EU 인공지능법의 이탈리아 국내 이행 법령이 2026년 9월 30일 정식으로 발효됐다. EU 'AI법'의 회원국 이행 가운데 처음으로 '이빨'을 가진 사례 중 하나다. 경찰의 AI 사용을 규제할 뿐만 아니라 '고위험 AI의 안전조치 미비'를 처음으로 형법에 명문화했다.
이 법령의 정식 명칭은 길다. 2026년 9월 9일자 입법법령 제160호. 9월 15일 관보 제214호에 게재됐고 9월 30일 발효됐다. 그 역할은 EU AI법(2024/1689호 규칙) 중 회원국에 맡겨진 부분을 이탈리아 국내법으로 옮기는 것이다. 핵심 규제는 세 가지다.
첫째, 경찰의 AI 사용에 규칙이 생긴다
법령 제1편은 경찰기관의 AI 시스템 사용을 전문적으로 규율한다. EU AI법 및 이탈리아 2025년 제132호 법률과 일치해야 하며 비례성, 비차별, 인간의 감독, 투명성이라는 4대 원칙을 지켜야 한다. 가장 논란이 큰 안면인식과 원격 생체인식도 규제 범위 안에 들어간다. 이탈리아 경찰의 기존 S.A.R.I. 자동 영상식별 시스템(얼굴 대조로 지문 데이터베이스를 검색해 용의자를 특정)은 지목되어 관리 대상이 됐다. 기존 시스템에는 1년의 유예기간이 있다. 발효일로부터 12개월 안에 경찰은 사용 중인 시스템을 규정에 맞게 고쳐야 한다.
둘째, 새로운 죄목: 고위험 AI의 안전사고는 실형 가능
법령은 이탈리아 형법전에 제437-bis조를 신설했다. 죄명은 '인공지능 시스템에 대한 안전조치 미채택 및 시스템의 불법 변조'다. 두 종류의 행위가 범죄가 된다. 하나는 고위험 AI 시스템에 대해 정해진 기술적 안전조치나 인간 감독 조치를 취하지 않아 생명 또는 신체 안전에 구체적 위험을 초래한 경우, 다른 하나는 고위험 AI 시스템을 불법으로 변조한 경우다. 바꿔 말하면 AI 안전은 '모범 관행'에서 '법적 의무'로 바뀌었고, 사고가 나도 더 이상 배상만으로 끝나지 않는다.
셋째, 기업 책임 확대: 231호 법령의 컴플라이언스 목록이 길어진다
법령은 동시에 이탈리아 2001년 제231호 입법법령, 즉 이탈리아의 '기업 행정책임' 제도도 개정해 AI 시스템 안전 관련 신죄를 기업 책임을 묻는 사유 목록에 추가했다. 이탈리아에서 사업하는 기업은 AI 시스템의 기술적 적합성뿐 아니라 조직 차원의 안전 대책, 인간 감독 메커니즘, 문서 기록, 내부 컴플라이언스 모델(Modello 231)이 따라가고 있는지도 살펴봐야 한다. 이탈리아의 여러 로펌은 이미 고객에게 경고하고 있다. 이건 IT 부서의 일이 아니라 이사회의 일이라고.
'모델 규제'에서 '책임 귀속'으로: AI 거버넌스의 초점이 바뀐다
이 법령의 신호로서의 의미는 조문 자체를 앞선다. 지난 2년 세계 AI 규제의 초점은 줄곧 '모델이 얼마나 강력한가'에 있었다. 연산 자원 문턱, 평가 보고서, 레드티밍. 대서양 양쪽 모두 조이고 있다. 미국에서는 FTC가 Anthropic, OpenAI 등 프론티어 연구소에 대한 전면 조사에 착수한 지 얼마 안 됐고, 이탈리아는 한 걸음 더 나아가 AI 안전을 직접 형법에 썼다. 경찰이 안면인식을 쓰려면 권한과 기한이 필요하고, 기업이 고위험 AI를 쓰려면 안전조치와 인간의 감독이 필요하다. 못하면 형사책임을 진다.
중국 기업에게도 현실적인 의미가 있다. 이탈리아는 EU AI법 이행의 '선두조'이며, 그 시행 세칙은 다른 회원국의 본보기가 될 가능성이 높다. 유럽에서 사업하며 고위험 AI 시스템(산업 품질검사, 채용 심사, 생체인식 등)을 쓰는 기업은 지금 당장 점검을 시작해야 한다. 안전조치 문서는 갖춰져 있는지, 인간 감독 사슬은 끊어지지 않았는지, 컴플라이언스 모델은 업데이트됐는지. EU의 AI 거버넌스는 종이 위에서 벌금과 법정으로 걸어가고 있다.
