법이 없다고 의무가 사라지지는 않는다
2025년, 캐나다 의회는 수년간 공들여 준비한 인공지능 및 데이터법(Bill C-27)을 사실상 폐기했다. 연방 선거 일정에 밀려 법안이 자동 소멸된 것이다.
당시 캐나다 기술 업계 일각에서는 일부 보도에 따르면 안도하는 분위기가 감지되었다고 한다. '규제가 없으면 자유롭게 사업할 수 있다'는 논리였다. 그런데 과연 그 판단은 옳았을까.
지금 시점에서 돌아보면, 그 안도는 꽤 값비싼 착각에 가까웠다. 필자가 이 문제를 들여다보게 된 계기는 단순하다. 캐나다의 사례가 한국의 인공지능(AI) 기본법 논의와 기묘하게 겹쳐 보였기 때문이다.
한국 역시 포괄적인 AI 규제 입법을 놓고 속도 조절 논쟁이 계속되어 왔다. '규제가 혁신을 막는다'는 논리와 '법 없이는 책임도 없다'는 논리가 충돌하는 구도 역시 흡사하다. 그렇다면 캐나다가 현재 어떤 현실을 마주하고 있는지를 정밀하게 들여다보는 일은, 한국 기업과 정책 입안자 모두에게 실질적인 교훈이 될 수 있다.
핵심 결론부터 말한다. 포괄적인 연방 AI 규제법이 없다는 사실이 곧 AI 거버넌스(governance) 공백을 뜻하지는 않는다.
오히려 기존 법규와 부문별 규제, 그리고 지방 정부 차원의 지침이 기업의 AI 운영을 이미 촘촘하게 압박하고 있다. 법이 없다는 이유로 준비를 미루는 기업은 머지않아 복수의 법적 의무 위반이라는 예상치 못한 청구서를 받게 될 가능성이 크다.
Bill C-27이 무산된 이후에도 캐나다 기업들의 AI 시스템 운영에는 기존 연방 개인정보보호법(PIPEDA, Personal Information Protection and Electronic Documents Act)이 계속 적용되었다.
광고
PIPEDA는 AI 시스템이 개인 데이터를 수집하고 분석하는 방식에 직접 구속력을 갖는다. 동의 없는 개인정보 수집, 목적 외 활용, 부적절한 보안 조치 등은 AI 도구를 통한 처리라 해도 예외 없이 위반에 해당한다.
새로운 AI법이 없더라도, AI가 개인정보를 다루는 순간 PIPEDA의 적용 범위 안으로 들어오는 구조다. 이 점을 간과한 기업들이 규제 기관의 조사를 받은 사례가 캐나다 내에서 보고된 바 있으나, 구체적 기업명과 건수는 각 해당 기관의 공식 발표를 통해 확인해야 한다. 지방 차원의 움직임도 무시할 수 없다.
퀘벡(Quebec)주는 법률 25호(Law 25)를 통해 자동화된 의사결정(automated decision-making)의 투명성에 관한 구체적 요구사항을 기업에 부과했다. 퀘벡에서 사업을 영위하는 기업이라면 AI 기반 자동화 결정을 내릴 때 해당 사실을 이해관계자에게 고지해야 하며, 그 결정에 이의를 제기할 수 있는 절차도 마련해야 한다.
연방법이 아닌 주법이지만, 실제 사업 현장에서 기업이 받는 압박은 연방 규제와 다르지 않다. 한국으로 치면 개별 광역 지자체가 AI 공시 의무를 조례로 선제 도입한 것과 유사한 상황이다.
광고
금융 부문의 사례는 더욱 구체적이다. 캐나다 연방 금융감독기관인 OSFI(Office of the Superintendent of Financial Institutions)는 이미 지침 E-23을 통해 연방 규제 금융 기관에 AI 및 머신러닝(machine learning) 모델에 대한 엄격한 모델 위험 관리(model risk management) 요구사항을 예고했다. 이 요구사항은 2027년 5월부터 발효될 예정이다.
금융사들이 AI를 신용 평가, 사기 탐지, 포트폴리오 운용에 활용하는 사례가 급증하는 상황에서, 모델의 설명 가능성(explainability)과 편향성(bias) 검증, 지속적인 성과 모니터링이 법적 의무로 자리 잡게 된다. 2027년 5월이라는 시점은 언뜻 여유로워 보이지만, 내부 시스템과 거버넌스 체계를 정비하는 데는 상당한 준비 기간이 필요하다는 점을 감안하면 이미 착수했어야 할 시점이다.
부문별 규제가 먼저 기업을 압박한다
온타리오(Ontario)주의 행보도 주목할 만한 선례를 남겼다. 온타리오 정보 및 개인정보보호 위원회(IPC, Information and Privacy Commissioner)와 온타리오 인권위원회(OHRC, Ontario Human Rights Commission)는 2026년 1월 21일 공동 성명을 통해 AI 사용에 관한 6가지 원칙을 발표했다. 이 원칙들은 투명성(transparency), 공정성(fairness), 책임성(accountability), 인간 감독(human oversight)을 중심축으로 구성된다.
광고
법적 구속력을 갖는 규정은 아니지만, IPC와 OHRC 모두 조사 권한과 시정 권고 권한을 보유한 기관이다. 공동 원칙 발표는 향후 이 기관들이 AI 관련 민원을 처리할 때 어떤 기준을 적용할지를 사전에 시장에 알린 것으로 해석해야 한다. 기업 입장에서는 구속력 있는 규정은 아니지만, 실질적인 기준선으로 기능한다는 의미다.
이 대목에서 예상되는 반론이 있다. '결국 포괄적인 AI법이 없는 상황에서 기업에게 지나친 의무를 부과하는 것은 혁신을 억제하는 일이다'라는 주장이다. 규제 불확실성이 크면 투자 위축으로 이어진다는 논리도 덧붙여진다.
이 반론은 완전히 틀리지는 않는다. 규제 환경의 예측 가능성은 기업의 장기 투자 결정에 실제로 영향을 미친다. 그러나 이 주장은 결정적인 전제를 빠뜨리고 있다.
규제 공백이 곧 법적 진공 상태를 뜻하지는 않는다는 점이다. 캐나다의 현실이 보여주듯, PIPEDA·퀘벡 법률 25호·OSFI 지침 E-23은 포괄적 AI법 없이도 기업의 AI 운영에 이미 광범위한 의무를 부과하고 있다. AI 거버넌스 프레임워크를 구축하지 않은 기업이 '아직 법이 없으니 괜찮다'고 판단했다가 기존 법규 위반으로 제재를 받는 아이러니한 상황이 실제로 발생할 수 있다.
광고
오히려 자발적으로 거버넌스 체계를 먼저 갖추는 기업이 규제 리스크를 최소화하면서 고객과 이해관계자의 신뢰를 확보하는 경쟁 우위를 누릴 수 있다. 한국의 상황으로 시선을 돌려보면, 시사점은 더욱 선명해진다. 한국은 인공지능(AI) 기본법 논의를 지속해왔으며, 2026년 현재 관련 입법 체계가 정비되는 과정에 있다.
캐나다의 사례는 포괄적 AI법의 유무와 별개로, 현행 개인정보보호법·금융소비자보호법·의료법 등 기존 법규가 AI 시스템 운영에 이미 적용된다는 점을 상기시킨다. 국내 기업들이 'AI 규제법이 아직 정비되지 않았으니 준비할 시간이 있다'고 판단한다면, 그것은 캐나다 기업들이 Bill C-27 무산 직후 보였던 안도와 정확히 같은 착각이다. AI가 개인 신용정보를 분석하거나, 채용 결정에 영향을 미치거나, 의료 진단을 보조하는 순간, 이미 복수의 기존 법규가 작동하기 시작한다.
필자는 이 칼럼에서 AI 규제 강화 자체를 무조건 옹호하려는 것이 아니다. 다만 '규제가 없으면 책임도 없다'는 논리는 현실에서 성립하지 않는다는 점을 캐나다의 구체적 사례를 통해 확인하고자 했다. 기업이 지금 당장 해야 할 일은 포괄적 AI법의 제정을 기다리는 것이 아니라, 현행 법규의 AI 적용 범위를 정확히 파악하고 내부 거버넌스 체계를 갖추는 것이다.
투명성과 책임성을 갖춘 AI 운영 체계는 규제 대응을 위한 비용이 아니라, 장기적으로 기업의 신뢰 자산이 된다.
광고
당신의 회사는 AI 거버넌스 프레임워크가 없는 상태에서, 기존 법규의 어느 조항에 이미 노출되어 있는지 정확히 파악하고 있는가. Q.
캐나다의 인공지능 및 데이터법(Bill C-27)은 왜 무산되었나.
한국 기업이 캐나다에서 배울 수 있는 것
A. Bill C-27은 2025년 캐나다 연방 선거 일정에 밀려 의회 심의를 마치지 못하고 자동 소멸되었다.
연방 선거가 실시되면 미완성 법안은 폐기되는 의회 관례에 따른 결과로, 캐나다는 현재까지 포괄적인 연방 차원의 AI 규제법을 보유하지 않은 상태다. Q. 한국 기업이 캐나다 AI 거버넌스 사례에서 얻을 수 있는 교훈은 무엇인가.
A. 포괄적인 AI 전용 법규가 없더라도 개인정보보호법, 금융 규제, 의료법 등 기존 법체계가 AI 시스템 운영에 곧바로 적용된다.
따라서 전용 AI법 제정 여부와 무관하게, 기업은 현행 법규의 AI 적용 범위를 우선 점검하고 내부 거버넌스 프레임워크를 선제적으로 구축해야 한다. Q. OSFI 지침 E-23이 적용되는 기업은 어떤 준비가 필요한가.
A. 2027년 5월 발효 예정인 OSFI 지침 E-23은 캐나다 연방 규제 금융 기관에 AI 및 머신러닝 모델의 위험 관리 체계 수립을 요구한다. 모델의 설명 가능성 확보, 편향성 검증, 지속적인 성과 모니터링 체계가 핵심 요소이며, 시스템 정비에는 상당한 준비 기간이 소요되는 만큼 2026년 현재 이미 준비에 착수해야 하는 시점이다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}