ISO 42001은 어느 나라의 법도 아니지만, 고객들은 이미 그러한 것처럼 요구한다

문제점

어떤 국가도 ISO/IEC 42001을 법적으로 의무화하지 않았습니다. 브라질이든 유럽 연합(EU)이든 마찬가지입니다. 그럼에도 불구하고 "이것이 필수인가요?"라는 질문은 이사회 회의에서 점점 더 자주 등장하고 있습니다. 저는 거의 20년 동안 SOX, ITIL, LGPD와 같은 시스템에 대한 감사를 수행해 왔으며, 새로운 규격과 함께 동일한 패턴을 반복적으로 목격합니다. 즉, 서류상으로는 자율적이지만, 실제로는 법률 제정자가 아닌 고객들이 요구한다는 것입니다.
이러한 세 가지 다른 압력의 출처를 혼합하면 두 가지 잘못된 결정으로 이어집니다. 하나는 "아직 법이 아니니" 이 문제를 무시하거나, 다른 하나는 존재하지 않는 법적 의무를 해결한다고 착각하며 서둘러 인증을 받는 것입니다.

ISO 42001 유무와 관계없이 이미 필수적인 것들

LGPD(개인정보 보호법)는 시행된 이후 제20조에서 자동화된 결정에 대해 다루고 있습니다. 신용, 계약 또는 가격을 효과적인 검토 없이 결정하는 모든 시스템은 ISO 여부와 관계없이 이 범위에 속합니다. 의회에서 승인한 원문 초안에는 명시적인 인간 검토가 필요하다고 되어 있었으나, 최종 버전에서는 이 단어가 빠졌지만, 결과를 변경할 수 있는 검토의 요구사항 자체는 계속 유효합니다. 이 의무는 새로운 AI 법률을 기다릴 필요 없이 2020년부터 지속되어 왔습니다.
LGPD 외에 제가 가장 흔하게 접하는 시나리오는 ISO 42001이 계약 조항으로 변모하는 것입니다. 실사(due diligence), 입찰 또는 갱신 과정에서 데이터 및 AI 모델 관리의 증거를 요구받는 경우입니다. 외부 감사 기관(Big Four 등)은 AI 유무와 관계없이 접근 제어, 로그 기록, 결정 추적 가능성 등에 대해 질문합니다.

인증이 다루는 것과 그렇지 않은 것

여기에 사람들이 가장 많이 틀리는 부분이 있습니다. 심지어 인증을 법적 방패처럼 판매하는 컨설팅업계에서도 그렇습니다. EU AI Act는 제40조에서, 유럽 연합 관보(Jornal Oficial da União Europeia)에 게재된 조화 표준(normas harmonizadas)을 준수하는 고위험 시스템은 해당 규정(regulamento)을 준수한 것으로 추정된다고 명시합니다. 이 추정은 표준의 기술적 품질에서 나오는 것이 아니라, 유럽 위원회(Comissão Europeia)가 통제하는 공식 인용 절차(procedimento formal de citação)에서 나옵니다.

ISO/IEC 42001은 이러한 절차를 거치지 않았고 관보에 게재되어 있지 않습니다. AI Act 제17조를 위해 특별히 설계된 표준은 ISO 42001이 아니라 EN 18286입니다. 이들은 다른 대상입니다: ISO 42001은 조직 관리 시스템(sistema de gestão organizacional)을 인증하는 것이고, AI Act는 고위험 AI 시스템 각각을 제품처럼 개별적으로 규제합니다.

그렇다고 해서 인증이 쓸모없다는 의미는 아닙니다. 준비 작업의 상당 부분은 동일합니다: 정책 수립, 인벤토리 작성, 위험 평가, 내부 감사. 다만, 법률적으로 볼 때, 조화 표준이 게재되지 않는 한 AI Act 준수에 대한 추정(presunção)은 존재하지 않습니다.

그렇다면 브라질의 PL 2338은 어떨까요? 상원(Senado)은 이 법안을 2024년 12월에 승인하여 하원(Câmara)으로 보냈습니다. 그 이후로 이 프로젝트는 보고관(relator)의 의견서를 기다리며 특별 위원회에 멈춰 있으며, 표결은 2026년 10월 선거 이후로 미뤄졌습니다. 하원은 이미 원안에 30개 이상의 부속 제안을 통합했으며, 이러한 수정안의 양은 종종 마지막까지 세부 사항을 변경시킵니다. 확실하게 말할 수 있는 것은 전반적인 구조입니다. 유럽의 설계와 유사한 위험 기반 규제이며, 의무적인 표준 목록이 아닙니다.

세계적인 AI 사례 하나 보기

제가 진행했던 감사 중 하나는 광산 회사에서 SOX(사베인스-옥슬리 법)에 따른 IT 통제 감사를 수행한 것이었고, 이는 Ernst & Young으로부터 이견 없이 승인을 받았습니다. 이것이 ISO 42001 사례는 아니었습니다. 당시에는 그 범위로 존재하는 표준 자체가 없었으니까요. 하지만 지금 제가 AI 거버넌스에서 보는 압박 메커니즘은 같습니다. 외부 감사자는 당신에게 인증서가 있는지 묻지 않고, 문서화되고 테스트 가능하며 책임자가 지정된 통제가 있는지를 묻습니다.

법적 의무가 없어도 인증할 가치가 있을 때

저는 일반적인 규칙으로 삼기보다는 세 가지 구체적인 상황에서 인증을 고려합니다. 첫째, 고객이 입찰이나 B2B 계약에서 공식적이든 비공식적이든 요청하는 경우입니다. 둘째, 회사가 유럽 시장에 AI 기반 제품을 판매하여 관리 성숙도를 보여줘야 하는 경우입니다. 셋째, 이사회나 법무팀이 이미 충분히 불안해져서 어떤 형태의 공식적인 증거를 요구하는 경우입니다.

위 세 가지 상황을 벗어나면 가장 저렴한 방법이 먼저 나옵니다. 즉, 사용 중인 AI 시스템 목록화와 이사회가 서명한 짧은 정책 문서입니다. 하지만 이 방식은 세네 개의 대형 고객이 동시에 공식적인 증거를 요구할 때 실패합니다. 이때는 문서를 한 번 정리하는 비용이 각 실사를 수동으로 대응하는 것보다 적기 때문입니다.

결론

'필수적인가?'라는 질문에 대한 정답은 누가 요구하느냐에 달려 있으며, 단순한 예/아니오로 답할 수 없습니다. 고객, 감사자, 그리고 투자자는 법적 의무가 없더라도 이미 요구하고 있습니다. 브라질 입법자는 아직 아무것도 결정하지 않았고, 유럽 입법자는 결정했지만 컨설팅 업계의 상당 부분이 판매하는 방식과는 다릅니다.

본 텍스트는 제가 https://iso42001.com.br/artigos/iso-42001-e-obrigatoria/에 게시한 더 긴 분석 글의 요약본입니다.