2026-07-15 · 블로그

싱가포르 AI 거버넌스 2026 — 자율규제 모델과 아세안 허브 전략

한줄 요약: 싱가포르는 2026년 7월 기준으로도 별도의 강제력 있는 AI 법을 제정하지 않고, IMDA의 Model AI Governance Framework(및 2026년 1월 신설된 에이전틱 AI 프레임워크)와 PDPC의 PDPA 기반 가이드라인, AI Verify 테스트 툴킷이라는 세 축의 자율규제 생태계로 대응하고 있다. 법적 리스크보다 신뢰성 입증과 아세안 진출 시 표준 정합성이 실무의 핵심 쟁점이다.

싱가포르는 왜 법이 아니라 프레임워크를 택했나?

유럽연합이 AI Act라는 포괄적 입법으로, 한국이 AI기본법 제정으로 움직이는 사이 싱가포르는 다른 길을 걸어왔다. 정보통신미디어개발청(IMDA)과 개인정보보호위원회(PDPC)를 중심으로, 법적 구속력이 없는 자율규제 프레임워크와 실무 툴킷을 겹겹이 쌓아 올리는 방식이다. 2026년 7월 현재도 싱가포르에는 EU AI Act에 대응할 만한 단일 AI 법이 존재하지 않는다. 대신 기존 개인정보보호법(Personal Data Protection Act, PDPA 2012)과 금융·의료 등 업권별 규제를 뼈대로 삼고, 그 위에 Model AI Governance Framework(MGF) 계열 문서와 AI Verify 테스트 툴킷을 얹어 기업이 "무엇을 준수해야 하는가"보다 "무엇을 입증할 수 있는가"를 보여주도록 유도한다.

이 접근의 배경에는 싱가포르 특유의 정책 논리가 있다. 인구 600만 명 규모의 도시국가가 자체 AI 산업을 키우기보다 아세안·아시아 태평양 지역의 데이터·자본·인재가 모이는 허브로 포지셔닝해 온 것처럼, AI 거버넌스에서도 "가장 먼저 엄격한 법을 만드는 나라"보다 "가장 실무적으로 쓸모 있는 표준을 만드는 나라"를 지향한다. 실제로 AI Verify는 2022년 세계 최초의 정부 주도 오픈소스 AI 거버넌스 테스트 툴킷으로 출시되었고, 2023년 6월에는 AI Verify Foundation을 통해 글로벌 커뮤니티에 개방되어 국제 표준처럼 활용되고 있다. 법을 만드는 대신 "다른 나라도 쓰고 싶어지는 도구"를 만드는 전략인 셈이다.

다만 이것이 규제 공백을 의미하지는 않는다. 개인정보 처리, 금융소비자보호, 의료기기 규제, 부정경쟁방지 등 기존 법제는 AI가 관여된 사안에도 그대로 적용되며, PDPC는 최근 개인정보 관련 벌금 상한을 높이는 등 집행 강도를 강화하는 추세다. "법이 없다"가 아니라 "AI 전용 법이 없을 뿐, 기존 법 + 자율규제 프레임워크의 조합으로 촘촘하게 대응한다"는 표현이 더 정확하다.

Model AI Governance Framework — 전통 AI에서 에이전틱 AI까지

싱가포르 자율규제의 뼈대는 Model AI Governance Framework(MGF) 계열 문서다. 원래 전통적인 머신러닝 시스템을 대상으로 시작된 이 프레임워크는 생성형 AI 확산에 맞춰 생성형 AI용 가이드라인으로 확장되었고, 2026년 1월 22일 다보스 세계경제포럼(WEF)에서는 자율적으로 계획·판단·행동하는 "에이전틱 AI(Agentic AI)"를 다루는 별도의 Model AI Governance Framework for Agentic AI가 새로 공개되며 세계 최초의 에이전틱 AI 전용 거버넌스 프레임워크라는 평가를 받았다.

이후 IMDA는 60개 이상 기관의 피드백을 반영해 2026년 5월 20일 버전 1.5를 발표했다. 골격은 유지하되 실무 적용도를 높인 것이 특징이다.

리스크의 사전 평가와 한계 설정 — 에이전트가 취할 수 있는 행동 범위와 권한을 배포 전에 명확히 규정
인간의 실질적 책임 확보 — 자동화 편향(automation bias)을 막기 위해 인간 검토자의 재량 개입(override) 비율과 응답 시간을 추적하고, 검토자가 에이전트의 대표적 실패 유형을 식별할 수 있도록 교육
기술적 통제·프로세스 구현 — 로깅, 킬스위치, 권한 분리 등 실행 단계의 안전장치
최종 사용자 책임 활성화 — 에이전트를 사용하는 개인·조직에도 합리적 범위의 책임을 분배

버전 1.5에서 새로 추가된 부분은 다중 에이전트가 상호작용할 때 발생하는 시스템적 리스크(multi-agent systemic risk)에 대한 논의와, 업권별로 프레임워크를 어떻게 적용했는지 보여주는 실제 사례 연구다. 법조문처럼 딱딱하게 요건을 나열하는 대신, "이렇게 하면 규제 당국이 신뢰할 만한 거버넌스로 본다"는 벤치마크를 제시하는 방식이라, 로펌이나 기업 법무팀 입장에서는 계약서나 내부 정책에 인용하기는 쉽지만 "위반 시 제재"라는 형태의 법적 리스크 판단으로는 바로 연결되지 않는다는 점을 유의해야 한다.

PDPA와 PDPC 생성형 AI 가이드라인의 관계

싱가포르에서 AI와 관련해 실제로 법적 구속력을 갖는 축은 여전히 PDPA다. PDPC는 2026년 6월 2일 "생성형 AI에서의 개인정보 이용에 관한 자문 가이드라인(안)"을 공개하고 2026년 7월 1일까지 공개 의견수렴을 진행했다. 즉 이 글을 쓰는 2026년 7월 중순 시점에는 아직 최종 확정 전 단계이며, 향후 문구가 조정될 수 있다는 점을 전제로 봐야 한다.

가이드라인(안)이 다루는 핵심 쟁점은 다음과 같다.

AI 모델 개발·테스트·배포·조달 전 단계에 걸친 개인정보 처리 책임소재(공급망 전반의 accountability)
모델 학습과 이용에 필요한 적법한 처리 근거(legal basis) — 특히 "공개적으로 이용 가능한 정보(publicly available exception)" 예외를 원용해 동의 없이 웹 스크래핑 등으로 수집한 데이터를 모델 개발에 활용할 수 있다는 입장
반대로 이용자가 제품·서비스 이용 과정에서 직접 제공한 개인정보를 생성형 AI 모델 개발에 사용하려면, PDPA상 별도 예외 사유가 없는 한 원칙적으로 동의가 필요하다는 구분
환각(hallucination)·편향 등 생성형 AI 산출물에서 발생하는 리스크 완화 방안과 개인에 대한 투명성 고지 의무

여기서 실무적으로 중요한 것은, 이 가이드라인 역시 다른 PDPC 자문 가이드라인과 마찬가지로 법적 구속력은 없다는 점이다. 다만 규제 당국의 기대 수준(regulatory expectation)과 조사·집행 시 판단 기준으로 참고되는 만큼, "구속력이 없으니 무시해도 된다"고 해석하는 것은 위험하다. PDPA 위반 자체(예: 부적절한 동의 처리, 데이터 유출)에 대한 제재는 여전히 실체법적으로 존재하며, 생성형 AI 가이드라인은 그 적용 방식을 구체화하는 해석 지침에 가깝다.

AI Verify — 법이 아니라 "증명"으로 신뢰를 얻는 방식

싱가포르 거버넌스 생태계에서 가장 실무 지향적인 도구는 AI Verify다. IMDA와 PDPC가 공동 개발해 2022년 파일럿으로 출시했고, 2023년 6월 AI Verify Foundation을 통해 오픈소스로 글로벌 커뮤니티에 개방되었다. MGF의 추상적 원칙을 11개 거버넌스 원칙, 85개 검증 가능한 기준, 4개 기술 테스트 툴박스로 구체화해 감사 가능한 "AI 거버넌스 리포트"를 산출하는 구조다. 대상 원칙에는 투명성, 설명가능성, 공정성, 안전성, 책임성 등 국제적으로 통용되는 AI 윤리 원칙이 포함된다.

이후 확장도 이어졌다. 2024년 5월에는 대규모 언어모델(LLM) 평가에 특화된 Project Moonshot이 추가되었고, 2025년에는 여러 국가·기관이 참여하는 Global AI Assurance Sandbox로 발전했다. 2026년에는 한 걸음 더 나아가, AI 시스템을 독립적으로 평가하는 "테스터"를 인증하는 AI Tester Accreditation Programme(AI TAP)이 아시아 최초 사례로 2026년 3분기 출시를 목표로 추진 중인 것으로 보도되었다(다만 이는 계획 단계 보도이며, 실제 시행 여부와 세부 요건은 공식 확정을 재확인할 필요가 있다).

기업·로펌 입장에서 AI Verify의 의미는 명확하다. "법적으로 반드시 받아야 하는 인증"은 아니지만, 감독당국·투자자·고객에게 AI 시스템의 신뢰성을 입증할 표준화된 방법이 마땅치 않은 상황에서 사실상의 실무 기준(de facto benchmark) 역할을 한다는 점이다. 특히 금융·의료처럼 업권 규제기관이 별도로 존재하는 분야에서는, AI Verify 리포트를 내부 위험관리 문서나 규제기관 제출 자료의 일부로 활용하는 사례가 늘고 있다.

아세안 진출 거점으로서의 실무 영향

싱가포르 AI 거버넌스를 이해해야 하는 또 다른 이유는, 다국적 기업과 로펌이 아세안 시장에 진출할 때 싱가포르를 규제 정합성의 기준점으로 삼는 경우가 많기 때문이다. 2024년 발표된 ASEAN Guide on AI Governance and Ethics는 인간 중심 AI 가치, 회원국 간 상호운용성, 위험 기반 접근, 다자간 이해관계자 참여를 강조하며, 그 원칙이 싱가포르·말레이시아·인도네시아 등 개별 국가의 프레임워크에 실제로 반영되는 모습을 보이고 있다. 여기에 더해 디지털 상거래·데이터 이동·사이버보안·AI 거버넌스를 포괄하는 법적 구속력 있는 무역협정인 아세안 디지털경제기본협정(DEFA)이 2026년 말 서명을 목표로 추진되고 있어, 향후 역내 AI 관련 데이터 이동 규범이 한층 구체화될 전망이다.

실무적으로는 다음과 같은 시사점이 있다.

싱가포르 법인을 아세안 진출의 지역 본부(regional HQ)로 두는 기업은, MGF·AI Verify 기반의 내부 거버넌스 문서를 만들어두면 이를 태국·베트남·인도네시아 등 개별 국가 규제 대응 문서의 출발점(baseline)으로 재활용하기 쉽다.
다만 각국 개인정보보호법·AI 관련 법제의 세부 요건은 다르므로, 싱가포르 기준을 그대로 다른 국가에 적용하는 것은 위험하다 — 반드시 현지 법제 확인이 필요하다.
PDPA상 "공개적으로 이용 가능한 정보" 예외처럼 싱가포르 특유의 데이터 처리 근거는 다른 아세안 회원국의 개인정보보호법에서 동일하게 인정되지 않을 수 있다.

MeshLaw와 같은 법률 AI 도구를 쓰는 로펌이라면, 이런 다국가·다층 프레임워크를 비교하고 클라이언트별 체크리스트나 초안을 만드는 과정에서 문서 작업 시간을 줄이는 데 실질적으로 도움이 될 수 있다. 다만 최종 법적 판단과 각국 규제 확인은 여전히 담당 변호사의 몫이라는 점은 변하지 않는다.

구성 요소	주관 기관	법적 구속력	적용 대상	최신 동향(2026)
PDPA (개인정보보호법)	PDPC	있음 (제정법)	개인정보를 처리하는 모든 조직	생성형 AI 자문 가이드라인(안) 의견수렴 2026-07-01 마감
Model AI Governance Framework (전통/생성형 AI)	IMDA	없음 (자율규제)	AI를 개발·배포하는 조직 전반	생성형 AI 확장판 운영 중
Model AI Governance Framework for Agentic AI	IMDA	없음 (자율규제)	자율 행동형 에이전트 시스템	2026-01 최초 발표 → 2026-05 v1.5
AI Verify	IMDA / PDPC / AI Verify Foundation	없음 (자발적 테스트·인증)	AI 시스템 신뢰성 검증이 필요한 조직	AI TAP(테스터 인증제) 2026년 3분기 추진 보도
ASEAN Guide on AI Governance and Ethics	ASEAN 디지털장관회의	없음 (지역 가이드)	아세안 회원국 정부·기업	DEFA 협정에 AI 거버넌스 요소 반영, 2026년 말 서명 목표

결론

2026년 7월 기준 싱가포르의 AI 거버넌스는 "강제력 있는 단일 법" 대신 PDPA라는 기존 법제, MGF·에이전틱 AI 프레임워크라는 자율규제 지침, AI Verify라는 실무 검증 툴킷이 서로 맞물려 작동하는 다층 구조다. 로펌과 기업 입장에서는 위반 시 제재를 피하는 컴플라이언스 문제라기보다, 신뢰성을 어떻게 문서와 테스트로 입증할 것인가라는 실무 문제에 가깝다. 동시에 PDPA 위반이나 개인정보 관련 제재처럼 실체적 법적 리스크는 그대로 존재하므로, 자율규제 문서를 참고하되 기존 법제 준수 여부는 별도로 꼼꼼히 확인해야 한다. 아세안 진출을 계획 중이라면 싱가포르 프레임워크를 출발점으로 삼되, 각국 법제의 차이를 전제로 현지 검토를 거치는 것이 안전하다.

MeshLaw로 AI 규제 대응 문서 초안 만들기 →

싱가포르에는 EU AI Act 같은 AI 법이 없나?

2026년 7월 기준으로는 그렇다. 싱가포르는 별도의 포괄적 AI 전용 법을 제정하지 않고, PDPA 등 기존 법제와 Model AI Governance Framework, AI Verify 같은 자율규제 도구의 조합으로 대응하고 있다. 다만 이는 계속 발전 중인 영역이라 향후 입법 논의가 진행될 가능성은 배제할 수 없다.

Model AI Governance Framework를 지키지 않으면 처벌받나?

프레임워크 자체는 법적 구속력이 없어 미준수에 대한 직접적인 처벌 규정은 없다. 다만 관련 사고가 PDPA 위반이나 다른 업권 규제 위반으로 이어지면 그 법령에 따른 제재를 받을 수 있다.

에이전틱 AI 프레임워크는 기존 생성형 AI 가이드라인과 뭐가 다른가?

기존 생성형 AI 가이드라인이 주로 콘텐츠 생성과 그 산출물의 품질·편향을 다뤘다면, 에이전틱 AI 프레임워크는 자율적으로 계획을 세우고 행동을 실행하는 시스템에 초점을 맞춰 인간의 감독 권한 설계와 다중 에이전트 상호작용 리스크를 별도로 다룬다.

PDPC의 생성형 AI 가이드라인(안)은 언제 확정되나?

2026년 6월 2일 공개된 안은 2026년 7월 1일까지 공개 의견수렴을 거쳤다. 이 글을 쓰는 시점에는 아직 최종 확정 전이며, 정식 공표 시점과 최종 문구는 PDPC 공식 발표를 통해 재확인해야 한다.

웹 스크래핑으로 수집한 데이터로 AI를 학습시켜도 되나?

AI Verify 인증을 꼭 받아야 하나?

법적 의무 사항은 아니다. 다만 규제기관·투자자·고객에게 AI 시스템의 신뢰성을 보여줄 표준화된 방법으로 실무에서 널리 활용되고 있어, 특히 금융·의료 등 규제 산업에서는 사실상의 기준으로 자리잡아가는 추세다.

AI Tester Accreditation Programme(AI TAP)은 무엇인가?

AI 시스템을 독립적으로 평가하는 테스터를 인증하는 제도로, 아시아 최초 사례로 2026년 3분기 출시가 추진 중이라고 보도되었다. 다만 계획 단계 보도인 만큼 실제 시행 여부와 세부 요건은 공식 발표로 재확인이 필요하다.

아세안 다른 나라에서도 싱가포르 프레임워크가 그대로 통하나?

부분적으로만 그렇다. ASEAN Guide on AI Governance and Ethics의 원칙이 말레이시아·인도네시아 등 개별 국가 프레임워크에 영향을 주고 있지만, 각국의 개인정보보호법과 AI 관련 규정은 세부적으로 다르므로 현지 법제 확인 없이 싱가포르 기준만으로 진출하는 것은 위험하다.

DEFA(아세안 디지털경제기본협정)는 AI 규제에 어떤 영향을 주나?

DEFA는 디지털 상거래, 데이터 이동, 사이버보안과 함께 AI 거버넌스 요소를 포함하는 법적 구속력 있는 지역 무역협정으로, 2026년 말 서명을 목표로 추진되고 있다. 발효되면 아세안 역내 AI 관련 데이터 이동 규범이 한층 구체화될 전망이다.

싱가포르 법인이 있으면 다른 아세안 국가의 AI 규제도 자동으로 충족되나?

아니다. 싱가포르에서 마련한 거버넌스 문서를 지역 진출의 출발점으로 활용할 수는 있지만, 각국 개인정보보호법과 AI 관련 규정을 별도로 충족해야 한다.

중소 로펌이나 스타트업도 AI Verify를 활용할 수 있나?

AI Verify는 오픈소스로 공개되어 있어 원칙적으로 누구나 접근할 수 있다. 다만 실제 적용에는 기술적 자원과 시간이 필요하므로, 조직 규모에 맞는 적용 범위를 먼저 정하는 것이 현실적이다.

이 글은 법률 자문인가?

아니다. 이 글은 2026년 7월 기준 공개된 자료를 바탕으로 한 일반적인 정보 정리이며, 특정 사안에 대한 법률 자문을 대체하지 않는다. 실제 규제 대응이나 계약·컴플라이언스 판단은 반드시 자격을 갖춘 변호사와 상담해야 하며, 인용된 규정·일정은 시행 전 변경될 수 있으므로 원문 확인이 필요하다.

이 시리즈의 다른 나라 편도 있나?

네, 태국·베트남·일본 등 각국의 AI 법제를 다루는 시리즈로 이어진다. 아래 관련 글에서 확인할 수 있다.