요약

  • TRAI 초안은 외부 업체가 만든 AI라도 통신망이나 서비스에 사용하면 허가받은 사업자가 결과를 책임지도록 한다.
  • 사업자는 이사회 승인 AI 정책, 시스템 목록, 배포 전 평가, 사고 데이터베이스, 고위 임원이 이끄는 거버넌스 위원회를 갖춰야 한다.
  • TEC 57090:2025가 사고 심각도의 정성적 기준을 제시하지만, critical·high 사고의 보고 양식과 시한은 초안에 없다.

모델을 외주로 사도 책임은 발주처에 남는다

인도 통신규제청(TRAI)의 초안은 통신망이나 서비스에 AI를 쓰는 허가 사업자에게 책임을 둔다. 제3.8조는 시스템을 자체 개발했는지, 외부 업체에서 사 왔는지, 두 방식을 섞었는지와 무관하게 그 결과에 대한 책임이 해당 사업자에게 있다고 정한다. 구매 계약으로 비용과 감사 권한을 나눌 수는 있다. 초안이 사업자에게 지운 규제 책임까지 공급사로 넘길 수는 없다.

AI는 망 운영과 서비스 제공에 들어가고, 그 결과는 이용자에게 닿는다. 초안은 통신 서비스 면허 보유자와 망의 구축·운영·유지·확장 권한을 받은 기관 가운데, 해당 업무에 AI를 이미 쓰거나 도입하려는 곳을 대상으로 한다. 소비자용 AI 전체를 다루는 규정은 아니다. TRAI는 2026년 10월 30일 초안을 공개했고, 의견 제출 기한은 11월 27일이다. TRAI 협의 페이지와 인도 통신부 발표가 그 기한을 기록한다.

통제의 출발점은 이사회 또는 그에 준하는 의사결정기구다. 이 기구는 내부 AI 정책을 승인하고, 사업자는 각 시스템을 네트워크나 서비스에 미치는 중요도에 따라 high, medium, low로 분류한다. 재무·운영 결과와 소비자 영향도 고려 대상이다. 지정된 책임자가 시스템 사용을 승인하며, 위험 등급에 따라 승인 권한을 위임할 수 있다.

새 시스템을 배포하거나 기존 시스템을 바꾸기 전에는 검증, 적합성 평가, 영향 평가가 필요하다. 초안이 열거한 항목은 정확도, 설명 가능성, 공정성, 성능 드리프트 대응, 사람의 감독이다. 외부 업체 제품을 쓸 때는 업체의 신뢰성, 시스템의 한계, 학습 데이터의 품질과 적합성도 확인해야 한다. 목록에는 사용 중·미사용·폐기 시스템을 모두 넣고 출처, 목적, 위험 등급을 남긴다. 목록에 없는 시스템은 가동할 수 없다.

위원회도 서류상 장식으로 남지 않도록 역할이 구체화돼 있다. 이사회 승인 아래 AI Governance and Safety Committee가 네트워크 운영, 서비스 제공, IT, 데이터, 규제, 소비자 업무를 모은다. 고위 임원이 AI Governance and Safety Officer로 위원장을 맡는다. 위원회는 매 회계연도 최소 한 번 시스템 성능과 사고 기록을 검토하고, 수정이나 폐기를 요구할 수 있다. 정책과 변경 사항은 효력 발생 뒤 7영업일 안에 TRAI에 제출해야 한다.

시스템의 위험 등급과 사고의 심각도는 별개다

초안에는 서로 다른 두 분류가 있다. high·medium·low는 개별 AI 시스템이 사업과 서비스에 얼마나 중요한지를 가리킨다. critical·high·moderate·low는 실제 사고의 심각도를 나타낸다. 모든 사고를 기록하고 조사·분석해야 하며, TRAI 통보 대상은 critical과 high 사고다.

사고 심각도를 기업마다 제각각 만들도록 두지는 않았다. 초안은 사고 기록에 TEC 57090:2025 또는 동등한 분류 체계를 쓰도록 한다. 이 표준은 전국 단위의 대규모 장애나 완전한 서비스 실패를 critical, 중대한 중단이나 심각한 서비스 저하를 high, 지역 장애나 부분적 저하를 moderate, 짧고 경미한 저하를 low의 사례로 든다. TEC의 공식 고시 표준 목록에는 2026년 4월 24일 고시가 기록돼 있다.

이 사례들은 공통 언어를 제공하지만 점수 계산식은 아니다. 초안은 동등한 분류 체계도 허용한다. critical·high 사고를 TRAI에 알릴 때는 정해진 양식과 방법, 기한을 따르도록 하지만, 현재 협의문에는 양식도 몇 시간 또는 며칠 이내라는 시한도 없다.

사업자는 테스트 중 발견한 사고까지 포함하는 중앙 사고 데이터베이스를 유지해야 한다. 이용자가 신고한 AI 관련 피해와 처리 내용은 별도 데이터베이스에 남긴다. 민원은 사업자가 정한 ‘합리적인 기간’ 안에 해결해야 한다. TRAI는 평가서와 보고서, 그 밖의 기록을 요구할 수 있고, 사고 정보는 업계 차원의 학습과 위험 평가에 활용될 수 있다. 내부 데이터베이스 공개나 업계 통계 발간은 초안이 의무화하지 않았다.

사업자 간 사고 기록을 공개해 비슷한 사건의 분류를 비교할 자료는 현재 없다. TRAI가 이후 지침에서 통보 기준, 필수 항목, 기산 시점을 정하면 high 사고의 보고가 사업자마다 얼마나 일관적인지 확인할 수 있다.

공통 보고 시계는 규제기관이, 운영 판단은 사업자가

이 책임 배분은 실제 통제권을 따라간다. 사업자는 시스템을 고르고, 사용을 승인하고, 납품업체를 검토하고, 변경을 관리하며, 사고 기록을 보관한다. 1997년 TRAI법은 서비스 품질과 소비자 보호에 관한 규제기관의 역할을 둔다. 인도 AI 거버넌스 지침도 TRAI를 분야별 규칙을 마련할 부문 규제기관으로 꼽는다. 공식 연표에는 어긋남이 있다. TRAI 초안과 2026년 10월 30일 PIB 발표는 지침이 2026년 2월에 공개됐다고 적었지만, 2025년 11월 5일 PIB 발표는 그날 지침을 공개했다고 기록하고 2026년 2월 15일 PIB 개요는 India AI Impact Summit에서의 공개를 언급한다. 공개 버전 이력이 있으면 서로 다른 판본인지 확인할 수 있다.

TRAI는 사업자 간 비교에 필요한 최소 공통선을 정해야 한다. 어떤 사건을 신고해야 하는지, 어느 시점부터 시간이 흐르는지, 어떤 항목을 제출해야 하는지, 동등한 분류 체계를 어떤 기준으로 인정할지를 통일할 수 있다. 어떤 시스템을 더 면밀히 감시할지, 납품업체를 어떻게 검증할지, 누가 버전 변경을 승인할지, 어떤 사람이 결과를 감독할지는 사업자에게 맡길 수 있다. 망마다 운영 조건은 다르다. 같은 규제기관에 같은 급의 심각한 사고를 알리는 시계까지 사업자별로 달라야 할 이유는 없다.

의견 제출은 11월 27일 마감된다. 최종 지침은 외부 업체가 만든 AI도 사업자가 결과를 책임진다는 초안의 핵심을 유지하면서, 그 책임을 실제로 확인할 보고 절차까지 붙일지 결정하게 된다.

출처