영국 AI 규제 2026 — 전담법 없는 "친혁신" 접근의 실제
한줄 요약: 영국은 2026년 7월 현재도 EU식 전담 AI법을 두지 않고, ICO·CMA·FCA 등 기존 규제기관이 각자 영역에서 AI를 규율하는 "친혁신(pro-innovation)" 원칙 기반 접근을 유지하고 있다. 다만 데이터보호법 개정과 자동화 의사결정 코드, 그리고 "Regulating for Growth Bill"의 AI 샌드박스 도입으로 규율의 결이 조금씩 촘촘해지는 중이다.
영국은 왜 EU식 AI법을 만들지 않았나?
2023년 보수당 정부가 발표한 백서 "A pro-innovation approach to AI regulation"은 영국 AI 정책의 기본 철학을 정했다. 핵심은 단순하다. AI라는 기술 자체를 규제하는 별도 법을 만들지 않고, 이미 존재하는 섹터별 규제기관—정보커미셔너실(ICO), 경쟁시장청(CMA), 금융행위감독청(FCA), 통신방송규제청(Ofcom) 등—이 각자의 법정 권한 안에서 AI 활용 사례를 규율하도록 맡긴다는 것이다. 이 원칙은 2024년 총선으로 노동당 정부가 들어선 이후에도 큰 틀에서 이어지고 있다.
노동당은 집권 전 공약과 2024년 국왕연설(King's Speech)에서 "가장 강력한 소수 AI 모델 개발사에 대한 구속력 있는 규제"를 도입하겠다고 시사했지만, 2026년 7월 현재까지 그런 전담 입법은 의회에 제출되지 않았다. 2025년 2월 정부는 오히려 "대부분의 AI 시스템은 사용 시점(point of use)에서 규제되어야 하고, 기존 전문 규제기관이 이를 담당하기에 가장 적합하다"는 입장을 재확인했다. 2026년 5월 13일 찰스 3세의 국왕연설에서도 이번 회기 37개 법안 중 AI 전담법은 없었고, 대신 "Regulating for Growth Bill"이라는 규제 개혁 법안이 발표됐다. 즉 영국의 선택은 "AI법 없음"이 아니라 "AI 전용법 없음 + 기존 규제기관 활용 + 성장 친화적 샌드박스"라는 삼중 구조로 요약할 수 있다.
이 접근의 배경에는 브렉시트 이후 규제 유연성을 스스로의 경쟁우위로 삼으려는 정치적 판단이 있다. EU AI Act처럼 위험 등급별 사전 의무를 광범위하게 부과하면 스타트업의 컴플라이언스 부담이 커지고, 미국·EU 사이에서 "제3의 길"을 표방해온 영국의 입지가 흐려질 수 있다는 우려다. 실제로 2025년 AI 스타트업 대표 중 상당수가 규제 복잡성을 이유로 해외 이전을 고려한다는 조사 결과도 나온 바 있다.
섹터별 규제기관은 실제로 무엇을 하고 있나?
"전담법이 없다"는 말이 "규율이 없다"는 뜻은 아니다. 각 규제기관은 이미 자신의 법정 권한 안에서 AI 이슈에 대한 지침·조사·집행을 축적하고 있다.
- ICO(정보커미셔너실)는 UK GDPR과 데이터보호법 2018을 근거로 AI의 개인정보 처리, 자동화 의사결정, 프로파일링을 규율한다. 2025년 6월 제정된 데이터(이용 및 접근)법(Data (Use and Access) Act 2025)의 주요 조항이 2026년 2월 5일 시행되면서, 완전자동화 의사결정에 대한 요건이 일부 완화되되 인간 재검토 청구권 등 안전장치는 유지됐다. 2026년 3월에는 자동화 의사결정·프로파일링에 관한 지침 초안이 공개 의견수렴에 부쳐졌고(5월 마감), 최종 지침은 2026년 여름 발표가 예정돼 있다. 나아가 2026년 5월 12일 발효된 법정 시행령(UKSI 2026/425)은 AI·자동화 의사결정에 관한 실무 코드(Code of Practice)를 처음으로 법정 지위로 격상시켰으며, 코드 본문은 2027년 중 확정될 전망이다.
- CMA(경쟁시장청)는 파운데이션 모델 시장의 경쟁 구조를 별도 조사(AI Foundation Models Initial Review)로 다뤄왔다. 컴퓨팅·데이터·전문인력 같은 핵심 투입요소를 소수 기업이 통제하면서 경쟁을 제한할 위험을 지적하고, "공정하고 개방적이며 효과적인 경쟁"을 위한 6개 AI 원칙을 제시했다. 이 원칙은 법적 구속력은 없지만, 향후 디지털시장·경쟁·소비자법(DMCCB) 집행 우선순위에 반영될 신호로 읽힌다.
- FCA·PRA·영란은행은 금융 부문 AI를 기존 금융감독체계(FSMA, Consumer Duty) 안에서 다룬다는 입장을 일관되게 밝혀왔다. 2026년 3월 FCA가 발표한 2026/27 업무계획은 "Supercharged Sandbox"를 신규 참여 기업군으로 확대하는 내용을 담아, 금융 AI 실험을 위한 규제유예 공간을 넓히고 있다.
- Ofcom은 온라인안전법(Online Safety Act 2023)과 통신보안법 아래에서 알고리즘 추천·콘텐츠 조정 관련 AI를 규율한다.
즉 영국 기업이 AI 프로젝트를 검토할 때는 "AI법 준수"라는 단일 체크리스트가 아니라, 자신이 속한 산업의 규제기관이 요구하는 기존 법적 의무(데이터보호, 소비자보호, 금융규제, 경쟁법)를 AI 맥락에 맞게 재해석하는 작업이 된다.
EU AI Act와 무엇이 다른가?
EU AI Act는 위험 기반 분류(금지·고위험·제한적 위험·최소 위험)에 따라 사전 의무—적합성 평가, 등록, 투명성 표시, 인간 감독 체계 구축—를 광범위하게 부과하는 수평적(horizontal) 입법이다. 반면 영국은 그런 수평 입법 없이, 각 규제기관이 자신의 기존 법정 권한 범위에서 사후적·맥락적으로 개입하는 수직적(vertical) 접근을 취한다.
| 구분 | EU (AI Act) | 영국 (2026년 7월 기준) |
|---|---|---|
| 전담 AI 입법 | 있음 (2024년 발효, 단계적 시행) | 없음 (2026년 5월 국왕연설에도 미포함) |
| 규제 방식 | 위험등급별 사전 의무 (수평적 단일법) | 기존 섹터별 규제기관의 사후·맥락적 규율 (수직적 다원화) |
| 규제기관 | 단일 AI 감독체계 + 회원국 시장감시기관 | ICO·CMA·FCA·Ofcom 등 다수 기관 병존 |
| 샌드박스 | 회원국별 규제 샌드박스 (AI Act 내 근거) | AI Growth Lab (Regulating for Growth Bill 근거, 도입 예정) |
| 자동화 의사결정 규율 | AI Act + GDPR 병행 | UK GDPR + 데이터(이용 및 접근)법 2025 + ICO 코드(2026~2027 단계적 확정) |
| 기본 철학 | 사전 예방·권리 보호 중심 | 혁신 촉진·사후 대응 중심, "성장 의무(growth duty)" 강조 |
이 차이는 영국에 진출하거나 영국 이용자를 상대하는 기업에 실질적 함의를 준다. EU AI Act 준수 체계를 그대로 영국에 적용하면 과잉대응이 될 수도 있고, 반대로 "영국은 AI법이 없으니 안전하다"고 판단하면 ICO나 CMA의 개별 집행에 놀랄 수도 있다. 두 법역을 동시에 상대하는 기업이라면 규제 지형이 근본적으로 다르다는 점을 문서화된 컴플라이언스 매트릭스로 정리해 둘 필요가 있다.
브렉시트 이후 규제 독자노선과 성장 우선주의
2026년 5월 발표된 "Regulating for Growth Bill"은 이 독자노선을 제도화하는 시도다. 법안의 핵심은 두 가지다. 첫째, 규제기관에 "성장 의무(growth duty)"를 명시적으로 부여해 소비자·근로자·기본권 보호라는 본연의 기능을 훼손하지 않는 범위에서 경제성장을 우선 고려하도록 한다. 둘째, "AI Growth Lab"이라는 대규모 규제 샌드박스를 신설해, 장관이 특정 규정을 한시적으로 조정하거나 유예할 수 있는 "범경제(cross-economy) 샌드박스 권한"을 부여한다. 이는 2025년 10월 과학혁신기술부(DSIT)가 컨설테이션을 시작한 제안이 입법으로 이어진 것이다.
정부는 2026년 1월 발표한 "AI Opportunities Action Plan: One Year On" 보고서에서 2025년 초 제시한 50개 권고 중 38개가 첫 1년 안에 이행됐다고 평가했다. AI가 2025년 영국 GDP에 약 118억 파운드를 기여했다는 추산도 함께 제시되며, 성장 서사가 규제 정책의 중심에 자리하고 있음을 보여준다. 다만 이런 성장 중심 서사가 소비자 보호·데이터 프라이버시 원칙과 어떻게 균형을 이룰지는 ICO의 자동화 의사결정 코드 최종안(2027년 확정 예정)이 나와야 더 분명해질 것이다.
이런 흐름에서 실무자가 주의할 점은, "법이 없다"는 것이 "규율이 느슨하다"와 동의어가 아니라는 것이다. 오히려 규제기관별로 지침·조사보고서·코드가 파편적으로 누적되는 구조이기 때문에, 어느 시점의 어느 문서가 구속력을 갖는지 추적하는 부담이 EU식 단일법 체계보다 오히려 클 수 있다.
로펌·기업 실무에는 어떤 영향이 있나?
영국에서 AI 관련 자문을 수행하거나 AI 시스템을 도입하는 기업 법무팀은 다음과 같은 실무 과제에 직면한다.
- 단일 체크리스트 부재: EU AI Act처럼 "이 조항을 따르면 끝"인 단일 법이 없으므로, 데이터보호(ICO), 경쟁(CMA), 업종별 감독(FCA·Ofcom 등)을 개별적으로 매핑하는 컴플라이언스 설계가 필요하다.
- 자동화 의사결정 대응: 채용, 신용평가, 보험 심사 등 개인에게 법적·유사 효과를 미치는 자동화 의사결정을 수행하는 기업은 데이터(이용 및 접근)법 2025 개정 내용과 ICO 코드 초안의 요구사항(인간 재검토권, 이의제기 절차, 특별범주 데이터 처리 시 안전장치)을 선제적으로 반영해야 한다.
- 샌드박스 활용 검토: AI Growth Lab이 실제 가동되면, 규제 유예를 받아 실증 테스트를 진행하려는 기업은 신청 요건과 데이터 확보 계획을 사전에 준비하는 것이 유리하다.
- 다법역 매트릭스 관리: EU·미국 등 여러 법역에서 동시에 사업하는 기업은 영국의 "규제기관별 파편적 규율"과 EU의 "단일 수평법"이라는 서로 다른 논리를 하나의 거버넌스 문서로 통합 관리할 필요가 있다.
이런 실무에서는 여러 규제기관의 지침 문서, 컨설테이션 초안, 코드 오브 프랙티스가 계속 갱신되기 때문에 최신 버전을 놓치지 않고 정리하는 작업 자체가 부담이 된다. MeshLaw 같은 AI 기반 법률 업무 도구는 이런 다출처 규제 문서를 정리하고 초안 형태의 내부 가이드나 컴플라이언스 메모를 만드는 과정에서 시간을 절약하는 데 도움이 될 수 있다. 다만 최종 법적 판단과 규제기관별 세부 요건 확인은 자격을 갖춘 변호사의 검토를 거쳐야 한다.
결론
2026년 7월 기준 영국은 EU식 전담 AI법을 두지 않는다는 원칙을 여전히 고수하고 있다. 대신 ICO·CMA·FCA·Ofcom 등 기존 규제기관이 각자의 법정 권한 안에서 AI 활용을 규율하고, 데이터(이용 및 접근)법 2025 개정과 자동화 의사결정 코드, 그리고 "Regulating for Growth Bill"이 도입할 AI Growth Lab 샌드박스가 이 접근을 보완하고 있다. 전담법이 없다는 사실만으로 규제 리스크가 낮다고 단정하기는 어렵고, 오히려 다수 규제기관의 파편화된 지침을 추적해야 하는 별도의 실무 부담이 존재한다. 이 글에서 다룬 내용은 2026년 7월 시점의 일반적 개관이며, 개별 사안에는 반드시 최신 규제기관 공식 문서와 변호사 자문을 확인해야 한다.
영국은 AI 관련 법이 아예 없는 것인가?
아니다. AI를 명시적으로 정의하고 규율하는 전담법이 없다는 뜻이다. UK GDPR, 데이터보호법 2018, 소비자보호법, 경쟁법, 금융규제법(FSMA) 등 기존 법이 AI가 활용되는 맥락에 적용된다.
EU AI Act가 영국 기업에도 적용되는가?
EU 역내 이용자에게 서비스를 제공하거나 EU 시장에 영향을 미치는 AI 시스템을 운용한다면 역외적용 가능성이 있다. 영국 내수만을 대상으로 하는 사업이라도 EU 고객이 있다면 별도 검토가 필요하다.
ICO의 자동화 의사결정 코드는 언제 확정되는가?
2026년 3월 공개된 지침 초안에 대한 의견수렴이 5월에 마감됐고, 최종 지침은 2026년 여름 발표가 예정돼 있다. 법정 코드 오브 프랙티스 본문은 2027년 중 확정될 전망이다.
Regulating for Growth Bill은 언제 시행되나?
2026년 5월 13일 국왕연설에서 발표된 법안으로, 이 글 작성 시점에는 의회 심의 단계에 있다. 실제 시행 시기와 AI Growth Lab의 세부 운영 방식은 입법 과정에서 조정될 수 있다.
AI Growth Lab은 구체적으로 어떤 기능을 하나?
범경제 규제 샌드박스로, 장관이 특정 규정을 한시적으로 조정하거나 유예해 AI 시스템을 실제 환경에서 통제된 방식으로 테스트할 수 있도록 하는 것이 골자다. 세부 신청 요건과 대상 산업은 아직 확정되지 않았다.
CMA의 AI 원칙은 법적 구속력이 있는가?
없다. 파운데이션 모델 시장의 공정 경쟁을 위한 가이드라인 성격이며, 향후 디지털시장·경쟁·소비자법 집행에서 참고될 수 있는 정책 신호로 이해하는 것이 정확하다.
영국 금융권 AI는 별도로 규제되는가?
FCA·PRA·영란은행은 AI 전용 규칙을 만들기보다 기존 FSMA 체계와 Consumer Duty 안에서 AI를 감독한다는 입장을 유지해왔다. 2026년 업무계획에서는 Supercharged Sandbox 확대 등 실험적 접근이 강조됐다.
데이터(이용 및 접근)법 2025는 GDPR을 완화한 것인가?
완전자동화 의사결정에 대한 요건을 일부 완화하되, 개인의 인간 재검토 청구권과 이의제기권 등 핵심 안전장치는 유지하는 방향으로 개정됐다. "완화"와 "안전장치 유지"가 동시에 이뤄진 점에 유의해야 한다.
영국 스타트업이 규제를 이유로 해외 이전을 고려한다는 것이 사실인가?
업계 조사에서 그런 우려가 보고된 바 있으나, 이는 설문 응답 기반의 정성적 지표이며 실제 이전 규모를 나타내는 공식 통계는 아니다. 참고 자료로만 활용하는 것이 바람직하다.
영국 접근 방식이 EU보다 기업에 유리한가?
사전 컴플라이언스 부담은 상대적으로 적을 수 있으나, 여러 규제기관의 개별 지침을 지속적으로 추적해야 하는 부담이 있다. 어느 쪽이 "유리"한지는 산업, 사업 모델, 위험 노출도에 따라 달라진다.
브렉시트가 영국 AI 규제 방향에 실제로 영향을 미쳤는가?
EU AI Act와 다른 독자적 접근을 취할 수 있게 된 배경에는 브렉시트로 인한 입법 자율성이 있다. 다만 이것이 유일한 이유는 아니며, 산업 성장 우선 정책 기조도 함께 작용했다고 보는 것이 일반적이다.
이 글은 법률 자문인가?
아니다. 이 글은 2026년 7월 기준 공개된 정보를 바탕으로 한 일반적 개관이며 특정 사안에 대한 법률 자문을 대체하지 않는다. 실제 거래나 컴플라이언스 설계는 반드시 자격을 갖춘 변호사와 상담해야 한다.
영국 AI 규제 동향은 앞으로 어떻게 변할 가능성이 있나?
ICO 코드 오브 프랙티스 확정(2027년경), Regulating for Growth Bill의 실제 입법 통과 여부, CMA의 파운데이션 모델 시장 조사 후속 조치 등이 향후 방향을 좌우할 주요 변수다. 정치적 상황에 따라 정부가 입장을 재조정할 가능성도 배제할 수 없다.