AI기본법 하위규정안의 개선방안과 해석론 -규제대상과 보호대상을 중심으로 = Who Protects Whom and Why It Matters -An Analysis of the Proposed Rules for the AI Framework Act

국문 초록 (Abstract)

과학기술정보통신부가 2025. 9. 17. 공개한 AI기본법 하위규정안은 EU AI법과 달리 공무 또는 사업 목적 이용자, 즉 운용자(deployer)를 규제대상인 “이용사업자”로부터 제외하고 보호대상인 “이용자”에 편입하였다. 운용자를 규제대상으로부터 제외한 것은 수평규제체계 특유의 중복·과잉규제로 인한 전산업적 충격을 완화하기 위한 합리적인 조치이다. 그러나 현실의 제약으로 법 개정과 병행하지 못한 채 추진하다 보니 몇 가지 부작용들이 초래되었다. 첫째, AI기본법의 기존 입법 착오(사업자책무의 보호대상과 투명성의무의 고지·표시대상은 “영향받는 자”가 되어야 하는데 “이용자”로 오기)와 결합하여 AI기본법이 ① AI시스템 규제가 아닌 AI 기반 제품·서비스 이용관계 규제로, ② “乙”인 개발자(developer)와 배포자(distributor)가 영향받는 시민들이 아닌 “甲”인 운용자를 보호해야 하는 규제로 변질되었다. 둘째, 운용자를 규제대상으로부터 제외하면서 운용 과정의 준수 항목들 중 대부분은 “이용사업자”, 일부는 “개발사업자”에 붙였는데, 이 과정에서 개발자(특히 공개가중치모델 개발자)의 의무 범위가 과도해졌고, 배포자를 불필요하게 규제하게 되었다. AI기본법에는 EU AI법에는 있는 의도된 목적(intended purpose), 중대한 변경(substantial modification) 등 가치망 의무 배분 개념이 부재한데, 이에 따라 상류(upstream)의 개발자(특히 범용모델 개발자)가 예견·통제 범위 밖에서 하류(downstream)에 고영향 용례가 추가될 때마다 책임을 진다고 해석될 여지까지 생겼다. 셋째, 법규적 효력이 없는 가이드라인상 “이용사업자” 및 “이용자” 해석의 AI기본법상 조항 부합 여부에 대한 법적 논란이 불가피해졌다. 이를 포함한 하위규정안의 세부 보완사항들을 전체적으로 검토한 후, 이 문제들을 해결하기 위해 여전히 AI기본법의 개정이 불가피함을 규명하면서, 그 입법 방향과 입법 완료 전 부작용을 최소화하기 위한 합목적적 해석론을 도출한다.

다국어 초록 (Multilingual Abstract)

The proposed rules for the AI Framework Act, which the Ministry of Science and ICT released on September 17, 2025, exclude deployers (users for official or business purposes) from the regulated “AI Use Business Operators” (UBOs) and instead incorporated them into the protected “users”. It aims at mitigating pan-industry shocks from regulatory duplication and overregulation inherent in horizontal regulatory frameworks. However, a failure to concurrently amend the statute has caused several side effects. First, combined with existing legislative errors, the AI Framework Act has been transformed into (i) regulation of AI-based product and service usage relationships rather than AI system regulation, and (ii) regulation where developers and distributors must protect deployers, who often have dominant positions, rather than affected citizens. Second, as deployers were taken out from covered entities, compliance items for the deployment process were assigned mostly to UBOs and partially to “AI Development Business Operators,” resulting in excessive obligations for both. The AI Framework Act lacks value chain obligation allocation concepts present in the EU AI Act, such as intended purpose and substantial modification, failing to avoid interpretation that upstream developers (particularly, general-purpose model developers) bear responsibility whenever high-impact use cases are added downstream beyond their foresight and control. Third, legal uncertainty has been created concerning whether the foregoing rulings align with the AI Framework Act. After further examining detailed issues in the proposed rules, this paper demonstrates the necessity of statute-level amendments for addressing these problems, deriving legislative directions and purposive interpretations to mitigate side effects before the completion of the amendments.