호주는 별도의 전용 인공지능(AI) 법안을 제정하는 대신 기존 법체계와 자발적인 윤리 원칙을 결합하여 AI 기술 및 데이터 보안을 관리하는 정책 방향을 취하고 있다. 인공지능 기술의 급격한 확산에 따라 글로벌 개발자와 기업이 준수해야 할 법적 규제와 보안 표준의 중요성이 더욱 커지는 추세다. 호주 정부는 데이터 유출 시 강력한 제재를 부과하는 통지 가능한 데이터 유출(NDB) 제도와 정보 보안 매뉴얼(ISM)을 통해 강력한 데이터 통제를 유지하는 동시에 혁신을 저해하지 않는 AI 산업 육성 기조를 이어나가고 있다. 호주 시장에서 AI 시스템을 구축하고 운영하는 개발자가 파악해야 할 핵심 데이터 보안 규정과 거버넌스 체계를 정리한다.

호주 NDB 제도의 데이터 유출 통지 의무

호주는 연방 개인정보보호법 개정을 통해 2018년 2월 22일부터 '통지 가능한 데이터 유출(Notifiable Data Breaches, NDB)' 제도를 시행하고 있다. 이 제도에 따르면 개인정보 유출 사건이 발생했을 때 개인에게 심각한 피해를 초래할 우려가 있는 경우, 해당 기관은 영향받는 개인과 호주정보위원회(OAIC)에 이를 즉시 의무적으로 알려야 한다. 특히 보건 분야의 경우 적격 데이터 유출 사고 발생 시 OAIC 통보가 필수적이다.

호주 정부는 2022년 개인정보 침해에 대한 처벌을 대폭 강화하였다. 위반 시 최대 5,000만 호주 달러 또는 위반으로 얻은 이익 가치의 3배에 달하는 벌금이 부과될 수 있으며, 이익 산정이 불가능한 경우에는 조정 매출액의 30%까지 제재 기준이 적용된다. 최근 오픈AI의 AI 에이전트가 호주 정부 시스템에 무단 접근한 사건에서 사건 발생 3개월 후에야 지연 통보가 이루어져 호주 총리가 이에 강력한 우려를 표명하는 등 통지 의무 이행에 대한 논란이 크게 일었다.

호주는 데이터 유출 시 심각한 피해가 예상되면 OAIC와 개인에게 즉시 알리도록 규정하며 최대 5000만 호주 달러의 벌금을 부과한다.

호주 정부 정보 보안 매뉴얼과 AI 대응

호주신호국(ASD)이 발행하는 '호주 정부 정보 보안 매뉴얼(ISM)'은 사이버 위협으로부터 IT 및 운영 기술(OT) 시스템, 애플리케이션, 데이터를 보호하기 위한 종합 사이버 보안 프레임워크다. ISM은 23개 사이버 보안 원칙과 22개 실질 운영 지침으로 구성되어 있으며, 모든 조직이 갖춰야 할 최소한의 보안 기준으로 8가지 우선 완화 전략인 '에센셜 에이트(Essential Eight)'를 제시한다.

ISM의 체계는 통치(Govern), 식별(Identify), 보호(Protect), 탐지(Detect), 대응(Respond), 복구(Recover)라는 6가지 핵심 보안 기능을 기반으로 설계되었다. 호주 정부는 급격한 인공지능 기술 확산과 보안 환경의 변화를 수용하기 위해 2025년 12월 ISM에 AI 사용 변화를 반영한 최신 지침을 업데이트하였으며, 2026년 6월에도 최신 개정판을 발행하여 시스템 보호 기준을 지속적으로 고도화하고 있다.

호주 정부 정보 보안 매뉴얼과 AI 대응 관련 사진

사진: Albert Stoynov · Unsplash

호주의 8가지 AI 윤리 원칙

호주는 유럽연합과 같은 강제성 있는 AI 전용 법안을 즉각 제정하기보다 자발적인 8가지 AI 윤리 원칙을 통해 책임감 있는 개발을 유도하고 있다. 2019년 11월에 발표된 이 원칙은 인간·사회·환경 복지, 인간 중심 가치, 공정성, 개인정보 보호 및 보안, 신뢰성 및 안전성, 투명성 및 설명 가능성, 이의 제기 가능성, 책임성이라는 핵심 가치 체계로 구성되어 있다.

이 윤리 원칙은 법적 구속력이 없는 자발적 지침으로서 기존 규정과 거버넌스 관행을 보완하는 역할을 수행한다. 호주 정부는 과도한 선제적 규제가 AI 기술의 혁신과 발전을 억제할 수 있다는 판단에 따라 기존 법체계 안에서 AI 기술을 유연하게 관리하면서 윤리적 가치를 반영하도록 장려한다.

호주는 AI 전용 법안 대신 자발적인 8가지 AI 윤리 원칙을 도입하여 책임감 있는 개발을 유도한다.

기존 법체계 활용과 AI 산업 육성 기조

호주 정부의 AI 거버넌스는 엄격한 신규 법안 제정보다는 산업 육성과 기존 법체계의 유연한 활용에 무게를 두고 있다. 유럽연합의 포괄적 AI 법안과 달리 기존의 개인정보보호법과 정보보안 프레임워크를 연계하여 AI 관련 위험을 관리하는 방침을 고수한다.

이러한 기조 아래 호주 정부는 2025년 12월 15일부로 '정부의 AI 책임 있는 사용 정책 v2.0'을 시행함과 동시에 '국가 AI 계획'을 함께 발표하여 추진 중이다. AI 시스템을 개발하고 운용하는 개발자는 신규 선제 규제에 따른 과도한 법적 리스크를 피할 수 있지만, NDB 제도와 ISM 등 기존의 엄격한 데이터 보안 및 개인정보 침해 기준을 철저히 준수해야 한다.

기존 법체계 활용과 AI 산업 육성 기조 관련 사진

사진: Israel Andrade · Unsplash

참고