[기고] AI를 둘러싼 규제를 생각해 본다
요즘 딥페이크를 이야기하면 철 지난 화제처럼 들릴 수 있다. 그런데 딥페이크야말로 인공지능(AI) 위험을 보여주는 일단면으로 여겨질 때가 많았다. 이러한 이유에서 아무런 죄가 없는 딥페이크가 죄인이 된 적이 있다. 딥페이크를 이용해 허위 정보가 확산될 수 있고 사람들이 이를 구분하기 어려울 수 있단 우려 때문에 이를 규제해야 한다고 했다. 하지만 정작 허위 정보는 딥페이크에 가려지고 딥페이크가 죄인이 됐다. AI 기술을 규제하는 입법은 빠르게 늘고 있다. 2024년 공직선거법 개정으로 이른바 '딥페이크 선거운동' 금지 조항이 생겼다. 식품표시광고법에는 AI로 만든 의사·약사 등 전문가가 제품을 권하는 듯한 광고를 금지하고 형사처벌하는 규정이 들어왔다. 또 AI 기본법 이외에 AI 서비스 이용자를 보호하기 위한 별도 법률을 만들자는 논의도 이어지고 있다. 새로운 기술이 새로운 피해를 낳는 만큼 법이 대응하는 것은 당연하다. 다만 지금의 입법 흐름이 정말 '무엇이 위험한가'를 충분히 따진 결과인지는 다시 한번 생각해 볼 필요가 있다.딥페이크를 규제하는 이유부터 다시 생각해 보자. 딥페이크가 문제인 이유는 AI로 만들었기 때문이 아니다. 실재하지 않는 장면을 실재처럼 믿게 만들어 사람을 속이기 때문이다. 유권자가 후보자의 가짜 발언을 진짜로 믿거나, 소비자가 가짜 전문가의 권유를 믿고 제품을 사거나, 가족 목소리를 흉내 낸 전화에 속아 돈을 보내는 상황이 그렇다. 보호해야 할 법익은 개인의 인격권과 재산, 소비자의 합리적 선택, 그리고 공론장에 대한 신뢰다. 그러므로 규제 대상도 '기술의 사용'이 아니라 '기만과 그로 인한 피해'여야 한다. 그런데 최근 입법들을 보면 이 출발점을 놓치고 기술 자체를 겨냥한다는 인상을 갖게 된다. 공직선거법 제82조의8이 대표적이다. 이 조항은 선거일 전 90일부터 선거일까지 선거운동을 위해 AI 기술 등으로 만든 실제와 구분하기 어려운 가상 음향·이미지·영상을 제작·편집·유포·상영·게시하는 것을 전면 금지한다. 그 밖의 기간에는 가상정보라는 사실을 표시하면 허용한다. 그런데 실제 있었던 일을 딥페이크로 만들어 보여주면 그 행위가 처벌 대상이 되어야 할까? 표시의무를 부과해 표시하도록 하는 것은 유권자들에게 정보를 제공해 준다는 점에서 긍정적으로 바라볼 수 있지만 선거일 전 90일부터 진실된 내용도 딥페이크를 통해서 알려주지 못한다는 건 과도한 규제가 아닌가라는 생각이 든다. 식품표시광고법의 AI 전문가 광고 금지 조항도 같은 구조를 보인다. AI으로 만든 가상의 의사나 약사가 건강기능식품을 권하는 듯한 광고를 하면 형사처벌 대상이 된다. 이런 광고가 문제인 이유는 분명하다. 소비자는 흰 가운을 입은 '전문가' 말을 믿고 그 신뢰가 구매로 이어질 수 있기 때문이다. 그런데 이 조항은 AI으로 만든 가상 인물에만 적용된다. 실제 의사나 약사가 직접 출연해 같은 말을 하면 이 조항은 적용되지 않는다. 필자가 보기에는 위험의 크기와 처벌의 대상이 서로 어긋난 것으로 보인다. 소비자 보호가 목적이라면 규율의 초점은 '누가 어떤 근거로 효능을 보증하는가', 그리고 '소비자가 그 보증을 오인할 위험이 있는가'에 맞춰져야 한다. AI에 대한 규제를 만들 때 다시 한번 생각해 보자 현재 공개되고 있지는 않지만 AI 이용자 보호법 제정에도 앞선 논의를 적용해 보고 싶다. '이용자 보호'라는 목적은 누구나 동의한다. 그러나 이용자가 AI 서비스를 이용하는 과정에서 구체적으로 어떤 피해를 입는지, 그 피해가 기존 법제로는 왜 해결되지 않는지에 대해 충분히 검토했는지는 살펴봐야 한다. AI 서비스에서 생길 수 있는 피해의 경로는 다양하다. 잘못된 답변을 믿어 손해를 보는 경우, 추천·평가 알고리즘 때문에 불리한 대우를 받는 경우 입력한 정보가 학습에 쓰여 사생활이 침해되는 경우는 성격이 서로 다르다. 이 가운데 상당 부분은 이미 개인정보 보호법, 전기통신사업법, 전자상거래법, 약관규제법 등에서 다루고 있다. 피해 유형을 구분하지 않은 채 'AI 서비스'라는 기술 범주에 동일한 규제를 적용하는 것은 가급적 지양해야 한다. 그렇다면 AI 규제는 어떻게 만들어야 하는가. 세 가지를 제안한다. 첫째, 보호법익과 위험 경로를 먼저 특정해야 한다. 이 규제가 막으려는 피해가 무엇인지, 그 피해는 어떤 경로로 발생하는지, 기존 법으로 왜 막을 수 없는지를 입법 단계에서 분명히 해야 한다. 선거라면 유권자의 오인, 광고라면 소비자가 잘못된 정보에 따른 구매 결정으로 입는 손해 등을 생각해 봐야 한다. 둘째, 기술 중립적이면서 위험 비례적인 규제를 담아야 한다. 'AI을 이용해'라는 수단 요건보다 '실제와 오인하게 할 우려가 있는', '허위의 사실을 진실인 것처럼'과 같은 피해를 발생시킬 수 있는 사항을 규정해야 한다. 셋째, 입법 전에 영향평가를 하고 입법 후에 점검해야 한다. 아직 발생하지 않은 위험을 고려해 모든 위험을 차단하는 방식보다는 현실화할 가능성이 있거나 발생 시 큰 피해를 낳을 수 있는 위험을 기준으로 차단하는 방식을 취하되, 이러한 위험도 지속적으로 점검하여 과도하거나 무의미한 규제가 되지 않도록 해야 한다. 유럽연합 AI법(AI Act)이 위험 수준에 따라 의무를 차등화한 것도, 우리 AI기본법이 '고영향 AI' 개념을 도입한 것도 모두 위험이 다르면 규제가 달라져야 한다는 원칙을 반영한 것이다. 개별 법률에 AI 조항을 넣거나 새 법률을 제정할 때에도 이러한 위험 기반 접근을 일관되게 적용해야 한다. 나아가 시행 후에는 실제 피해 사례와 규제 비용, 표현 위축 효과를 점검해 조항을 다듬는 절차를 제도화할 필요가 있다. AI는 이제 특별한 기술이 아니라 일상의 도구가 되어가고 있다. 도구를 규제하는 법은 결국 그 도구를 쓰는 모든 사람에게 부담을 지우면서도 진짜 위험을 방지하지 못할 수도 있다. 느려 보일 수 있지만 실제 발생가능한 위험을 명확히 겨냥하는 입법이 필요한 때다.
