2026년 1월 22일 AI 기본법이 시행됐습니다. 많은 회사가 '계도기간이니까 나중에'로 넘겼는데, 계도기간은 과태료 유예이지 의무 유예가 아닙니다. 법적 의무는 이미 발생했고, 중대 사고가 나면 계도기간 중에도 조사가 들어옵니다. 그리고 가장 흔한 오해 — '우리는 AI 회사가 아니라 해당 없다'는 틀렸습니다. 챗봇 하나만 붙여도 대상입니다. 왜 이런 법이 나왔는지부터, 우리 회사가 대상인지, 이번 달에 무엇을 해야 하는지까지 실무로 번역합니다.
먼저 실무자들이 가장 많이 하는 세 가지 오해부터 정리하고 시작하겠습니다.
| 흔한 생각 | 실제 |
|---|---|
| "계도기간이니까 아직 안 해도 된다" | 계도기간은 과태료 부과가 유예되는 기간이지 의무가 유예되는 기간이 아닙니다. 법적 의무는 2026년 1월 22일부터 이미 발생했습니다. 계도기간 중에도 인명 사고나 인권 훼손 같은 중대한 문제가 생기면 사실조사가 들어옵니다. |
| "우리는 AI 회사가 아니라서 해당 없다" | 법이 규율하는 인공지능사업자에는 AI를 만드는 회사(개발사업자)뿐 아니라 남이 만든 AI로 제품·서비스를 제공하는 회사(이용사업자)도 포함됩니다. 서비스에 챗봇을 붙였다면 대상입니다. |
| "과태료가 3천만원이면 감당할 수 있다" | 진짜 리스크는 과태료가 아닙니다. 공공조달에서의 배제, 계약 상대방의 요구사항, 사고가 났을 때 '주의의무를 다했는가'를 판단하는 기준으로 이 법이 쓰이기 시작합니다. |
미리 밝혀 둡니다. 이 글은 실무자가 상황을 파악하고 우선순위를 정하기 위한 정리이지 법률 자문이 아닙니다. 개별 사안의 적용 여부는 반드시 1차 자료(법령·시행령·과기정통부 고시 및 가이드라인)와 법률 전문가의 검토로 확인하십시오. 본문의 조항 해석에는 필자의 요약과 판단이 섞여 있습니다.
이 글에서 다룰 것은 네 가지입니다.
AI 규제는 갑자기 생긴 게 아닙니다. 10년에 걸쳐 "권고 → 원칙 → 법"으로 단계가 올라왔고, 각 단계마다 계기가 있었습니다.
| 시기 | 무슨 일 | 성격 |
|---|---|---|
| 2016 | 알파고 충격. 각국이 AI를 산업 정책이 아니라 사회 정책의 대상으로 보기 시작한다. | 문제 인식 |
| 2019 | OECD AI 권고, G20 AI 원칙. 투명성·설명가능성·책임성이라는 공통 어휘가 만들어진다. | 구속력 없는 원칙 |
| 2021 | EU가 AI Act 초안을 낸다. 위험 기반 규제라는 설계가 등장한다. | 입법 시도 |
| 2022~23 | 생성형 AI 충격. 규제 논의의 대상이 "판단하는 AI"에서 "만들어내는 AI"로 확장된다. 딥페이크·저작권·허위정보가 현실 문제가 된다. | 속도 급변 |
| 2023 | 히로시마 프로세스, 블레츨리 선언. 프론티어 모델의 국제 거버넌스 논의. | 국제 합의 |
| 2024 | EU AI Act 최종 통과. 그리고 2024년 12월 26일, 한국 국회가 AI 기본법을 통과시킨다. | 세계 두 번째 포괄법 |
| 2026.1.22 | 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」과 시행령 시행. 과기정통부가 고시 7종과 가이드라인을 함께 냈다. | 집행 단계 |
여기서 한국법의 성격을 짚고 가야 합니다. 정식 명칭이 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」입니다. 이름의 앞부분이 '발전'이고 뒷부분이 '신뢰 기반'입니다.
즉 이 법은 순수한 규제법이 아니라 진흥과 규제를 한 몸에 담은 기본법입니다. 정부의 AI 육성 계획, 지원 근거, 거버넌스 체계가 앞쪽에 있고, 사업자 의무가 뒤쪽에 있습니다.
이 사실이 실무에 주는 함의가 두 개입니다.
이미 EU AI Act를 준비한 회사라면 "그거 하면 이것도 되는 거 아닌가" 싶을 겁니다. 상당 부분 그렇지만, 설계 철학이 달라서 그대로 대응되지 않는 지점이 있습니다.
| 항목 | EU AI Act | 한국 AI 기본법 |
|---|---|---|
| 법의 성격 | 순수 규제법 | 진흥 + 신뢰 확보의 기본법 |
| 분류 체계 | 위험도 4단계 (허용 불가 · 고위험 · 제한적 · 최소) | 고영향 AI와 생성형 AI 두 트랙 |
| 금지 조항 | 있음 (사회적 점수화, 특정 생체인식 등) | 없음 |
| 영향평가 | 고위험 AI에 기본권 영향평가 의무 | 고영향 AI에 노력 의무 (다만 국가기관 등이 조달할 때 실시 여부를 우선 고려) |
| 제재 수준 | 위반 유형에 따라 글로벌 매출 비율까지 | 과태료 최대 3천만원 수준 |
| 역외적용 | 있음 | 있음 + 국내대리인 지정 의무 |
| 규율 대상 | 공급자·배포자 등 역할별 | 개발사업자 · 이용사업자 (최종 이용자는 제외) |
가장 중요한 차이는 네 번째 줄입니다. EU는 "고위험이면 영향평가를 반드시 하라"고 하지만, 한국은 "노력하라"고 합니다. 그런데 그 아래에 조건이 붙습니다 — 국가기관 등이 고영향 AI 제품·서비스를 이용할 때는 영향평가를 실시한 것을 우선 고려해야 합니다.
법률 용어로는 노력 의무지만, 공공 시장에 파는 회사에게는 사실상 강제입니다. 이것이 이 법이 힘을 발휘하는 방식입니다.
가장 실무적인 질문입니다. 순서대로 확인하면 대부분 10분 안에 결론이 납니다.
법은 사업자를 두 갈래로 나눕니다.
| 구분 | 정의 | 예시 |
|---|---|---|
| 개발사업자 | AI를 개발해 제공하는 자 | 모델을 만들어 파는 회사, 자체 모델을 학습시켜 서비스하는 회사 |
| 이용사업자 | 개발사업자가 제공한 AI를 이용해 제품·서비스를 제공하는 자 | OpenAI·Anthropic API로 챗봇을 붙인 커머스, AI 요약 기능을 넣은 SaaS, AI 상담을 도입한 콜센터 |
| 최종 이용자 | 제공받아 쓰는 개인·기업 | 규율 대상에서 제외 |
한 회사가 여러 지위를 동시에 가질 수 있습니다. 자체 모델도 만들고(개발사업자), 그걸로 채용 서비스도 하고(고영향), 생성형 기능도 붙였다면(생성형) 세 가지 의무가 전부 겹칩니다.
"우리가 고영향인가"는 두 조건을 모두 봐야 합니다. ① 사람의 생명·신체 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있고, ② 아래 분야에서 활용되는 경우입니다.
| 분야 | 전형적인 사례 |
|---|---|
| 에너지 공급 | 발전·송배전 제어 보조 |
| 먹는물 생산 공정 | 정수장 운영 판단 |
| 보건의료 제공·이용체계 | 진단 보조, 환자 분류(트리아지) |
| 핵물질·원자력시설 관리·운영 | 안전 감시 시스템 |
| 범죄 수사·체포를 위한 생체인식 분석 | 얼굴 인식 대조 |
| 채용·대출 심사 등 개인의 권리·의무에 중대한 영향을 주는 판단·평가 | AI 서류 심사, 신용·대출 스코어링, 보험 인수 심사 — 일반 기업이 가장 걸리기 쉬운 항목 |
| 교통수단·시설·체계의 주요 작동·운영 | 자율주행, 신호 제어 |
| 공공서비스의 자격 확인·결정·비용징수 등 국가기관 의사결정 | 복지 수급 판정 보조 |
| 유아·초등·중등 교육에서의 학생 평가 | AI 채점·평가 |
| 그 밖에 생명·신체 안전 및 기본권 보호에 중대한 영향을 미치는 영역 | 포괄 조항 — 가이드라인으로 구체화 |
일반 기업이 실수하는 지점은 여섯 번째 줄입니다. AI로 이력서를 1차 필터링하고 있다면, 스스로를 "AI 회사"라고 생각한 적이 없어도 고영향 AI 이용사업자입니다.
법은 국내 이용자에게 서비스를 제공하는 해외 사업자에게도 적용됩니다(역외적용). 그리고 일정 규모를 넘으면 국내대리인을 지정해야 합니다. 알려진 기준은 다음 중 하나에 해당하는 경우입니다.
| 기준 | 수준 |
|---|---|
| 전년도 전 세계 매출액 | 1조 원 이상 |
| 전년도 AI 관련 매출액 | 100억 원 이상 |
| 직전 3개월간 일평균 국내 이용자 수 | 100만 명 이상 |
| 과거 위반으로 제재를 받은 사업자 | 해당 |
국내대리인은 안전성 확보 조치 제출, 고영향 AI 관련 확인, 국내 문의 대응 등을 맡습니다. 해외 본사를 둔 한국 법인이라면 누가 이 역할을 맡을지를 지금 정해 두는 편이 좋습니다.
법조문을 그대로 옮기면 실무에 쓸 수 없습니다. "그래서 무엇을 만들어야 하는가"로 번역합니다.
요구: 고영향 AI나 생성형 AI를 이용한 제품·서비스를 제공하려면, 제공 전에 AI 기반으로 운용된다는 사실을 이용자에게 알려야 합니다.
요구: 생성형 AI로 만든 결과물에는 그 사실을 표시해야 합니다. 방법은 두 가지이고, 성격이 다릅니다.
| 종류 | 방법 | 실무 구현 |
|---|---|---|
| 가시적 표시 | 사람이 인식할 수 있는 방법 | 이미지 모서리 배지, 텍스트 하단 문구, 음성 안내. 기존 워터마크 파이프라인을 그대로 쓰면 된다. |
| 비가시적 표시 | 기계가 인식할 수 있는 방법 | 메타데이터 삽입(C2PA 등 콘텐츠 출처 표준), 워터마킹. 이미지·영상 파이프라인에 한 단계 추가하는 작업이다. |
| 딥페이크류 | 가상의 결과물이 실제와 구분이 어려운 경우 | 이용자가 명확하게 인식할 수 있는 표시가 요구된다. 눈에 띄지 않는 표시로는 부족하다. |
| 예외 | 제품명·인터페이스로 생성형 AI 사용이 명백하거나, 내부 업무용에 한정되는 경우 | 다만 "명백한지"의 판단은 보수적으로 |
개발자 관점의 요령: 표시를 출력 지점 한 곳에 몰아넣으십시오. 기능마다 따로 붙이면 반드시 빠지는 곳이 생깁니다. 응답을 렌더링하는 공통 컴포넌트와 파일을 저장하는 공통 함수, 두 군데에서 처리하는 구조가 관리 비용이 가장 낮습니다.
요구: 위험을 관리하고, 설명할 수 있게 하고, 이용자를 보호하고, 사람이 감독하고, 문서를 남기라는 것입니다. 그리고 별도로, 학습에 사용된 누적 연산량이 10²⁶ FLOP 이상인 대규모 시스템을 운영하는 사업자에게는 안전성 확보 의무가 부과됩니다.
| 요구 | 최소 이행 형태 |
|---|---|
| 위험 관리 방안 수립 | A4 한 장이면 시작할 수 있다 — 우리 AI가 틀렸을 때 생기는 피해 3가지, 각각의 완화 장치, 담당자 |
| 설명 가능성 확보 | "어떤 입력으로 어떤 판단을 했는지" 로그를 남기고, 이용자에게 설명할 수 있는 경로를 둔다 |
| 이용자 보호 | 이의 제기·정정 요청 창구. 채용·심사라면 사람의 재검토를 요청할 수 있는 절차 |
| 사람의 감독 | 자동 결정이 최종이 되지 않게 한다. 특히 고영향 분야에서는 사람의 최종 승인 지점을 명시 |
| 문서 보관·공개 | 관련 문서를 5년간 보관하고, 영업비밀을 제외한 범위에서 공개한다. 지금부터 남기지 않으면 나중에 소급할 수 없다. |
마지막 줄이 이 글에서 가장 시급한 항목입니다. 표시 문구는 하루면 붙이지만, 기록은 오늘 시작하지 않으면 오늘 것이 영원히 없습니다.
고영향으로 판정되면 위의 것에 더해 영향평가 노력 의무가 붙습니다. 그리고 사업자는 자신의 AI가 고영향에 해당하는지 과기정통부에 확인을 요청할 수 있습니다. 애매하면 자체 판단으로 버티기보다 확인 절차를 쓰는 편이 안전합니다.
추상적인 조문보다 사례가 빠릅니다. 실무에서 흔한 네 가지 상황입니다.
| 항목 | 판정 |
|---|---|
| 지위 | 이용사업자 — 자체 모델이 없어도 대상이다 |
| 생성형 | 해당 — 답변을 생성한다 |
| 고영향 | 해당 없음 — 11개 분야에 들지 않는다 |
| 할 일 | ① 채팅창에 AI 사용 표시 ② 이용약관·안내 페이지에 사전 고지 ③ 답변 로그 보관 ④ 오답 신고 창구 |
| 소요 | 대체로 며칠이면 끝난다 |
가장 흔한 유형이고 가장 쉽게 끝나는 유형입니다. 그런데 "우리는 AI 회사가 아니다"라는 이유로 아무것도 안 한 회사가 가장 많은 유형이기도 합니다.
| 항목 | 판정 |
|---|---|
| 지위 | 이용사업자(또는 개발사업자) |
| 생성형 | 기능에 따라 |
| 고영향 | 해당 가능성 높음 — "채용 등 개인의 권리·의무에 중대한 영향을 미치는 판단·평가" |
| 할 일 | 위험관리 방안, 설명 가능성(왜 탈락했는지 설명할 수 있는가), 사람의 최종 감독, 이의 제기 절차, 5년 문서 보관, 영향평가 노력 |
| 추가 | 고객사가 공공기관이면 영향평가 실시 여부가 조달 심사에 반영된다 |
여기서 핵심은 "AI가 최종 결정을 하지 않게 만드는 것"입니다. 점수만 매기고 사람이 최종 판단하는 구조로 설계하면 위험이 크게 줄고, 설명 가능성 요구도 충족하기 쉬워집니다.
| 항목 | 판정 |
|---|---|
| 고영향 | 해당 — 보건의료 제공·이용체계 |
| 주의 | 기존 의료기기법·개인정보보호법 규제와 겹친다. AI 기본법 하나만 보면 안 된다. |
| 실무 | 이미 인허가 문서 체계가 있는 조직이라면 기존 문서에 항목을 추가하는 방식이 가장 빠르다. 새 체계를 만들지 말 것. |
| 항목 | 판정 |
|---|---|
| 적용 | 역외적용 — 한국에 법인이 없어도 적용된다 |
| 국내대리인 | 매출·이용자 기준 중 하나라도 넘으면 지정 의무 |
| 실무 | 한국 지사가 있으면 그곳이 맡는 것이 자연스럽다. 없으면 대리인 역할을 할 국내 주체를 정해야 한다. |
| 함정 | 본사 법무는 EU AI Act 기준으로 준비했을 가능성이 높다. 표시 의무와 국내대리인은 EU 대응만으로 커버되지 않는다. |
이미 EU AI Act를 준비했다면 처음부터 다시 할 필요는 없습니다. 겹치는 것과 새로 해야 하는 것을 나누면 이렇습니다.
| 그대로 재활용 | 보완 필요 | 새로 해야 함 |
|---|---|---|
| 위험 관리 문서 | 영향평가 — 한국 양식·항목에 맞춰 조정 | 생성형 AI 표시 — 가시적 + 비가시적 두 겹 |
| 데이터 거버넌스 기록 | 고영향 분류 — EU 고위험 목록과 한국 11개 분야가 완전히 같지 않다 | 국내대리인 지정 |
| 기술 문서·로그 체계 | 이용자 고지 문구 — 한국어, 국내 서비스 흐름 기준 | 국내 문의·이의 제기 창구 |
계도기간은 최소 1년 이상으로 운영됩니다. 즉 2027년 이후에 과태료 부과가 본격화될 가능성이 큽니다. 다만 앞서 말했듯 의무는 이미 발생했고, 중대한 문제가 생기면 계도기간 중에도 조사가 가능합니다.
그리고 계도기간이 끝나는 방식은 대개 이렇습니다 — 어느 날 갑자기 과태료가 날아오는 게 아니라, 시정명령이 먼저 나오고 그것을 이행하지 않을 때 과태료가 붙습니다. 그래서 진짜 위험은 "적발"이 아니라 시정명령을 받았을 때 30일 안에 고칠 수 있는 상태인가입니다. 인벤토리와 문서가 없으면 그 30일이 지옥이 됩니다.
| 경로 | 어떻게 작동하나 |
|---|---|
| 공공조달 | 국가기관 등이 고영향 AI를 이용할 때 영향평가 실시 여부를 우선 고려한다. 공공 매출이 있는 회사에게는 사실상의 자격 요건이다. |
| B2B 계약 | 대기업·금융권이 협력사 심사 항목에 이 법의 조항을 넣기 시작한다. 규제가 계약 조건으로 전파되는 경로다. |
| 사고 이후의 책임 판단 | AI로 인한 분쟁이 생겼을 때 "합리적 주의를 다했는가"를 판단하는 사실상의 기준이 된다. 문서가 있는 회사와 없는 회사의 차이가 여기서 갈린다. |
| 이중 대응 | EU 시장에 진출한다면 AI Act의 GPAI 의무와 함께 봐야 한다. 두 체계의 공통 분모(문서·투명성·위험관리)부터 만드는 것이 효율적이다. |
이 법에 대한 비판도 정직하게 적어 둡니다.
그럼에도 방향은 분명합니다. AI를 쓴다는 사실을 밝히고, 무엇을 어떻게 판단했는지 기록하고, 사람이 최종 책임을 지는 지점을 남기는 것 — 이 세 가지는 법이 없어도 좋은 제품의 조건입니다. 규제 대응을 규제 대응으로만 다루면 비용이지만, 제품의 신뢰 기능으로 다루면 자산이 됩니다.
| 질문 | 정리 |
|---|---|
| 사내 전용 도구도 대상인가? | 생성형 AI 표시 의무에는 내부 업무용 한정이라는 예외 여지가 언급됩니다. 다만 그 산출물이 외부로 나가는 순간(고객 발송 메일, 공개 문서) 성격이 달라집니다. "내부용"의 경계를 문서로 정의해 두는 편이 안전합니다. |
| 오픈소스 모델을 파인튜닝하면 개발사업자인가? | 모델을 만들어 제공한다면 개발사업자 성격이 강해집니다. 다만 실무에서는 지위 이름보다 어떤 의무가 걸리는지가 중요합니다 — 생성형이면 표시, 고영향 분야면 안전성 의무가 붙는 구조는 동일합니다. |
| API를 재판매하면? | 이용사업자로 보는 것이 자연스럽습니다. 그리고 최종 이용자에게 고지·표시할 책임이 누구에게 있는지를 계약서에 명시해 두십시오. 실무 분쟁이 가장 많이 생기는 지점입니다. |
| 표시를 어디까지 해야 하나? | 보수적으로 접근하는 편이 비용이 낮습니다. 표시를 붙여서 생기는 손해는 거의 없지만, 빠뜨려서 생기는 손해는 회수하기 어렵습니다. 특히 실제와 구분이 어려운 이미지·영상·음성은 반드시 명확하게. |
| 스타트업도 똑같이 해야 하나? | 규모별 차등이 뚜렷하지 않다는 것이 이 법의 비판점 중 하나입니다. 현실적으로는 표시·고지·로그부터 하고, 문서 체계는 성장에 맞춰 키우는 순서를 권합니다. |
| 이미 시행됐는데 지금까지 안 했으면? | 지금 시작하면 됩니다. 계도기간의 목적이 그것입니다. 다만 로그와 문서는 소급되지 않으므로 그것부터 켜십시오. |
1차 자료 (반드시 여기서 확인하십시오)
해설
이어서 읽기
AI 기본법의 의무를 한 문장으로 줄이면 이렇습니다.
AI를 쓴다고 밝히고, 무엇을 근거로 판단했는지 남기고, 사람이 책임지는 자리를 비워 두지 말라.
이 세 가지는 법이 요구해서 해야 하는 일이 아니라, AI를 제품에 넣은 회사가 원래 했어야 하는 일입니다. 법은 그것을 문서로 증명하라고 요구할 뿐입니다.
그리고 그 증명은 소급되지 않습니다. 표시 문구는 내일 붙여도 되지만, 오늘의 기록은 오늘만 남길 수 있습니다.
