핵심 요약: 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI기본법)과 그 시행령은 2026년 1월 22일 함께 시행됐습니다. 의무를 지는 주체는 모델을 만드는 회사만이 아니라 남이 만든 인공지능을 이용해 제품·서비스를 제공하는 회사까지 포함한 '인공지능사업자’입니다(법 제2조 제7호). 실무상 대부분의 회사에 걸리는 것은 투명성 확보 의무(제31조)이고, 채용·대출 심사 등 10개 영역에 해당할 때 고영향 인공지능 책무(제33조·제34조)가 추가됩니다. 반면 안전성 확보 의무(제32조)는 누적 연산량 10의 26승 부동소수점연산 이상 등 세 요건을 모두 충족하는 시스템에만 적용돼(시행령 제24조 제1항) 국내 스타트업에는 통상 해당하지 않습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이며, 나머지는 사실조사와 시정명령을 거친 뒤에야 과태료 국면으로 넘어갑니다.
작년 이맘때 AI기본법을 설명할 때는 "시행 전에 무엇을 챙길 것인가"가 질문이었습니다. 그때는 정작 중요한 기준이 전부 "대통령령으로 정한다"에 걸려 있어서, 연산량 기준도 고영향 판단 절차도 답할 수 없었습니다.
지금은 다릅니다. 시행령이 법과 같은 날 시행되면서 연산량 기준도, 고영향 확인 절차도, 과태료 개별기준도 숫자로 나왔습니다.
그래서 질문이 바뀝니다. "우리 회사는 무엇에 걸리고, 무엇에는 안 걸리는가."
이 글은 그 갈림길을 정리하는 지도입니다. 각 의무의 세부 절차는 아래 링크한 글에서 따로 다룹니다.
우리는 모델을 안 만드는데, 그래도 '인공지능사업자’인가?
가장 먼저 정리해야 할 오해입니다. 답은 "그렇다"입니다. AI기본법의 의무 주체인 인공지능사업자는 두 종류를 모두 포함합니다(법 제2조 제7호).
- 인공지능개발사업자: 인공지능을 개발하여 제공하는 자
- 인공지능이용사업자: 개발사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자
즉 외부 모델을 API로 붙여 고객상담 챗봇을 만들었거나, 상용 AI 도구로 지원자 서류를 1차 선별하는 서비스를 운영한다면, 모델을 한 줄도 학습시키지 않았어도 인공지능사업자입니다.
"우리는 AI 회사가 아니다"라는 자기 인식과 법의 정의는 다릅니다. 여기서 갈리는 회사가 많습니다.
다만 내부 업무 용도로만 쓰는 경우는 투명성 고지의 적용 예외가 될 수 있습니다(시행령 제23조 제4항 제2호). 사내 문서 요약에만 쓰는 것과, 그 기능을 고객에게 서비스로 내보내는 것은 다릅니다.
지금 우리 회사에 걸리는 의무는 무엇인가?
의무를 성격별로 나누면 이렇습니다. 전부 같은 무게가 아닙니다.
| 의무 | 근거 | 적용 대상 | 위반 시 |
|---|---|---|---|
| 투명성 확보(사전 고지) | 법 §31① | 고영향·생성형 AI 기반 제품·서비스 제공자 | 과태료 (1차 500만 원) |
| 투명성 확보(생성물 표시) | 법 §31② | 생성형 AI 또는 이를 이용한 제품·서비스 제공자 | 직접 과태료 없음 · 시정명령 대상 |
| 투명성 확보(가상 결과물 고지) | 법 §31③ | 실제와 구분하기 어려운 음향·이미지·영상 제공자 | 직접 과태료 없음 · 시정명령 대상 |
| 안전성 확보 | 법 §32 | 누적 연산량 10^26 FLOP 등 3요건 충족 시스템 | 직접 과태료 없음 · 시정명령 대상 |
| 고영향 해당 여부 사전 검토 | 법 §33① | 모든 인공지능사업자 | 없음 |
| 고영향 AI 책무 | 법 §34① | 고영향 AI 제공자 | 직접 과태료 없음 · 시정명령 대상 |
| 영향평가 노력 | 법 §35① | 고영향 AI 제공자 | 노력 의무 |
| 국내대리인 지정·신고 | 법 §36① | 국내 주소·영업소 없는 일정 규모 이상 사업자 | 과태료 2,000만 원 |
표를 세로로 읽으면 구조가 보입니다. 과태료가 직접 붙는 것은 제31조 제1항 고지 의무와 제36조 국내대리인 지정, 이 둘뿐입니다. 나머지는 사실조사(제40조 제1항)를 거쳐 중지·시정명령이 내려지고, 그 명령을 이행하지 않을 때 비로소 과태료가 부과되는 구조입니다(제43조 제1항 제3호).
제재의 실제 작동 방식과 감경 기준은 계도기간이니 지금은 안 지켜도 되나 — AI기본법 과태료의 실제 구조에 따로 정리했습니다.
우리도 안전성 확보 의무 대상인가?
제32조는 이름값을 못 하는 조항입니다. "안전성 확보"라니 모든 AI 사업자가 지는 일반 의무처럼 들리지만, 실제로는 프런티어 모델을 직접 학습시키는 소수 사업자를 겨냥합니다.
시행령 제24조 제1항은 대상을 다음 세 요건을 모두 충족하는 인공지능시스템으로 한정합니다.
- 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산(10^26 FLOP) 이상일 것
- 인공지능기술의 발전 수준을 고려할 때 현재 인공지능시스템에 활용되는 인공지능기술 중 최첨단의 인공지능기술을 적용하여 구성·운영되고 있을 것
- 인공지능시스템의 위험도가 사람의 생명, 신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것
세 요건이 누적이라는 점이 핵심입니다. 연산량 기준만으로는 걸리지 않습니다. 국내에서 이 기준을 넘기는 학습을 수행하는 사업자는 극히 제한적이며, 외부 모델을 가져다 쓰는 이용사업자는 통상 대상이 아닙니다.
대상이 되면 수명주기 전반의 위험 식별·평가·완화와 안전사고 모니터링·대응 체계를 갖추고 그 결과를 과기정통부장관에게 제출해야 합니다(법 제32조 제1항·제2항). 누적 연산량의 구체적 산정 방식은 과기정통부장관 고시로 정해집니다(시행령 제24조 제2항).
이 절을 여기 남겨 둔 이유는 하나입니다. 대부분의 회사에게 제32조의 정답은 "해당 없음"이고, 그 사실을 빨리 확인하고 넘어가는 편이 낫기 때문입니다.
그래서 어디부터 보면 되나
우리 회사의 상황에 따라 볼 곳이 갈립니다. 조문 번호를 이미 알고 계신다면 인공지능기본법 조문 지도에서 그 조문의 시행일과 위반 시 과태료 유무를 먼저 확인하실 수 있습니다.
생성형 AI 기능을 서비스에 붙였다면 투명성 확보 의무부터 봅니다. 사전 고지·생성물 표시·가상 결과물 고지가 각각 다른 상황을 겨냥하고, 적용 예외도 따로 있습니다. 외부 모델이 결과물에 심어 주는 워터마크가 우리 의무를 대신하는지도 여기서 갈립니다. → 챗봇에 무엇을 고지해야 하나 — AI기본법 제31조의 세 층
채용·대출 심사처럼 사람의 권리·의무를 판단하는 일에 AI를 쓴다면 고영향 인공지능 해당 여부를 검토해야 합니다. 검토 자체가 의무이고, 해당하면 여섯 가지 책무가 따라붙습니다. 다른 법을 이미 지키고 있으면 그 책무를 이행한 것으로 보는 규정도 있습니다. → 우리 서비스가 '고영향 인공지능’인가
국내에 주소나 영업소가 없는 법인이라면 국내대리인 지정 대상인지 확인합니다. 전체 매출이 크지 않아도 AI 서비스 부문 매출 100억 원이면 걸립니다. → AI기본법 국내대리인 — AI 부문 매출 100억이면 대상입니다
"계도기간이라던데"라는 말이 사내에서 나왔다면 계도기간의 성격부터 정리해야 합니다. 법령상 유예가 아니라 행정 운영 방침입니다. → 계도기간이니 지금은 안 지켜도 되나
지금 점검할 체크리스트
- 우리 제품·서비스가 인공지능을 이용해 제공되는가. 그렇다면 개발사업자인가 이용사업자인가
- 그 인공지능이 생성형인가, 고영향 영역에서 쓰이는가, 둘 다인가
- 내부 업무 용도로만 쓰는 것과 고객에게 제공하는 것을 구분해 정리했는가
- 고영향 해당 여부 사전 검토를 수행하고 그 결과를 문서로 남겼는가(법 제33조 제1항)
- 안전성 확보 의무의 세 요건에 해당하지 않는다는 판단을 기록해 두었는가
- 해외 법인이라면 국내대리인 지정 기준에 걸리는지 확인했는가
- 위 항목 중 미비점이 있다면, 시정하려 노력한 기록을 남기고 있는가
공공기관 납품을 계획하고 있다면 확인할 항목이 하나 더 붙습니다. 2026년 7월 21일 시행된 개정법은 국가기관등에 AI 제품 우선구매 고려 의무를 지웠는데, 그 대상이 되려면 'AI 제품·서비스 확인’을 먼저 받아야 합니다. 확인 신청 절차와 구매 담당자 면책 규정은 7월 21일부터 국가기관은 AI 제품 구매를 '우선 고려’해야 합니다에 정리했습니다.
AI 서비스가 개인정보를 다룬다면 여기서 만든 문서들은 사고 국면에서 함께 확인됩니다. 유출을 인지한 뒤 72시간에 해야 할 일은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.
개인정보 쪽에서도 학습 국면을 겨냥한 조문이 따로 들어옵니다. 2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 이용 특례를 신설하면서, 심의·의결을 거치면 일부 조문의 적용을 배제할 수 있게 했습니다. 어느 조문이 걷히고 어느 조문이 그대로 남는지는 AI 학습 특례 — 걷히는 조문과 남는 국외이전에 정리했습니다.
자주 묻는 질문
Q. 외부 AI를 API로 붙여 쓰는 회사도 AI기본법 의무를 지나요?
집니다. AI기본법은 인공지능을 개발해 제공하는 '인공지능개발사업자’와 남이 만든 인공지능을 이용해 제품·서비스를 제공하는 '인공지능이용사업자’를 모두 '인공지능사업자’로 정의합니다(법 제2조 제7호). 외부 모델을 API로 연결해 챗봇이나 심사 도구를 만들었다면 모델을 만들지 않았어도 투명성 고지 의무(제31조)와 고영향 인공지능 관련 책무(제34조)에서 벗어나지 않습니다.
Q. 우리 스타트업도 안전성 확보 의무 대상인가요?
사실상 해당되지 않을 가능성이 높습니다. 시행령 제24조 제1항은 ① 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산 이상이고, ② 최첨단 인공지능기술을 적용해 구성·운영되며, ③ 위험도가 사람의 생명·신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것, 이 세 가지를 모두 충족하는 인공지능시스템으로 한정합니다. 세 요건이 누적이므로 프런티어 모델을 직접 학습시키는 사업자를 겨냥한 기준이며, 외부 모델을 이용하는 사업자에게는 통상 적용되지 않습니다.
Q. AI기본법 의무 중 실제로 과태료가 붙는 것은 무엇인가요?
직접 과태료가 붙는 위반은 두 가지뿐입니다. 사전 고지를 하지 않은 경우(법 제31조 제1항 위반, 1차 500만 원)와 국내대리인을 지정하지 않은 경우(법 제36조 제1항 위반, 2,000만 원)입니다. 생성물 표시, 안전성 확보, 고영향 인공지능 책무는 위반해도 바로 과태료가 부과되지 않고, 사실조사를 거쳐 중지·시정명령이 내려진 뒤 그 명령을 이행하지 않을 때 과태료 사유가 됩니다(법 제40조 제3항, 제43조 제1항 제3호).
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조(정의), 제31조(인공지능 투명성 확보 의무), 제32조(인공지능 안전성 확보 의무), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제35조(고영향 인공지능 영향평가), 제36조(국내대리인 지정), 제40조(사실조사 등), 제43조(과태료) — 국가법령정보센터. 법률 제21311호(2026. 1. 20. 공포, 2026. 7. 21. 시행)
- 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령 제23조(인공지능 투명성 확보 의무), 제24조(인공지능 안전성 확보 의무), 제25조(고영향 인공지능의 확인 절차 등), 제27조(고영향 인공지능과 관련한 사업자의 책무), 제29조(국내대리인 지정 사업자의 기준) — 국가법령정보센터. 대통령령 제36053호(2026. 1. 22. 시행), 제36506호(2026. 7. 21. 시행)를 거쳐 현행은 대통령령 제36580호(2026. 8. 20. 시행). 8월 개정은 「국가연구개발혁신법 시행령」 개정에 따른 타법개정으로, 제2조 제2호 나목의 인용 조항만 바뀌었고 이 글이 다루는 의무 조항은 그대로입니다.
- 과기정통부, 「인공지능 투명성 확보 안내 지침(가이드라인)」 공개 보도자료(2026. 1. 22.) — KDI 경제정보센터. 투명성 확보 의무의 주체를 '이용자에게 인공지능 제품 및 서비스를 직접 제공하는 인공지능사업자’로 정리했고, 1년 이상 계도기간 중 사실조사·과태료 부과를 유예한다는 방침도 여기에 담겼습니다.
- 인공지능기본법 지원데스크 — 과기정통부·정보통신산업진흥원. 하위법령과 가이드라인 원문, 사업자 문의 창구.
