태국 AI 법제 2026 — PDPA와 AI 가이드라인, 그리고 남은 공백
한줄 요약: 태국은 아직 AI 전담법이 시행되지 않은 상태이지만, 2026년 7월 ETDA가 위험기반 접근의 AI법 초안을 공개해 공청회에 들어갔고, PDPA와 개인정보보호위원회의 AI 가이드라인이 실질적인 규율 축으로 작동하고 있다. 한국 기업은 "법이 없다"고 안심하기보다, PDPA 준수와 문서 현지화부터 먼저 갖추는 편이 안전하다.
태국은 지금 AI를 어떻게 규율하고 있나?
결론부터 말하면, 2026년 7월 현재 태국에는 시행 중인 AI 전담법이 없다. 대신 여러 축이 느슨하게 결합해 사실상의 규율 체계를 이루고 있다. 첫째는 개인정보보호법(Personal Data Protection Act B.E. 2562, 이하 PDPA)이다. AI 학습과 서비스 운영 과정에서 개인정보를 처리하는 거의 모든 사업자에게 적용되는 일반법으로, 현재로서는 AI 관련 분쟁이나 규제 대응에서 가장 실효성 있는 근거가 되고 있다.
둘째는 국가과학기술개발청(NSTDA)과 국립전자컴퓨터기술센터(NECTEC)가 마련한 국가 AI 정책 및 윤리 가이드라인이다. 법적 구속력은 없지만 공공기관·금융권을 중심으로 사실상의 준수 기준으로 참조되는 경우가 많다. 셋째는 금융(태국은행), 헬스케어(식약처), 증권(SEC) 등 분야별 규제기관이 개별적으로 마련한 AI 관련 지침이다. 이런 부문별 규율은 은행 신용평가 모형이나 의료기기 AI처럼 위험도가 높은 영역에서 이미 실질적인 규제력을 발휘하고 있다.
넷째, 그리고 2026년 들어 가장 눈에 띄는 변화는 전자거래개발청(Electronic Transactions Development Agency, ETDA)이 AI 규제의 중심 조정 기관으로 부상했다는 점이다. ETDA는 AI 거버넌스 센터(AI Governance Center, AIGC)를 운영하며 국가 AI 등록 체계와 AI 표준 초안 작업을 맡고 있고, 2026년 7월 2일에는 태국 최초의 종합 AI 법안 초안을 공개해 약 30일간의 공청회 절차에 들어갔다. 즉 "법이 없다"는 서술은 정확하지만, 그 공백이 규제 부재를 의미하지는 않는다는 점이 실무적으로 중요하다.
PDPA는 AI에 어떻게 적용되나?
PDPA는 2022년 전면 시행 이후 태국에서 개인정보를 다루는 모든 사업자에게 적용되는 일반법이다. AI 전담법이 없는 지금, AI 서비스가 개인정보를 수집·처리·활용하는 한 PDPA는 가장 먼저 검토해야 할 규범이다. 특히 2026년 2월 개인정보보호위원회(Personal Data Protection Committee, PDPC)가 공개한 "AI 개발 및 이용에 관한 개인정보보호 가이드라인" 초안은 실무에 직접 영향을 준다.
이 가이드라인 초안의 핵심 내용은 다음과 같다. 우선 AI 공급망 안에서 개인정보처리자(Data Controller)와 처리 수탁자(Data Processor)의 역할을 명확히 구분하도록 요구한다. 모델 파인튜닝이나 학습을 위탁하는 계약에는 학습 데이터의 재사용·재학습 금지 조항을 명시하도록 권고하고 있으며, 이는 특히 클라우드 기반 LLM 서비스를 도입하는 기업의 데이터 처리 계약(DPA)에 직접적인 영향을 준다. 또한 고위험 AI 시스템에 대해서는 개인정보 영향평가(DPIA)를 사실상 의무화하는 방향으로 서술되어 있고, AI 라이프사이클 전반 — 데이터 수집, 학습, 배포, 모니터링, 폐기 — 에 걸친 보안조치를 요구한다.
다만 이는 아직 초안(가이드라인 성격) 단계이며, 법률 그 자체는 아니다. 그럼에도 PDPC가 향후 집행 기준으로 삼을 가능성이 높기 때문에, 태국에서 AI 서비스를 운영하거나 태국 이용자 데이터를 처리하는 기업이라면 지금부터 개인정보 처리방침과 DPA 문서를 이 방향에 맞춰 정비해두는 편이 안전하다.
AI 전담법 초안, 어디까지 논의되고 있나?
2026년 7월 2일 ETDA가 공개한 AI 법안 초안은 유럽연합(EU) AI법의 위험기반(risk-based) 구조를 상당 부분 참고했다는 평가를 받는다. 다만 몇 가지 태국 고유의 특징이 있다. 하나는 AI로 인한 손해에 대해 엄격책임(strict liability)을 부과하는 방향이 검토되고 있다는 점이고, 다른 하나는 해외 AI 사업자에게 태국 내 현지 대리인 지정 의무를 부과하는 조항, 그리고 AI 생성 콘텐츠에 대한 라벨링(표시) 의무 조항이다.
위험 분류 체계는 3단계로 구성된 초안으로 알려져 있다. 잠재의식적 기법 등을 이용한 인지·행동 조작형 AI, 무관한 데이터 처리로 인해 광범위한 불공정 차별을 야기하는 AI 등을 금지 대상으로 분류하고, 그 밖의 고위험 유형은 향후 구성될 위원회의 고시로 정하도록 위임하는 구조다. 적용 범위도 눈여겨볼 대목이다. 초안은 "태국 내 사람들에게 영향을 미치는 AI의 개발·배포·기타 행위"에 적용된다고 규정하고 있어, 해외에 본사를 둔 사업자의 챗봇이나 스코어링 모델, 콘텐츠 생성 도구라도 태국 이용자에게 도달하면 역외적으로 적용될 여지가 있다. 이는 한국 기업이 태국 법인 없이 서비스만 제공하는 경우에도 안심할 수 없다는 뜻이다.
절차 면에서는 공개일로부터 약 30일간의 공청회를 거치도록 되어 있다. 만약 법으로 확정될 경우, 제품 출시 관련 핵심 조항은 공포 즉시 발효되고, 위험 통제 및 감독 관련 조항은 180일의 유예기간을 거쳐 시행되는 구조로 설계되어 있다고 알려져 있다. 다만 이는 어디까지나 공청회 단계의 초안이며, 국회 심의와 수정을 거치면서 세부 조항이 달라질 가능성이 크다. 시행 여부와 최종 시점은 아직 확정되지 않았다는 점을 분명히 해둔다.
| 구분 | 현재 상태(2026-07) | 주요 내용 |
|---|---|---|
| PDPA | 시행 중(2022년 전면 시행) | 개인정보 처리 일반법, AI 서비스에도 전면 적용 |
| PDPC AI 가이드라인 | 초안(2026년 2월 공개) | DPA 학습금지 조항, 고위험 AI DPIA, 라이프사이클 보안 |
| 국가 AI 정책·윤리 가이드라인 | 연성규범(soft law) | NSTDA·NECTEC 주도, 법적 구속력 없음 |
| ETDA AI법 초안 | 공청회 진행 중(2026-07-02 공개, 약 30일) | 위험기반 분류, 현지 대리인 의무, 라벨링, 엄격책임 |
| 분야별 규제(금융·의료·증권) | 부분 시행 | 태국은행·식약처·SEC 개별 지침 |
기존 가이드라인은 실제로 어떤 역할을 하나?
AI 전담법이 부재한 시기 동안 실무를 지탱해온 것은 연성규범(soft law) 성격의 가이드라인들이다. NSTDA와 NECTEC이 마련한 국가 AI 정책 및 윤리 프레임워크는 법적 구속력이 없지만, 공공조달이나 정부기관과의 협업 프로젝트에서는 사실상의 준수 기준으로 요구되는 경우가 많다. ETDA가 운영하는 AI 거버넌스 센터(AIGC)는 AI 표준안 마련과 국가 AI 등록 체계 구축을 병행하고 있어, 향후 법제화 이후 등록·인증 절차의 실무 창구가 될 가능성이 있다.
이런 구조는 신흥 규제 시장에서 흔히 나타나는 패턴이다. 법이 만들어지기 전, 가이드라인과 자율규제가 먼저 자리 잡고, 이후 법이 그 내용을 상당 부분 흡수하는 방식이다. 따라서 지금 시점에 태국에 진출하거나 진출을 준비하는 기업이라면, 아직 법이 없다고 대응을 미루기보다 PDPA 준수와 가이드라인 수준의 자율 점검을 먼저 갖추는 편이 향후 법제화 이후의 전환 비용을 줄이는 길이다.
한국 기업의 태국 진출, 실무에서 무엇이 달라지나?
한국 로펌이나 법무팀이 태국 진출 클라이언트를 지원할 때 가장 먼저 부딪히는 문제는 법 자체의 불확실성이 아니라 문서 현지화다. 개인정보 처리방침, 이용약관, DPA(데이터 처리 계약), AI 서비스 안내문 등을 태국어로 정확하게 작성해야 하는데, 단순 번역만으로는 PDPA나 PDPC 가이드라인이 요구하는 개념(개인정보처리자·수탁자 구분, DPIA, 데이터 주체 권리 고지 등)을 정확히 전달하기 어렵다. 특히 초안 단계인 ETDA AI법의 현지 대리인 지정 의무나 라벨링 의무가 실제로 확정될 경우, 관련 고지문·라벨 문구를 신속히 태국어로 정비해야 하는 상황이 올 수 있다.
또한 위에서 언급한 DPA의 학습금지 조항처럼, 한국 본사와 태국 현지 파트너·클라우드 사업자 간 계약서에 반영해야 할 조항들이 계속 늘어나는 추세다. 계약서 초안을 한국어로 작성한 뒤 태국어로 옮기고, 다시 PDPA 적합성을 검토하는 과정은 반복적이고 시간이 많이 든다. 이런 반복 작업에서 MeshLaw 같은 AI 법률 워크벤치는 초안 작성과 다국어 검토의 첫 단계를 빠르게 처리하는 데 도움이 될 수 있다. 다만 최종 검토와 현지 적합성 판단은 반드시 태국 현지 자격을 갖춘 변호사가 맡아야 한다는 점은 변하지 않는다.
실무적으로는 다음 순서를 권한다. 먼저 PDPA 기준으로 현재 개인정보 처리 흐름을 점검하고, 둘째로 PDPC의 2026년 2월 AI 가이드라인 초안 요구사항(DPIA, DPA 조항)을 선제적으로 반영하며, 셋째로 ETDA AI법 초안의 공청회 진행 상황을 주기적으로 모니터링해 법제화 시점에 대응할 준비를 해두는 것이다. 초안 단계의 규제를 성급히 확정된 것처럼 대응 문서에 못 박아 넣기보다는, "현재 논의 중"이라는 상태를 명확히 표기해 이후 개정에 유연하게 대응할 수 있도록 문서를 설계하는 것이 바람직하다.
결론
태국은 2026년 7월 현재 AI 전담법이 시행되지 않은 국가지만, 규제 공백 상태로 보기는 어렵다. PDPA라는 견고한 일반법이 이미 작동하고 있고, PDPC의 AI 가이드라인 초안이 개인정보 관점에서 실질적인 기준을 제시하고 있으며, ETDA가 주도하는 AI법 초안은 공청회를 거쳐 조만간 구체화될 가능성이 있다. 한국 기업 입장에서는 법 시행을 기다리기보다, PDPA 준수와 문서 현지화부터 지금 갖춰두는 편이 실질적인 리스크 관리에 가깝다. 이 글에서 다룬 초안 내용은 2026년 7월 기준 공청회 단계의 정보이며, 최종 입법 내용과는 달라질 수 있다는 점을 다시 한번 강조해둔다.
태국은 AI 전담법이 있나?
2026년 7월 현재 시행 중인 AI 전담법은 없다. 다만 ETDA가 2026년 7월 2일 공개한 초안이 공청회 단계에 있어, 향후 입법으로 이어질 가능성이 있다.
PDPA는 AI 서비스에도 적용되나?
그렇다. PDPA는 개인정보를 처리하는 모든 사업자에게 적용되는 일반법이므로, AI 학습과 서비스 운영 과정에서 개인정보를 다루는 한 별도의 AI법 유무와 무관하게 적용된다.
ETDA AI법 초안의 핵심 특징은 무엇인가?
EU AI법과 유사한 위험기반 분류 체계를 기본 골격으로 하면서, AI 손해에 대한 엄격책임, 해외 사업자의 현지 대리인 지정 의무, AI 생성 콘텐츠 라벨링 의무 등 태국 고유의 조항이 포함된 것으로 알려져 있다.
초안의 역외 적용 범위는 어디까지인가?
태국 내 사람들에게 영향을 미치는 AI의 개발·배포 행위에 적용되도록 설계되어 있어, 태국에 법인이 없는 해외 사업자의 서비스도 태국 이용자에게 도달하면 적용 대상이 될 수 있다.
PDPC의 AI 가이드라인은 법적 구속력이 있나?
2026년 2월 공개된 가이드라인은 아직 초안 단계로, 법 자체는 아니다. 다만 향후 PDPC 집행 기준으로 참조될 가능성이 높아 선제적으로 반영해두는 것이 안전하다.
고위험 AI 시스템에는 어떤 의무가 부과되나?
PDPC 가이드라인 초안 기준으로는 개인정보 영향평가(DPIA)가 사실상 요구되는 방향이며, ETDA AI법 초안에서는 별도의 위험 통제·감독 조항이 180일 유예 후 시행될 것으로 예정되어 있다고 알려져 있다.
한국 기업이 지금 당장 준비해야 할 것은 무엇인가?
PDPA 기준의 개인정보 처리 흐름 점검, DPA에 학습금지 조항 반영, 개인정보 처리방침·이용약관의 태국어 현지화가 우선순위다.
DPA(데이터 처리 계약)에서 특히 주의할 조항은?
AI 모델 학습을 위한 데이터 재사용·재학습 금지 조항, 개인정보처리자와 수탁자의 역할 구분, 보안조치 및 통지 의무 조항이 PDPC 가이드라인 초안에서 강조되고 있다.
ETDA는 어떤 기관인가?
전자거래개발청(Electronic Transactions Development Agency)으로, AI 거버넌스 센터(AIGC) 운영과 AI 표준·등록 체계 구축을 주도하며 2026년 AI법 초안을 발의한 기관이다.
금융·의료 분야는 별도 규제를 받나?
그렇다. 태국은행, 식약처, SEC 등 분야별 규제기관이 신용평가 모형이나 의료기기 AI 등 고위험 영역에 대해 개별 지침을 운영하고 있다.
공청회가 끝나면 바로 법이 시행되나?
아니다. 공청회 이후 국회 심의와 수정 절차가 남아 있어 최종 조문과 시행 시점은 달라질 수 있다. 현재는 초안 단계임을 분명히 인지해야 한다.
AI 생성 콘텐츠 라벨링 의무는 구체적으로 무엇을 요구하나?
초안 수준에서는 AI로 생성된 콘텐츠임을 표시하도록 하는 방향으로 알려져 있으나, 세부 기준(표시 방식, 예외 대상 등)은 아직 공개된 조문만으로 단정하기 어렵다.
태국 진출 시 문서는 번역만 하면 충분한가?
충분하지 않다. PDPA와 PDPC 가이드라인이 요구하는 개념(DPIA, 처리자·수탁자 구분 등)을 정확히 반영해야 하며, 단순 번역은 법적 요건을 누락시킬 위험이 있다.
이 글은 법률 자문인가?
아니다. 이 글은 2026년 7월 기준 공개된 정보를 바탕으로 한 일반적 정보 제공이며, 태국 AI법 초안은 아직 확정되지 않았다. 구체적인 사안에는 태국 현지 자격을 갖춘 변호사의 법률 자문을 받아야 한다.