한국 인공지능기본법의 규제 대상 불일치와 규제 최소화의 역설: EU AI법과의 비교를 중심으로 = Regulatory Object Mismatch and the Paradox of Regulatory Minimalism in the Korean AI Framework Act: A Comparison with the EU AI Act

다국어 초록 (Multilingual Abstract)

This article examines the regulatory structure of Korea’s Framework Act on the Development of Artificial Intelligence and Establishment of Trust Base (Korean AI Framework Act) in comparison with the EU AI Act. It argues that the central problem of the Korean AI Framework Act lies not merely in its relatively low level of regulation, but in the lack of coherence and predictability in its regulatory objects, standards, and allocation of responsibilities. AI operates through a lifecycle in which upstream models form intelligence through training, while downstream systems integrate such models into specific purposes and operational environments. AI risks should therefore be understood as a dual structure of risk formation and risk materialization.
The EU AI Act reflects this structure by distinguishing general-purpose AI models from high-risk AI systems and by differentiating training, learning, providers, deployers, and affected persons. By contrast, the Korean AI Framework Act primarily regulates AI systems through the statute and its enforcement decree, while matters concerning AI models and training are largely left to non-binding guidelines. As a result, risks formed at the model stage — including bias, hallucination, copyright infringement, and security vulnerabilities — may fall outside direct statutory control, while downstream system providers may bear disproportionate responsibility.
This article further argues that the Korean AI Framework Act uses the broad concept of learning without separately conceptualizing training. This blurs the distinction between model-stage intelligence formation through training and deployment-stage system adaptation. The Act also does not sufficiently capture the deployer as an independent regulatory subject comparable to that under the EU AI Act, creating a gap for hospitals, financial institutions, schools, public bodies, and other organizations that place AI systems into actual decision-making processes.
This article concludes that regulatory minimalism, when combined with unclear regulatory objects and responsibility structures, may paradoxically increase legal uncertainty and compliance burdens for domestic businesses. The Korean AI Framework Act therefore needs not simply more regulation, but a structural redesign based on lifecycle governance. Models, training, systems, and deployment should be regulated separately but coherently, so that responsibility can be allocated according to risk formation, transfer, and materialization.

국문 초록 (Abstract)

이 논문은 한국 ｢인공지능 발전과 신뢰 기반 조성 등에 관한 기본법｣(인공지능기본법)의 규제 구조를 EU AI법과 비교하여, 인공지능기본법의 핵심 문제가 단순히 규제 강도가 낮다는 데 있는 것이 아니라 규제 대상과 책임 구조가 정합적이고 예측 가능하게 설계되어 있지 않다는 데 있음을 분석한다. AI 기술은 상류 단계에서 모델이 훈련을 통해 지능을 형성하고, 하류 단계에서 시스템으로 통합되어 특정 목적과 운용 환경 속에서 기능하는 생애주기적 구조를 가진다. 또한 AI 위험은 특정 시점의 일회적 사건이 아니라 모델 훈련 단계에서 형성되고 시스템 운용 단계에서 현실화되는 이중 구조로 이해될 수 있다.
EU AI법은 이러한 구조를 반영하여 범용 AI 모델과 고위험 AI 시스템을 구별하고, 훈련과 학습, 제공자와 운용자 및 영향받는 자를 기능적으로 구분하여 규율한다. 그러나 인공지능기본법은 법률과 시행령에서 주로 인공지능시스템을 중심으로 규제하고, 모델과 훈련에 관한 사항은 법적 구속력이 없는 가이드라인을 통해 보충되는 방식이다. 그 결과 모델 단계에서 형성되는 편향, 환각, 저작권 침해, 보안 취약성 등의 위험은 인공지능기본법의 직접적 규율 대상에서 벗어나고, 시스템 사업자에게 위험 통제와 책임이 집중될 수 있다.
또한 인공지능기본법은 훈련 개념을 별도로 규정하지 않고 학습 개념을 포괄적으로 사용함으로써, 모델의 지능 형성 과정과 시스템의 운용 중 변화 과정을 명확히 구별하지 못한다. 특히 EU AI법의 운용자에 해당하는 독립적 책임 주체를 충분히 포착하지 못하여, 병원·금융기관·학교·공공기관 등 실제 조직적 의사결정 과정에서 AI 시스템을 사용하는 주체의 관리·감독 책임이 체계화되지 못하는 문제가 발생한다. 이 논문은 인공지능기본법이 산업 진흥을 위한 규제 최소화 접근을 취하더라도, 모델·훈련·시스템·운용의 분리 규율이 이루어지지 않으면 오히려 국내 기업에게 법적 불확실성과 책임 비대칭을 초래할 수 있음을 지적한다. 결론적으로 인공지능기본법은 단순한 규제 강화가 아니라, AI 위험의 형성·전이·현실화 단계에 따른 생애주기 기반 거버넌스로 재구성될 필요가 있다.