공공조달에서 우선구매 고려 대상이 되려면 과기정통부장관의 'AI 제품·서비스 확인'을 받아야 합니다. 절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회가 맡고, 신청 전에 조달청 목록정보시스템에서 물품목록번호를 먼저 받아야 합니다. 심사 기준 일곱 가지, 확인 제외 대상 세 가지, 보완 요청과 결정 기한, 확인 취소까지 조문 단위로 정리합니다.

생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.

정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 유예하고 있습니다. 그런데 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이고 나머지는 사실조사와 시정명령을 거치는데, 사실조사 대상 조문에 사전 고지가 빠져 있는 이유까지 함께 정리합니다.

국내에 주소나 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다. 전년도 매출 1조 원, AI 서비스 부문 매출 100억 원, 국내 이용자 1일 평균 100만 명, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 미지정 시 과태료는 2,000만 원이며 차수에 따른 가중이 없습니다. 개인정보 보호법상 국내대리인과는 근거도 대리 범위도 다릅니다.

AI기본법 제31조는 하나의 의무처럼 보이지만 층이 셋입니다. 서비스가 AI에 기반해 운용된다는 사전 고지(제1항), 생성형 AI 결과물이라는 표시(제2항), 실제와 구분하기 어려운 음향·이미지·영상의 고지(제3항)가 각각 다른 상황을 겨냥합니다. 이 중 사전 고지만 위반 시 곧바로 과태료가 붙습니다. 시행령 제23조가 정한 고지 방법 네 가지와 적용 예외 세 가지, 그리고 모델 제공자가 결과물에 심어 주는 워터마크가 우리 표시의무를 대신하지 못하는 이유를 정리합니다.

고영향 인공지능은 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 인공지능시스템입니다. 민간 사업자와 가장 넓게 닿는 영역은 사목(채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가)입니다. 해당 여부를 사전에 검토하는 것 자체가 법 제33조 제1항의 의무이고, 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다. 요청서 첨부서류, 30일 회신, 10일 내 재확인 요청까지 시행령 제25조가 정한 절차를 정리합니다.

개인정보 보호법 제63조의2의 사전 실태점검은 위반 혐의도 신고도 없을 때 나오는 점검입니다. 여기서 받는 권고는 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(제4항), 제61조 제2항의 개선권고에는 그런 간주가 없습니다. 판단할 시간은 통보받은 날부터 10일이고, 수락 여부를 가르는 것은 권고 문서에 이미 적혀 있는 이행 기간입니다(고시 제30조의4). 수락한 뒤의 불이행은 2026년 9월 11일부터 전체 매출액 10% 과징금 트랙과 이어집니다.

개인정보보호위원회 제재 처분을 다툰 판결문 18건을 전부 읽고, 법원이 위원회와 다르게 판단한 지점만 골라 정리했습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923) 두 갈래뿐입니다. 그 두 갈래를 뺀 나머지 사건은 선고가 난 범위에서 전부 위원회가 이겼습니다. 다만 전부 기각된 판결 안에도 해설서의 규범력, 면제 사유의 존재, 구법 적용의 근거에 관해 위원회와 다른 판단이 들어 있고, 이 판시들은 소송보다 조사·의견진술 단계에서 먼저 쓰입니다.

2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다. 실무에서 중요한 것은 특례를 받으면 무엇이 걷히느냐인데, 적용 제외 목록을 정한 제28조의15는 국외 이전 조항을 '처리위탁하는 경우에 한정한다'고 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 그대로 남습니다.

개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다.