아프리카 AI 거버넌스 현황 — 54개국 정책·법 1,034건을 추적한 카네기 연구가 보여준 규제 지형

핵심 메시지

• 카네기 국제평화재단 아프리카 프로그램이 아프리카연합 산하 통신 기구와 함께 54개국의 디지털 경제 정책·법·규정 1,034건을 모은 공개 추적기 'AfTech'를 만들었다.
• AI를 실제로 규율하는 것은 AI 전략, 데이터보호법, 사이버보안법이라는 세 개의 층이며, 세 가지를 모두 갖춘 나라는 14개국이다.
• AI 전략을 마련한 나라는 15개국과 아프리카연합이지만, AI 전용 법률을 제정한 나라는 아직 한 곳도 없고 나이지리아와 케냐가 준비 단계에 있다.
• 문서 1,034건 가운데 90% 이상이 디지털 인프라를 다루며, 각국이 AI를 우선 적용하려는 분야는 보건과 농업, 공공서비스로 모인다.
• 아프리카 데이터보호법 대부분이 유럽 GDPR을 거의 그대로 옮겨온 탓에, 데이터를 보호하는 조항은 있지만 경제적 자산으로 활용할 경로는 빠져 있다는 지적이 나왔다.

쉽게 이해하기

마이크로소프트 리서치의 월례 세미나에 카네기 국제평화재단 아프리카 프로그램의 제인 뭉가 박사가 나와 '아프리카의 알고리즘 생태계를 규율하는 정책 계층'을 발표했다. 여기서 알고리즘 생태계란 AI를 개발하고 서비스하는 전체 판을, 정책 계층이란 그 판을 실제로 움직이게 하거나 묶어 두는 법과 규정을 뜻한다. 그가 이끄는 팀은 아프리카연합 산하 통신 기구와 함께 대륙 전체의 디지털 경제 관련 문서를 모아 '아프리카 기술정책 추적기(AfTech)'라는 공개 저장소를 만들었다.

추적기에는 54개 회원국과 아프리카연합이 만든 문서 1,034건이 들어 있다. 가장 오래된 것은 1971년 자료이고 가장 최근은 올해 발표된 짐바브웨 AI 전략이다. 초안이나 법안은 넣지 않고 이미 공포되거나 통과된 문서만 담았다는 점이 특징이다. 각 문서는 정책·법·규정으로 나뉘고, 세계은행과 OECD, 스마트 아프리카가 쓰는 분류를 참고해 디지털 인프라·플랫폼·기술 역량·혁신이라는 네 갈래와 디지털 신원, 디지털 결제 등 25개 세부 주제로 다시 태그가 붙는다.

이 데이터를 겹쳐 보면 AI를 실제로 규율하는 층이 드러난다. 첫째는 AI 전략과 정책이다. 2018년 모리셔스를 시작으로 알제리와 이집트가 뒤를 이었고, 2024년을 기점으로 확산돼 케냐는 2025년부터 2030년까지의 전략을, 가나와 짐바브웨는 올해 전략을 내놓았다. 둘째와 셋째는 데이터보호법과 사이버보안법으로 각각 44개국과 48개국이 갖추고 있다. 세 가지를 모두 보유한 나라는 이집트, 알제리, 세네갈, 코트디부아르, 가나, 나이지리아, 르완다, 잠비아, 짐바브웨, 케냐, 에티오피아 등 14개국이다. 반면 AI만을 다루는 법률은 아직 어느 나라에도 없다.

발표자는 데이터보호법이야말로 AI를 만드는 사람이 가장 먼저 읽어야 할 법이라고 강조했다. 데이터를 어떻게 모으고 저장하고 쓰고 수익화할 수 있는지를 정하기 때문이다. 실제로 보건 데이터를 둘러싼 마찰이 현실로 나타나고 있다. 보건 원조를 제공하는 대신 질병 감시용 데이터를 받아 가는 형태의 거래가 등장했고, 케냐 사례는 법정으로 갔으며 잠비아와 가나는 아예 거부했다. 남아프리카공화국에서는 AI 정책 문서를 공표한 뒤 공개 의견수렴 과정에서 문서에 담긴 데이터가 사실이 아니라는 지적이 나와 정책이 철회되기도 했다.

마지막 대목은 이 지형이 국제 협상에서 갖는 의미다. 미국의 AI 전략이 '경쟁에서 이기는 것'을 앞세우는 반면 케냐를 비롯한 아프리카 국가의 문서는 디지털 전환과 공공서비스 제공을 중심에 둔다. 지향이 다른 두 문서를 들고 파트너십을 맺을 때 무엇을 조율해야 하는지가 연구의 실용적 쓸모다. 발표자는 또 대륙이 여전히 장비와 인프라의 순수입 지역이라는 점, 저궤도 위성 인터넷처럼 통신 규제기관을 우회하는 기술이 늘고 있다는 점을 들어 통제권과 주권 문제가 커질 것이라고 봤다. 그의 결론은 간단했다. AI 정책은 조용한 배경이 아니라 결과를 바꾸는 층이며, 만드는 쪽이 의견수렴 단계부터 참여해야 한다는 것이다.

주요 인사이트

• 정부 정책 문서에 검증되지 않은 데이터가 실려 철회된 남아공 사례는, AI가 규율 대상이기 이전에 이미 규율하는 쪽 문서를 오염시킬 수 있다는 점을 보여준다.
• 인터넷 이용률이 대륙 평균 38% 수준인 환경에서는 AI 정책의 실효가 연결성과 언어 접근성 문제와 분리되지 않는다. 규제 문서만으로 준비도를 평가할 수 없는 이유다.
• 데이터보호법이 GDPR을 거의 복사한 형태라는 관찰은 법을 이식하면 그 사회의 규범과 우선순위까지 함께 따라온다는 '브뤼셀 효과'의 구체적 사례다.
• 위성 인터넷은 데이터가 자국 통신망과 규제기관을 거치지 않고 오가게 만들어, 기존 규제가 붙잡고 있던 지점 자체를 없앤다.
• AI 전략은 15개국이 만들었지만 법률은 0건이라는 격차는, 비전 문서를 만드는 일과 집행 가능한 규범을 만드는 일 사이의 거리를 보여준다.

자주 묻는 질문

관련 AI 소식