EU보다 먼저 AI 거버넌스 구축에 앞장서고 있는 아시아 국가들

AI 규제의 무게중심이 유럽에서 아시아로 이동하고 있다. 구속력 없는 가이드라인에 머물던 아시아 AI 거버넌스가 2026년 초 단 한 분기 만에 법적 구속력을 갖춘 규제 체계로 변모했다. 이 전환을 주도한 것은 EU도 미국도 아닌, 베트남과 싱가포르였다.

모두가 유럽을 바라볼 때, 아시아가 먼저 움직였다

2026년 1월 22일, 스위스 다보스의 세계경제포럼 무대에 싱가포르 정보통신미디어개발청(IMDA) 대표로 조세핀 테오 장관이 올랐다. 세계 최초의 에이전틱 AI 거버넌스 프레임워크를 발표하는 자리였다. 테오 장관은 에이전틱 AI가 “결제를 처리하고, 데이터베이스를 수정하며, 인간의 승인 없이 스스로 행동하는” 단계에 진입했다고 선언하며, 바로 그 순간을 위한 설계도를 세계에 내밀었다.

같은 날 한국에서는 AI기본법이 발효됐다. EU 다음으로 세계에서 두 번째로 포괄적인 AI법이 아시아에서 탄생한 순간이었다. 두 달 뒤인 3월 1일에는 베트남이 동남아시아 최초의 구속력 있는 AI법을 공식 시행했다.

모두가 EU AI Act가 세계 AI 규제의 기준을 쓸 것이라 믿었다. 그런데 먼저 움직인 쪽은 아시아였다.

베트남이 규제를 선택한 이유 — 디지털 주권의 논리

베트남 국가의회는 2025년 12월 10일, 유례없이 하루에 34개의 법률을 동시에 통과시켰다. 그중 하나가 AI법(제134/2025/QH15호)이었다. 434명의 의원 중 429명이 찬성했다. 8개 장, 35개 조항으로 구성된 이 법은 동남아시아 최초의 포괄적 AI 법제로 2026년 3월 1일 발효됐다.

법의 뼈대는 3단계 위험 분류 체계다. 금융·의료·교육·사법·국가 인프라에 투입되는 고위험 AI는 출시 전에 정부 심사를 받고 등록해야 한다. 위반하면 연매출 최대 2%의 벌금이 부과되거나 시스템이 즉각 정지된다. 국내 기업과 외국 기업에 동일하게 적용된다. AI 에이전트를 사용할 때는 반드시 비인간임을 고지해야 하고, AI가 생성한 이미지·영상·음성에는 기계판독 가능한 워터마크가 의무화됐다.

표면적으로는 EU AI Act를 참조한 구조다. 하지만 베트남의 계산은 달랐다. 컨설팅업체 BCG는 AI가 2040년까지 베트남 GDP에 최대 1,200억 달러를 기여할 것으로 전망한다. EU-베트남 자유무역협정의 신뢰 파트너로서 위상을 강화해야 한다는 대외 압박도 있었다. 베트남에게 AI 규제는 혁신의 장벽이 아니라 디지털 주권의 도구였다.

단, 한 가지 현실도 짚어야 한다. 베트남 AI법은 발효됐지만, 법의 세부 집행을 규율하는 시행령은 아직 확정되지 않았다. 고위험 AI 분류의 구체적 기준, 담당 정부 기관의 심사 절차는 시행령이 나와야 답이 나온다. 규제 선점의 선언과 실질적 집행 사이에는 아직 메워야 할 거리가 있다.

싱가포르의 전략 — 에이전틱 AI를 먼저 길들이다

싱가포르가 다보스에서 내민 에이전틱 AI 거버넌스 프레임워크는 단순한 선언이 아니었다. 세계 어떤 나라도 이 분야의 공식 설계도를 내놓지 못한 상태에서, IMDA(정보통신미디어개발청)는 구체적인 작동 원리를 제시했다.

에이전틱 AI란 무엇인가. 생성 AI가 텍스트를 출력한다면, 에이전틱 AI는 계획을 세우고 행동한다. 고객 데이터베이스를 수정하고, 결제를 처리하고, 스케줄을 조율하고, 다른 AI에게 지시를 내린다. 모두 인간이 개입하지 않은 채로 일어나는 일이다. 이 자율성은 생산성을 높이는 동시에, 잘못된 결정이 나왔을 때 책임 소재를 불분명하게 만든다. 싱가포르는 바로 이 간극을 먼저 포착했다.

프레임워크는 네 가지 축으로 설계됐다. 첫째는 사전 위험 평가다. 에이전트를 배포하기 전에 권한 범위를 명확히 정의하고, 접근 가능한 데이터와 시스템의 경계를 설정한다. 둘째는 인간 책임 명확화다. 에이전트가 중요한 행동을 하기 전에 반드시 인간의 승인을 받는 체크포인트를 미리 설계한다. 셋째는 기술 통제로, 접근 가능한 서비스 화이트리스트 관리와 기본 테스트 기준 적용이 핵심이다. 넷째는 사용자 책임 활성화다. 에이전트의 작동 방식을 최종 사용자에게 투명하게 공개하고 교육하도록 의무화한다.

이 프레임워크에서 가장 주목할 혁신이 에이전트 신원증(Agent Identity Cards)이다. 싱가포르는 에이전트를 자율성 수준에 따라 다섯 단계로 분류한다. L0(도구 보조)에서 L4(완전 자율)까지다. 각 에이전트에는 표준화된 신원 정보가 부여된다. 누가 만들었고, 어떤 권한을 갖고 있으며, 무엇을 할 수 있고 없는지를 담는다. 에이전트와 상호작용하는 사람은 그 신원증을 확인할 수 있어야 한다는 것이 핵심 원칙이다.

또 하나의 혁신은 책임 분리 구조다. 에이전틱 AI 시스템을 개발하는 운영자(operator)와 이를 실제 환경에 배포하는 배포자(deployer)의 책임을 나눠 정의한다. 사고가 났을 때 누가 어느 범위까지 책임지는지를 미리 규정하는 방식이다. 종전에는 AI 관련 사고의 책임이 개발자에게 있는지 사용자에게 있는지 불분명한 경우가 많았다. 싱가포르는 이 모호함을 설계 단계에서 제거하려 한다.

이 프레임워크는 자발적 지침이라 법적 구속력은 없다. 그러나 Deloitte 조사 결과가 이 가이드라인의 힘을 설명해 준다. 싱가포르에서 에이전틱 AI 배포 계획을 가진 기업은 72%에 달한다. 하지만 성숙한 거버넌스 체계를 이미 갖춘 기업은 14%뿐이다. 준비와 계획 사이의 간격이 이렇게 크다면, 공신력 있는 표준 프레임워크의 영향력은 자연스럽게 커진다.

싱가포르 정부는 이 프레임워크를 살아있는 문서(living document)로 선언했다. 2026년 5월에는 다중 에이전트 시스템 간 상호작용, 제3자 에이전트 위험, 자동화 편향 대응 지침이 추가됐다. 자동화 편향이란 에이전트가 과거에 잘 작동했다는 이유로 인간이 에이전트를 과도하게 신뢰하는 경향을 말한다. 싱가포르는 현장의 문제를 계속 흡수하며 이 프레임워크를 발전시키고 있다.

GDPR이 세계를 바꿨듯, 이번엔 아시아에서 시작된다

2018년 유럽 일반개인정보보호법(GDPR)이 발효됐을 때, EU 밖의 많은 기업도 자발적으로 따랐다. 이미 유럽 기준에 맞춰 시스템을 구축한 기업에게는 지역별로 다른 기준을 유지하는 것이 비용 면에서 불리했기 때문이다. GDPR 발효 후 6개국이 유사 법률을 채택했고, 조사 기업의 58%가 EU 비적용 지역에서도 GDPR 기준을 자발적으로 적용했다. 이를 브뤼셀 효과라 부른다.

AI 규제에서도 같은 패턴이 시작되고 있다. 다만 이번엔 브뤼셀이 아닌 아시아에서다.

태국은 EU AI Act와 유사한 리스크 기반 접근법을 담은 AI 왕령(Royal Decree)을 검토하고 있다. 인도네시아는 기존 법률에 AI를 적용하는 방식에서 소프트 AI법 방향으로 전환하고 있다. 전문가들은 필리핀도 1824개월 내에 유사 입법을 도입할 것으로 내다본다. ASEAN 10개국 전체에서 AI는 2030년까지 GDP를 1318% 끌어올릴 것으로 전망된다. 그 규모는 약 1조 달러다.인도네시아의 직장 내 AI 주간 활용률은 세계 1위인 92%이고, 베트남은 88%, 필리핀은 86%다. 이미 세계 최고 수준의 AI 도입 지역에서 거버넌스 공백을 방치할 수 없다는 정치적 압박이 법제화를 서두르게 만들고 있다.️ 한국이 반응하지 않으면, 표준은 남이 쓴다

한국은 2026년 1월 22일 AI기본법을 발효시키며 아시아 AI 규제 동시다발의 일원이 됐다. 그러나 동남아 거버넌스 경쟁은 아직 한국의 정책 시야 바깥에 있다.

두 가지 지점이 특히 주목된다. 베트남의 4년 단계별 이행 모델은 법의 속도와 산업의 준비 속도를 조율하는 현실적 접근을 보여준다. 싱가포르의 경로, 곧 자발적 프레임워크 선행과 산업 표준화 압박을 거쳐 사실상의 규범을 형성하는 방식도 참고할 만하다. 에이전틱 AI의 인간 책임 원칙을 법제화하는 시점을 놓치면, 표준을 쓰는 나라가 아닌 따라가는 나라가 된다.

싱가포르는 2030년까지 공공 AI 연구에 약 10억 싱가포르달러를 투자하고 총리 직속 국가AI위원회를 출범시켰다. 거버넌스와 투자를 동시에 설계하는 패키지 전략이다. 한국도 이 조합을 고려할 시점이다.

동남아 진출 기업의 컴플라이언스 지도가 달라졌다

베트남에서 AI 서비스를 운영하는 기업은 컴플라이언스 시한을 확인해야 한다. 의료·금융·교육 분야 고위험 AI는 2027년 9월까지, 기타 부문은 2027년 3월까지 정부 심사 등록 절차를 완료해야 한다.

전략적 메시지도 있다. EU AI Act 기준으로 시스템을 설계한 기업은 베트남·한국·싱가포르 규제를 동시에 충족할 가능성이 높다. 법무법인 CMS Law는 EU AI Act 준수 시스템이 대부분의 아시아 규제도 충족할 가능성이 높다고 분석한다. 한 번 맞추면 대부분 통과라는 논리가 AI 규제에도 적용되기 시작했다.

다만 베트남 법의 시행령 미확정, AI 에이전트 비인간 고지 요건, 기계판독 워터마크의 구체적 기술 사양은 시행령이 확정되는 즉시 다시 점검해야 한다.

AI 거버넌스의 중심이 이동 중이다

2026년 초, 베트남과 싱가포르는 각자의 방식으로 같은 질문에 답했다. AI를 어떻게 다스릴 것인가.

베트남은 법으로 답했다. 구속력 있는 3단계 위험 분류, 수익 기반 벌금, 단계별 이행 로드맵이다. 싱가포르는 설계도로 답했다. 세계 최초의 에이전틱 AI 거버넌스, 에이전트 신원증, 5단계 자율성 분류 체계다. 두 접근법은 달라 보이지만 같은 방향을 가리킨다. 인간이 AI의 행동에 책임진다는 원칙이다.

이 두 사례가 아시아에 보내는 신호는 명확하다. 규제 선점이 디지털 주권의 핵심이 됐다는 것이다. GDPR이 브뤼셀에서 탄생해 세계를 바꾼 것처럼, 아시아 AI 거버넌스 표준이 방콕과 자카르타, 마닐라로 퍼져나가는 과정은 이미 시작됐다.

남은 질문은 하나다. 한국은 이 흐름 안에 있는가, 아니면 흐름을 바라보고만 있는가.

생각해볼 질문

당신이 베트남이나 싱가포르에서 AI 기반 서비스를 운영하는 창업자라면, 가장 먼저 무엇을 확인하겠는가. 내가 만드는 AI가 고위험으로 분류될 수 있는지, 그리고 그에 맞는 사전 심사 절차를 어떻게 준비해야 하는지 — 이 두 가지는 사업 기획 단계에서 답이 나와야 하는 질문이다.

에이전틱 AI, 즉 스스로 계획하고 행동하는 AI를 이미 업무에 쓰고 있다면, 그 AI가 잘못된 결정을 내렸을 때 책임이 누구에게 있는지 생각해본 적 있는가. 싱가포르의 프레임워크는 AI가 한 일인데 나는 왜 책임지는가가 아니라 AI를 배포하기로 결정한 조직이 결과에 책임진다는 원칙을 설계 단계부터 못 박는다. 이 원칙이 한국 기업에도 적용되는 날이 멀지 않을 수 있다.

한국 기업이 동남아시아 디지털 서비스 시장에 진출할 때, AI 규제를 사업 계획 어느 단계에서 검토하는가. EU AI Act만 보다가 베트남·싱가포르 규제를 뒤늦게 발견하는 상황은 이미 시작되고 있다. 규제 지도를 사업 계획 초기에 그리는 습관이 필요한 시점이다.

주목해야 할 것들

베트남 시행령 확정이 규제의 실질적 형태를 결정한다

베트남 AI법은 발효됐지만 세부 집행 시행령은 미확정 상태다. 고위험 AI의 구체적 분류 기준, 사전 심사 절차, 담당 정부 기관이 시행령을 통해 결정된다. 2026년 하반기 중 예상되는 시행령 확정 시점이 실질적인 컴플라이언스 의무의 출발점이 될 것이다.

⚖️ 자발적 프레임워크가 사실상 표준이 되는 경로를 주시해야 한다

싱가포르 에이전틱 AI 거버넌스 프레임워크는 구속력이 없다. 그러나 GDPR이 브뤼셀 효과를 만든 것처럼, 이 프레임워크가 금융·의료 등 규제 업종에서 감독당국의 기대 기준이 되면 사실상 준강제 규범이 된다. 싱가포르 금융청(MAS)이 에이전틱 AI 프레임워크를 금융기관 AI 감독 기준에 반영하는지를 주목할 필요가 있다.

ASEAN 규제 수렴 속도가 시장 진입 비용을 결정한다

태국·인도네시아·필리핀이 베트남·싱가포르 모델을 따르느냐, 독자 모델을 택하느냐에 따라 ASEAN AI 시장의 컴플라이언스 복잡도가 달라진다. 단일 기준이 형성되면 진입 비용이 낮아지고, 각국 규제가 분산되면 국가별 멀티 컴플라이언스 전략이 필요해진다. 향후 18~24개월이 이 수렴 여부를 판단할 핵심 관찰 구간이다.

에이전틱 AI 책임 규범과 기존 민사법의 충돌 가능성

싱가포르의 운영자-배포자 책임 분리 개념은 기존 법체계가 경험하지 못한 새로운 책임 구도다. AI 에이전트가 자율 행동으로 피해를 일으켰을 때, 현행 민사법·소비자보호법과 충돌하는지가 쟁점이 될 가능성이 있다. 이 법적 공백을 어떤 나라가 먼저 정리하느냐가 향후 글로벌 에이전틱 AI 거버넌스의 방향을 결정할 것이다.