우리 서비스가 '고영향 인공지능'인가 — 10개 영역과 확인 요청 절차

핵심 요약: 고영향 인공지능은 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서, 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 것을 말합니다. 카목이 추가 영역을 대통령령에 위임해 두었으나 2026년 8월 22일 현재 추가로 지정된 영역은 없습니다. 열 개 영역 중 민간 사업자와 가장 넓게 닿는 것은 사목인 "채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"입니다. 해당 여부를 사전에 검토하는 것은 법 제33조 제1항의 의무이며, 스스로 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다(시행령 제25조: 30일 회신, 30일 범위 1회 연장, 회신일부터 10일 내 재확인 요청).

AI기본법에서 스타트업이 가장 현실적으로 부딪히는 개념이 고영향 인공지능입니다. 여기 해당하면 여섯 가지 책무가 한꺼번에 따라붙고, 해당하지 않으면 그 부담이 통째로 사라집니다.

문턱이 이렇게 높은데도, 정작 "우리가 여기 해당하나"를 정리해 둔 회사는 많지 않습니다.

그 판단을 미루면 안 되는 이유가 하나 더 있습니다. 판단하는 행위 자체가 법이 요구하는 의무이기 때문입니다.

고영향 인공지능은 어떻게 정의되나

법 제2조 제4호는 두 가지 요건을 겹쳐 놓았습니다.

첫째, 사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템일 것. 둘째, 각 목에 열거된 영역에서 활용될 것.

열거된 영역은 다음 10개입니다.

카목은 "그 밖에 사람의 생명·신체의 안전 및 기본권 보호에 중대한 영향을 미치는 영역으로서 대통령령으로 정하는 영역"을 남겨 두었습니다. 2026년 8월 22일 현재 대통령령으로 추가 지정된 영역은 없으므로, 실무에서 확인할 것은 위 10개입니다.

민간 사업자와 가장 넓게 닿는 영역은 사목입니다

목록을 훑어보면 원자력, 먹는물, 교통체계처럼 애초에 남의 얘기인 항목이 많습니다. 그래서 목록 전체를 훑고 "우리는 아니네"로 넘어가기 쉽습니다.

사목에서 멈춰야 합니다.

"채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"는 열거가 아니라 예시입니다. 채용과 대출 심사는 대표적인 예로 든 것이고, 기준은 그 뒤에 붙은 "개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"입니다.

이 기준으로 다시 보면 후보가 넓어집니다.

• AI 서류 전형·화상면접 평가
• 신용평가 보조 모델, 대출 한도·금리 산정
• 보험 인수 심사, 보험금 지급 심사
• 임대차·중개 과정의 임차인 심사
• 플랫폼의 계정 정지·수익 배분 결정처럼 개인의 지위를 좌우하는 자동 판단

반대로 판단에 개입하지 않는 쓰임새는 다르게 평가됩니다. 면접 일정을 조율하거나 지원서를 서식에 맞게 정리하는 정도라면 개인의 권리·의무 관계에 중대한 영향을 미치는 판단·평가라고 보기 어렵습니다.

경계에 있는 것은 "사람이 최종 결정을 하고 AI는 참고자료만 만든다"는 구조입니다. 실제로 그 참고자료가 결정을 사실상 좌우한다면 형식적인 사람 개입만으로 고영향을 벗어난다고 단정하기는 어렵습니다. 판단 흐름에서 AI 산출물이 어느 지점에 놓이는지를 문서로 정리해 두는 편이 안전합니다.

검토하는 것 자체가 의무입니다

법 제33조 제1항은 이렇게 정합니다. 인공지능사업자는 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우 그 인공지능이 고영향 인공지능에 해당하는지를 사전에 검토하여야 하며, 필요한 경우 과기정통부장관에게 확인을 요청할 수 있습니다.

두 부분의 무게가 다릅니다. 검토는 의무이고, 확인 요청은 선택입니다.

그래서 결론이 "고영향 아님"으로 나더라도 검토를 아예 하지 않은 상태와는 다릅니다. 검토한 날짜, 대상 시스템, 각 목별 판단, 그 근거를 한 장으로 남겨 두는 것이 이 조항에 대한 이행입니다.

이 기록은 나중에 다른 국면에서도 쓰입니다. 확인 요청서 서식에 "사전 검토결과"와 "검토근거" 칸이 따로 있어서, 정부에 물어보기로 마음먹은 순간 그 기록을 그대로 옮겨 적게 됩니다.

스스로 판단이 안 서면 어떻게 하나

시행령 제25조가 확인 요청 절차를 정합니다.

제출. 별지 서식의 고영향 인공지능 확인 요청서에 다음을 첨부해 과기정통부장관에게 제출합니다.

1. 해당 인공지능제품 또는 인공지능서비스의 개요서
2. 해당 인공지능시스템의 개발 및 학습에 사용된 학습용데이터의 개요
3. 해당 인공지능시스템을 활용하는 과정 및 결과를 확인할 수 있는 자료
4. 그 밖에 고영향 인공지능 해당 여부의 확인에 참고가 될 수 있는 서류

수수료는 없습니다. 서식은 요청인을 인공지능개발사업자와 인공지능이용사업자로 구분해 표시하게 하고, 기본모델과 파생모델의 명칭·개발국가를 각각 적게 합니다. 외부 모델을 파인튜닝해 쓰는 구조라면 그 계보를 그대로 드러내야 한다는 뜻입니다.

판단 기준. 장관은 다음을 고려해 판단합니다(시행령 제25조 제2항).

• 인공지능이 법 제2조 제4호 각 목의 어느 하나의 영역에서 활용되는지 여부
• 사람의 생명, 신체의 안전 및 기본권에 초래할 수 있는 위험의 영향, 중대성, 빈도 및 활용 영역별 특수성
• 사업자가 법 제33조 제1항에 따라 사전에 검토한 결과
• 전문위원회 자문을 받은 경우 그 자문 결과

세 번째 항목을 눈여겨보시기 바랍니다. 우리가 한 사전 검토가 장관의 판단 자료로 들어갑니다. 근거 없이 "해당 없음"이라고만 적어 낸 검토서는 그 자리에서 무게를 잃습니다.

기간. 요청을 받은 날부터 30일 이내 회신이 원칙이고, 제품의 복잡성·중요성을 고려해 30일 이내에 회신할 수 없으면 30일 범위에서 한 차례 연장할 수 있습니다. 이때 연장 사유와 연장 기간을 문서로 알려야 합니다.

재확인. 회신 결과에 이의가 있으면 회신을 받은 날부터 10일 이내에 재확인을 요청할 수 있습니다. 재확인은 전문위원회 자문을 거쳐 30일 이내에 회신됩니다.

10일은 짧습니다. 회신이 예상과 다르게 올 가능성이 있다면 재확인 요청서에 붙일 자료를 미리 준비해 두는 편이 낫습니다.

고영향에 해당하면 무엇을 해야 하나

법 제34조 제1항이 여섯 가지 조치를 정합니다.

1. 위험관리방안의 수립·운영
2. 기술적으로 가능한 범위에서 최종결과, 최종결과 도출에 활용된 주요 기준, 개발·활용에 사용된 학습용데이터의 개요 등에 대한 설명 방안의 수립·시행
3. 이용자 보호 방안의 수립·운영
4. 고영향 인공지능에 대한 사람의 관리·감독
5. 안전성·신뢰성 확보 조치의 내용을 확인할 수 있는 문서의 작성과 보관
6. 그 밖에 국가인공지능전략위원회에서 심의·의결된 사항

시행령 제27조가 여기에 실행 규칙을 붙입니다.

게시 의무. 위험관리정책 및 조직체계 등 위험관리방안의 주요 내용, 설명 방안의 주요 내용, 이용자 보호 방안, 그리고 해당 고영향 인공지능을 관리·감독하는 사람의 성명 및 연락처를 사무소·사업장 또는 인터넷 홈페이지 등에 게시해야 합니다. 부정경쟁방지법상 영업비밀에 해당하는 사항은 제외할 수 있습니다.

네 번째 항목은 준비 없이 시행일을 맞으면 곤란해지는 요구입니다. 관리·감독자의 이름과 연락처를 외부에 공개해야 하므로, 그 자리를 누구로 둘지부터 정해야 합니다.

문서 보관 5년. 조치를 이행하고 그 근거를 문서로 5년간 보관해야 합니다. 전자적 방법의 보관도 포함됩니다.

이용사업자 완화. 제1호부터 제3호까지의 조치를 모두 또는 일부 이행한 사업자로부터 인공지능시스템을 제공받은 이용사업자가 본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경을 하지 않았다면, 해당 조치를 이행한 것으로 봅니다(시행령 제27조 제3항). 외부 모델을 그대로 쓰는 회사에게는 중요한 완충 장치입니다.

자료 요청권. 이용사업자는 개발사업자에게 책무 이행에 필요한 자료 제공을 요청할 수 있고, 개발사업자는 이에 협력하도록 노력해야 합니다(같은 조 제4항). 노력 의무여서 강제력은 약하지만, 계약 협상에서 이 조항을 근거로 자료 제공 조항을 넣어 둘 수는 있습니다.

다른 법을 이미 지키고 있다면 이행한 것으로 볼 수 있습니다

조문 순서상 뒤에 있어 지나치기 쉬운 부분인데, 부담을 실질적으로 줄여 줍니다.

법 제34조 제3항은 인공지능사업자가 다른 법령에 따라 제1항 각 호에 준하는 조치를 대통령령으로 정하는 바에 따라 이행한 경우 제1항에 따른 조치를 이행한 것으로 본다고 정합니다. 그 구체적 기준이 시행령 제27조 제5항과 별표 1입니다.

별표 1이 인정하는 경우 중 실무에서 넓게 쓰일 만한 것을 추리면 이렇습니다.

첫 줄이 가장 중요합니다. 개인정보 보호법상 안전조치·개인정보처리방침·개인정보 보호책임자 지정·유출 통지·열람·정정삭제·처리정지·자동화된 결정에 대한 대응 등을 이미 이행하고 있다면, 개인정보 처리 및 보호에 관한 한 상응하는 제34조 조치를 이행한 것으로 봅니다.

다만 범위가 "개인정보 처리 및 보호에 대해서는"으로 한정돼 있습니다. 모델의 성능 위험이나 오판 위험처럼 개인정보 축이 아닌 부분까지 함께 면제되는 것은 아닙니다.

이 밖에 별표 1은 디지털의료기기(디지털의료제품법상 품질관리체계·제조허가·준수사항·품질책임자), 자율주행자동차(성능인증·변경인증, 자동차 사이버보안 관리체계 인증), 자율운항선박(안전성 평가·운항 승인), 원자력시설 관련 준수사항을 각각 어느 호의 이행으로 볼지 정하고 있습니다. 규제 산업에 있다면 이미 받아 둔 인증이 그대로 AI기본법 이행으로 환산되는지부터 확인하는 편이 빠릅니다.

별표 1 중 디지털의료기기에 관한 부분은 2026년 1월 24일부터 시행됐습니다.

영향평가는 노력 의무지만 공공시장에서는 다릅니다

고영향 인공지능을 이용한 제품·서비스를 제공하는 경우, 사전에 사람의 기본권에 미치는 영향을 평가하기 위하여 노력해야 합니다(법 제35조 제1항). 이때 인공지능취약계층의 특성이 반영되도록 해야 합니다.

여기까지는 노력 의무입니다. 그런데 제2항이 성격을 바꿉니다. 국가기관등이 고영향 인공지능을 이용한 제품·서비스를 이용하려는 경우에는 영향평가를 실시한 제품·서비스를 우선적으로 고려해야 합니다.

공공 납품을 노린다면 영향평가는 사실상 입찰 요건에 가깝게 작동합니다.

영향평가에 담아야 할 항목은 시행령 제28조 제1항이 일곱 가지로 정합니다. 영향받을 가능성이 있는 개인·집단의 식별(인공지능취약계층 특성 반영), 영향받을 수 있는 기본권 유형의 식별, 사회적·경제적 영향의 내용과 범위, 사용 행태, 평가지표와 결과산출 방식, 위험의 예방·완화·손실 복구, 개선이 필요한 경우 이행계획입니다. 직접 하거나 제3자에게 의뢰할 수 있습니다(같은 조 제2항).

인공지능취약계층의 범위는 시행령 제1조의2가 기초생활수급권자·장애인·65세 이상 등 아홉 범주로 열거합니다. 채용·대출 심사에 AI를 쓰는 서비스라면 이 목록과 우리 이용자층이 겹치는 지점을 먼저 확인해야 합니다.

지금 확인할 것

조문을 직접 펼쳐 보실 때는 인공지능기본법 조문 지도의 제33조·제34조·제35조 행에 원문과 하위법령 위임 상태가 함께 있습니다.

1. 우리 인공지능이 법 제2조 제4호 각 목 중 어디에 닿는지 목별로 판단하고 근거를 기록했는가. 특히 사목의 "판단 또는 평가"에 우리 산출물이 개입하는지
2. 사전 검토 결과를 문서로 남겼는가. 날짜·대상 시스템·판단·근거가 들어 있는가
3. 판단이 서지 않는다면 확인 요청에 필요한 세 가지 첨부서류를 만들 수 있는 상태인가
4. 고영향에 해당한다면, 게시해야 할 네 가지 중 관리·감독자의 성명과 연락처를 누구로 할지 정했는가
5. 조치 근거 문서를 5년 보관 체계로 관리하고 있는가
6. 개인정보 보호법상 조치를 이미 이행하고 있다면, 별표 1 제7호로 대체되는 범위와 대체되지 않는 범위를 구분했는가
7. 외부 모델을 쓰고 있다면 개발사업자가 제1호~제3호 조치를 이행했는지 확인하고, 우리가 중대한 기능 변경을 하지 않았다는 점을 기록했는가
8. 공공 납품 계획이 있다면 영향평가를 실시했는가

투명성 고지 쪽은 별도의 조문입니다. 고영향이든 생성형이든 이용자에게 사전 고지를 해야 하고, 이쪽은 위반하면 곧바로 과태료가 붙습니다. 절차는 챗봇에 무엇을 고지해야 하나 — AI기본법 제31조의 세 층에 정리했습니다.

우리 회사가 애초에 어느 의무의 주체인지부터 확인하려면 우리 회사도 '인공지능사업자’인가 — AI기본법 의무 지도를 먼저 보시기 바랍니다.

자주 묻는 질문

Q. 고영향 인공지능인지 판단하는 것 자체가 의무인가요?

그렇습니다. 법 제33조 제1항은 인공지능사업자가 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우 그 인공지능이 고영향 인공지능에 해당하는지를 사전에 검토하도록 정합니다. 결과적으로 고영향이 아니더라도 검토를 수행하지 않았다면 이 조항의 이행이 없는 것입니다. 검토 결과와 그 근거를 문서로 남겨 두는 편이 안전합니다.

Q. AI 채용 스크리닝을 쓰면 무조건 고영향 인공지능인가요?

무조건은 아니지만 사목에 정면으로 걸릴 가능성이 높습니다. 법 제2조 제4호 사목은 '채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가’를 열거하고, 고영향 인공지능은 그 영역에서 활용되면서 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템을 말합니다. 단순 일정 조율이나 문서 서식 정리에만 쓰는 경우와, 지원자를 걸러내는 판단에 관여하는 경우는 다르게 평가됩니다.

Q. 고영향에 해당하는지 정부에 물어볼 수 있나요?

있습니다. 법 제33조 제1항에 따라 과기정통부장관에게 확인을 요청할 수 있고, 절차는 시행령 제25조가 정합니다. 별지 서식의 확인 요청서에 제품·서비스 개요서, 학습용데이터 개요, 활용 과정·결과 확인 자료를 첨부해 제출하면 장관은 30일 이내에 회신하며, 복잡성·중요성을 고려해 30일 범위에서 한 차례 연장할 수 있습니다. 회신에 이의가 있으면 회신을 받은 날부터 10일 이내에 재확인을 요청할 수 있고, 이때는 전문위원회 자문을 거쳐 30일 이내에 회신합니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조 제4호(고영향 인공지능의 정의), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제35조(고영향 인공지능 영향평가) — 국가법령정보센터. 법률 제21311호(2026. 7. 21. 시행)
• 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령 제1조의2(인공지능취약계층의 범위), 제25조(고영향 인공지능의 확인 절차 등), 제27조(고영향 인공지능과 관련한 사업자의 책무), 제28조(고영향 인공지능 영향평가), 별표 1(이행조치 인정 기준 및 절차), 별지 서식(고영향 인공지능 확인·재확인 요청서) — 국가법령정보센터. 대통령령 제36580호(2026. 8. 20. 시행). 별표 1 중 디지털의료기기에 관한 부분은 2026. 1. 24. 시행
• 인공지능기본법 지원데스크 — 과기정통부·정보통신산업진흥원. 하위법령·가이드라인 원문과 사업자 문의 창구