신산업 분야에서 규제 방식을 둘러싼 논쟁은 오래됐다. 한국은 허용된 것만 가능한 포지티브 규제가 다수라는 비판을 받아왔다. 반면 미국은 금지된 것만 제외하면 나머지는 자유로운 네거티브 규제를 기조로 혁신을 촉진해왔다. “특정 분야부터 시범적으로 네거티브 규제로 전환해야 한다”는 목소리가 꾸준히 나오는 이유다.

2026년 1월 시행 예정인 AI 기본법은 어느 쪽일까. 코딧 글로벌정책실증연구원이 시행령(안)의 행정규제 구조를 분석한 결과, 흥미로운 지점이 드러난다. 포지티브도 아니고, 네거티브도 아니다.

목록이 없다

포지티브 규제와 네거티브 규제는 접근법이 정반대지만 공통점이 있다. 둘 다 목록이 존재한다. 포지티브는 허용 목록, 네거티브는 금지 목록이다. 사업자는 목록을 보고 자신이 어디에 해당하는지 사전에 파악할 수 있다.

AI 기본법 시행령(안)의 고영향 AI 판단 구조는 다르다. 어떤 AI가 고영향 AI인지 사전에 지정된 목록이 없다. 대신 사업자가 확인을 요청하면, 과학기술정보통신부 장관이 개별 사안별로 판단한다. 리포트는 이를 “신청 기반 행정 절차”라고 분석했다.

판단 기준은 있다. 활용 영역, 생명·신체 안전 및 기본권에 미치는 위험의 영향·중대성·빈도 등이다. 예컨대 채용·인사 평가에 활용되는 AI, 의료 진단을 보조하는 AI, 사법·행정 의사결정에 관여하는 AI 등이 고영향 AI로 판단될 가능성이 높은 영역이다.

그러나 정량적 임계값은 제시되지 않았다. “이 수치를 넘으면 고영향 AI”라는 식의 명확한 기준이 없다는 뜻이다. 리포트는 이를 “평가적 요소 중심”이라고 표현했다.

EU는 목록을 만들었다

비교 대상이 있다. EU AI Act다. 2024년 8월 발효됐고, 고위험 AI 규정은 2026년 전면 적용된다. 한국 AI 기본법과 비슷한 시기다.

EU도 고위험 AI(High-Risk AI)라는 개념을 도입했지만, 접근법이 다르다. EU는 고위험 AI에 해당하는 분야를 부속서(Annex)에 구체적으로 열거했다. 생체인식, 핵심 인프라, 교육, 고용, 금융, 법집행, 이민·국경, 사법 등이 명시되어 있다. 사업자는 부속서를 보고 자신이 해당하는지 사전에 확인할 수 있다.

한국은 이런 목록을 두지 않았다. EU가 사전 목록화 방식을 택했다면, 한국은 사후 판단 방식을 택한 셈이다. 같은 “고위험/고영향 AI”라는 개념을 다루면서도 규제 작동 방식이 근본적으로 다르다.

조문만 봐서는 모른다

이 구조가 만드는 현실은 이렇다. 사업자가 AI 기본법 조문을 아무리 읽어도, 자신이 고영향 AI 사업자인지 스스로 확정할 수 없다. 확인을 요청해서 행정청의 판단을 받아야 비로소 알 수 있다.

리포트는 이 점을 명확히 짚는다. “규제 적용 여부는 조문만으로 일의적으로 확정되기보다는, 개별 사안에 대한 행정적 판단을 통해 확인되는 구조를 갖는다.”

고영향 AI 판단만 그런 게 아니다. 적용 제외 범위도 기술적 특성이 아닌 ‘업무 목적’과 ‘기관장 지정’을 기준으로 정해진다. 사업자 의무도 정량적 요건보다 관리·운영 체계 구축 여부를 기준으로 판단한다. 시행령(안) 전반에 걸쳐 “사전 확정 기준보다는 집행 단계 점검 중심”의 설계가 관통하고 있다.

제3의 규제, 예측가능성의 문제

기존의 포지티브/네거티브 분류로는 이 구조가 설명되지 않는다. 굳이 이름을 붙이자면 ‘판단형 규제’라 할 수 있다. 목록으로 사전에 정하지 않고, 개별 사안마다 행정청이 판단하는 방식이다.

리포트는 이런 설계가 “인공지능 기술과 활용 영역의 다양성을 반영한 것”이라고 평가한다. 기술 변화가 빠른 AI 분야에서 경직된 목록보다 유연한 판단 구조가 필요하다는 논리는 이해할 수 있다.

문제는 예측가능성이다. 네거티브 규제는 최소한 금지 목록이 있다. “이것만 하지 않으면 된다”가 명확하니, 사업자는 나머지 영역에서 자유롭게 움직일 수 있다. 그런데 판단형 규제는 금지 목록조차 없다. 내가 규제 대상인지 아닌지, 확인받기 전까지 알 수 없다.

리포트의 표현을 빌리면, “규제 수범자 입장에서는 규제 적용의 시점과 범위, 부담 수준을 사전에 충분히 가늠하기 어렵게 만드는 요소로 작용할 수 있다.”

업계에서도 우려가 나온다. 사전에 기준을 알 수 없으니 보수적으로 대응할 수밖에 없고, 그만큼 신규 서비스 출시나 투자 결정이 지연될 수 있다는 것이다. 특히 초기 스타트업의 경우 행정 판단을 기다리는 시간과 비용 자체가 부담이 된다.

판단의 축적이 관건이다

AI 기본법이 포지티브의 경직성을 피하려 한 것은 분명해 보인다. 그러나 네거티브의 명확성도, EU식 목록화도 택하지 않았다. 그 결과물이 판단형 규제다. 유연성을 얻었지만, 불확실성도 함께 얻었다.

리포트는 이 구조가 작동하려면 조건이 필요하다고 본다. 고시 제정 시 판단 요소의 적용 방식과 절차를 명확히 정리할 것, 시행 초기 집행 사례를 체계적으로 축적하고 투명하게 공개할 것. “이해관계자와의 지속적인 소통을 통해 해석·운영 기준을 점진적으로 정교화해 나가는 과정이 병행될 때, AI 기본법의 규범적 안정성과 정책 신뢰성은 실질적으로 확보될 수 있을 것”이라는 게 리포트의 결론이다.

사업자 입장에서는 법 시행 이후 초기 판단 사례가 어떻게 쌓이는지 주시해야 한다. 판단형 규제에서 규제의 실제 윤곽은 조문이 아니라 판단의 축적에서 드러나기 때문이다. 2026년 1월, AI 기본법 시행과 함께 그 축적이 시작된다.