2026년 10월 7일자 이탈리아 입법령 제179호는 10월 23일에 발효됐으며, 전문은 10월 8일자 관보(Gazzetta Ufficiale) 제234호에 게재됐다. 총 54개 조문으로 이뤄진 이 법령은 EU 인공지능법을 이탈리아 국내 집행 차원으로 옮긴 것이다. 누가 감독하고, 위반하면 과징금이 얼마이며, 고용주가 AI로 사람을 관리할 때 지켜야 할 경계가 무엇인지에 대해 국내 대응 규칙이 마련됐다. 적용 범위부터 분명히 하자. 이 법령은 이탈리아 안에서만 효력을 가지며 EU 공통 규칙이 아니다. EU 차원의 유사 의무가 적용되는 시점은 훨씬 뒤다.
먼저 담당 기관을 확인하라
제4조는 이탈리아 디지털청(AgID)을 적합성 평가 기관을 평가·지정·통보·감독하는 통보 기관으로 정한다. 제5조는 국가사이버보안청(ACN)을 AI 시스템의 시장 감시 기관으로 정하고, 제6조는 ACN을 EU와의 단일 연락 창구로 삼으며 부속서 III 제2호에 열거된 고위험 시스템의 국내 등록도 맡긴다. 은행, 금융 중개, 보험 분야의 고위험 용도는 각자의 권한 범위 안에서 이탈리아 은행, CONSOB, IVASS가 각각 감독한다. 데이터 보호 당국이 시장 감시 역할을 맡는 것은 EU법 제74조 제8항이 정한 범위 안에 한한다. 법령은 부처 간 조정 위원회와 기관 간 협정도 두고 있다. 입장이 엇갈릴 때는 'EU 요구'라는 막연한 말이 아니라 담당 기관의 해석이 기준이 된다.
고용주가 먼저 고쳐야 할 두 가지
제41조는 인사 결정을 직접 규율한다. 고용주가 AI 시스템을 이용해 결정을 보조할 때, 징계 조치와 성과 평가를 포함한 근로관계의 성립·변경·종료에 관한 최종 결정은 자동 처리만으로 내려서는 안 된다. 최종 결정은 실효적이고 자율적인 결정권을 행사하는 자연인에게 맡겨야 한다. 근로자의 동의도 예외가 되지 않는다. 다만 후보자를 찾고 선별하는 일은 최종 결정에 해당하지 않으며, 시스템이 후보자를 다음 단계에서 탈락시켰더라도 마찬가지다. 처리를 시작하기 전에 고용주는 1997년 입법령 제152호 제1-bis조의 정보 제공 의무를 이행해야 하고, 근로자는 자연인을 통해 AI의 영향과 주요 매개변수에 대해 이해할 수 있는 설명을 받을 권리가 있다. 이 규칙을 위반해 이뤄진 해고는 무효이며, 위반해 이뤄진 다른 결정도 무효다.
제42조는 안전 평가를 규율한다. 업무 조직, 생산 속도, 업무 수행 방식 또는 안전 관련 의사결정 과정에 영향을 미치는 AI 시스템의 이용은 2008년 입법령 제81호 제28조의 위험 평가 문서(DVR) 안에서 함께 평가해야 하며, 고용주는 구체적인 위험과 예방·보호 조치에 대해 근로자에게 정보를 제공하고 교육도 해야 한다. 경계는 이렇다. 제42조는 모든 AI 도구를 독립적인 위험으로 취급하지 않으며, 위에서 말한 영향을 미치는 시스템만을 대상으로 한다.
과징금은 네 단계, 고용주의 부담은 과징금만이 아니다
제23조는 과징금 상한을 네 단계로 정한다(형사 범죄에 해당하는 경우 제외). EU법 제5조의 금지 행위는 3,500만 유로 또는 전 세계 연간 매출의 7% 중 높은 쪽, 제공자·수입자·유통자·배포자의 의무는 1,500만 유로 또는 3%, 통보 기관이나 감독 기관에 부정확·불완전하거나 오해를 불러일으키는 정보를 제공한 경우는 750만 유로 또는 1%, 제27조와 제86조의 의무는 100만 유로 또는 0.5%다. 과징금은 AgID와 각 시장 감시 기관이 각자의 권한 범위 안에서 부과한다. 고용주는 또 다른 선에도 주의해야 한다. 제41조의 결과는 결정의 무효이며, 나중에 사람의 서명을 보탠다고 해서 이미 무효가 된 해고를 되살릴 수는 없다.
두 가지 더, 움직이기 전에 확인하라
제26조는 국가 AI 감독 기관의 직접 감독 아래 이탈리아 AI 규제 샌드박스를 둔다. 기업이 통제된 환경에서 실험하고 감독 기관이 실험에서 배우기 위한 장치로, 중소기업과 스타트업이 특히 지목됐다. 다만 샌드박스의 운영 규칙은 향후 합동 문서를 기다리는 단계라 오늘 당장 실험 창구에 들어갈 수는 없다. 제52조는 조건을 충족하는 학습 데이터, 알고리즘, 수학적 방법을 영업비밀 보호 범위 안에 넣는다. 교육 장(章)에는 시간표도 있다. 교사 연수 기준은 발효 후 90일 이내에 장관령으로 정해야 한다. 발효는 출발점일 뿐이다. 샌드박스 세부 규칙, 등록 절차, 교사 연수 기준이 나오기 전에 결정 기록, 정보 제공 절차, DVR 업데이트를 제대로 갖춰 두는 것이 세부 규칙을 기다리는 것보다 중요하다.
