규제가 도착했다. 기술보다 늦게, 하지만 예상보다 빠르게. 2026년 1월, 한국은 AI를 어떻게 다룰 것인지 처음으로 공식 답안을 내놓았다. 아직 초안이다.

2026년 1월, 한국에서 두 개의 규범이 거의 동시에 태어났다. 하나는 국가 차원의 AI 기본법(1월 22일 시행), 다른 하나는 서울대학교의 AI 가이드라인(1월 1일 제정)이다. 법과 학칙, 스케일은 다르지만 두 문서가 던지는 질문은 같다. AI를 어떻게 다룰 것인가.

연세대는 2024년 5월에, 고려대는 2025년 8월에 이미 유사한 가이드라인을 발표했다. 중앙대, 세종대, UNIST, 성균관대 등도 마찬가지다. 서울대의 등장은 흐름의 시작이 아니라 흐름에 합류한 것이다.

기업도 마찬가지다. 다만 방향이 다르다. 대학이 ‘활용하되 책임지라’는 톤이라면, 대기업은 ‘아예 쓰지 마라’에 가깝다. 삼성전자는 2023년 초 임직원이 챗GPT에 소스코드와 설비정보, 회의 내용을 입력해 기밀이 유출된 이후, DX 부문에서 외부 생성형 AI 사용을 전면 금지했다. 자체 개발한 로컬 AI ‘가우스’만 허용한다. SK하이닉스, 포스코, JP모건, 씨티그룹 등 보안에 민감한 글로벌 기업들도 비슷한 조치를 취했다.

반면 스타트업 생태계에서 AI는 규제 대상이 아니라 생존 도구다. 금지가 아니라 권장, 때로는 필수에 가깝다. AI 사용량을 업무 평가 지표로 도입한 회사도 있고, 어느 회사는 내부 발표를 영상 AI를 활용해 진행한다. 대기업이 보안을 이유로 문을 닫을 때, 스타트업은 효율을 이유로 문을 활짝 열고 있다.

공통 문법: “금지하지 않되, 사용자가 책임진다”

흥미로운 건 이 모든 규범이 공유하는 문법이다. AI 기본법은 ‘고영향 AI’와 ‘생성형 AI’ 사업자에게 투명성과 안전성 확보 의무를 부과하지만, 사용 자체를 금지하지는 않는다. 대학 가이드라인도 마찬가지다. 서울대 문서의 핵심은 이렇게 요약된다. “AI 도구를 사용하여 작성하거나 산출한 결과물이 있을 경우, 그 결과물의 제출 및 활용에 따른 모든 책임은 본인에게 있음을 인지해야 한다.”

AI를 금지하지도, 권장하지도 않는다. 사용 여부는 자유롭게 선택하되, 결과에 대한 책임은 사용자가 진다. 이것이 2026년 한국에서 AI 규범이 작동하는 방식이다.

이 방식이 나쁜 건 아니다. 도구 사용의 결과는 사용자가 책임진다는 건 일반적인 원칙이기도 하다. 게다가 한국은 오랫동안 ‘허용된 것만 가능한’ 포지티브 규제 체계에 익숙했다. AI 기본법이 ‘금지된 것 외에는 허용한다’는 네거티브 규제 원칙을 채택한 건, 그 역사를 고려하면 의미 있는 전환이다.

문제는 책임을 묻는다는 것 자체가 아니다. 책임 있는 사용을 가능하게 하는 교육과 기준이 함께 제시되지 않았다는 점이다.

해외는 어떻게 다른가

같은 시기, 해외 대학들은 조금 다른 길을 걷고 있다. 미국의 하버드, MIT, 프린스턴 등은 교수자별로 AI 사용 정책을 설정하되, AI를 허용하는 경우 ‘AI 사용 내역서(AI disclosure)’ 제출을 요구하는 방식을 채택하고 있다. 어떤 프롬프트를 입력했고, 어떤 답변을 참고했으며, 학생이 직접 수정한 부분은 어디인지까지 기록해야 한다.

호주의 시드니대는 한 발 더 나아갔다. 모든 평가계획서에 ‘AI 허용’, ‘AI 제한’, ‘AI 금지’ 등 평가별 AI 사용 기준을 명시하도록 의무화했다. 학생은 수업 전에 무엇이 허용되고 무엇이 금지되는지 명확히 안내받는다.

싱가포르국립대(NUS)는 일반교육 요건에 ‘데이터 리터러시’와 ‘디지털 리터러시’를 포함시켜, 학생들이 기초 역량을 갖춘 뒤 과목별 AI 정책을 적용받도록 하고 있다. 규범 이전에 역량을 갖추게 하는 접근이다.

한국 대학 가이드라인과의 차이는 명확하다. 해외는 ‘과정의 투명성’과 ‘기초 역량 교육’에 무게를 두고, 한국은 ‘결과의 책임’에 무게를 둔다. 전자는 AI 시대의 학습 방식을 재설계하려는 시도이고, 후자는 기존 체계를 유지하면서 책임 소재만 명확히 하려는 시도다.

법과 가이드라인이 만나는 지점

AI 기본법과 대학 가이드라인이 교차하는 지점도 있다. AI 기본법은 ‘학생평가’를 고영향 AI의 적용 분야로 명시했다. EU AI Act도 ‘교육 및 직업훈련’을 8가지 고위험 영역 중 하나로 분류한다. 교육이 글로벌하게 AI 규제의 민감 지대로 인식되고 있다는 뜻이다.

서울대 가이드라인에서 “교수자는 학생 평가 시 AI에 전적으로 의존하는 것을 지양한다”는 조항이 들어간 건 이런 맥락과 무관하지 않다. 다만 ‘지양’이라는 표현이 시사하듯, 강제력은 약하다. 법은 사업자를 규율하고, 가이드라인은 구성원의 자율에 맡긴다. 둘 사이에 실질적인 연결고리는 아직 없다.

질문: 이 규범은 작동할 수 있는가

‘금지 없는 규범’은 실제로 작동할 수 있는가.

몇 가지 구조적 한계가 보인다. 첫째, 탐지의 한계다. 서울대 가이드라인 스스로 “AI 탐지 도구의 불완전성”을 인정한다. AI가 쓴 글인지 아닌지 확실히 판별할 수 없다면, 위반 여부를 어떻게 판단할 것인가. 둘째, 일관성의 부재다. 교수자 재량에 맡기는 구조라, 같은 대학 안에서도 수업마다 정책이 다르다. 학생 입장에서는 혼란스럽다. 셋째, 역량 교육의 부재다. 싱가포르처럼 AI 리터러시를 먼저 가르치는 구조가 없다면, ‘책임 있는 활용’은 선언에 그칠 수 있다.

어쩌면 이 규범들의 진짜 목적은 AI 사용을 관리하는 게 아닐지도 모른다. “우리는 대응하고 있다”는 메시지, 그 자체가 목적일 수 있다. 대학은 학생에게, 정부는 국민에게, 기업은 주주에게 보여주는 일종의 제스처. 규범의 존재가 규범의 실효성을 대체하는 상황이다.

기술은 언제나 규범보다 빠르다. 그래서 규범은 늘 뒤늦게 도착한다. 문제는 도착한 규범이 무엇을 하느냐다. 기술의 방향을 틀 것인가, 아니면 이미 달리는 기차에 올라타 승객들에게 안전벨트를 매라고 말할 것인가.

2026년 1월의 한국은 후자를 선택한 것으로 보인다. 그것이 현명한 선택인지, 아니면 유예된 문제인지는 아직 알 수 없다. 확실한 건 하나다. 초안은 언제나 고쳐 쓰인다.