대한민국 인공지능 윤리원칙 확정, 3대 가치·7대 원칙 완벽 정리

Table of Contents

안녕하세요! 성징어의 IT 잉크사이트(IT Ink-Sight) 성징어입니다.

지난 8월 24일, 과학기술정보통신부와 정보통신정책연구원(KISDI)이 문서 하나를 공개했습니다. 제12회 과학기술관계장관회의에서 심의·의결을 거쳐 8월 21일 자로 확정된 ‘대한민국 인공지능 윤리원칙’입니다. 같은 회의에서 자율주행 AI 로드맵과 딥테크 창업 활성화 전략도 함께 통과됐는데, 언론 헤드라인은 대체로 자율주행 쪽으로 쏠렸습니다. 그런데 저는 세 안건 중 이 문서가 앞으로 실무에 가장 오래 남을 거라고 봅니다. 자율주행 로드맵은 특정 산업의 일정표지만, 대한민국 인공지능 윤리원칙은 AI를 만들고 쓰는 모든 영역에 걸쳐 적용되는 상위 기준이기 때문입니다.

2020년에 나온 ‘인공지능(AI) 윤리기준’ 이후 6년 만의 전면 개편입니다. 그 사이에 생성형 AI가 대중화됐고, 에이전틱 AI와 피지컬 AI라는 말이 일상어가 됐고, 무엇보다 인공지능기본법이 시행됐습니다. 6년 전 기준으로는 담아낼 수 없는 상황이 너무 많이 쌓인 겁니다.

6년 만에 윤리 기준을 다시 쓴 이유

2020년 기준이 나왔을 때만 해도 AI는 대부분 사람의 판단을 보조하는 도구였습니다. 추천 알고리즘이 영화를 골라주고, 챗봇이 자주 묻는 질문에 답하는 수준이었죠. 그때 만든 기준으로 지금의 상황을 재단하기는 어렵습니다.

지금은 AI가 스스로 계획을 세우고, 외부 도구를 호출하고, 결재까지 올립니다. 로봇 팔에 붙어 물리 세계에서 움직이기도 하고요. 판단 주체가 사람에서 시스템으로 조금씩 넘어가는 중인데, 넘어간 만큼의 책임을 누가 지는지에 대한 합의는 아직 얇습니다. 대한민국 인공지능 윤리원칙이 다시 쓰인 근본적인 이유가 바로 이 격차입니다.

여기에 제도적 사정도 겹칩니다. 인공지능기본법 제27조가 정부에 윤리원칙 마련 의무를 부여하고 있거든요. 2020년 기준은 법적 근거 없이 정부가 자체적으로 만든 선언에 가까웠지만, 이번 대한민국 인공지능 윤리원칙은 법 조문에 근거를 둔 문서입니다. 구속력 있는 규제는 아니지만, 근거 법령이 있다는 사실만으로도 문서의 무게가 달라집니다.

확정까지 9개월, 의견 153건이 오간 과정

제정 작업은 2025년 12월부터 시작됐습니다. 과기정통부와 KISDI가 작업반과 자문단을 꾸려 초안을 만들었고, 2026년 5월 29일에 1차 초안을 공개했습니다. 이후 산업계, 시민사회, 학계, 관계부처, 일반 국민으로부터 총 153건의 의견을 받았고, 8월 14일 서울 프레지던트호텔에서 대토론회를 연 뒤 최종안을 다듬었습니다. 그리고 8월 21일 제12회 과학기술관계장관회의에서 의결됐습니다.

숫자만 보면 평범한 행정 절차 같지만, 8월 14일 대토론회 발언록을 보면 결이 좀 다릅니다. 김경훈 카카오 AI Safety 리더는 “윤리적 권고와 법적 의무가 혼동되지 않아야 한다”며 자율규범이 규제로 작동해서는 안 된다는 점을 짚었습니다. 김현주 한국인공지능·소프트웨어산업협회 본부장은 “에이전트형·피지컬 AI 등 신기술과 입법 사이의 시차를 윤리가 보완해야 한다”고 했고요. 산업계는 규제화를 경계했고, 학계는 윤리가 입법 공백을 메워야 한다고 봤습니다. 방향이 정반대는 아니지만 강조점이 확실히 달랐습니다.

이상욱 한양대 교수(AI사회정책포럼 위원장)의 정리가 인상적이었습니다. “AI 윤리원칙이 혁신을 제약하는 요소가 아니라 바람직한 AI 개발·활용을 돕고 이를 실제로 가능하게 하는 역할을 해야 한다”는 겁니다. 최종 확정된 대한민국 인공지능 윤리원칙은 대체로 이 방향을 따라갔습니다.

3대 가치: 존엄성, 공공선, 지속가능성

문서의 뼈대는 3대 가치와 7대 원칙입니다. 먼저 가치부터 보겠습니다.

인간의 존엄성은 모든 사람이 수단이 아닌 목적 그 자체로 존중받으며 존엄과 인권을 온전히 누리는 상태를 말합니다. 칸트식 표현이 그대로 들어가 있는데, 이게 추상적으로만 들리지는 않습니다. AI 채용 심사에서 지원자가 점수로만 환산되는 상황, 노동 감시 시스템이 직원을 데이터 포인트로 취급하는 상황을 떠올려보면 무슨 얘기인지 감이 옵니다.

사회의 공공선은 AI의 편익이 개인의 삶을 넘어 사회적 신뢰와 공동의 이익으로 이어져야 한다는 지향입니다. 특정 기업이나 계층만 이익을 가져가는 구조를 경계하는 문구로 읽힙니다.

인류의 지속가능성은 그 편익을 현재와 미래 세대가 함께 누리고, 환경과 사회의 기반이 유지돼야 한다는 뜻입니다. AI 데이터센터의 전력 소비 문제가 국가적 의제가 된 시점이라 이 항목이 형식적으로만 들리지는 않습니다.

세 가치를 개인·사회·인류라는 세 층위로 배치한 구성인데, 일본의 AI 가이드라인이 인간 존엄성·포용성·지속가능성을 내세운 것과 상당히 닮았습니다. 국제적으로 통용되는 프레임을 크게 벗어나지 않으려 한 선택으로 보입니다.

인간의 존엄성, 사회의 공공선, 인류의 지속가능성 3대 가치를 형상화한 세 개의 기둥

7대 원칙을 하나씩 뜯어보면

7대 원칙은 인간중심성, 프라이버시 보호, 공정성·포용성, 책임성, 안전성, 신뢰성, 투명성입니다. 나열만 보면 어디서 본 듯한 목록이지만, 각각이 담고 있는 문제의식은 꽤 구체적입니다.

인간중심성은 AI가 사람의 판단을 대체하는 지점에서 최종 결정권이 어디에 있어야 하는지를 다룹니다. 프라이버시 보호는 학습 데이터 수집부터 서비스 운영까지 전 주기에 걸친 개인정보 처리 문제고요. 공정성·포용성은 학습 데이터 편향과 접근 격차를 함께 겨냥합니다.

안전성은 오작동과 악용 가능성을, 신뢰성은 결과의 일관성과 견고성을, 투명성은 AI가 개입했다는 사실과 판단 근거의 공개를 다룹니다. 그리고 나머지 하나가 이번에 새로 들어온 책임성인데, 이 항목은 따로 볼 필요가 있습니다.

특히 눈여겨볼 부분은 원칙마다 공급자·이용자·정부와 사회로 나눠 주체별 역할을 따로 적어뒀다는 점입니다. 이게 문서의 실용성을 크게 끌어올립니다. “투명성을 확보하라”는 문장만 있으면 각자 자기 편한 대로 해석하기 마련인데, 주체별로 무엇을 해야 하는지가 갈라져 있으면 최소한 논의의 출발점이 생기거든요.

왜 하필 ‘책임성’이 새로 들어갔나

2020년 기준은 6개 원칙 체계였습니다. 여기에 책임성이 추가되면서 7대 원칙이 됐습니다. 항목 하나 늘어난 게 뭐 그리 대단하냐 싶을 수 있지만, 저는 이번 개정에서 가장 실무적인 변화가 이 지점이라고 봅니다.

AI 에이전트는 여러 단계를 자동으로 처리합니다. 정보를 찾고, 판단하고, 외부 시스템을 호출하고, 결과를 산출하는 과정이 사람의 개입 없이 이어지죠. 그러다 문제가 생기면 어디서부터 잘못됐는지 가려내기가 어렵습니다. 학습 데이터가 부실했던 건지, 사용자의 지시가 모호했던 건지, 운영기관의 권한 설정이 느슨했던 건지 층층이 얽혀 있으니까요.

책임 소재가 불분명하면 어떤 일이 벌어지느냐. 도입 자체가 위축됩니다. 담당자 입장에서 사고가 나면 자기가 뒤집어쓸 것 같은 시스템을 굳이 도입할 이유가 없죠. 대한민국 인공지능 윤리원칙에 책임성이 별도 원칙으로 올라온 건, 이 문제를 방치하면 규제가 아니라 활용 자체가 막힌다는 판단이 깔린 결과로 읽힙니다.

과기정통부는 앞으로 사례 중심 해설서와 분야별 자율점검표를 마련해 배포할 계획이라고 밝혔습니다. 실무에서 진짜 필요한 건 원칙 목록이 아니라 이 자율점검표입니다. “우리 서비스가 책임성 원칙을 지키고 있나”를 판단할 체크리스트가 있어야 회의에서 근거를 대고 얘기할 수 있으니까요.

만든 사람만 책임지는 게 아니다

이번 문서에서 가장 논쟁적인 지점은 이용자를 책임 주체로 명시한 부분입니다. 그동안 AI 윤리 논의는 대체로 개발사와 서비스 제공자를 향해 있었습니다. 만든 쪽이 안전하게 만들고, 쓰는 쪽은 보호받는 구도였죠.

대한민국 인공지능 윤리원칙은 이 구도를 바꿨습니다. AI를 활용하는 사람도 책임 있는 활용의 주체로 보고, 이용자의 윤리와 역할을 함께 제시했습니다.

이 변화를 두고 “책임을 사용자에게 떠넘기는 것 아니냐”는 반론이 나올 수 있습니다. 실제로 힘의 비대칭은 분명히 존재하고요. 대형 언어모델을 만든 기업과 그걸 갖다 쓰는 개인 사이의 정보 격차는 어마어마합니다. 다만 반대 방향의 사례도 쌓이고 있습니다. 딥페이크 제작, 시험 부정행위, 타인 정보 무단 입력처럼 도구 자체는 중립인데 쓰는 사람이 문제를 만드는 경우가 적지 않죠. 만든 쪽만 규율해서는 이런 상황을 못 막습니다.

균형을 어떻게 잡을지가 결국 해설서에서 판가름 날 겁니다. 이용자 책임을 어느 선까지 요구하는지, 그 전제로 공급자가 어떤 정보를 제공해야 하는지가 함께 적히지 않으면 반쪽짜리 원칙이 되기 쉽습니다.

국제사회를 향한 문장이 들어간 배경

세 번째 특징은 국제 메시지입니다. AI 역량과 자원을 많이 가진 국가와 기업이 그 영향력에 걸맞은 책임을 다해야 하고, AI의 혜택이 특정 국가·지역·집단에 치우쳐서는 안 된다는 내용이 담겼습니다.

한 나라의 윤리 문서에 이런 문장이 들어간 건 조금 이례적입니다. 보통 국내 규범은 국내 주체를 향하니까요. 이 문장은 사실상 미국 빅테크와 중국 대형 모델 진영을 동시에 겨냥한 것으로 읽힙니다. 국내 AI 서비스 상당수가 해외 모델 API 위에 올라가 있는 구조에서, 모델을 쥔 쪽의 정책 변경 하나에 국내 사업자가 통째로 흔들리는 일이 반복되고 있거든요.

물론 자율규범에 담긴 문장이 해외 기업의 행동을 바꿀 리는 없습니다. 다만 국제 논의 테이블에서 한국의 입장을 표명할 근거로는 쓸 수 있습니다. OECD가 2019년 AI 권고를 채택하고, 유네스코가 2021년 193개 회원국 만장일치로 141개 항목의 인공지능 윤리 권고를 만든 흐름 속에서, 한국도 자기 목소리를 문서화해둔 셈입니다.

자율규범인데 왜 신경 써야 하나

여기서 자주 나오는 질문. 법도 아닌데 굳이 챙겨야 하냐는 겁니다.

대한민국 인공지능 윤리원칙은 벌칙 조항이 없는 자율규범이 맞습니다. 어겼다고 과태료가 나오지는 않습니다. 그런데 이 문서가 인공지능기본법 제27조에 근거해 제정됐고, 사회 전 영역에 적용돼 각 분야 윤리기준과 지침의 토대가 된다는 점을 함께 봐야 합니다. 앞으로 나올 분야별 가이드라인, 부처별 지침, 공공기관 내부 규정이 모두 이 문서를 참조점으로 삼는다는 뜻이거든요.

특히 공공 조달에서 그렇습니다. 발주기관이 제안요청서에 “AI 윤리 준수 방안을 제시하라”고 적어놓으면, 그 판단 기준은 결국 정부가 확정한 대한민국 인공지능 윤리원칙이 됩니다. 평가위원 입장에서도 근거로 삼기 편한 문서니까요. 이런 문서는 법적 구속력이 아니라 실무 관행을 통해 힘을 얻습니다.

한 가지 더. 인공지능기본법상 고영향 AI로 분류되는 서비스라면 신뢰성 확보 조치가 법적 의무입니다. 그때 “우리는 어떤 기준에 따라 신뢰성을 확보했나”를 설명해야 하는데, 정부가 확정한 윤리원칙을 준거로 제시하는 것만큼 안전한 답변이 없습니다.

법과 윤리원칙, 헷갈리기 쉬운 경계

실무에서 자주 뒤섞이는 두 가지를 정리하고 넘어가겠습니다. 인공지능기본법과 윤리원칙은 층위가 다릅니다.

인공지능기본법은 특정 요건에 해당하는 사업자에게 구체적 의무를 지웁니다. 고영향 AI로 분류되면 위험관리방안 수립, 설명 가능성 확보, 사람에 의한 관리·감독 같은 조치를 해야 하고, 생성형 AI는 결과물이 AI 산출물이라는 사실을 이용자가 알 수 있게 해야 합니다. 학습 연산량이 일정 수준을 넘는 고성능 모델은 안전성 확보 결과를 정부에 제출해야 하고요. 지키지 않으면 제재가 따릅니다.

반면 윤리원칙은 대상을 특정하지 않습니다. 고영향이든 아니든, 사업자든 개인이든 모두에게 적용되는 공통의 판단 기준입니다. 대신 제재는 없습니다. 법이 ‘반드시 해야 할 최소한’을 정한다면, 윤리원칙은 ‘어떤 방향으로 판단할지’를 제시하는 나침반에 가깝습니다.

이 구분이 중요한 이유는 실무에서 종종 뒤집혀 적용되기 때문입니다. 윤리원칙을 법적 의무처럼 받아들여 과도하게 몸을 사리는 경우가 있고, 반대로 자율규범이라는 이유로 법적 의무까지 뭉뚱그려 무시하는 경우도 있습니다. 8월 14일 대토론회에서 산업계가 “윤리적 권고와 법적 의무가 혼동되지 않아야 한다”고 강조한 것도 같은 맥락입니다.

7대 원칙 중 실제로 지키기 어려운 것

원칙 목록을 보면 다 맞는 말 같지만, 현장에서 난이도는 제각각입니다.

가장 손이 많이 가는 건 투명성입니다. AI가 개입했다는 사실을 표시하는 건 어렵지 않습니다. 문제는 판단 근거를 설명하는 쪽이죠. 대형 언어모델 기반 서비스에서 “왜 이런 답이 나왔는지”를 사후에 재구성하려면 프롬프트, 참조 문서, 모델 버전, 파라미터까지 통째로 로깅해야 합니다. 저장 비용도 만만찮고, 그 로그 자체가 개인정보를 품고 있는 경우가 많아 프라이버시 보호 원칙과 정면으로 부딪히기도 합니다.

공정성·포용성도 까다롭습니다. 학습 데이터의 편향을 확인하려면 어떤 데이터가 들어갔는지 알아야 하는데, 외부 모델을 API로 가져다 쓰는 구조에서는 그 내부를 들여다볼 방법이 없습니다. 결국 출력물을 사후 검증하는 방식에 의존하게 되는데, 이건 편향을 없애는 게 아니라 눈에 띄는 사례만 걸러내는 수준에 그치기 쉽습니다.

반대로 상대적으로 착수하기 수월한 건 인간중심성입니다. 최종 판단 단계에 사람의 승인 절차를 끼워 넣는 건 설계 문제라 마음먹으면 바로 반영할 수 있습니다. 물론 승인이 형식적 클릭에 그치면 의미가 없다는 게 함정이지만요.

해외 기준과 비교하면 어디쯤인가

각국의 접근 방식은 꽤 갈립니다. 유럽연합은 AI법 안에 윤리 규정을 포함시켜 법적 강제 규정으로 운영합니다. 일본은 인간 존엄성·포용성·지속가능성이라는 가치와 안전·공정성·프라이버시·보안 등 10대 원칙을 담은 가이드라인을 제정해 적용 중이고요. OECD는 포용적 성장, 인권·법치 존중, 투명성·설명가능성, 안전성·견고성, 책임성을 담은 권고를 채택했습니다.

한국의 선택은 일본 쪽에 가깝습니다. 법으로 강제하는 대신 자율규범으로 두되, 상위법인 인공지능기본법이 고영향 AI와 생성형 AI에 대해서는 별도의 법적 의무를 지우는 이중 구조입니다. 규제 강도로 보면 EU와 미국 사이 어딘가에 자리를 잡은 셈입니다.

이 선택이 옳았는지는 몇 년 뒤에나 판가름 날 겁니다. 자율규범이 실제로 작동하려면 사회적 압력이 뒷받침돼야 하는데, 그 압력이 충분히 형성될지가 관건이죠. 반대로 EU식 강제 규정은 예측 가능성은 높지만 기술 변화 속도를 못 따라간다는 지적을 계속 받고 있고요.

EU, 일본, OECD와 한국의 AI 윤리 규범을 비교한 세계 지도 인포그래픽

공공 정보화 현장에서 어떻게 쓰나

공공 정보화 사업을 다루는 입장에서 이 문서가 실제로 어디에 쓰일지 짚어보겠습니다.

첫째, 제안서의 근거 문서로 씁니다. AI를 도입하는 ISP나 ISMP 과업이라면 ‘사업의 이해’나 ‘추진전략’ 절에서 상위 정책으로 인용할 자료가 하나 늘었습니다. “인공지능기본법 제27조 및 2026년 8월 확정된 대한민국 인공지능 윤리원칙의 7대 원칙을 준수하여” 같은 문장이 근거 없는 수사가 아니게 된 거죠.

둘째, 요구사항 도출의 체크리스트로 씁니다. 7대 원칙을 요구사항정의서 항목으로 매핑해두면 빠뜨리기 쉬운 비기능 요구사항이 정리됩니다. 투명성 원칙은 AI 개입 사실 표시와 판단 근거 로깅으로, 책임성 원칙은 오작동 시 인간 개입 절차와 이력 추적 체계로, 프라이버시 보호 원칙은 데이터 접근 권한 최소화 설계로 각각 옮겨 적을 수 있습니다.

셋째, 감리와 검수 단계의 판단 기준으로 씁니다. 산출물에 AI 윤리 관련 내용이 형식적으로만 들어갔는지, 실제 설계에 반영됐는지를 따질 때 원칙별 주체 역할 기술이 유용합니다.

다만 지금 단계에서 과하게 앞서갈 필요는 없다고 봅니다. 해설서와 자율점검표가 나오기 전까지는 원칙 수준의 인용에 머무는 게 현실적입니다. 세부 기준이 확정되기 전에 자체 해석으로 요구사항을 못 박아뒀다가, 나중에 공식 기준과 어긋나면 되레 손이 더 갑니다.

민간 기업이라면 무엇부터 손댈까

공공 조달과 무관한 민간 서비스라면 이 문서를 어떻게 대해야 할까요. 당장 뭘 바꾸라는 압박은 없습니다. 다만 순서를 정해둘 필요는 있다고 봅니다.

먼저 우리 서비스가 인공지능기본법상 고영향 AI에 해당하는지부터 확인하는 게 순서입니다. 해당한다면 윤리원칙 이전에 법적 의무부터 챙겨야 하니까요. 채용, 대출 심사, 의료 진단, 교육 평가처럼 사람의 기회나 안전을 좌우하는 영역이면 자체 판단으로 넘기지 말고 과기정통부에 확인을 요청하는 편이 안전합니다.

고영향이 아니라면 우선순위는 달라집니다. 이 경우 투명성과 책임성 두 항목만 먼저 손봐도 상당 부분이 정리됩니다. AI가 개입한 결과물에 그 사실을 표시하고, 사용자가 이의를 제기했을 때 확인할 최소한의 로그를 남기는 정도입니다. 나머지 원칙은 해설서와 자율점검표가 나온 뒤에 맞춰가도 늦지 않습니다.

한 가지 덧붙이면, 이런 준비는 규제 대응만이 목적은 아닙니다. B2B 계약에서 상대 기업이 AI 거버넌스 문서를 요구하는 사례가 늘고 있고, 해외 진출 시에는 EU AI법 대응이 별도로 필요해집니다. 국내 윤리원칙에 맞춰 정리해둔 자료가 그 출발점 역할을 할 수 있습니다.

앞으로 지켜볼 세 가지

이 문서가 실제로 힘을 가지려면 몇 가지 관문이 남아 있습니다.

첫째는 해설서와 자율점검표의 구체성입니다. 원칙을 나열하는 데서 그치고 “각 기관이 상황에 맞게 판단하라”는 수준으로 나오면, 현장에서는 결국 아무도 안 보는 문서가 됩니다. 분야별로 어디까지 내려가는지가 관건입니다.

둘째는 부처 간 정합성입니다. 개인정보보호위원회, 행정안전부, 금융위원회가 각자 AI 관련 지침을 내놓고 있는데, 이 지침들이 대한민국 인공지능 윤리원칙과 어긋나면 현장 혼선만 커집니다. 특히 프라이버시 보호 원칙은 개인정보보호법 개정 사항과 직접 맞물리는 영역이라 조율이 필요합니다.

셋째는 국제 확산 의지가 실제 행동으로 이어지는지입니다. 문서에 국제 메시지를 담았으니, 다자 협의체에서 이 내용을 어떻게 들고 나가는지 지켜볼 만합니다. 선언에 그치면 국내용 문구로 남고, 실제 논의에 반영되면 의미가 달라집니다.

여기에 하나 더 붙이자면 개정 주기입니다. 2020년 기준을 손보는 데 6년이 걸렸는데, 그사이 기술은 몇 번이나 세대를 바꿨습니다. 정부가 “지속적으로 점검·보완하겠다”고 밝히긴 했지만, 그 점검이 몇 년에 한 번인지, 어떤 절차로 이뤄지는지는 아직 정해지지 않았습니다. 기술 변화 속도를 감안하면 이번에도 6년을 기다릴 수는 없을 겁니다. 개정 주기를 제도화하는 것 자체가 다음 과제로 보입니다.

배경훈 부총리는 “AI 혁신을 가속화하는 것과 안전하고 신뢰할 수 있는 AI 환경을 조성하는 것은 서로 대립하는 과제가 아니다”라고 말했습니다. 맞는 말이지만, 대립하지 않는다는 걸 증명하는 건 결국 후속 조치의 몫입니다.

마무리하며

문서 한 권이 나왔다고 내일부터 뭔가 극적으로 달라지지는 않을 겁니다. 자율규범이라 강제력도 없고요. 다만 6년 만에 기준을 다시 쓰면서 책임성을 새로 넣고 이용자까지 주체로 끌어들였다는 사실은, 우리 사회가 AI를 바라보는 시선이 그만큼 이동했다는 신호로 읽힙니다. 도구를 잘 만드는 문제에서, 그 도구를 함께 잘 쓰는 문제로 무게중심이 옮겨간 거죠.

대한민국 인공지능 윤리원칙 전문은 과기정통부 누리집(정책·통계 > 정책정보 > 정보통신)과 과기정통부·KISDI의 인공지능 윤리 소통채널(ai.kisdi.re.kr)에서 확인할 수 있습니다. 관심 있으시면 원문을 한 번 훑어보시길 권합니다. 요약 기사만 보는 것과 원문의 문장을 직접 읽는 건 체감이 꽤 다릅니다.

여러분이 계신 조직에서는 AI 서비스를 도입할 때 윤리 기준을 어느 단계에서부터 챙기고 계신가요. 7대 원칙 중에 실제로 지키기 가장 까다로울 것 같은 항목이 무엇인지, 의견 있으시면 댓글로 나눠주세요.