AI기본법 시행 6개월 — 계도기간이 끝나기 전에 우리 회사가 확인할 의무들

핵심 요약 — 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI기본법)이 2026년 1월 22일 시행됐고, 개정법(법률 제21311호)과 개정 시행령(대통령령 제36506호)이 2026년 7월 21일부터 적용됩니다. 의무를 지는 주체는 모델을 만드는 회사만이 아니라 **남이 만든 AI를 이용해 제품·서비스를 제공하는 회사까지 포함한 ‘인공지능사업자’**입니다(법 제2조 제7호). 실무상 대부분의 회사에 걸리는 것은 투명성 확보 의무(제31조 — 고영향·생성형 AI 기반 서비스라는 사전 고지, 생성 결과물 표시, 실제와 구분하기 어려운 가상 결과물 고지)와, 채용·대출 심사 등 10개 영역에 해당할 때의 고영향 인공지능 책무(제33조 사전 검토, 제34조 위험관리·설명·이용자보호·인적 감독·문서 보관)입니다. 반면 안전성 확보 의무(제32조)는 누적 연산량 1026 FLOP 이상 등 세 요건을 모두 충족하는 시스템에만 적용돼(시행령 제24조 제1항) 국내 스타트업에는 통상 해당하지 않습니다. 위반 시 과태료는 최대 3천만 원이며(법 제43조), 정부는 최소 1년의 계도기간을 두어 사실조사·과태료를 유예하고 있으나 이는 법령상 유예가 아니라 행정 운영 방침입니다.

작년 이맘때 AI기본법을 설명할 때는 “시행 전에 무엇을 챙길 것인가"가 질문이었습니다. 그때는 정작 중요한 기준이 전부 “대통령령으로 정한다"에 걸려 있어서, 연산량 기준도 고영향 판단 절차도 답할 수 없었습니다.

지금은 다릅니다. 시행령이 확정됐고, 개정 시행령까지 7월 21일 적용됐습니다. 숫자와 절차가 나왔습니다. 그래서 질문도 바뀝니다. “우리 회사는 무엇에 걸리고, 무엇에는 안 걸리는가.”

우리는 모델을 안 만드는데, 그래도 ‘인공지능사업자’인가?

가장 먼저 정리해야 할 오해입니다. AI기본법의 의무 주체인 인공지능사업자는 두 종류를 모두 포함합니다(법 제2조 제7호).

• 인공지능개발사업자 — 인공지능을 개발하여 제공하는 자
• 인공지능이용사업자 — 개발사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자

즉 외부 모델을 API로 붙여 고객상담 챗봇을 만들었거나, 상용 AI 도구로 지원자 서류를 1차 선별하는 서비스를 운영한다면, 모델을 한 줄도 학습시키지 않았어도 인공지능사업자입니다. “우리는 AI 회사가 아니다"라는 자기 인식과 법의 정의는 다릅니다.

다만 내부 업무 용도로만 쓰는 경우는 뒤에서 볼 투명성 고지의 적용 예외가 될 수 있습니다(시행령 제23조 제4항 제2호). 사내 문서 요약에만 쓰는 것과, 그 기능을 고객에게 서비스로 내보내는 것은 다릅니다.

지금 우리 회사에 걸리는 의무는 무엇인가?

의무를 성격별로 나누면 이렇습니다.

과태료가 직접 붙는 것은 제31조 제1항 고지 의무와 제36조 국내대리인 지정뿐입니다. 나머지는 사실조사(제40조 제1항)를 거쳐 중지·시정명령이 내려지고, 그 명령을 이행하지 않을 때 비로소 과태료가 부과되는 구조입니다(제43조 제1항 제3호).

챗봇을 붙였는데 무엇을 고지해야 하나?

제31조는 층위가 셋이고, 각각 다른 상황을 겨냥합니다.

① 사전 고지 (제31조 제1항) — 고영향 인공지능이나 생성형 인공지능을 이용한 제품·서비스를 제공하려면, 그 제품·서비스가 해당 인공지능에 기반해 운용된다는 사실을 이용자에게 미리 알려야 합니다. 방법은 시행령 제23조 제1항이 네 가지를 열거합니다.

1. 제품 등에 직접 기재하거나 계약서·사용설명서·이용약관에 기재
2. 이용자의 화면 또는 단말기 등에 표시
3. 제품 등을 제공하는 장소에 인식하기 쉬운 방법으로 게시
4. 그 밖에 제품 등의 특성을 고려하여 과기정통부장관이 인정하는 방법

② 생성물 표시 (제31조 제2항) — 생성형 AI가 만들어 낸 결과물에는 생성형 인공지능에 의해 생성됐다는 사실을 표시해야 합니다. 시행령 제23조 제2항은 사람이 인식할 수 있는 방법과 기계가 판독할 수 있는 방법(워터마크·메타데이터 등)을 모두 허용하되, 기계 판독 방식을 택하면 그 사실을 1회 이상 안내 문구·음성 등으로 제공하도록 합니다. 워터마크만 심고 아무 안내도 하지 않는 방식은 안 됩니다.

③ 가상 결과물 고지 (제31조 제3항) — 실제와 구분하기 어려운 음향·이미지·영상, 이른바 딥페이크류에는 이용자가 명확하게 인식할 수 있는 방식으로 고지·표시해야 합니다. 다만 그 결과물이 예술적·창의적 표현물이거나 그 일부를 구성하는 경우에는 전시·향유를 저해하지 않는 방식으로 할 수 있습니다.

시행령 제23조 제3항은 여기에 두 가지 고려 요소를 답니다 — 시각·청각 등으로 쉽게 확인할 수 있는 방법일 것, 그리고 주된 이용자의 나이와 신체적·사회적 조건을 고려할 것. 아동이 주된 이용자인 서비스라면 성인 기준의 고지로는 부족할 수 있다는 의미입니다.

적용 예외 (시행령 제23조 제4항)도 실무상 중요합니다.

• 제품·서비스명이나 화면 문구 등을 볼 때 AI 활용 사실이 명백한 경우
• 내부 업무 용도로만 사용되는 경우
• 그 밖에 과기정통부장관이 고시로 정하는 경우

제31조의 구체적 이행 방법은 과기정통부가 2026년 1월 22일 공개한 **「인공지능 투명성 확보 안내 지침(가이드라인)」**이 안내하고 있고, 이 지침은 의무 주체를 이용자에게 AI 제품·서비스를 직접 제공하는 사업자로 정리했습니다.

참고로 생성형 AI 서비스에는 이 고지·표시 의무와 별개로 저작권 문제가 함께 따라옵니다. 학습 데이터의 적법성과 출력물의 침해 위험을 누가 지는지는 우리가 도입한 AI가 무단 학습을 했다면 책임은 누구에게 있나에서 따로 정리했습니다.

우리도 안전성 확보 의무 대상인가?

제32조는 이름 때문에 오해를 사기 쉬운 조항입니다. “안전성 확보"라니 모든 AI 사업자가 지는 일반 의무처럼 들리지만, 실제로는 프런티어 모델을 직접 학습시키는 소수 사업자를 겨냥합니다.

시행령 제24조 제1항은 대상을 다음 세 요건을 모두 충족하는 인공지능시스템으로 한정합니다.

1. 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산(1026 FLOP) 이상일 것
2. 현재 인공지능시스템에 활용되는 기술 중 최첨단 인공지능기술을 적용하여 구성·운영되고 있을 것
3. 위험도가 사람의 생명·신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것

세 요건이 누적이라는 점이 핵심입니다. 연산량 기준만으로 자동 적용되지 않습니다. 국내에서 이 기준을 넘기는 학습을 수행하는 사업자는 극히 제한적이며, 외부 모델을 가져다 쓰는 이용사업자는 통상 대상이 아닙니다.

대상이 되면 ① 수명주기 전반의 위험 식별·평가·완화, ② 안전사고 모니터링·대응 위험관리체계 구축을 이행하고, 그 결과를 과기정통부장관에게 제출해야 합니다(법 제32조 제1항·제2항). 구체적 이행 방식과 제출 방법은 과기정통부 고시로 정해지며(같은 조 제3항), 고시·가이드라인 초안이 2026년 1월 의견수렴을 거쳐 공개됐습니다. 최종 고시 본문은 과기정통부 공고로 확인해야 합니다.

우리 서비스가 ‘고영향 인공지능’인지 어떻게 판단하나?

여기가 스타트업에 가장 현실적으로 걸리는 지점입니다. 고영향 인공지능은 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서, 법 제2조 제4호 각 목의 10개 영역에서 활용되는 것을 말합니다.

민간 스타트업이 가장 많이 걸리는 것은 사목입니다. AI 채용 스크리닝, 신용·대출 심사 보조, 보험 인수 심사처럼 개인의 권리·의무에 중대한 영향을 주는 판단·평가에 AI를 쓴다면 고영향 인공지능일 가능성을 진지하게 검토해야 합니다.

그리고 이 검토는 선택이 아닙니다. 법 제33조 제1항은 인공지능사업자에게 고영향 해당 여부를 사전에 검토할 의무를 부과합니다. 스스로 판단하기 어려우면 과기정통부장관에게 확인을 요청할 수 있고, 절차는 시행령 제25조가 정합니다.

• 확인 요청서에 제품·서비스 개요서, 학습용데이터 개요, 활용 과정·결과 확인 자료 등을 첨부해 제출
• 장관은 30일 이내 회신, 복잡성·중요성을 고려해 30일 범위에서 1회 연장 가능
• 회신에 이의가 있으면 10일 이내 재확인 요청, 장관은 전문위원회 자문을 거쳐 30일 이내 회신

고영향에 해당하면 무엇을 해야 하나?

법 제34조 제1항이 여섯 가지 조치를 정합니다.

1. 위험관리방안의 수립·운영
2. 기술적으로 가능한 범위에서 최종결과·주요 판단 기준·학습용데이터 개요 등에 대한 설명 방안의 수립·시행
3. 이용자 보호 방안의 수립·운영
4. 고영향 인공지능에 대한 사람의 관리·감독
5. 안전성·신뢰성 확보 조치의 내용을 확인할 수 있는 문서의 작성과 보관
6. 그 밖에 위원회에서 심의·의결된 사항

시행령 제27조가 여기에 실행 규칙을 붙입니다.

• 게시 의무 — 위험관리방안의 주요 내용, 설명 방안의 주요 내용, 이용자 보호 방안, 그리고 해당 고영향 AI를 관리·감독하는 사람의 성명 및 연락처를 사무소·사업장 또는 인터넷 홈페이지 등에 게시해야 합니다. 다만 영업비밀에 해당하는 사항은 제외할 수 있습니다.
• 문서 보관 5년 — 조치를 이행하고 그 근거를 문서로 5년간 보관해야 합니다(전자적 보관 포함).
• 이용사업자 완화 — 개발사업자가 제1호~제3호 조치를 이행한 인공지능시스템을 제공받은 이용사업자가 본래 목적·용도를 현저하게 변경하는 등 중대한 기능 변경을 하지 않았다면, 해당 조치를 이행한 것으로 봅니다(시행령 제27조 제3항). 외부 모델을 그대로 쓰는 회사에게는 중요한 완충 장치입니다.
• 자료 요청권 — 이용사업자는 개발사업자에게 책무 이행에 필요한 자료 제공을 요청할 수 있고, 개발사업자는 협력하도록 노력해야 합니다(같은 조 제4항).

여기에 더해 고영향 AI를 이용한 제품·서비스를 제공하는 경우 사전에 기본권 영향평가를 하도록 노력할 의무가 있고(법 제35조 제1항), 국가기관등은 영향평가를 실시한 제품·서비스를 우선적으로 고려해야 합니다(같은 조 제2항). 공공시장을 노린다면 영향평가는 노력 의무 이상의 의미를 갖습니다.

해외 사업자라면 국내대리인을 지정해야 하나?

국내에 주소·영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 기준에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다(법 제36조 제1항).

1. 전년도 매출액 1조 원 이상
2. 인공지능서비스 부문 전년도 매출액 100억 원 이상
3. 전년도 말 기준 직전 3개월간 국내 이용자 수 1일 평균 100만 명 이상
4. 법 제43조 제1항 제3호에 따른 과태료를 부과받은 사실이 있는 사업자

2호가 눈에 띕니다. 전체 매출이 크지 않아도 AI 서비스 부문 매출 100억 원이면 대상입니다. 국내대리인은 안전성 이행 결과 제출, 고영향 확인 요청, 제34조 조치 이행 지원(문서의 최신성·정확성 점검 포함)을 대리하며, 국내대리인의 위반은 지정한 사업자가 한 것으로 봅니다(같은 조 제3항).

계도기간이니까 지금은 안 지켜도 되나?

정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 적용해, 그 기간에는 사실조사·과태료 부과 같은 제재성 조치를 원칙적으로 하지 않고 인명 사고 등 피해가 큰 예외적 상황에서만 제한적으로 실시하겠다고 밝혔습니다. 해외 동향과 기술 발전 속도를 고려해 추가 연장 가능성도 열어 두었습니다.

여기서 반드시 구분해야 할 것이 있습니다. 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 부칙에 적용 유예 조항이 있는 것이 아니므로, 제31조·제33조·제34조의 의무는 2026년 1월 22일부터 이미 발생해 있습니다.

실무적으로 이 차이가 만드는 결과는 셋입니다.

• 민사·계약 국면에서는 계도기간이 방패가 되지 않습니다. 고지 없이 생성형 AI 결과물을 제공해 이용자에게 손해가 생겼다면, 과태료를 면했다는 사정이 손해배상 책임까지 면제하지 않습니다.
• 계도기간 종료 후 시정명령의 표적이 됩니다. 사실조사(제40조 제1항)를 거쳐 중지·시정명령이 내려지고(같은 조 제3항), 이를 이행하지 않으면 1차 1,000만 원, 2차 2,000만 원, 3차 이상 3,000만 원의 과태료가 부과됩니다.
• 국내대리인 기준에 걸립니다. 시행령 제29조 제1항 제4호는 시정명령 불이행 과태료를 부과받은 사업자를 국내대리인 지정 대상으로 삼습니다. 한 번의 불이행이 별개의 의무를 새로 만들어 냅니다.

계도기간은 “지금 준비하라"는 시간이지 “지금 무시해도 된다"는 면허가 아닙니다.

위반하면 얼마인가?

법 제43조 제1항은 과태료 상한을 3천만 원으로 정하고, 시행령 별표 2가 개별 기준을 둡니다.

감경 규정도 함께 봐야 합니다. 중소기업기본법상 중소기업, 벤처기업육성법상 벤처기업, 소상공인기본법상 소상공인에 해당하거나, 위반이 사소한 부주의·오류에 기인한 경우, 위반 상태를 시정·해소하려 노력한 것이 인정되는 경우에는 개별기준 금액의 2분의 1 범위에서 감경될 수 있습니다(별표 2 제1호 다목). 반대로 피해가 크거나 위반 상태가 6개월 이상 지속되면 2분의 1 범위에서 가중됩니다(같은 호 라목).

“시정하려 노력한 기록"이 감경 사유라는 점은, 완벽한 준수가 어렵더라도 검토한 흔적을 문서로 남겨 두는 것에 실질적 가치가 있다는 뜻입니다.

지금 점검할 체크리스트

1. 우리 제품·서비스에 생성형 AI 기능이 있는가 — 있다면 사전 고지와 생성물 표시를 하고 있는가
2. 워터마크·메타데이터만 쓰고 있다면, 1회 이상 안내 문구·음성을 함께 제공하고 있는가
3. 실제와 구분하기 어려운 음향·이미지·영상을 만든다면 명확 인식 방식의 고지를 하고 있는가
4. 주된 이용자에 아동·고령자가 포함된다면 고지 방식을 그에 맞게 조정했는가
5. 우리 AI가 법 제2조 제4호 10개 영역(특히 사목 — 채용·대출 심사 등)에 해당하는지 사전 검토를 수행하고 기록했는가
6. 고영향에 해당한다면 위험관리방안·설명방안·이용자보호방안과 관리·감독자의 성명·연락처를 홈페이지에 게시했는가
7. 조치 이행 근거 문서를 5년 보관 체계로 관리하고 있는가
8. 외부 모델을 쓰고 있다면, 개발사업자로부터 책무 이행에 필요한 자료를 확보해 두었는가
9. 해외 법인이라면 AI 서비스 부문 매출 100억 원 기준에 걸리는지 확인했는가
10. 위 항목 중 미비점이 있다면, 시정 노력의 기록을 남기고 있는가

자주 묻는 질문

Q. 외부 AI를 API로 붙여 쓰는 회사도 AI기본법 의무를 지나요?

집니다. AI기본법은 인공지능을 개발해 제공하는 ‘인공지능개발사업자’와 남이 만든 인공지능을 이용해 제품·서비스를 제공하는 ‘인공지능이용사업자’를 모두 ‘인공지능사업자’로 정의합니다(법 제2조 제7호). 외부 모델을 API로 연결해 챗봇이나 심사 도구를 만들었다면 모델을 만들지 않았어도 투명성 고지 의무(제31조)와 고영향 인공지능 관련 책무(제34조)에서 벗어나지 않습니다.

Q. 우리 스타트업도 안전성 확보 의무 대상인가요?

사실상 해당되지 않을 가능성이 높습니다. 시행령 제24조 제1항은 ① 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산 이상이고, ② 최첨단 인공지능기술을 적용해 구성·운영되며, ③ 위험도가 사람의 생명·신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것 — 이 세 가지를 모두 충족하는 인공지능시스템으로 한정합니다. 프런티어 모델을 직접 학습시키는 사업자를 겨냥한 기준이며, 외부 모델을 이용하는 사업자에게는 통상 적용되지 않습니다.

Q. 계도기간 중이면 안 지켜도 되나요?

아닙니다. 계도기간은 법령에 근거한 의무 유예가 아니라 사실조사·과태료 부과라는 제재를 당분간 자제하겠다는 정부의 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 이미 발생해 있으므로, 계도기간에 위반 상태를 방치하면 종료 후 시정명령의 대상이 되고 그 불이행은 별도의 과태료 사유가 됩니다(법 제40조 제3항, 제43조 제1항 제3호).

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조(정의), 제31조(투명성 확보 의무), 제32조(안전성 확보 의무), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제35조(영향평가), 제36조(국내대리인 지정), 제40조(사실조사 등), 제43조(과태료)
• 같은 법 시행령 제23조(투명성 확보 의무), 제24조(안전성 확보 의무), 제25조(고영향 인공지능의 확인 절차 등), 제27조(고영향 인공지능과 관련한 사업자의 책무), 제28조(영향평가), 제29조(국내대리인 지정 사업자의 기준), 별표 2(과태료의 부과기준)
• 개정 법률 제21311호(2026. 1. 20. 공포, 2026. 7. 21. 시행), 개정 시행령 대통령령 제36506호(2026. 7. 20. 공포, 2026. 7. 21. 시행)
• 과학기술정보통신부, 「인공지능 투명성 확보 안내 지침(가이드라인)」(2026. 1. 22. 공개)