2장. 한국 AI 기본법

학습 목표

• 법률·시행령·고시·가이드라인의 효력 차이와 인공지능기본법의 시행 시점을 설명한다.
• 인공지능시스템, 생성형 인공지능, 고영향 인공지능, 개발사업자·이용사업자·이용자·영향받는 자의 정의를 사례에 적용한다.
• 투명성, 안전성, 고영향 관련 의무와 국내대리인 요건을 조문과 시행령 기준으로 구분한다.
• 사실조사, 시정명령, 과태료의 관계와 정부가 밝힌 계도기간의 성격을 설명한다.
• 서비스를 기능 단위로 나누어 의무 대상인지 판단하고, 불확실한 부분을 확인 요청이나 법무 검토로 넘긴다.

들어가며

한 스타트업 대표가 이렇게 물었습니다. "우리는 모델을 만들지 않고 해외 모델을 API로 받아 쓸 뿐인데, AI 기본법이 우리와 상관이 있나요?" 답은 "상관이 있습니다"입니다. 인공지능기본법은 AI를 직접 개발하는 회사뿐 아니라 남이 만든 AI로 제품이나 서비스를 제공하는 회사도 인공지능사업자로 봅니다. 그리고 생성형 AI로 서비스를 제공한다면 고영향이 아니어도 투명성 의무가 따라옵니다.

반대로 지나친 걱정도 흔합니다. "채용 AI는 무조건 고영향이고, 고영향이면 영향평가를 반드시 해야 한다." 이것도 정확하지 않습니다. 고영향은 영역과 영향이라는 두 요건을 함께 보고, 영향평가는 문언상 노력 의무입니다.

이 장의 조문 인용은 모두 확인일에 국가법령정보센터에서 읽은 현행 본문을 기준으로 합니다. 법률과 시행령 원문을 옆에 펴 두고 읽으면 가장 효과적입니다. 이 장은 법령 문서의 층위와 시행 시점부터 정리합니다. 이어서 정의와 적용 범위, 고영향 인공지능의 판단과 책무, 투명성과 안전성 의무, 국내대리인, 집행 체계를 차례로 읽습니다. 마지막으로 이 모든 조문을 하나의 판단 절차로 엮어, 실제 서비스를 기능 단위로 나누어 의무 대상인지 판단하는 연습을 합니다.

핵심 개념

법령 문서의 층위와 읽는 법

인공지능기본법의 규칙은 네 층의 문서에 나뉘어 있습니다.

가이드라인은 구속력은 없지만 정부의 집행 방향을 보여 주고, 법률 문언을 넘어서는 의무를 만들 수는 없습니다. 판단 메모에는 근거마다 어느 층의 문서인지 적으세요.

법률은 진흥(기본계획, 국가인공지능전략위원회, 인공지능안전연구소, 산업 지원)과 신뢰(윤리원칙, 검·인증 지원, 사업자 의무) 두 축이며, 실무의 중심은 제2조, 제4조, 제31~36조, 제40조, 제43조입니다.

연혁과 시행 시점

소관 부처는 과학기술정보통신부입니다. 시행령은 입법예고 단계가 아니라 확정되어 시행 중입니다. 연혁을 읽을 때는 공포일과 시행일, 그리고 조항별 시행일을 구분하세요. 같은 개정법 안에서도 조항마다 시행일이 다를 수 있고, 이런 내용은 부칙에 적혀 있습니다.

정의: 인공지능시스템과 생성형 인공지능

제2조의 정의는 모든 의무의 출발점입니다.

• 인공지능: 학습, 추론, 지각, 판단, 언어의 이해 등 인간이 가진 지적 능력을 전자적 방법으로 구현한 것.
• 인공지능시스템: 다양한 수준의 자율성과 적응성을 가지고 주어진 목표를 위하여 실제 및 가상환경에 영향을 미치는 예측, 추천, 결정 등의 결과물을 추론하는 인공지능 기반 시스템.
• 생성형 인공지능: 입력한 데이터의 구조와 특성을 모방하여 글, 소리, 그림, 영상, 그 밖의 다양한 결과물을 생성하는 인공지능시스템.
• 학습용데이터: 인공지능의 개발·활용 등에 사용되는 데이터.

정의에서 눈여겨볼 말은 "추론"입니다. 미리 정한 규칙을 그대로 실행하는 프로그램과 데이터에서 배운 패턴으로 결과를 추론하는 시스템은 다르지만, 법률은 경계를 체크리스트로 정해 두지 않았습니다. 학습된 모델이 결과를 만드는가, 입력에 따라 결과가 달라지는가, 그 결과가 판단이나 행동에 쓰이는가를 묻고, 애매하면 "해당 가능성 있음"으로 두고 의무 검토를 계속하세요.

누가 사업자인가

인공지능사업자는 인공지능산업과 관련된 사업을 하는 법인, 단체, 개인, 국가기관등입니다. 둘로 나뉩니다.

• 인공지능개발사업자: 인공지능을 개발하여 제공하는 자.
• 인공지능이용사업자: 개발사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자.

그 밖에 이용자는 인공지능제품·서비스를 제공받는 자이고, 영향받는 자는 그로 인해 생명, 신체의 안전 및 기본권에 중대한 영향을 받는 자입니다. 이용자와 영향받는 자는 다를 수 있습니다. 채용 평가 도구의 이용자는 기업의 인사 담당자이지만, 영향받는 자는 지원자입니다.

가치사슬에 놓고 보면 다음과 같습니다.

과학기술정보통신부의 「인공지능 투명성 확보 안내 지침(가이드라인)」은 투명성 의무의 주체를 이용자에게 AI 제품·서비스를 직접 제공하는 인공지능사업자로 보고, 국내 이용자에게 제공하는 해외 사업자도 포함한다고 설명합니다. 반대로 AI를 업무나 창작의 도구로 활용하는 이용자는 의무 대상이 아니라고 밝힙니다. 이 구분은 가이드라인의 해석이며, 다른 의무에서 같은 결론이 나오는지는 해당 조문의 문언으로 따로 확인해야 합니다.

적용 범위와 다른 법률과의 관계

역외 적용(제4조제1항): 국외에서 이루어진 행위라도 국내 시장이나 이용자에게 영향을 미치면 적용됩니다.

국방·안보 제외(제4조제2항, 시행령 제2조): 국방 또는 국가안보 목적으로만 개발·이용되는 인공지능으로서 시행령이 정한 것, 즉 국방부장관·국가정보원장·경찰청장이 지정하는 국방정보시스템·무기체계, 대테러·방첩, 산업기술 유출 수사 등의 업무만을 수행하는 인공지능에는 적용하지 않습니다. "만"이 핵심이어서, 같은 기술이라도 지정 업무 밖의 용도로 개발·이용되는 제품은 제외되지 않습니다.

다른 법률과의 관계(제5조): 인공지능 등에 관하여 다른 법률에 특별한 규정이 있으면 그 법률을 따르고, 없으면 이 법을 따릅니다. 개인정보 처리에는 개인정보 보호법이, 신용평가에는 신용정보법이 함께 적용되는 식입니다. 3장에서 개인정보 보호법과의 접점을 자세히 봅니다.

고영향 인공지능의 두 요건

고영향 인공지능은 두 요건을 모두 갖춘 인공지능시스템입니다. 첫째, 사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있어야 합니다. 둘째, 제2조제4호 각 목의 영역에서 활용되어야 합니다.

카목에 따라 시행령이 추가로 정한 영역은 확인일 현재 시행령에서 찾을 수 없습니다. 비유하면 고영향 판단은 열쇠 두 개가 모두 맞아야 열리는 금고와 같습니다. 영역 열쇠만으로도, 영향 열쇠만으로도 열리지 않습니다. 그래서 위험한 시스템이라도 법정 영역 밖이면 이 조문의 고영향은 아닙니다. 다만 조직 내부의 위험 관리(5장)에서는 여전히 높은 등급일 수 있습니다.

고영향 여부 사전 검토와 확인 요청

제33조제1항은 인공지능사업자가 AI나 이를 이용한 제품·서비스를 제공할 때 고영향 해당 여부를 사전에 검토하여야 한다고 정합니다. 검토는 의무이고, 장관에게 확인을 요청하는 것은 "필요한 경우" 할 수 있는 선택입니다. 확인 요청 절차는 시행령 제25조에 있습니다.

1. 요청: 별지 서식의 확인 요청서에 제품·서비스 개요서, 학습용데이터 개요, 활용 과정과 결과를 확인할 수 있는 자료 등을 붙여 제출합니다.
2. 판단 요소: 장관은 법정 영역에서 활용되는지, 위험의 영향·중대성·빈도와 영역별 특수성, 사업자가 미리 검토한 결과, 전문위원회 자문 결과 등을 고려합니다.
3. 회신: 요청을 받은 날부터 30일 이내 회신합니다. 복잡성 등으로 어려우면 30일 범위에서 한 차례 연장할 수 있고, 연장 사유와 기간을 문서로 알려야 합니다.
4. 재확인: 회신에 이의가 있으면 회신을 받은 날부터 10일 이내 재확인 요청서를 냅니다. 장관은 전문위원회 자문을 받아 30일 이내 회신합니다.

전문위원회는 50명 이상으로 구성하고, 5명으로 된 소위원회를 둘 수 있습니다. 법 제33조제3항은 장관이 고영향 인공지능의 기준과 예시에 관한 가이드라인을 만들어 보급할 수 있게 합니다.

고영향 사업자의 책무

고영향 인공지능이나 이를 이용한 제품·서비스를 제공하는 사업자는 제34조제1항의 조치를 이행하여야 합니다.

시행령 제27조의 세부 규칙은 다음과 같습니다.

• 게시와 영업비밀: 제1~4호의 주요 내용을 사무소·사업장이나 홈페이지 등에 게시합니다. 부정경쟁방지법상 영업비밀에 해당하는 사항은 제외할 수 있습니다. "전부 비공개"가 아니라 "영업비밀 부분만 제외"입니다.
• 이용사업자의 이행 인정: 개발사업자가 제1~3호 조치를 이행한 시스템을 받은 이용사업자가 본래 목적이나 용도를 현저하게 바꾸는 등 중대한 기능 변경을 하지 않으면 그 조치를 이행한 것으로 봅니다. 용도를 크게 바꾸면 이 인정은 사라집니다.
• 자료 요청: 이용사업자는 개발사업자에게 책무 이행에 필요한 자료를 요청할 수 있고, 개발사업자는 협력하도록 노력해야 합니다.
• 다른 법령에 따른 이행 인정(법 제34조제3항, 시행령 별표 1): 디지털의료제품법상 품질관리, 자율주행자동차 성능인증, 대출 심사에서 신용정보법상 설명의무 준수와 그 이행 절차 구비, 금융소비자보호법상 책무 이행 등을 했으면 해당 호의 조치를 이행한 것으로 봅니다. 개인정보 보호법상 안전조치·처리방침·영향평가·자동화된 결정 대응 등을 이행한 경우는 개인정보 처리와 보호에 관해 그에 상응하는 조치를 이행한 것으로 봅니다.

제34조제2항은 장관이 조치의 구체적 사항을 고시하고 준수를 권고할 수 있게 합니다.

영향평가와 검·인증

영향평가(제35조): 고영향 인공지능을 이용한 제품·서비스를 제공하는 경우 사전에 사람의 기본권에 미치는 영향을 평가하기 위하여 노력하여야 합니다. 2026년 개정으로 영향평가에 인공지능취약계층의 특성이 반영되도록 하라는 문장이 더해졌습니다. 국가기관등이 고영향 AI 제품·서비스를 이용하려는 경우에는 영향평가를 실시한 제품·서비스를 우선적으로 고려하여야 합니다. 노력 의무이지만 공공 조달에서는 사실상 경쟁 조건이 될 수 있다는 뜻입니다.

노력 의무를 이번에 하지 않기로 했다면 "하지 않는다"가 아니라 그 이유와 다시 검토할 조건을 기록하세요. 시행령 제28조제1항의 평가 항목은 일곱 가지입니다. 영향받을 가능성이 있는 개인이나 집단의 식별(취약계층 특성 반영), 영향받을 수 있는 기본권 유형, 사회적·경제적 영향의 내용과 범위, 사용 행태, 정량·정성 평가지표와 결과산출 방식, 위험의 예방·완화·손실 복구, 개선이 필요할 때의 이행계획입니다. 사업자는 직접 또는 제3자에 의뢰하여 평가할 수 있습니다.

인공지능취약계층은 시행령 제1조의2가 정합니다. 65세 이상인 사람, 장애인, 국민기초생활 보장법상 수급권자와 차상위계층, 다문화가족 구성원, 북한이탈주민 등 열 가지 범주입니다.

검·인증(제30조): 고영향 인공지능을 제공하는 사업자는 사전에 검·인증 등을 받도록 노력하여야 하고, 국가기관등은 검·인증을 받은 제품·서비스를 우선 고려하여야 합니다. 여기서 검·인증은 민간 단체 등이 자율적으로 하는 검증·인증 활동입니다.

투명성 확보: 고지와 표시

제31조의 의무는 세 가지이고, 대상이 서로 다릅니다.

예외(시행령 제23조제4항)는 세 가지이고, 적용하면 전부 또는 일부를 적용하지 않을 수 있습니다. 서비스명이나 화면 문구 등으로 고영향·생성형 AI 활용 사실이 명백한 경우, 사업자의 내부 업무 용도로만 쓰는 경우, 장관이 고시하는 경우입니다. 확인일 현재 셋째 예외에 해당하는 고시는 국가법령정보센터에서 확인되지 않았습니다.

정부의 투명성 안내 지침은 결과물이 서비스 환경 안에서만 제공되는 경우와 내려받기·공유로 외부로 반출되는 경우를 나눕니다. 서비스 안에서는 화면 안내나 로고 표출처럼 유연한 표시를 허용하고, 대화형 서비스는 이용 전 안내나 화면 내 로고를 인정합니다. 외부로 반출되는 결과물은 사람이 인식할 수 있는 워터마크 등으로 표시하거나, 안내 문구·음성을 제공한 뒤 메타데이터 같은 기계 판독 표시를 적용하도록 합니다. 실제와 구분하기 어려운 생성물(딥페이크 등)은 사람이 명확하게 인식할 수 있는 방법으로 표시하도록 합니다. 다만 예술적·창의적 표현물은 법 제31조제3항 후단에 따라 전시·향유를 저해하지 않는 방식으로 할 수 있습니다.

안전성 확보 의무

제32조는 학습에 사용된 누적 연산량이 시행령이 정하는 기준 이상인 인공지능시스템에 적용됩니다. 시행령 제24조제1항은 다음 세 기준을 모두 충족하는 시스템으로 정합니다.

1. 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산 이상일 것
2. 현재 활용되는 인공지능기술 중 최첨단의 기술을 적용하여 구성·운영되고 있을 것
3. 위험도가 사람의 생명, 신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것

대상 사업자는 수명주기 전반의 위험을 식별·평가·완화하고, 안전사고를 모니터링하고 대응하는 위험관리체계를 갖추며, 그 이행 결과를 장관에게 제출해야 합니다. 누적 연산량의 구체적 산정 방식과 이행 방식은 장관 고시에 맡겨져 있는데, 확인일 현재 국가법령정보센터에서는 연결된 고시가 확인되지 않습니다. 시행령 제33조는 이 대상 기준을 2026년 1월 1일을 기준으로 3년마다 재검토하도록 정합니다.

이 의무는 대부분의 기업과 무관합니다. 연산량 기준 하나만 넘었다고 대상이 되지 않고, 고영향 인공지능과도 별개의 제도라는 점을 기억하세요.

국내대리인

국내에 주소나 영업소가 없는 인공지능사업자로서 시행령 제29조의 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 장관에게 신고하여야 합니다(제36조).

매출액은 전년도(전 사업연도) 평균환율로 원화 환산해 판단합니다. 국내대리인은 이행 결과 제출, 고영향 확인 요청, 책무 이행에 필요한 지원(문서의 최신성·정확성 점검 포함)을 대리합니다. 국내대리인은 국내에 주소나 영업소가 있어야 하고, 대리인이 이 업무와 관련해 법을 위반하면 지정한 사업자가 그 행위를 한 것으로 봅니다.

집행: 사실조사, 시정명령, 과태료, 계도기간

사실조사(제40조): 장관은 제31조제2항·제3항(표시), 제32조제1항·제2항(안전성), 제34조제1항(고영향 책무) 위반을 발견하거나 혐의가 있음을 알게 된 경우, 또는 신고·민원이 접수된 경우 자료 제출을 요구하거나 조사할 수 있고, 사무소에 출입해 조사하게 할 수도 있습니다. 위반이 인정되면 중지나 시정을 위해 필요한 조치를 명할 수 있습니다.

과태료(제43조)는 3천만원 이하이고 사유는 세 가지뿐입니다. 시행령 별표 2의 금액은 다음과 같습니다(단위: 만원).

위반 횟수는 최근 2년간 같은 위반으로 과태료를 받은 경우에 따집니다. 중소기업·벤처기업·소상공인, 사소한 부주의나 오류, 시정 노력이 인정되는 경우 등에는 2분의 1 범위에서 줄일 수 있고(체납자는 제외), 위반이 중대하거나 위반 상태가 6개월 이상이면 2분의 1 범위에서 늘릴 수 있지만 법정 상한을 넘을 수는 없습니다.

결과물 표시 의무(제31조제2항·제3항) 위반은 그 자체로 과태료 사유가 아닙니다. 사실조사를 거쳐 시정명령을 받고, 그 명령을 따르지 않을 때 과태료 사유가 됩니다.

서비스가 의무 대상인지 판단하기

이 장의 기술 목표는 "서비스가 의무 대상인지 판단"입니다. 다음 절차를 기능마다 반복합니다.

1. 기능 분해: 서비스를 이용자에게 보이는 기능 단위로 나눕니다. 하나의 앱에 상담 챗봇, 추천, 이미지 생성이 함께 있으면 세 줄입니다.
2. AI 해당성: 각 기능이 인공지능시스템인지, 생성형인지 판단합니다.
3. 지위: 우리 회사가 그 기능에 대해 개발사업자인지, 이용사업자인지, 제공 없이 도구로만 쓰는 이용자인지 정합니다.
4. 적용 범위: 국내 시장·이용자에 영향이 있는지, 국방·안보 제외에 해당하는지 확인합니다.
5. 투명성: 생성형이거나 고영향이면 제31조제1항 사전 고지, 생성형이면 제2항 표시, 실제와 구분하기 어려운 결과물이면 제3항을 적용합니다. 시행령 제23조제4항 예외에 해당하는지 따집니다.
6. 고영향: 법정 영역에 해당하는지, 중대한 영향 우려가 있는지 사전 검토를 기록합니다. 애매하면 확인 요청을 검토합니다. 해당하면 제34조 책무, 제35조 영향평가 노력, 별표 1 인정 여부를 정리합니다.
7. 안전성: 시행령 제24조의 세 기준을 모두 충족하는지 확인합니다.
8. 국내대리인: 국외 사업자라면 시행령 제29조 기준을 확인합니다.
9. 불확실성 분리: 결론이 나지 않은 항목은 "법무 검토", "장관 확인 요청 검토", "고시 확정 대기"로 나누어 따로 적습니다.

깊이 읽기

기능 단위 분해와 변경 관리

의무 판단은 출시 때 한 번 하고 끝나는 일이 아닙니다. 같은 모델이라도 용도를 바꾸면 결론이 바뀝니다. 사내 문서 요약에 쓰던 모델을 고객 대출 상담에 쓰면 내부 업무 예외가 사라지고, 법정 영역에 들어갈 수도 있습니다. 개발사업자가 책무를 이행한 고영향 시스템을 받아 쓰던 이용사업자가 본래 용도를 현저하게 바꾸면 시행령 제27조제3항의 이행 인정도 사라집니다.

그래서 판단표에는 "결론을 바꾸는 변경"을 미리 적어 두는 것이 좋습니다. 대상 이용자 변경(성인에서 아동으로), 출력 형태 변경(텍스트에서 실사 영상으로), 결정 방식 변경(참고 자료에서 자동 결정으로), 배포 경로 변경(서비스 안에서 외부 반출로)이 대표적입니다. 이런 변경이 기획서에 등장하면 판단표를 다시 엽니다.

다른 법과 겹칠 때

AI 서비스 하나에 여러 법이 동시에 걸리는 일은 흔합니다. 대출 심사 AI라면 인공지능기본법의 고영향 책무, 신용정보법의 설명의무, 개인정보 보호법의 자동화된 결정 대응이 함께 걸립니다. 시행령 별표 1은 이런 중복을 줄이려고 다른 법령에 따른 일부 조치를 인공지능기본법 조치의 이행으로 인정합니다.

다만 인정은 호별로 이루어집니다. 대출 심사에서 신용정보법 제35조의2의 설명의무를 지키고 제36조의2제1항의 설명의무 이행 절차를 갖추면 제2호(설명 방안)를, 금융소비자보호법상 책무를 이행하면 제3호(이용자 보호 방안)를 이행한 것으로 보지만, 제1호와 제4호까지 자동으로 해결되지는 않습니다. 이행표에 호마다 인정 근거나 별도 이행 계획을 적어야 빈칸이 보입니다.

실무 장면

바다로모빌리티: 셔틀 배차 AI와 상담 챗봇

광역 통근 셔틀을 운영하는 '바다로모빌리티'는 두 가지 AI를 준비하고 있다. 하나는 실시간 교통 상황과 예약 수요를 보고 셔틀 배차 간격과 노선을 자동으로 조정하는 시스템이고, 다른 하나는 예약·환불 문의에 답하는 상담 챗봇이다. 배차 시스템은 자체 개발했고, 챗봇은 해외 개발사의 모델을 API로 쓴다.

컴플라이언스 담당자는 기능을 두 줄로 나누었다. 배차 시스템에서 회사는 개발사업자이자 제공자이고, 승객과 도로 이용자의 안전에 영향을 줄 수 있어 제2조제4호아목(교통수단의 주요한 작동 및 운영)에 걸릴 수 있다. 쟁점은 "운전은 사람이 하는데, 배차와 노선 결정이 '주요한 작동'인가"였다.

팀 안에서는 "자율주행이 아니니 고영향이 아니다"라는 의견이 나왔지만, 아목은 교통수단과 교통체계의 주요한 작동·운영을 넓게 들기 때문에 근거가 되지 못했다. "교통이면 무조건 고영향"이라는 의견도 중대한 영향 요건을 빼먹었으므로 받아들이지 않았다. 담당자는 사전 검토 기록을 남기고 장관 확인 요청과, 고영향일 경우에 대비한 위험관리방안·관리·감독자 지정 초안을 준비했다. 시행령 별표 1의 자율주행자동차 인증 인정은 이 회사의 차량에는 해당하지 않으므로 별도 이행이 필요하다고 적었다.

챗봇에서 회사는 이용사업자다. 상담 화면 진입 시 AI 상담임을 알리고(사전 고지) 대화창에 AI 표시를 두었으며(서비스 내 결과물 표시), 환불 결정은 상담원이 확정하게 했다. 판단표 맨 아래에는 "배차 시스템: 회신 전까지 고영향에 준해 준비", "계도기간이어도 의무는 시행 중"이 적혔다.

하람커머스: 하나의 회사, 세 개의 결론

패션 온라인몰 '하람커머스'의 AI 기능은 세 가지다. 판매자가 사진을 올리면 생성형 AI가 상품 설명 문구를 만들어 게시하고, 고객이 자기 사진을 올리면 옷을 입은 모습을 실사처럼 합성해 보여 주며(고객은 그 이미지를 후기에 붙일 수 있다), 인사팀은 외부 HR 솔루션의 서류 평가 도구를 구독해 자사 채용에 쓴다.

법무 담당자는 세 기능을 따로 판단했다. 상품 설명 생성은 회사가 판매자에게 제공하는 생성형 AI 서비스이므로 판매자 화면에서 사전 고지를 하고, 게시 문구의 표시 방법을 검토했다. 판매자가 문구를 고쳐 쓰는 경우가 많다는 반론에 대해서는 "고치면 표시를 뺀다"는 규칙을 회사가 임의로 정하지 않고 가이드라인과 법무 검토로 기준을 정하기로 했다.

가상 착용은 실제와 구분하기 어려운 이미지를 만들 수 있어 제31조제3항이 적용될 수 있다. 결과 이미지에 사람이 명확히 인식할 수 있는 표시를 넣고, 후기에 붙은 이미지를 다른 이용자가 볼 때도 표시가 사라지지 않게 했다. 고객의 얼굴 사진을 다루므로 3장의 개인정보 검토도 함께 열었다.

가장 오래 논의한 것은 채용 도구였다. 도구를 만들어 제공하는 곳은 HR 솔루션 회사이고, 하람커머스는 그것을 자기 채용에 쓰는 쪽이다. 담당자는 제34조 책무가 고영향 AI를 제공하는 사업자에게 걸린다는 점을 확인하고, 계약 전에 솔루션 회사에 사전 검토 결과와 책무 이행 자료를 요청했다. 하람커머스가 지원자에게 직접 지는 의무도 따로 정리했다. 사람의 실질적 개입 없이 서류 탈락이 정해지면 개인정보 보호법 제37조의2의 자동화된 결정이 되므로, 인사 담당자가 AI 점수를 형식적으로 확인하는 데 그치지 않고 다른 평가 요소와 함께 검토해 결과를 바꿀 수 있는 절차로 바꾸었다. 가치사슬 표대로라면 하람커머스는 도구를 자기 업무에 쓰는 이용자에 가깝지만, 고영향 책무에 관해서도 같은 결론인지는 공식 해석이 없어 "법무 검토 대상"으로 남겼다.

자주 틀리는 지점

1. "고영향이 아니면 이 법의 의무가 없다." 제31조의 사전 고지와 표시는 생성형 AI에도 적용됩니다.
2. "모델을 만든 회사만 의무가 있다." 남의 모델로 서비스를 제공하는 이용사업자도 인공지능사업자입니다.
3. "법정 영역에서 쓰이면 바로 고영향이다." 영역 요건과 함께 중대한 영향·위험 우려 요건을 갖춰야 합니다.
4. "고영향이면 영향평가를 반드시 해야 한다." 문언은 "노력하여야 한다"입니다. 다만 국가기관등은 영향평가를 실시한 제품을 우선 고려해야 합니다.
5. "표시 의무를 어기면 바로 과태료다." 과태료 사유는 사전 고지 미이행, 국내대리인 미지정, 중지·시정명령 불이행 세 가지입니다.
6. "영업비밀이 있으면 책무 내용을 게시하지 않아도 된다." 영업비밀에 해당하는 사항만 제외할 수 있습니다.
7. "10의 26승 연산량만 넘으면 안전성 확보 의무 대상이다." 최첨단 기술 적용과 광범위하고 중대한 위험 우려까지 세 기준을 모두 충족해야 합니다.
8. "계도기간이니 아직 의무가 없다." 계도기간은 사실조사·과태료 운영에 관한 정부 방침이고, 의무 조항은 시행 중입니다.

한눈에 정리

공식 문서로 확인하기

• 국가법령정보센터 — 인공지능기본법: 현행 본문, 부칙, 연혁. 제2조, 제4조, 제31~36조, 제40조, 제43조를 원문으로 읽는다.
• 국가법령정보센터 — 인공지능기본법 시행령: 제1조의2, 제2조, 제23~29조, 별표 1·2, 별지 서식.
• 대한민국 정책브리핑 — '인공지능기본법' 22일 시행: 시행 안내와 계도기간 방침, 지원데스크.
• 대한민국 정책브리핑 — 「인공지능 투명성 확보 안내 지침(가이드라인)」 공개: 의무 주체, 서비스 내 제공과 외부 반출의 표시 기준.
• 과학기술정보통신부: 가이드라인과 고시의 최신본, 공지.

셀프 체크

2-1. 인공지능기본법의 시행일과 제정 법률 번호를 쓰고, 2026년 1월 개정법에서 조항에 따라 시행일이 달랐던 부분이 무엇인지 설명하라.

2-2. 법률, 시행령, 고시, 가이드라인을 구속력 기준으로 구분하고, 확인일 현재 상태가 불확실한 층이 어디인지 쓰라.

2-3. 외부 모델을 API로 받아 문서 초안 작성 기능을 일반 소비자에게 판매하는 회사가 있다. 이 회사가 제31조에서 지는 의무를 항별로 정리하고, 해당하지 않는 항이 있다면 그 이유를 쓰라.

2-4. 고영향 인공지능의 두 요건을 쓰고, 법정 영역에 해당하지만 고영향이 아닐 수 있는 경우를 한 문장으로 설명하라.

2-5. 고영향 해당 여부 확인을 요청한 사업자가 회신 결과에 동의하지 않을 때의 절차를 기한과 함께 순서대로 쓰라.

2-6. 시행령 제27조에 따라 게시해야 하는 네 가지와 문서 보관 기간을 쓰고, 영업비밀을 이유로 할 수 있는 것과 할 수 없는 것을 구분하라.

2-7. 결과물 표시 의무를 지키지 않은 사업자가 과태료를 받게 되기까지의 집행 단계를 조문과 함께 쓰라.

2-8. (설계) 생성형 AI 기능 두 개와 법정 영역에 걸칠 수 있는 기능 하나를 가진 가상의 서비스를 정하고, 이 장의 판단 절차 아홉 단계를 적용한 판단표를 만들라. 불확실한 항목은 따로 분리하라.

실습 과제