2026-07-16 · 블로그

베트남 AI 법 2026 — 세계 최초급 AI법 발효와 개인정보보호법이 그리는 규제 지도

한줄 요약: 베트남은 2025년 12월 국회에서 AI법을 통과시켜 2026년 3월 1일부터 시행 중이며, 동시에 개인정보보호법(PDPL)도 법률 단위로 격상되어 시행되고 있다 — 동남아시아에서 가장 이른 시점에 포괄적 AI 규제 체계를 갖춘 사례로 평가된다.

베트남은 AI를 어떻게 규율하려 하나?

많은 나라가 아직 AI 규제를 원칙 선언이나 가이드라인 수준에 머물러 있는 사이, 베트남은 한발 앞서 나갔다. 베트남 국회(National Assembly)는 2025년 12월 10일 "인공지능법(Law on Artificial Intelligence)"을 통과시켰고, 이 법은 2026년 3월 1일부터 정식 시행에 들어갔다. 총 35개 조항으로 구성된 이 법은 기존에 디지털기술산업법(Law on Digital Technology Industry) 안에 흩어져 있던 AI 관련 일반 규정을 대체하는 독립 법률로, 동남아시아 국가 중에서는 포괄적이고 위험기반(risk-based) 접근을 채택한 최초 사례 중 하나로 꼽힌다.

법의 기본 철학은 "인간 중심"이다. AI는 인간을 대체하는 것이 아니라 인간에게 봉사해야 하며, 중요한 의사결정 과정에는 인적 감독(human oversight)이 요구된다는 원칙을 명문화했다. 이 원칙 위에 AI 시스템을 위험도에 따라 분류하고 그에 상응하는 법적 의무를 부여하는 구조가 얹혀 있다.

다만 법이 "시행"되었다고 해서 모든 의무가 즉시 발생하는 것은 아니다. 대부분의 기존 AI 시스템 제공자·운영자에게는 2027년 3월 1일까지 유예기간이 주어지며, 보건·교육·금융 분야에 사용되는 AI 시스템에는 2027년 9월 1일까지 더 긴 유예기간이 적용된다. 즉 지금(2026년 7월) 시점은 법이 시행은 됐지만 실무적으로는 유예기간 중 세부 시행령(하위 규정)이 계속 정비되고 있는 과도기라고 보는 것이 정확하다. 실제로 위험등급 분류 세부 기준을 다루는 시행령(Decree 142로 알려짐)이 2026년 5월경 발효된 것으로 확인되는 등, 상위법 통과 이후에도 세부 규정은 계속 보완되는 흐름이다. 이 세부 시행령들의 구체적 조문은 계속 업데이트될 수 있으므로, 실무 적용 시점에는 최신 공식 공고를 반드시 재확인해야 한다.

위험등급 분류와 금지 행위 — AI법의 핵심 골격

베트남 AI법은 AI 시스템을 인권·안전에 미치는 영향, 사용 분야(특히 공공이익과 직결되는 필수 분야인지), 이용자 범위, 영향 규모 등을 기준으로 고위험(high-risk), 중위험(medium-risk), 저위험(low-risk) 세 단계로 분류한다.

고위험: 생명·건강·권리 또는 국가안보에 중대한 피해를 줄 잠재력이 있는 AI 시스템. 시장 출시 전 적합성 평가(conformity assessment)를 거쳐야 하는 것으로 알려져 있다.
중위험: 이용자가 AI와 상호작용 중임을 인지하지 못하거나 AI 생성 콘텐츠임을 알지 못해 혼동을 일으킬 위험이 있는 시스템(예: 챗봇, 딥페이크형 생성물 등). 고지·라벨링 의무가 핵심이다.
저위험: 그 외 대부분의 AI 시스템.

법은 또한 명시적으로 금지되는 AI 활용 행위를 열거한다. 기만적 조작, 취약계층 착취, 국가안보나 공공질서를 심각하게 위협하는 허위 콘텐츠 유포, 불법적 데이터 이용, 필수적 인적 감독 메커니즘의 우회, 법정 고지·라벨링 의무의 은폐나 조작 등이 이에 해당한다. 이는 EU AI법의 금지행위 목록과 유사한 문제의식을 공유하면서도, 베트남 특유의 국가안보·공공질서 요건이 강하게 반영된 형태라는 평가가 있다.

흥미로운 점은 규제와 함께 진흥 수단도 함께 담겼다는 것이다. 국가 AI개발기금 설립, 기업의 AI 도입을 지원하는 "AI 바우처(AI Voucher)" 제도, 민감한 AI 솔루션을 위한 통제된 실험(샌드박스) 메커니즘 등이 법 안에 명문화되어 있다. 이 샌드박스에서의 시험 결과는 향후 적합성 평가의 근거로 활용되거나, 경우에 따라 준수 의무의 면제·경감·조정 근거가 될 수 있는 것으로 알려져 있다. 규제 일변도가 아니라 산업 육성과 병행하려는 의도가 읽히는 대목이다.

개인정보보호법(PDPL)과 AI법의 관계 — Decree에서 법률로

AI 규제를 이야기할 때 빼놓을 수 없는 것이 데이터 보호 체계다. 베트남은 2023년 4월 Decree 13/2023/ND-CP(개인정보보호에 관한 시행령)를 통해 처음으로 포괄적인 개인정보보호 규범을 갖췄다. 이 시행령은 베트남 내에서, 또는 베트남 내 개인의 데이터를 처리하는 국내외 모든 조직에 적용되는 넓은 관할범위를 가졌고, 자동화된 개인정보 처리(개인의 습관·선호·신뢰도·행동·위치·성향·역량 등을 평가·분석·예측하는 전자적 처리)에 대해서도 별도 규율을 두었다. 이는 사실상 AI 기반 프로파일링·추천 시스템을 겨냥한 조항으로 해석되어 왔다.

그런데 2026년 1월 1일부터 이 체계가 한 단계 격상되었다. 국회가 정식으로 개인정보보호법(Personal Data Protection Law, PDPL)을 제정해 시행에 들어갔고, 이로써 기존 시행령(Decree 13/2023) 수준의 규율이 법률(Law) 수준으로 상향되었다. 시행령은 정부가 개정하기 비교적 쉬운 반면 법률은 국회 의결을 거쳐야 하므로, 이는 개인정보 보호를 국가의 항구적 정책 기조로 못박는 신호로 읽힌다. 개인정보 침해 사고 발생 시 사이버보안 당국(공안부 산하 부서)에 72시간 이내 통지해야 하는 의무 등 시행령 시절의 핵심 골격은 유지된 것으로 보이나, 세부 조문의 변경 여부는 확정 공표된 법률 전문을 통해 확인이 필요하다.

결과적으로 베트남에서 AI 시스템을 개발·제공·운용하려는 기업은 AI법(시스템 자체의 위험 분류·고지·인적감독 의무)과 PDPL(그 시스템이 처리하는 개인정보의 수집·이용·이전 요건)이라는 두 축을 동시에 충족해야 하는 구조에 놓이게 됐다. 두 법의 관할 기관도 다를 수 있어(AI법은 과학기술 소관 부처, 개인정보는 공안부 계통) 실무적으로는 이중 신고·이중 대응 체계를 준비해야 할 가능성이 있다.

디지털전환 정책 속에서 본 AI법 — 왜 지금인가

이번 AI법은 갑자기 등장한 것이 아니다. 베트남 정부는 이미 2021년 1월 총리 결정 127호(Decision No. 127/QD-TTg)를 통해 "2030년까지의 국가 AI 연구개발응용전략"을 승인한 바 있다. 이 전략은 2030년까지 아세안(ASEAN) 내 AI 순위 4위, 세계 순위 50위 진입이라는 구체적 목표를 내걸었고, 법제 정비·인프라 구축·인재 양성·산업별 AI 도입 촉진·국내외 협력 강화를 5대 축으로 제시했다.

즉 이번 AI법은 이 국가전략이 예고했던 "AI 거버넌스를 위한 견고한 법적 기반 마련"이라는 목표가 5년의 시차를 두고 구체화된 결과물이다. 베트남이 제조업 중심 경제에서 디지털·데이터 기반 경제로 전환하려는 국가적 어젠다(디지털전환, digital transformation) 안에서 AI법과 PDPL은 각각 '무엇을 해도 되는가'와 '데이터를 어떻게 다뤄야 하는가'를 규정하는 한 쌍의 축으로 기능하는 셈이다. 규제 공백을 방치하기보다 명확한 룰을 먼저 세워 외국 자본과 기술 이전을 유치하려는 의도도 함께 읽힌다.

구분	근거 법령	시행/발효 시점	핵심 내용
국가 AI 전략	총리 결정 127/QD-TTg	2021년 1월	2030년까지 아세안 4위·세계 50위 목표, 법제·인프라·인재 5대 축
개인정보보호(舊)	시행령 13/2023/ND-CP	2023년 7월	자동화 처리 규율, 72시간 침해 통지, 국내외 적용
개인정보보호법(PDPL)	국회 제정 법률	2026년 1월 1일	시행령을 법률로 격상, 시행령 골격 승계
인공지능법	국회 제정 법률(35개 조)	2026년 3월 1일(유예 2027년 3월/9월)	위험 3등급 분류, 금지행위, 샌드박스, AI기금·바우처
위험분류 세부기준(하위규정)	시행령(Decree 142로 알려짐)	2026년 5월경	고·중·저위험 판정 세부기준, 지속 보완 예정

한국 기업의 베트남 진출 시 실무 영향 — 현지화 문서가 관건

한국 기업들에게 베트남은 이미 오래된 생산기지를 넘어 AI 스타트업·SaaS의 신흥 진출 시장으로 부상하고 있다. 이번 AI법·PDPL 체계가 이들에게 주는 실무적 시사점은 다음과 같이 정리할 수 있다.

현지 대리인/거점 요건: 고위험 AI 시스템을 베트남에 제공하는 외국 기업은 상업적 실체(commercial presence)를 두거나 현지 공인 대표(authorized representative)를 지정해야 하는 것으로 알려져 있다. 단순 SaaS 계약만으로는 부족할 수 있어, 진출 초기부터 법인 설립 또는 대리인 선임 여부를 검토해야 한다.
이중 규율 대응: AI 시스템의 위험등급 분류 대응(AI법)과 개인정보 처리 근거·통지 체계 정비(PDPL)를 별도 트랙으로 준비해야 한다. 두 법의 소관 부처가 다를 가능성이 있어 창구 이원화에 대비해야 한다.
문서의 현지화: 이용약관, 개인정보처리방침, AI 시스템 고지문(챗봇·생성형 AI임을 알리는 라벨링 문구 등), 내부 컴플라이언스 매뉴얼을 베트남어로 정확히 번역·현지화하는 작업이 실무의 상당 부분을 차지하게 된다. 한국 본사에서 작성한 영문·국문 원본을 그대로 기계번역해 제출하는 방식은 법적 리스크를 키울 수 있다.
유예기간의 활용: 2027년 3월(일반) 또는 9월(보건·교육·금융)까지 유예기간이 있다는 점은 여유가 아니라 준비 기간으로 봐야 한다. 세부 시행령이 계속 보완되는 만큼, 미리 문서 초안을 만들어 두고 확정 공고에 맞춰 신속히 갱신하는 것이 현실적인 접근이다.

이처럼 여러 언어·여러 법역의 문서를 동시에, 그것도 빠르게 개정되는 규정에 맞춰 갱신해야 하는 상황에서는 초안 작성 자체의 병목이 실무 지연으로 이어지기 쉽다. MeshLaw는 베트남어를 포함한 다국어 문서 초안 작성을 지원하는 기능을 제공하고 있어, 규정 변경 시 반복되는 문서 갱신 작업의 부담을 줄이는 데 참고할 수 있다. 다만 베트남 현지 법령의 최종 해석과 적용 여부는 반드시 현지 변호사의 검토를 거쳐야 한다는 점은 변하지 않는다.

결론

베트남은 "초안 논의 단계"를 이미 지나 2025년 12월 국회 통과, 2026년 3월 시행이라는 실제 이정표를 세운 나라다. 다만 세부 시행령이 유예기간 중 계속 정비되고 있다는 점에서 규제의 최종 모습은 여전히 유동적이며, 개인정보보호법(PDPL)과의 병행 준수, 외국기업의 현지 거점 요건까지 고려하면 실무 부담은 결코 가볍지 않다. 한국 기업이라면 지금부터 위험등급 분류 대응 체계와 현지어 문서 준비를 병행해 유예기간을 실질적인 대비 기간으로 활용하는 편이 안전하다.

MeshLaw로 AI 규제 대응 문서 초안 만들기 →

베트남 AI법은 국회를 통과한 확정 법률인가, 아니면 아직 초안인가?

2025년 12월 10일 국회에서 정식 통과되어 2026년 3월 1일부터 시행 중인 확정 법률이다. 다만 위험등급 분류 등 세부 기준을 정하는 하위 시행령은 이후에도 순차적으로 발효되고 있어, 실무 적용 시점의 최신 공고를 확인하는 것이 안전하다.

AI법의 유예기간은 언제까지인가?

대부분의 기존 AI 시스템 제공자·운영자는 2027년 3월 1일까지 유예기간이 주어진다. 보건·교육·금융 분야에서 사용되는 AI 시스템은 2027년 9월 1일까지로 더 길게 적용되는 것으로 알려져 있다.

AI 시스템의 위험등급은 어떻게 나뉘나?

고위험, 중위험, 저위험 3단계로 분류된다. 인권·안전에 미치는 영향, 사용 분야, 이용자 범위, 영향 규모 등이 판단 기준이며, 고위험 시스템은 시장 출시 전 적합성 평가 대상이 될 수 있다.

어떤 AI 활용이 금지되는가?

기만적 조작, 취약계층 착취, 국가안보·공공질서를 심각하게 위협하는 허위 콘텐츠 유포, 불법적 데이터 이용, 인적 감독 메커니즘의 우회, 법정 고지·라벨링 의무의 은폐나 조작 등이 명시적으로 금지된다.

개인정보보호법(PDPL)은 기존 시행령(Decree 13/2023)과 어떻게 다른가?

2026년 1월 1일부터 시행된 PDPL은 기존 시행령 수준의 규율을 법률 수준으로 격상한 것으로, 자동화 처리 규율이나 침해 통지 의무 등 핵심 골격은 승계된 것으로 보인다. 다만 세부 조문의 변경 여부는 확정된 법률 전문을 통해 개별 확인이 필요하다.

AI법과 PDPL 중 어느 것이 우리 회사에 더 중요한가?

둘 다 별개의 축으로 동시에 적용될 가능성이 높다. AI 시스템 자체의 위험 분류·고지 의무는 AI법, 그 시스템이 다루는 개인정보의 수집·처리·이전은 PDPL의 소관이므로 어느 한쪽만 준수해서는 충분하지 않다.

외국 기업도 이 법의 적용을 받는가?

그렇다. 법은 베트남 내에서 AI 관련 활동을 하는 국내외 조직·개인 모두에 적용되며, 특히 고위험 AI 시스템을 제공하는 외국기업은 현지 상업적 실체를 두거나 공인 대표를 지정해야 하는 것으로 알려져 있다.

AI 샌드박스란 무엇이고 어떻게 활용할 수 있나?

민감하거나 신기술 성격이 강한 AI 솔루션을 통제된 환경에서 시험할 수 있도록 한 제도다. 시험 결과가 향후 적합성 평가의 근거가 되거나 준수 의무의 면제·경감 근거로 활용될 수 있는 것으로 알려져 있어, 신규 서비스 출시 전 검토해볼 만하다.

한국 기업이 지금 당장 해야 할 일은 무엇인가?

자사 AI 서비스가 어느 위험등급에 해당할지 우선 자체 점검하고, 개인정보 처리 흐름을 PDPL 기준으로 재정비하며, 베트남어 이용약관·고지문을 준비하는 것이 우선 과제다. 유예기간을 준비 기간으로 삼아 순차적으로 대응하는 것이 현실적이다.

위반 시 제재는 어느 정도인가?

구체적 제재 수준(과징금 규모, 형사책임 여부 등)은 하위 시행령과 향후 공표되는 세부 규정에 따라 달라질 수 있어, 이 글 시점에서 단정하기는 이르다. 최신 공식 시행령을 통해 확인하는 것이 정확하다.

이 법은 생성형 AI(챗봇, 이미지 생성 등)에도 적용되나?

그렇다. 이용자가 AI와 상호작용 중임을 인지하지 못하거나 AI 생성물임을 알지 못해 혼동을 일으킬 수 있는 경우는 중위험으로 분류되어 별도의 고지·라벨링 의무가 부과되는 것으로 알려져 있다.

베트남의 AI법은 EU AI법과 얼마나 비슷한가?

위험기반 분류 체계라는 큰 틀은 EU AI법과 유사하다는 평가가 있으나, 금지행위 목록에 국가안보·공공질서 요건이 강하게 반영되어 있는 점 등 베트남 고유의 맥락이 반영되어 있다. 세부 조문까지 동일하다고 단정하기는 어렵다.

디지털전환 정책과 AI법은 어떤 관계인가?

2021년 총리 결정 127호로 승인된 국가 AI전략이 "법적 기반 마련"을 목표 중 하나로 제시했고, 이번 AI법은 그 목표가 구체화된 결과로 볼 수 있다. 즉 규제이자 동시에 디지털경제 육성 정책의 일부로 설계된 성격이 강하다.

이 글은 법률 자문인가?

아니다. 이 글은 공개된 자료를 바탕으로 한 일반적 정보 제공이며 특정 사안에 대한 법률 자문을 대체하지 않는다. 세부 시행령이 계속 보완되고 있는 만큼, 실제 사업에 적용하기 전에는 반드시 베트남 현지 변호사의 최신 확인을 거쳐야 한다.