개인정보 유출 사고에서 회사가 받는 조정안에는 회신 기한이 15일입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 15일 안에 의사표시가 없으면 수락한 것으로 본다고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 재판상 화해와 같은 효력을 갖습니다. 그리고 같은 유출 사고에 조정안은 개인정보 분쟁조정위원회와 한국소비자원 소비자분쟁조정위원회 두 곳에서 각각 옵니다. 2026년 9월 11일부터 유출 통지문에 손해배상과 분쟁조정을 신청하는 방법까지 적어야 합니다.

개인정보보호위원회가 공개한 제재 의결서에서 유출 경위가 기재된 204건을 경위별로 분류했습니다. 여덟 유형이 나왔고, 과징금 부과율은 유형에 따라 0%에서 69%까지 갈립니다. 담당자가 파일을 잘못 올리거나 메일을 잘못 보낸 48건에서 과징금이 나온 것은 10건뿐이고, 그 10건은 전부 주민등록번호가 새어 나간 사건입니다. 오게시·오발송 자체가 과징금을 부르는 것이 아니라 새어 나간 항목이 무엇이었는지가 가릅니다.

72시간은 대응의 전부가 아니라 입구입니다. 통지·신고를 마치면 개인정보보호위원회의 자료제출 요구와 검사(법 제63조), 혐의 없이 시작되는 사전 실태점검(제63조의2), 시정조치·과징금·과태료·고발과 공표(제64조·제64조의2·제75조·제65조·제66조), 그리고 손해배상과 집단분쟁조정(제39조·제39조의2·제49조)이 차례로 이어집니다. 초기 72시간에 만든 기록이 이 모든 단계에서 다시 쓰이는 이유와, 9월 11일 개정이 배상 조문까지는 오지 않는 이유를 정리합니다.

공공조달에서 우선구매 고려 대상이 되려면 과기정통부장관의 'AI 제품·서비스 확인’을 받아야 합니다. 절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회가 맡고, 신청 전에 조달청 목록정보시스템에서 물품목록번호를 먼저 받아야 합니다. 심사 기준 일곱 가지, 확인 제외 대상 세 가지, 보완 요청과 결정 기한, 확인 취소까지 조문 단위로 정리합니다.

생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.

정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 유예하고 있습니다. 그런데 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이고 나머지는 사실조사와 시정명령을 거치는데, 사실조사 대상 조문에 사전 고지가 빠져 있는 이유까지 함께 정리합니다.

국내에 주소나 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다. 전년도 매출 1조 원, AI 서비스 부문 매출 100억 원, 국내 이용자 1일 평균 100만 명, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 미지정 시 과태료는 2,000만 원이며 차수에 따른 가중이 없습니다. 개인정보 보호법상 국내대리인과는 근거도 대리 범위도 다릅니다.

AI기본법 제31조는 하나의 의무처럼 보이지만 층이 셋입니다. 서비스가 AI에 기반해 운용된다는 사전 고지(제1항), 생성형 AI 결과물이라는 표시(제2항), 실제와 구분하기 어려운 음향·이미지·영상의 고지(제3항)가 각각 다른 상황을 겨냥합니다. 이 중 사전 고지만 위반 시 곧바로 과태료가 붙습니다. 시행령 제23조가 정한 고지 방법 네 가지와 적용 예외 세 가지, 그리고 모델 제공자가 결과물에 심어 주는 워터마크가 우리 표시의무를 대신하지 못하는 이유를 정리합니다.

고영향 인공지능은 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 인공지능시스템입니다. 민간 사업자와 가장 넓게 닿는 영역은 사목(채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가)입니다. 해당 여부를 사전에 검토하는 것 자체가 법 제33조 제1항의 의무이고, 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다. 요청서 첨부서류, 30일 회신, 10일 내 재확인 요청까지 시행령 제25조가 정한 절차를 정리합니다.

개인정보 보호법 제63조의2의 사전 실태점검은 위반 혐의도 신고도 없을 때 나오는 점검입니다. 여기서 받는 권고는 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(제4항), 제61조 제2항의 개선권고에는 그런 간주가 없습니다. 판단할 시간은 통보받은 날부터 10일이고, 수락 여부를 가르는 것은 권고 문서에 이미 적혀 있는 이행 기간입니다(고시 제30조의4). 수락한 뒤의 불이행은 2026년 9월 11일부터 전체 매출액 10% 과징금 트랙과 이어집니다.