈 양식보다 채워진 문서가 빠릅니다. 가상 기업 시나리오로 전 칸을 채운 품의서 완성 예시본, ‘보안은?’ ‘내년에 하자’ 같은 반려 사유 5가지별 재상신 문구, 그리고 제약=환자 정보·금융=신용 정보처럼 산업별 추가 조항 주석이 붙은 사내 가이드라인이 들어 있습니다. AI 교육 도입 서류 3종 무료로 받기 — 전 칸을 채운 품의서 완성 예시본과 반려 사유 5가지별 재상신 문구 포함 (편집용 DOCX)