포괄적 정책 체계: 태국의 AI 거버넌스

인공지능(AI)의 급속한 발전과 변화하는 글로벌 디지털 트렌드에 대응하여, 태국은 AI 생태계 조성을 목표로 하는 포괄적인 국가 정책 체계를 구축하기 위해 상당한 노력을 기울여 왔다.

이 정책 체계는 2027년을 목표로 단계적으로 시행되며, 태국의 경제 경쟁력을 강화하고 국민의 삶의 질을 향상시키기 위해 AI 기술의 책임 있는 개발 및 활용을 촉진하는 것을 목적으로 한다.

이러한 국가 AI 정책을 추진하는 과정에서 규제 당국은 태국 최초의 통합 AI 법률 초안을 포함하여 적용 가능한 법적 체계를 개발하고 정비하기 위한 노력을 시작했다.

이와 같은 포괄적 법률의 제정 및 시행 이전까지는, 각 산업별 규제기관이 금융기관, 은행, 보험회사, 증권 및 파생상품 사업자, 디지털 자산 서비스 제공자 등 각 관할 분야의 규제 대상 기업에 적용되는 지침을 선제적으로 발표해 왔다.

한편, 개인정보보호위원회(PDPC)와 국가사이버보안청(NCSA)과 같은 범분야 규제기관도 그 관할 범위 내의 모든 사업자에게 적용되는 지침을 제정·공표했다.

통합 AI 법률이 아직 제정되지 않았음에도 불구하고, 태국 내 다양한 산업에서의 AI 설계, 개발 및 활용은 여전히 기존의 산업별 법률에 따라 규율되고 있다.

국가 AI 정책

태국 내각은 2022년 7월 「태국 국가 AI 전략 및 실행계획(2022-2027)」을 승인했으며, 2027년까지 AI 개발 및 활용 생태계 구축을 목표로 하고 있다.

이 전략은 다음의 다섯 가지 축을 중심으로 구성된다:

1. 1. AI를 위한 사회적, 윤리적, 법적 및 규제적 준비성 확보;
   2. 국가 인프라 구축;
   3. 인적 역량 강화 및 AI 교육 확대;
   4. AI 기술 및 혁신 촉진;
   5. 공공 및 민간 부문에서의 AI 도입 확대.

또한 상기 국가 AI 위원회는 국가 디지털 경제 및 사회 위원회(NDESC) 산하에 2022년 8월 설치됐으며, 총리가 위원장을 맡고 있다.

포괄적 입법

국가 AI 전략에 따라 태국 정부는 AI 도입을 규율하고 촉진하기 위한 포괄적인 AI 입법을 추진해 왔다. 초기 입법 초안은 두 개의 법률로 구성된다.

첫째, 디지털경제사회부(MDES) 산하 국가디지털경제사회위원회 사무국(ONDE)이 발의한 인공지능 시스템을 사용하는 사업 운영에 관한 왕령 초안은 EU AI 법을 모델로 한 위험 기반 접근 방식을 채택하고 있다.

둘째, 전자거래개발청(ETDA)이 발의한 AI 혁신 촉진 및 지원에 관한 법률 초안은 규제 샌드박스, 데이터 공유, 표준 및 위험 평가에 관한 규정을 통해 AI 생태계 구축에 중점을 둔다. 두 초안 모두 2022년부터 2023년 사이에 공청회 목적으로 공개됐다.

ETDA는 EU 규제 체계를 모델로 한 기존 초안이 태국의 변화하는 법적·기술적 환경을 반영하기 위해 업데이트가 필요하다는 점을 인정했다. 이에 따라 2025년 6월 MDES는 ETDA를 통해 인공지능 관련 법률의 원칙(초안)을 공청회에 부쳤다.

해당 AI 원칙 초안은 다음의 다섯 가지 핵심 영역을 중심으로 구성된다:

1. 1. 위험 기반 요건. 1차 입법에서 금지되거나 고위험 AI 범주를 직접 규정하기보다는, 해당 권한을 중앙 집행기관과 분야별 규제기관에 위임하고 있다. 이는 각 기관이 해당 분야의 위험을 가장 적절하게 평가할 수 있다는 판단에 따른 것이다. 고위험 AI 제공자는 국제 기준(예: ISO/IEC 42001:2023)에 부합하는 위험 관리 체계를 구축하고, 해외 사업자인 경우 태국 내 대리인을 지정하며, 중대한 사고를 보고해야 한다. 또한 고위험 AI를 사용하는 사업자는 인간의 감독을 보장하고, 운영 기록을 유지하며, 입력 데이터의 품질을 확보하고, 권리가 영향을 받을 수 있는 개인에게 이를 통지해야 한다.
   2. 혁신 지원. 해당 원칙은 온라인 데이터에 대한 텍스트 및 데이터 마이닝에 대한 예외와, 통제된 환경에서 AI를 시험할 수 있는 규제 샌드박스를 제안하고 있다. 선의로 활동하는 샌드박스 참여자는 제재로부터의 면책 혜택을 받을 수 있으나, 손해에 대한 민사 책임은 여전히 적용된다.
   3. 일반 원칙. 이 체계는 AI가 생성한 행위는 인간에게 귀속되어야 한다는 점을 확인하고, AI가 관여한 계약이나 행정 결정의 법적 효력을 부정하는 것을 금지하며, 예측 불가능한 AI 오류로부터의 보호를 규정한다. 또한 개인은 AI 사용 여부에 대한 통지, AI 기반 의사결정에 대한 설명, 해당 결정에 대한 이의 제기 권리를 가질 수 있으나, 이러한 권리는 고위험 AI 상황에 한정될 수 있다.
   4. 규제기관. 새로운 규제기관을 설립하지 않고, ETDA 산하 기존 AI 거버넌스 센터가 연구, 지침 제공, 샌드박스 지원 및 국제 협력을 포함한 이행을 총괄하도록 한다.
   5. 법적 집행. 집행기관 및 분야별 규제기관은 금지되거나 규정을 준수하지 않는 AI 서비스에 대해 중지 명령을 내릴 권한을 가진다. 집행 수단에는 디지털 플랫폼에 대한 서비스 삭제 또는 차단 명령, 금지된 AI가 포함된 제품의 압수, 그리고 태국 내 인터넷 서비스 제공자에 대한 접속 차단 지시를 위해 MDES와 협력하는 조치가 포함된다.

해당 AI 원칙 초안은 공청회 이후 수정된 뒤 AI 법률 초안으로 전환되어 추가 공청회를 거친 후 입법 절차에 들어갈 예정이다.

현행 적용 법률

실효적인 AI 법률이 부재한 상황에서, 기존 법률은 AI 생애주기 전반 –설계, 시험, 배포 및 모니터링 단계에 걸쳐– 에 걸쳐 적용된다.

주요 사례는 다음과 같다:

1. 1. 책임. 민법 및 상법에 따른 일반 불법행위 원칙에 따라 AI로 인한 손해에 대해 민사 책임이 부과될 수 있다.
   2. 데이터 거버넌스. AI 시스템에서의 개인정보 수집, 이용, 공개 및 해외 이전은 개인정보보호법의 적용을 받는다. 웹 스크래핑을 포함한 컴퓨터 데이터 수집은 컴퓨터범죄법(CCA)을 위반할 수 있다. 중요 정보 인프라 조직의 경우 사이버보안법이 적용되어 국가 차원의 보안 조치를 요구한다.
   3. 콘텐츠 규제 및 투명성. CCA, 소비자보호법, 형법 및 아동보호법은 유해, 허위, 명예훼손 또는 음란한 AI 생성 콘텐츠를 규제한다. 또한 DPS 법령은 특정 플랫폼에 대해 알고리즘 기반 순위 및 의사결정 기준의 공개를 요구한다.

상기 사례들 외에도, 저작권법, 상표법, 성평등법, 장애인 권리증진법, 경쟁법 및 태국 헌법은 쟁점의 성격에 따라 적용될 수 있다.

부문별 규제 체계

AI 관련 법률이 아직 제정되지 않았음에도 불구하고, 여러 규제기관은 규제 대상 사업자를 위해 선제적으로 지침을 발표해 왔다. 일부 지침은 법적 구속력이 없을 수 있으나, 규제기관은 기존 규정 준수를 촉진하기 위해 해당 지침의 이행을 기대하고 있다.

주요 부문별 AI 지침은 다음과 같다:

1. 1. 은행 및 금융 서비스. 태국 중앙은행은 2025년 9월 인공지능 리스크 관리 가이드라인을 발표했다. 이는 금융기관 및 지급결제 서비스 제공자를 대상으로 하며, AI 생애주기 관리, 위험 평가, 데이터 거버넌스, 사이버보안, 투명성 및 인간 감독을 포함한다.
   2. 자본시장. 태국 증권거래위원회는 증권, 파생상품 및 디지털 자산 사업자에 적용되는 AI 및 머신러닝 거버넌스 체계를 제정했다. 이는 공정성, 법적·윤리적 준수, 책임성 및 투명성이라는 네 가지 핵심 원칙을 제시하며, 위험 관리, 문서화 및 생애주기 모니터링에 관한 지침을 포함한다.
   3. 보험. 보험감독위원회는 2025년 보험회사를 대상으로 AI 거버넌스 지침을 발표했으며, 특히 인수심사 및 보험금 지급과 같은 고위험 프로세스에서의 AI 활용에 대해 위험 관리, 보안, 투명성, 공정성 및 소비자 보호를 다루고 있다.
   4. 데이터 보호. 2026년 2월 개인정보보호위원회는 AI 개발 및 활용에서의 개인정보 보호 가이드라인 초안을 발표했다. 해당 지침은 이해관계자의 역할을 규정하고, 데이터 처리 계약에 모델 학습 금지 조항을 포함하도록 요구하며, 고위험 AI에 대해 개인정보 영향평가를 의무화하고, AI 생애주기 전반에 걸친 보안 조치를 규정한다.
   5. 사이버보안. 국가사이버보안청은 2025년 9월 AI 보안 가이드라인을 발표하여, ISO/IEC 42001:2023 및 미국 국립표준기술연구소의 AI 리스크 관리 프레임워크에 부합하는 사이버 위협 대응 방안을 제시했다.

결론 및 전망

태국은 AI 관련 법률을 아직 제정하지는 않았지만, 포괄적인 AI 거버넌스 체계를 구축하기 위한 상당한 진전을 이뤘다. AI 원칙 초안이 최종 확정되어 제정될 경우, 기본적인 규제 구조를 제공할 것으로 기대된다.

한편, 부문별 규제기관들은 금융 서비스, 자본시장, 보험, 데이터 보호 및 사이버보안 분야를 포괄하는 지침을 선제적으로 마련해 왔다.

태국에서 AI를 도입·운영하는 기업은 입법 동향을 면밀히 모니터링하고 기존 법률에 대한 준수 여부를 점검하는 한편, 거버넌스, 리스크 관리 및 투명성 체계를 기존 지침에 맞춰 정비함으로써 향후 도입될 규제 체계에 대비할 필요가 있다.

Tilleke & Gibbins
Supalai Grand Tower, 26th Floor
1011 Rama 3 Road, Chongnonsi
Yannawa, Bangkok 10120
전화: +66 2056 5555
이메일: bangkok@tilleke.com
www.tilleke.com