가이드

AI를 붙인 서비스에 걸리는 규제는 한 법에 모여 있지 않습니다. AI기본법은 사업자 유형 판별(제2조 제7호), 고영향 해당 여부 사전 검토(제33조), 고영향 책무 여섯 가지(제34조), 영향평가(제35조), 투명성 고지(제31조), 국내대리인(제36조)을 걸고, 개인정보 보호법은 자동화 결정 대응과 민감정보 처리를 따로 겁니다. 학습 데이터에는 저작권법이 붙고, 공공기관에 납품하면 조달 쪽 확인 절차가 하나 더 붙습니다. 어느 국면에서 어느 조문이 걸리고 어느 글을 읽어야 하는지를 판별 순서대로 묶은 지도입니다.

본사 DPA가 적어 보낸 processor라는 명칭을 한국법 어느 자리에 놓느냐에서 위탁 관계의 판단이 갈립니다. 우리가 위탁자인지 수탁자인지, 어떤 도구가 '위탁’이고 어떤 것이 '제공’인지, 사고가 났을 때와 계약이 끝난 뒤에 처분이 어느 쪽으로 가는지, 먼저 배상한 쪽은 얼마나 돌려받는지 — 다섯 국면에서 어느 글을 읽어야 하는지를 계약 진행 순서대로 묶은 지도입니다.

유출 사고는 인지·통지·신고·조사·처분·책임 배분 순으로 진행되고, 단계마다 걸리는 조문과 판단 기준이 다릅니다. 각 단계에서 어느 글을 읽어야 하는지를 사고 진행 순서대로 묶은 지도입니다 — 무엇이 '유출등’에 해당하는지, 원인이 직원 실수·퇴사자 반출·수탁사 과실일 때 누가 신고 의무자가 되는지, 처분과 공표는 무엇으로 갈리는지, 배상한 뒤 수탁사에 얼마나 구상할 수 있는지. 인지 후 72시간의 절차 — 규모를 모르는 상태의 우선 통지·우선 신고, 통지와 신고가 다른 유예 사유, 로그 미보전 같은 하면 안 되는 일, 그 기록이 과징금과 배상액에서 다시 쓰이는 경로 — 는 이 페이지 2단계에서 조문 단위로 다룹니다.

법률 제21445호가 2026년 9월 11일 시행됐습니다. 유출등 정의에 위조·변조·훼손이 들어오고, 신고의 근거 조문이 제34조 제3항에서 제4항으로 이동하며, 중대·반복 위반의 과징금 상한이 전체 매출액의 10%가 됐고, 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙었습니다. 후속 시행령도 2026년 9월 10일 대통령령 제36671호로 공포되어 같은 날 함께 시행됐습니다. 시행령은 보호책임자 신고 기한 6개월, 기존 지정자의 시행일부터 6개월 내 신고, 유출 가능성 통지 72시간, 투자감경 40% 이내, 과태료 전 구간 상향을 담았습니다. 같은 날 과징금 부과기준 고시 개정(개인정보보호위원회고시 제2026-12호)과 과태료 부과기준 고시 제정(제2026-14호), 보호책임자 신고서 서식 신설(제2026-11호)도 시행돼 투자감경·가중의 세부 기준이 확정됐습니다. 조문 단위 개정 전후 대조표와 함께, 시행으로 이미 걸린 의무와 2027년까지 아직 남은 일정을 나누어 정리했습니다.