함께 읽기: English | 中文 | Tiếng Việt

베트남의 AI 법은 이제 단순한 규제 뉴스가 아닙니다. 이 법이 보여주는 핵심은 분명합니다. AI는 이제 사이버보안과 리스크 관리의 중심 주제라는 점입니다.

이 법은 2026년 3월 1일부터 효력이 발생했습니다. 이후 베트남 과학기술부도 시행, 교육, 가이드라인 정비를 강조하고 있습니다. 이런 흐름은 중요합니다. 법 자체보다 실제 업무 프로세스, 승인 절차, 책임 분담, 감사 체계에 들어올 때 비로소 기업의 행동이 바뀌기 때문입니다.

AI는 독립적으로 존재하지 않습니다. 데이터, 클라우드 인프라, 접근 권한, 외부 공급업체, 로그, 내부 업무 흐름 위에서 작동합니다. 어느 한 층이라도 약하면 AI는 그 약점을 그대로 확대합니다. 반대로 통제가 잘 되어 있으면 AI는 생산성을 높이면서도 새로운 구멍을 만들지 않습니다.

베트남 당국의 공식 프레이밍도 같은 방향을 가리킵니다. 위험 통제, 고도화된 사기 방지, 거버넌스 강화 같은 표현은 장식이 아닙니다. 이건 보안 언어입니다. 즉, 규제 당국은 AI를 혁신 도구로만 보는 것이 아니라 신뢰, 오남용, 운영 복원력의 문제로 보고 있습니다.

기업 입장에서도 위험은 쉽게 커질 수 있습니다. AI는 이메일 작성, 문서 요약, 고객 응대, 추천 생성, 내부 지원에 유용하지만, 동시에 사칭, 피싱 자동화, 데이터 유출, 잘못된 판단의 확산에도 쓰일 수 있습니다. 사고가 나면 그때부터는 AI 정책의 문제가 아니라, 사고 대응, 접근 제어, 데이터 보호, 평판 회복의 문제가 됩니다.

중요한 것은 속도가 아닙니다. 먼저 어디에서 AI를 쓰고 있는지 파악해야 합니다. 누가 쓰는지, 어떤 도구인지, 어떤 데이터가 들어가는지, 결과가 어디로 가는지, 로그가 남는지, 사람이 검토하는지, 끌 수 있는지부터 알아야 합니다. 답을 못 하면 AI를 관리하는 것이 아니라 그냥 소비하고 있는 것입니다.

다음은 공급업체 점검입니다. 많은 AI 리스크는 자체 모델이 아니라 외부 SaaS, 내장형 도구, API, 공급망을 통해 들어옵니다. 그러니 AI 공급업체는 중요한 클라우드 벤더처럼 봐야 합니다. 데이터 보관 방식, 로그 정책, 삭제 가능 여부, 사고 책임, 계약상의 보안 의무를 확인해야 합니다.

사람의 판단도 빠지면 안 됩니다. 고객, 거래, 법적 기록, 민감한 데이터에 영향을 주는 AI는 자동 출력만 믿으면 안 됩니다. 누가 검토하는지, 누가 뒤집을 수 있는지, 무엇이 잘못됐을 때 어떻게 멈추는지 명확해야 합니다. 그렇지 않으면 AI는 빠르지만 책임 없는 도구가 됩니다.

부서 간 협업도 필수입니다. 법무는 데이터 흐름을 알아야 하고, 보안은 모델과 로그 위치를 알아야 하며, 구매는 공급업체가 실제로 무엇을 약속하는지 알아야 하고, 사업부는 시스템이 어디까지 허용되는지 알아야 합니다. 이들이 따로 움직이면 공백이 생기고, 그 공백이 바로 위험의 진입로가 됩니다.

핵심은 간단합니다. 베트남의 AI 법은 기업에게 AI를 더 천천히 쓰라고 말하는 것이 아니라, 더 성숙하게 쓰라고 요구합니다. 경계를 정의하고, 책임을 정의하고, 검토 경로를 정의하면 AI는 훨씬 더 유용해집니다. 반대로 그걸 미루면 결국 사고를 더 비싼 값으로 배우게 됩니다.

실무적으로는 바로 쓸 수 있는 AI 목록부터 만드는 것이 좋습니다. 누가 어떤 도구를 쓰는지, 어떤 데이터가 들어가는지, 결과는 어디로 가는지, 로그는 남는지, 사람이 확인하는지, 문제가 생기면 끌 수 있는지까지 적어야 합니다. 이런 목록만 있어도 조직은 훨씬 더 통제 가능해집니다.

정책도 구체적이어야 합니다. “책임 있게 사용하라”는 말은 좋지만 실행 규칙이 아닙니다. 반면 “고객 데이터를 공용 도구에 붙여넣지 말 것”, “외부 배포물은 검토할 것”, “제3자 AI 도구는 사전 평가를 거칠 것” 같은 규칙은 실제로 움직일 수 있습니다.

보안팀도 마지막에 등장하면 안 됩니다. AI는 클라우드 보안, 아이덴티티, 제3자 리스크와 같은 방식으로 관리해야 합니다. 위험을 식별하고, 통제를 두고, 그 통제가 실제로 작동하는지 검증한 뒤, 실제 사용 패턴에 맞게 계속 조정해야 합니다.

한마디로 말하면, 베트남 AI 법은 AI와 사이버보안이 이제 같은 문제라는 사실을 다시 보여줍니다. 장기적으로 안전하고 효율적으로 AI를 쓰려면 처음부터 거버넌스를 세워야 합니다. 그게 오히려 더 빠른 길입니다.