표준을 따랐는가가 검사자를 정한다
어떤 표준을 따랐는지가 스스로 확인할지 제3자에게 확인받을지를 가릅니다. 규범의 세부를 쓰는 자리가 입법부 밖으로 내려간 결과이고, 구매자가 묻는 질문도 그쪽으로 따라 내려옵니다.
초록 인공지능 규율을 읽을 때 대부분의 시선은 금지와 제재에 머뭅니다. 그런데 규정을 조문 순서대로 따라가면 훨씬 조용하지만 더 결정적인 장치가 중간에 놓여 있습니다. 조화된 표준을 따른 시스템은 요건에 적합한 것으로 추정되고, 그 추정을 받은 사업자는 스스로 확인하는 절차를 고를 수 있으며, 받지 못한 사업자는 인증기관이 관여하는 절차로 밀려납니다. 표준 문서 한 건이 '무엇이 좋은 제품인가' 가 아니라 '누가 나를 검사하는가' 를 바꾸는 것입니다. 그리고 그 표준은 입법 절차가 아니라 표준화 요청과 표준화 기구의 작업으로 만들어집니다. 규범의 무게중심이 어디로 이동했고, 그 이동이 제품과 조달의 언어를 어떻게 바꾸는지 살펴봅니다.
Regulation (EU) 2024/1689 제40조 제1항은 이렇게 정합니다. 고위험 인공지능 시스템 또는 범용 인공지능 모델이 조화된 표준 또는 그 일부에 적합하고 그 표준의 참조가 유럽연합 관보에 공표된 경우, 해당 표준이 그 요건을 다루는 범위에서 그 시스템이나 모델은 요건에 적합한 것으로 추정된다는 것입니다. 추정이라는 말은 조용하지만 강합니다. 증명의 부담이 반대 방향으로 넘어가기 때문입니다. 그리고 그 효과가 어디까지 미치는지는 몇 조 뒤에서 분명해집니다. 같은 규정 제43조 제1항은 부속서 III 제1호에 열거된 고위험 시스템에 대하여, 공급자가 제40조의 조화된 표준이나 제41조의 공통 사양을 적용해 적합성을 증명하는 경우에는 부속서 VI의 내부통제 절차와 부속서 VII의 인증기관 관여 절차 중에서 고를 수 있게 합니다. 반대로 조화된 표준이 존재하지 않거나, 공급자가 그것을 적용하지 않았거나 일부만 적용한 경우에는 부속서 VII의 절차를 따라야 한다고 정합니다. 같은 요건, 같은 제품인데 표준을 따랐는지 여부가 검사자를 바꾸는 구조입니다. 규범을 읽을 때 우리가 흔히 놓치는 자리가 여기 있습니다.
핵심 개념 정의
적합성의 추정
특정 문서를 따랐다는 사실만으로 법적 요건을 충족한 것으로 보아 주는 장치입니다. Regulation (EU) 2024/1689 제40조 제1항은 관보에 참조가 공표된 조화된 표준에 적합하면 해당 표준이 덮는 범위에서 요건 적합이 추정된다고 정합니다. 요건을 직접 해석해 증명하는 대신 표준 준수를 증명하면 되는 것이므로, 실무에서 다투는 대상이 법 조문에서 표준 문서로 옮겨 갑니다.
적합성 평가 경로
적합성을 누가 어떻게 확인하는지를 정한 절차의 갈래입니다. Regulation (EU) 2024/1689 제43조 제1항은 조화된 표준이나 공통 사양을 적용한 경우 부속서 VI의 내부통제와 부속서 VII의 인증기관 관여 절차 중 선택을 허용하고, 표준이 없거나 적용하지 않았거나 일부만 적용한 경우에는 부속서 VII을 따르도록 합니다. 같은 조는 표준의 참조가 제한을 붙여 공표된 경우 그 제한된 부분에 대해서도 같은 결과가 따른다고 적습니다.
표준화 요청
규범의 세부를 누가 쓰는지를 정하는 절차입니다. Regulation (EU) 2024/1689 제40조 제2항은 집행위원회가 Regulation (EU) No 1025/2012 제10조에 따라 요건 전반을 다루는 표준화 요청을 지체 없이 발하도록 하고, Regulation (EU) No 1025/2012 제10조 제1항은 집행위원회가 하나 이상의 유럽 표준화 기구에 정해진 기한 안에 표준이나 표준화 산출물을 작성하도록 요청할 수 있다고 정합니다. 같은 조 제3항은 표준화 기구가 요청을 받은 날부터 한 달 안에 수락 여부를 밝히도록 합니다.
공통 사양
표준화 경로가 막혔을 때 규제기관이 직접 세부를 쓰는 대체 경로입니다. Regulation (EU) 2024/1689 제41조 제1항은 표준화 요청이 어느 기구에도 수락되지 않았거나, 기한 안에 표준이 제출되지 않았거나, 제출된 표준이 기본권 우려를 충분히 다루지 못했거나 요청에 부합하지 않은 경우 등에 집행위원회가 이행법으로 공통 사양을 채택할 수 있게 하고, 같은 조 제3항은 그 사양에 적합한 시스템에도 적합성 추정을 부여합니다.
전략적 관점
표준은 품질 문서가 아니라 관할 문서다
표준을 읽는 익숙한 방식은 '좋은 만드는 법을 정리해 둔 참고 자료' 입니다. 그런데 Regulation (EU) 2024/1689 의 배치는 그 독법을 허물어뜨립니다. 제40조 제1항이 조화된 표준에 적합성 추정을 붙이고, 제43조 제1항이 그 표준의 적용 여부로 절차의 갈래를 나눕니다. 부속서 VI의 내부통제는 공급자가 스스로 확인하고 문서를 갖추는 경로이고, 부속서 VII은 인증기관이 품질관리체계와 기술문서를 평가하는 경로입니다. 두 경로는 비용도 일정도 다르지만 무엇보다 다른 것은 판정의 주체입니다. 즉 표준 문서는 제품의 좋고 나쁨을 말하는 문서가 아니라 누가 나를 판정할 권한을 갖는지를 말하는 문서에 가깝습니다. 이 성질을 이해하면 '표준은 아직 강제가 아니니 나중에 봐도 된다' 는 판단이 왜 위험한지가 보입니다. 표준을 따르지 않은 상태는 요건을 어긴 상태가 아니라, 스스로 확인할 자격을 갖지 못한 상태입니다. 제재를 피하는 문제가 아니라 절차를 고를 수 있는 지위의 문제이고, 지위는 제품이 다 만들어진 뒤에 뒤늦게 얻기가 가장 어려운 종류의 것입니다.
규범의 세부가 입법부 밖에서 쓰인다
법이 요건을 문장으로 적고, 그 문장의 세부를 다른 기구가 문서로 채우는 구조는 새롭지 않습니다. 다만 인공지능에서는 그 간격이 유난히 넓습니다. Regulation (EU) 2024/1689 제40조 제2항은 집행위원회가 Regulation (EU) No 1025/2012 제10조에 따라 요건 전반을 다루는 표준화 요청을 발하도록 하고, 표준화 요청을 낼 때 표준이 명확하고 일관되어야 한다는 조건을 명시하도록 합니다. Regulation (EU) No 1025/2012 제10조 제1항은 그 요청이 유럽 표준화 기구를 향하며 정해진 기한이 붙는다고 정하고, 유럽 표준과 표준화 산출물이 시장 주도적이고 합의에 기반해야 한다고 적습니다. 여기서 실무가 읽어야 할 것은 절차의 이름이 아니라 위치입니다. 무엇을 어떻게 확인해야 하는지에 대한 구체적 문장은 의회의 심의가 아니라 표준화 기구의 작업에서 나옵니다. 그 작업에는 참여할 수 있는 자리가 있고, 참여하지 않은 사업자는 완성된 문장을 나중에 받아 읽는 쪽이 됩니다. 규제 대응을 법무의 일로만 배치해 온 조직이 이 구조에서 가장 늦게 도착합니다.
자발적 프레임워크는 강제되지 않은 채로 계약서에 들어간다
규범의 무게가 표준으로 내려가는 흐름은 유럽에만 있는 것이 아닙니다. NIST 는 AI Risk Management Framework 를 소개하면서 이 프레임워크가 자발적 사용을 위한 것이며, 신뢰성 고려를 인공지능 제품과 서비스, 시스템의 설계와 개발, 사용, 평가에 반영하는 능력을 개선하기 위한 것이라고 명시합니다. 240개가 넘는 기여 조직과 함께 공개적이고 투명한 방식 으로 만들어진 합의 자료라는 설명도 함께 붙습니다. 흥미로운 것은 이 '자발적' 이라는 성격입니다. 법이 강제하지 않는 문서인데도 실제 거래에서는 요구 사항의 언어로 등장합니다. 구매자가 계약서와 보안 질의서에 특정 프레임워크의 이름을 적어 넣는 순간, 그 문서는 강제력과 무관하게 사실상의 통과 조건이 됩니다. 같은 페이지는 AI RMF 1.0 이 개정 중이며 개정판이 진행 중이라고 안내하고 있는데, 이 사실 또한 실무적입니다. 계약서가 참조하는 문서가 움직이면 이미 체결된 계약의 의미도 함께 움직이기 때문입니다.
표준이 늦으면 규제기관이 직접 세부를 쓴다
표준화 경로에는 실패 모드가 있고, 규정은 그것을 예상해 두었습니다. Regulation (EU) 2024/1689 제41조 제1항은 집행위원회가 표준화 요청을 냈으나 어느 유럽 표준화 기구도 수락하지 않은 경우, 요청에 대응하는 조화된 표준이 기한 안에 제출되지 않은 경우, 관련 조화된 표준이 기본권 우려를 충분히 다루지 못하는 경우, 또는 표준이 요청에 부합하지 않는 경우에 이행법으로 공통 사양을 채택할 수 있다고 정합니다. 같은 조 제3항은 그 공통 사양이나 그 일부에 적합한 시스템에도 적합성 추정을 준다고 적습니다. 실무적으로 이것은 두 갈래의 시나리오를 뜻합니다. 표준화가 제때 이루어지면 세부는 산업의 합의로 쓰이고, 늦어지면 세부는 규제기관의 문서로 쓰입니다. 어느 쪽이 되든 사업자가 준비해야 할 것은 같습니다. 요구되는 확인 항목을 문서 형태로 산출할 수 있는 능력입니다. 다만 두 경로에서 문서의 어휘와 강조점은 달라질 수 있으므로, 특정 문서의 목차에 제품을 끼워 맞추는 방식은 두 시나리오 모두에서 취약합니다.
우리가 준비하는 것과 아직 갖지 못한 것
이 구조에서 법마디가 서 있는 자리를 과장 없이 적습니다. 우리가 갖춘 것은 답변이 인용한 법령과 조문을 국가법령정보센터의 원문과 대조해 확인하고, 확인되지 않은 인용은 통과시키지 않는 결정론적 절차입니다. 판정에 언어 모델을 쓰지 않는 것은 성능 판단이 아니라 기록의 문제였습니다. 판정하는 쪽이 확률적이면 같은 인용이 날마다 다르게 판정될 수 있고, 그러면 무엇을 근거로 통과시켰는지 문서로 남길 수 없기 때문입니다. 적합성 평가가 요구하는 것이 결국 '무엇을 어떻게 확인했는지의 기록' 이라면, 이 절차는 그 요구와 같은 방향을 봅니다. 동시에 아직 갖지 못한 것도 분명합니다. 어떤 조화된 표준이나 공통 사양도 우리는 아직 참조하고 있지 않고, 제3자가 우리 절차를 확인한 적도 없습니다. 지금 공개할 수 있는 것은 절차의 구조와 판정 기록뿐이며, 그것이 어떤 문서의 요구에 대응하는지는 그 문서가 나온 뒤에야 대조할 수 있는 일입니다. 준비란 여기서 인증을 미리 받는 것이 아니라, 요구가 왔을 때 재작성 없이 제출할 수 있는 형태로 기록을 남겨 두는 것입니다.
반론과 재반박
예상 반론 표준 이야기는 결국 유럽 시장에 파는 사업자의 문제다. 국내에서 국내 이용자에게 서비스하는 쪽이 아직 나오지도 않은 조화된 표준을 왜 지금 신경 써야 하는가. 게다가 표준화는 대기업과 기존 사업자가 주도하는 자리라 작은 사업자가 참여해 얻을 실익도 크지 않다.
재반박 시장 범위 지적은 타당하고, 이 글도 유럽 규정이 국내 사업자에게 직접 적용된다고 말하지 않습니다. 다만 실제로 먼저 도착하는 것은 법이 아니라 문서 양식입니다. 구매자가 쓰는 질의서와 계약서의 항목은 관할과 무관하게 앞서 만들어진 문서를 베껴 옵니다. NIST 의 프레임워크가 자발적 사용을 위한 것이라고 명시되어 있는데도 조달 언어로 쓰이는 것이 그 예입니다. 표준화 참여의 실익이 작다는 지적도 절반은 맞습니다. 그러나 이 글이 권하는 것은 표준을 만드는 자리에 들어가라는 것이 아니라, 어떤 문서가 오더라도 재작성 없이 제출할 수 있는 형태로 확인 기록을 남기라는 것입니다. 그 준비의 비용은 참여의 비용보다 훨씬 작고, 문서가 확정된 뒤에 시작하면 가장 비쌉니다.
법마디 OS가 그리는 미래
앞으로 인공지능 규율의 실무는 두 층으로 갈라져 진행될 것입니다. 위층에는 금지와 의무를 정하는 법이 있고, 아래층에는 그 의무를 무엇으로 확인하는지 적은 문서가 있습니다. 다툼과 준비가 실제로 일어나는 자리는 아래층입니다. 위층의 문장은 몇 년에 한 번 바뀌지만 아래층의 문서는 그보다 훨씬 자주 움직이고, 시장의 질문도 그 움직임을 따라갑니다. 지금까지 구매자가 물어 온 것은 이 제품이 얼마나 잘하느냐였습니다. 다음에 물을 것은 어떤 문서의 어떤 항목을 무엇으로 충족했다고 말할 수 있느냐, 그리고 그 말을 뒷받침하는 기록이 지금 존재하느냐입니다. 이 질문에 답하는 능력은 제품을 다 만든 뒤에 덧붙이기 어렵습니다. 확인이 일어나는 순간에 함께 기록되지 않은 것은 나중에 복원할 수 없기 때문입니다. 그래서 우리가 보는 준비는 인증을 앞당겨 받는 일이 아니라, 확인과 기록을 같은 동작으로 만들어 두는 일입니다. 문서가 확정되는 날 다시 시작하지 않아도 되는 쪽이 그 시점에서 가장 앞서 있습니다.
전략적 함의
- 기록의 형식을 특정 문서의 목차가 아니라 확인 행위 단위로 잡는다. 무엇을 무엇과 대조해 통과시켰는지가 남아 있으면 어떤 목차로도 재배열할 수 있지만, 목차에 맞춰 쓴 문서는 목차가 바뀌는 순간 다시 써야 한다.
- '스스로 확인할 수 있는 지위' 를 비용 항목이 아니라 제품 요건으로 다룬다. 적합성 평가 경로가 갈리는 자리에서 결정되는 것은 비용만이 아니라 출시 일정과 변경의 자유도다.
- 참조하는 외부 문서에 버전을 붙여 관리한다. 자발적 프레임워크도 개정되고, 계약서가 참조한 문서가 움직이면 이미 한 약속의 내용도 함께 움직인다.
"표준은 무엇이 좋은 제품인지 말하지 않습니다. 누가 그것을 판정하는지 말합니다."
