핵심 요약: 국내에 주소 또는 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다(법 제36조 제1항). 기준은 전년도 매출액 1조 원 이상, 인공지능서비스 부문 전년도 매출액 100억 원 이상, 전년도 말 기준 직전 3개월간 국내 이용자 수 1일 평균 100만 명 이상, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 매출액은 전년도 평균환율로 원화 환산합니다. 미지정 시 과태료는 2,000만 원이고 차수에 따른 가중이 없습니다(시행령 별표 2). 국내대리인의 위반은 지정한 사업자가 한 것으로 봅니다(법 제36조 제3항).
해외 본사가 한국에 서비스를 제공할 때 가장 늦게 확인하는 항목이 국내대리인입니다. 개인정보 보호법 쪽은 이미 챙겨 뒀으니 AI기본법도 비슷하겠거니 넘어가기 쉽습니다.
두 제도는 근거도 다르고, 대리하는 일도 다르고, 무엇보다 기준선이 다릅니다.
누가 지정해야 하나
법 제36조 제1항의 구조는 두 겹입니다. 국내에 주소 또는 영업소가 없을 것, 그리고 이용자 수·매출액 등이 대통령령으로 정하는 기준에 해당할 것입니다.
시행령 제29조 제1항이 그 기준을 넷으로 정합니다. 네 가지는 병렬이어서 하나만 걸려도 대상입니다.
| 기준 | 내용 |
|---|---|
| 1호 | 전년도(법인은 전 사업연도) 매출액 1조 원 이상 |
| 2호 | 인공지능서비스 부문 전년도 매출액 100억 원 이상 |
| 3호 | 전년도 말 기준, 해당 사업자의 인공지능제품·인공지능서비스에 대한 직전 3개월간 국내 이용자 수가 1일 평균 100만 명 이상 |
| 4호 | 법 제43조 제1항 제3호에 따른 과태료를 부과받은 사실이 있는 사업자 |
1호와 2호의 매출액은 전년도 평균환율을 적용해 원화로 환산한 금액을 기준으로 합니다(같은 조 제2항). 본사 회계가 달러나 유로로 되어 있다면 환산 시점과 환율 기준을 미리 정해 두어야 판단이 흔들리지 않습니다.
국내대리인은 국내에 주소 또는 영업소가 있는 자여야 합니다(법 제36조 제2항). 법인격이나 자격 요건은 따로 정해져 있지 않습니다.
2호를 눈여겨봐야 하는 이유
네 기준 중 실제로 회사를 걸리게 하는 것은 대개 2호입니다.
1호의 1조 원은 상당한 규모입니다. 3호의 1일 평균 100만 명도 소비자 서비스가 아니면 닿기 어렵습니다. 그런데 2호는 전사 규모와 무관하게 AI 서비스 부문 매출 100억 원만 봅니다.
B2B SaaS로 한국 시장에서 연 100억 원을 올리는 외국 회사는 드물지 않습니다. 전사 매출로는 1조 원 근처에도 못 가는데 이 기준 하나로 지정 의무가 생깁니다.
여기서 실무 쟁점이 하나 생깁니다. "인공지능서비스 부문"의 경계를 어디로 볼 것인가입니다. 법 제2조 제6호는 인공지능서비스를 인공지능 또는 인공지능기술을 활용한 제품과 관련한 서비스로 정의하는데, AI 기능이 제품의 일부로 들어가 있는 경우 그 부문 매출을 어떻게 떼어낼지는 문언만으로 확정되지 않습니다.
기능별 매출 구분이 회계상 잡히지 않는다면, 어떤 기준으로 부문을 나눴는지를 문서로 남겨 두는 편이 안전합니다. 판단이 틀렸을 때보다 판단한 흔적이 없을 때가 더 불리합니다.
4호 — 과태료 한 번이 새 의무를 만듭니다
4호는 성격이 다릅니다. 규모가 아니라 이력을 기준으로 삼습니다.
법 제43조 제1항 제3호는 제40조 제3항에 따른 중지명령이나 시정명령을 이행하지 않은 경우의 과태료입니다. 즉 사실조사를 받고 시정명령이 내려졌는데 그것을 이행하지 않아 과태료를 맞은 사업자는, 규모와 무관하게 국내대리인 지정 대상이 됩니다.
한 번의 불이행이 별개의 의무를 새로 만들어 내는 구조입니다. 시정명령 단계에서 다투더라도 이행 자체는 해 두어야 하는 이유가 여기에 있습니다.
국내대리인은 무엇을 대리하나
법 제36조 제1항이 세 가지를 열거합니다.
- 제32조 제2항에 따른 이행 결과의 제출 — 안전성 확보 의무 대상 사업자가 과기정통부장관에게 내는 결과
- 제33조 제1항에 따른 고영향 인공지능 해당 여부 확인의 요청
- 제34조 제1항 각 호에 따른 안전성·신뢰성 확보 조치의 이행에 필요한 지원. 같은 항 제5호에 따른 문서의 최신성·정확성에 대한 점검을 포함합니다
3호의 괄호가 실무 부담을 결정합니다. 고영향 인공지능 책무 이행 근거 문서는 5년간 보관해야 하는데(시행령 제27조 제2항), 국내대리인은 그 문서가 최신인지 정확한지를 점검하는 역할까지 맡습니다.
문서 보관 창구를 본사에 두고 대리인은 이름만 올려 두는 구성으로는 이 조항을 이행하기 어렵습니다. 대리인이 실제로 문서에 접근할 수 있는 경로를 만들어야 합니다.
국내대리인의 위반은 누구 책임인가
지정한 사업자입니다. 법 제36조 제3항은 국내대리인이 제1항 각 호와 관련하여 이 법을 위반한 경우 해당 국내대리인을 지정한 인공지능사업자가 그 행위를 한 것으로 본다고 정합니다.
대리인을 세우는 것은 창구를 만드는 일이지 책임을 넘기는 일이 아닙니다. 위임 계약에는 대리 범위, 보고 주기, 자료 접근권, 그리고 대리인의 과실로 제재가 발생했을 때의 정산을 적어 두는 편이 낫습니다.
개인정보 보호법의 국내대리인과 같은 것인가
다릅니다. 근거 법률이 다르고, 지정 기준이 다르고, 대리하는 일도 겹치지 않습니다.
| AI기본법 | 개인정보 보호법 | |
|---|---|---|
| 근거 | 법 제36조, 시행령 제29조 | 법 제31조의2 |
| 판단 축 | 매출액·이용자 수·과태료 이력 | 매출액, 개인정보의 보유 규모 등 |
| 대리 사무 | 안전성 이행 결과 제출, 고영향 확인 요청, 제34조 책무 이행 지원 | 불만 처리·피해 구제, 유출 통지·신고, 자료 제출 |
| 누구를 지정하나 | 국내에 주소·영업소가 있는 자 | 국내 법인이 있으면 그 법인 중에서 지정해야 함 |
| 지정 후 의무 | 별도 규정 없음 | 교육·업무현황 점검 등 관리·감독, 처리방침 기재 |
세 번째 줄과 네 번째 줄에서 갈립니다. 개인정보 보호법 제31조의2 제2항은 해당 개인정보처리자가 설립했거나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 국내대리인을 지정하도록 못박고 있습니다. AI기본법에는 이런 제한이 없습니다. 그리고 2025년 4월 1일 신설된 같은 조 제3항은 지정한 뒤에도 교육하고 업무현황을 점검하는 관리·감독 의무를 지웁니다.
두 제도의 지정 대상이 겹치는 회사가 많지만, 한쪽을 지정했다고 다른 쪽이 자동으로 충족되지는 않습니다. 같은 사람을 양쪽 대리인으로 지정하는 것 자체는 막혀 있지 않으나, 위임 범위를 문서에서 분리해 적어야 합니다.
개인정보 보호법 쪽 국내대리인은 요건과 재지정 실무가 따로 움직입니다. 국내대리인을 다시 지정해야 하는 때에 정리했습니다.
미지정 과태료는 차수 가중이 없습니다
시행령 별표 2는 국내대리인 미지정에 대해 1차·2차·3차 이상 모두 2,000만 원을 정하고 있습니다. 다른 위반들이 차수에 따라 올라가는 것과 대비됩니다.
가중이 없는 대신 1차부터 금액이 높습니다. 사전 고지 미이행의 1차 과태료가 500만 원인 것과 비교하면 네 배입니다.
감경 여지는 있습니다. 중소기업기본법상 중소기업, 벤처기업육성법상 벤처기업, 소상공인기본법상 소상공인에 해당하거나, 위반이 사소한 부주의·오류에 기인하거나, 위반 상태를 시정·해소하려 노력한 것이 인정되면 2분의 1 범위에서 감경될 수 있습니다(별표 2 제1호 다목). 다만 국내대리인 지정 대상이 되는 규모라면 중소기업 감경에 기대기는 어렵습니다.
지금 확인할 것
이 조문의 원문과 과태료 연결은 인공지능기본법 조문 지도에서 한 줄로 볼 수 있습니다.
- 국내에 주소나 영업소가 없는 법인인가. 있다면 이 조항은 애초에 적용되지 않는다
- 전년도 전사 매출, AI 서비스 부문 매출, 직전 3개월 국내 이용자 수를 각각 산출해 두었는가
- AI 서비스 부문 매출을 어떤 기준으로 구분했는지 문서로 남겼는가
- 매출액 환산에 쓸 전년도 평균환율 기준을 정했는가
- 과거에 시정명령 불이행으로 과태료를 부과받은 이력이 있는가
- 지정한다면 국내에 주소 또는 영업소가 있는 자인가
- 위임 계약에 제34조 제1항 제5호 문서의 최신성·정확성 점검을 수행할 수 있는 자료 접근 경로가 들어 있는가
- 서면 지정과 과기정통부장관 신고를 모두 마쳤는가
우리 회사가 애초에 AI기본법상 어느 의무의 주체인지는 우리 회사도 '인공지능사업자’인가 — AI기본법 의무 지도에 정리했습니다. 본사 산출물과 한국법이 어긋나는 지점을 전반적으로 훑으려면 본사 정책을 한국에 그대로 옮기면 걸리는 곳을 함께 보시기 바랍니다.
자주 묻는 질문
Q. AI기본법 국내대리인은 누가 지정해야 하나요?
국내에 주소 또는 영업소가 없는 인공지능사업자로서 시행령 제29조 제1항의 네 가지 기준 중 어느 하나에 해당하는 사업자입니다. ① 전년도 매출액 1조 원 이상, ② 인공지능서비스 부문 전년도 매출액 100억 원 이상, ③ 전년도 말 기준 직전 3개월간 국내 이용자 수가 1일 평균 100만 명 이상, ④ 법 제43조 제1항 제3호에 따른 과태료를 부과받은 사실이 있는 경우입니다. 국내대리인은 국내에 주소 또는 영업소가 있는 자여야 합니다(법 제36조 제2항).
Q. 전체 매출은 크지 않은데 AI 서비스만 잘 팔립니다. 대상인가요?
대상이 될 수 있습니다. 시행령 제29조 제1항 제2호는 인공지능서비스 부문 전년도 매출액이 100억 원 이상인 사업자를 별도의 기준으로 두고 있어, 전사 매출이 1조 원에 미치지 않아도 이 부문 매출만으로 지정 의무가 생깁니다. 매출액은 전년도 평균환율을 적용해 원화로 환산한 금액을 기준으로 합니다(같은 조 제2항).
Q. 국내대리인이 잘못하면 누가 책임지나요?
지정한 사업자가 책임집니다. 법 제36조 제3항은 국내대리인이 같은 조 제1항 각 호와 관련하여 이 법을 위반한 경우 해당 국내대리인을 지정한 인공지능사업자가 그 행위를 한 것으로 본다고 정합니다. 대리인을 세워 두는 것으로 책임이 이전되지 않으므로, 위임 범위와 보고 체계를 계약서에 구체적으로 적어 두어야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조(정의), 제32조(인공지능 안전성 확보 의무), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제36조(국내대리인 지정), 제43조(과태료) — 국가법령정보센터. 법률 제21311호(2026. 7. 21. 시행)
- 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령 제27조(고영향 인공지능과 관련한 사업자의 책무), 제29조(국내대리인 지정 사업자의 기준), 별표 2(과태료의 부과기준) — 국가법령정보센터. 대통령령 제36580호(2026. 8. 20. 시행)
- 개인정보 보호법 제31조의2(국내대리인의 지정) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행). 국내 법인 우선 지정 의무와 관리·감독 의무는 2025. 4. 1. 개정분입니다.
- 인공지능기본법 지원데스크 — 과기정통부·정보통신산업진흥원. 신고 창구와 하위법령 원문
