1) 교통안전법은 '도로교통법'에 의한 차마 또는 노면전차, '철도산업발전기본법'에 의한 철도차량, '궤도운송법'에 따른 차량은 물론이고 '해사 안전 기본법'에 따른 선박, '항공 안전법'에 따른 항공기를 모두 '교통수단'으로 열거하고 있습니다. 또한 도로ㆍ철도ㆍ궤도ㆍ항만ㆍ어항ㆍ수로ㆍ공항ㆍ비행장 등은 물론이고 교통안전표지ㆍ교통관제 시설ㆍ항행안전시설 등의 보조시설 또한 '교통시설'로 정의하고 있고, '교통체계'는 더 광범위하게 교통수단과 교통시설의 이용ㆍ관리ㆍ운영체계 또는 이와 관련된 산업 및 제도 등을 말하는 것으로 정의하고 있습니다.

 따라서 우리 법상 자율주행차는 교통수단 중 하나로서 도로라는 교통시설을 이용하면서 디지털 교통체계 속에서 AI에 의해 스스로 판단, 움직여야 하는 것으로 정의됩니다. 그런 교통수단은 민간제조업체의 경쟁영역에 속하지만, AI 자율주행차의 판단과 운전을 가능하게 하는 교통시설과 교통체계는 공공 기반 영역이기 때문에 정부의 적극적 투자와 역할이 필수적인 복합적 구조에 들어가 있다고 할 수 있습니다.

2) EU AI 법은 고위험을 제6조에서 부록 I과 III으로 나눠 분류하고 있고, 부록 I은 AI 시스템이 제품의 안전구성요소(safety components)로 들어가거나 AI 시스템이 제품 자체가 되어 판매되며, 또한 제3자로부터 적합성 평가(conformity assessment)을 받도록 요구되는 제품군을 지칭하고 있기 때문에 육상, 해상, 항공의 전통적 교통수단들을 모두 포괄하게 됩니다. 이에 반해, 부록 III는 새로운 유형의 AI 고위험 영역 중 하나로 ‘핵심기반'(critical infrastructure)이라는 영역을 규정하고, 이를 '핵심 디지털 기반'(critical digital infrastructure), '도로교통'(road traffic), 그리고 물, 가스, 난방, 전기의 세 가지 영역으로 각각 구분하여 규정하고 있습니다.

 즉 AI '도로교통'은 지능형 교통 신호등, 자율주행 차량의 안전 기능, 철도 또는 항공 교통 관제 시스템 등 물리적 운송 시스템의 관리 및 운영에 사용되는 안전 구성요소이면서 핵심 기반(critical infrastructure)이기 때문에 EU AI 법은 새로운 고위험 규제의 대상을 부록 III에서 '도로교통의 관리와 운영에 사용된 안전구성요소'로 명확히 하고 있습니다. 반면, 제품 (product)으로서의 자동차를 포함한 해상, 항공 등에서의 다양한 교통수단에 대해서는 안전구성요소에 대한 전통적 규제법들이 부록 I에서 명시됨으로써 결과적으로 우리의 AI 기본법처럼 EU도 교통수단, 교통시설, 교통체계를 다 포괄하여 고위험 영역으로 규율하는 구조를 취합니다.

 전자의 'AI가 스스로 판단하여 교통수단은 물론이고 교통시설, 교통체계의 주요한 작동 및 운용에 대한 의사결정을 내린다'라는 것은 "종래의 규칙 기반으로 미리 정해진 논리에 따라 작동 및 운용되지 않고, AI가 학습한 데이터에 기반한 추론 결과에 따라 주요한 작동 및 운용에 대한 의사결정이 내려지는 것"이라고 설명하고 있습니다. 따라서 논리적으로 사람이 주요한 작동 및 운용을 위한 의사결정을 내리고, AI 시스템 결과가 의사결정의 참고용, 보조용으로 사용되는 정도라면 고영향 AI로 분류되지 못합니다. 또한 후자의 잠재적 피해 정도를 평가하면서 스쿨존/교차로/철도 건널목 등과 같이 특별히 안전조치가 강화된 곳에 영향을 미치면 잠재적 피해 정도가 높은 것으로 평가합니다.

 레벨 3까지의 감독형 자율주행이 인간 운전자의 인지, 판단 반응을 전제로 운전자 중심의 교통 신호와 표시, 시설을 설계, 관리하였다면 인간의 개입이 원칙적으로 불필요한 레벨 4 이상의 자율주행은 AI가 인지하고 데이터신호를 주고받으면서 운행이 가능할 수 있도록 ‘교통시설’의 개념을 디지털신호, 통신설비, 센서 기반 등으로, ‘교통체계’는 AI·통신 인프라의 일부로 재설계되면서 중앙관리형 스마트 교통 시스템으로 바뀌게 됩니다.

 구체적으로 현재의 AI 기본법상 도로교통 분야 고영향 영역의 법으로 명시된 '교통안전법'도 물리적 교통시설과 단속적 성격 중심의 법이 아니라 완전 자율주행차 시대에는 지능형 신호기, 디지털 교통표지, 도로 센서 및 IoT 설비, 교통 데이터플랫폼, 차량 통신 등 스마트 교통시설, 교통체계를 중심으로 고영향 AI 안전장치의 위험 사전 예방, 관리 성격의 법으로 바뀌게 됩니다.

 EU는 2010년 ITS Directive (2010/40)을 통해 지능형교통체계(Intelligent Transportation System)의 프레임을 법으로 규정함으로써 차량·교통 기반, 교통 정보가 상호운용(interoperable) 되도록 디지털 교통 데이터의 제공, ·연계의 표준화 의무화를 하게 하는 등 EU 회원국 간 ITS 교통시설과 서비스의 공통 표준을 확립하였습니다. 이후 2023년 Directive 개정(2023/2661)을 통해 도로뿐 아니라 철도, 항공, 해운 등 타 운송수단도 포함한 ‘자율주행’의 실현을 위해 디지털 교통 데이터를 기계 판독할 수 있는 디지털 형식으로 제공하도록 표준화 (의무화)하는 등 디지털 교통시설의 핵심 기반을 확충한 바 있지만 2010년 Directive에서의 ITS 정의(제4조)는 여전히 유지되고 있습니다.

 EU는 ICT 기술을 교통, 차량 관리, 다른 교통수단과의 소통, 교통시설, 차, 이용자를 포함한 도로교통에 적용하는 시스템으로 보되, 2023년 개정된 ITS Directive에서는 시스템이 운전을 주도하게 되는 자율주행 레벨 4 이상 단계에서 자율주행차가 도로의 모든 요소와 실시간으로 소통하면서 협력하여 안전을 확보함은 물론, 효과적인 차량흐름을 확보하기 위한 C-ITS (cooperative intelligent transport systems) 개념을 추가하였고, EU 각국의 국내 법으로의 반영은 2025년 12월 21일까지였습니다. 완전자율주행 단계라고 할 수 있는 레벨 4 이상에서 ITS 이용자(users)는 인간 운전자가 아니라 자율주행차이고 인간 운전자가 보고 판단할 정보를 제공하는 ITS에서 자율주행차가 직접 해석하고 즉각 반응할 데이터를 도로 인프라가 제공하는 C-ITS로 진화하여야 하기 때문입니다.

2. 사이버보안

 자율주행차와 관련된 사이버보안 체계는 자동차의 제조사가 부담하는 자동차 자체의 사이버보안 인증인 CSMS(Cyber Security Management System)과 차량과 차량, 기반, 보행자 등과 상호 통신하면서 (V2X) 메시지가 진짜 참여자에게서 왔는지, 중간에서 변조되지 않았는지, 그리고 차량을 장기적으로 추적하기 어렵게 할 수 있는지를 보장하는 통신용 신뢰 기반 체계인 SCMS (Security Credential Management System)이 구분됩니다. 우리 법으로도 전자는 자동차관리법에 규정되어 있고, 후자는 '자율주행 자동차 상용화 촉진 및 지원에 관한 법률'(이하 '자율주행자동차법'으로 칭함)로 구분되어 규정되어 있습니다. 더 나아가 SCMS 운영의 상위 전략과 기반 구축은 '국가통합교통체계효율화법'의 지능형교통체계 (ITS) 기본 계획에서 출발하게끔 되어 있습니다.

 한편, '자율주행자동차법'은 "자율협력 주행 과정에서 일어나는 통신 등의 안전성 및 신뢰성을 확보하기 위하여 자동차, 노변 기지국 등 도로교통의 구성요소들을 식별하고 증명하는 행위"를 '자율협력 주행 인증'으로 정의하고, 국토교통부 장관으로 하여금 자율협력 주행 인증 업무를 안전하고 신뢰성 있게 수행할 능력이 있다고 인정되는 자를 인증기관으로 지정, 관리하도록 하고 있습니다. 다만 보안 인증 체계인 SCMS는 자율주행 자동차를 안전하게 주행하게 하기 위한 신뢰 기반이고 기술적 필수 요소임에도 불구하고 탑재를 직접 강제하는 명문의 규정을 두지 않는 대신 인증기관의 감독을 통해 탑재를 간접 강제하게 됩니다.

 따라서 만약 SCMS 관련 해킹 등 보안 사고가 발생하게 되면 현재의 법 체계상 IT 사고 자체를 다루는 외부의 정보통신망법, 개인정보보호법, 형법과 교통사고를 다루는 도로교통법, 그리고 자율협력 주행 인증기관에 대한 제재가 가해지도록 한 자율주행자동차법 등이 다원적으로 적용됩니다. EU 차원에서도 실시간으로 자율주행차가 주고받는 메시지의 신뢰성·무결성·출처를 EU 차원에서 보증하는 교통 전용 기반인 C-ITS SCMS (security credential management system)을 2023년의 EU Directive (2023/2661)를 통해 EU 각국의 법으로 구축, 운영되게 의무화하였습니다.

 한편, 미국은 교통부가 연방규정 (Federal Motor Vehicle Safety Standards; FMVSS)으로 자율주행·협력 지능 교통 시스템(C-ITS/V2X)의 보안 인증 체계 도입을 의무화하는 입법예고를 한 적이 있었지만 이후 철회, 현재는 단일한 연방기준을 통한 강제인증 의무화보다는 정부의 가이드라인 제시를 통해 산업계의 자율적 보안체제 강화를 유도하고 있습니다.

 즉 전체적으로는 현재 EU의 2023년 Directive (2023/2661)와 같이 연방차원에서 자율주행 C-ITS 인프라나 관련 데이터 체계를 전국적으로 구축하도록 강제하는 단일 규범은 없고, 훨씬 분산된 형태로 규율하게끔 되어 있습니다. 예를 들면, 자율주행차는 먼저 차량 자체의 안전을 확보하기 위한 연방차원의 제품안전 규제로 중점적으로 다루어지게 되고, 자율주행에 사용되는 메시지의 신뢰성·인증은 EU처럼 하나의 통일된 규제체계가 아니라 별도의 FCC 통신규칙, 기술표준, SCMS 체계, 주 정부 차원의 규제 등으로 분산되어져 있습니다.

 대통령령은 한 걸음 더 나아가 고영향 AI 사업자의 책무에 대한 최후의 준수 가드레일로서 지능정보화기본법 제60조의 '안전성 보호조치'를 이행하면 AI 기본법 제34조 1항 1호의 위험관리방안, 2호의 설명방안, 4호의 사람의 관리, 감독 의무에 따른 조치를 사업자가 이행한 것으로 본다는 추가 규정까지 둠으로써 결과적으로 고영향 AI 사업자가 부담하여야 하는 핵심 책무의 부담을 크게 줄였습니다.

 한편, AI 기본법 제35조에 규정된 기본권 영향평가는 비록 자율적 준수 규정이라 할지라도 규정상으로는 자율주행차를 운행하는 AI 이용사업자에게도 적용되게끔 되어 있습니다. 그러나 EU AI 법은 제27조의 기본권 영향평가 의무를 부담하는 이용사업자(deployer)의 범위를 공공기관, 공공서비스를 제공하는 민간기관, 금융에서의 신용평가, 신용점수, 그리고 보험에서의 위험평가와 보험료를 결정하는데 한정하고 있어서 자율주행차와 같이 제품의 개발사업자(provider)가 안전에 대한 의무를 원칙적으로 부담하여야 하는 경우에는 법상 기본권 영향평가 의무 대상에서 제외하고 있습니다.