핵심 요약. 「데이터기반행정 활성화에 관한 법률」이 법률 제21392호로 개정되어 제명이 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 바뀌어 2026년 8월 28일 시행됐습니다. 공공기관은 AI를 정책 수립·의사결정에 활용할 때 최종적인 권한과 책임이 해당 기관에 있음을 명확히 하여야 하고(제3조 제5항), 편향성과 투명성을 고려하여야 하며(제3조 제7항), 학습용데이터 품질 확보(제29조), AI 서비스 현황 제출·공표(제30조), 윤리기준 이행(제31조) 의무를 집니다. 공공분야 인공지능 영향평가(제32조)는 2027년 2월 28일 시행되고, 이미 AI를 운영 중인 기관은 시행일부터 2년 안에 평가를 마쳐야 합니다(부칙 제5조). 개정 시행령(대통령령 제36604호)은 2026년 8월 25일 공포됐고, 영향평가의 기준·제외대상·실시기관·위험관리방안을 정한 시행령 제26조부터 제29조까지는 부칙 단서에 따라 2027년 2월 28일부터 시행됩니다. 의무의 수범자는 공공기관이지만, 그 의무는 조달 규격과 계약 조건이 되어 납품사에 내려옵니다.

이 법이 의무를 지우는 대상은 공공기관입니다. AI를 납품하는 회사에 직접 적용되는 조문은 없습니다. 그런데도 납품사의 법무·사업 담당자가 이 법을 읽어야 하는 이유는, 발주처가 법률상 의무를 지면 발주처는 그 이행에 필요한 자료와 협조를 계약으로 확보하려 하기 때문입니다.

공공기관은 AI를 직접 개발하기보다 외부에서 도입하는 경우가 많습니다. 그래서 기관이 지는 의무는 제안요청서의 요구사항, 과업지시서의 산출물, 계약서의 협조 조항으로 옮겨 적히게 됩니다. 납품사가 AI기본법에서 직접 지는 책무는 별도 글에서 정리했고, 이 글은 발주처의 의무를 납품사 관점에서 역산합니다.

8월 28일에 무엇이 시행되나

개정 법률은 제명을 바꾸면서 정의 조항에 "인공지능기반행정"과 "학습용데이터"를 신설했습니다. 인공지능기반행정은 공공기관이 인공지능을 활용하는 방법으로 정책수립 및 의사결정을 효율적이고 과학적으로 수행하는 행정을 말합니다(제2조 제3호). 학습용데이터는 AI기본법 제15조 제1항에 따라 인공지능의 개발·활용 등에 사용되는 데이터를 말하고(제2조 제6호), "인공지능"의 정의 자체도 AI기본법 제2조 제1호를 따릅니다. 소관 부처는 행정안전부입니다.

시행 시간표는 세 층입니다. 법 본체는 2026년 8월 28일 시행됐고, 영향평가를 정한 제32조만 2027년 2월 28일 시행됩니다(부칙 제1조 단서). 시행 당시 이미 AI를 도입·활용하고 있는 기관은 시행일부터 2년 이내에 영향평가를 실시하고 결과를 공표하여야 합니다(부칙 제5조).

"최종 책임은 발주처에 있다"는 조문이 납품사에 뜻하는 것

공공기관은 인공지능을 정책 수립 및 의사결정에 활용하는 경우에는 그 결정에 대한 최종적인 권한과 책임이 해당 공공기관에 있음을 명확히 하여야 한다. (제3조 제5항)

이 조문은 언뜻 납품사에 유리해 보입니다. 그러나 공공기관은 책임 소재를 "명확히 하여야" 하므로, 기관은 내부 규정과 계약 문서로 책임 구조를 적어 두게 됩니다. 그리고 기관이 결정의 최종 책임을 지려면 그 결정이 어떻게 나왔는지 설명할 수 있어야 하는데, 설명에 필요한 자료는 대부분 납품사가 갖고 있습니다.

따라서 납품사는 이 조문을 "발주처가 책임진다"에서 멈추지 말고, "발주처가 책임지는 데 필요한 것을 우리에게 요구하게 된다"까지 읽어야 합니다. 그 요구는 계약 협상에서 자료 제공 의무와 설명 협조 의무의 형태로 나타날 수 있습니다.

조문에서 역산한 계약 요구 목록

  • 제3조 제7항 — 편향성·투명성. 공공기관은 인공지능 및 데이터의 편향성과 의사결정의 투명성을 고려하여야 합니다. 기관이 이를 고려하려면 편향 검증 결과와 의사결정 방식을 설명하는 자료가 필요한데, 그 자료는 개발사가 만들 수 있습니다. 따라서 납품사는 편향 검증 자료와 설명 자료의 제출을 요구받을 수 있습니다. 편향 검증의 실무 쟁점은 편향성 검증과 민감정보 처리에서 다뤘습니다.
  • 제29조 — 학습용데이터 품질. 공공기관의 장은 학습용데이터의 기관 간 공유·활용 촉진을 위해 적정한 품질수준을 확보하는 조치를 취하여야 합니다. 납품사는 학습데이터의 출처와 품질을 입증하는 자료를 요구받을 수 있고, 납품한 데이터가 기관 간 공유를 전제로 한다는 점도 계약 검토에서 짚어야 합니다.
  • 제30조 — 현황 제출과 매년 공표. 공공기관의 장은 제공하는 AI 서비스의 유형·목적·데이터 등 현황을 행정안전부장관에게 제출하고, 행정안전부장관은 이를 목록으로 관리해 매년 공표합니다. 납품한 AI의 현황이 공표 대상이 된다는 뜻이므로, 납품사는 영업비밀에 해당하는 범위를 계약에서 미리 정해 둘 실익이 있습니다.
  • 제31조 — 윤리기준. 행정안전부장관은 AI기본법 제27조의 윤리원칙을 반영해 공공기관에 적용되는 윤리기준을 제정·공표하고, 공공기관의 장은 그 이행을 위한 시책을 마련합니다. 기관이 이행을 담보하는 방법 하나는 계약 상대방에게 준수 확약을 받는 것이므로, 납품사는 윤리기준 준수 조항이 계약서에 들어오는 상황에 대비할 필요가 있습니다.

2027년 2월 28일, 영향평가가 조달 일정에 들어온다

공공기관의 장은 인공지능을 도입하려는 경우 사전에 그것이 국민의 기본권에 미치는 영향을 평가하고 결과를 공표하여야 합니다(제32조 제1항). 평가가 도입 "전"에 이루어져야 하므로, 조달 일정에 평가 기간이 들어오게 됩니다. 납품사는 제안·계약·검수 일정이 평가 절차와 맞물릴 수 있다는 점을 사업 계획에 반영해야 합니다. 조달 단계에서 함께 볼 AI기본법 제16조의 우선구매는 별도 글을 참고하시기 바랍니다.

면제 조항도 있습니다. AI기본법 제35조에 따른 영향평가를 실시한 고영향 인공지능 또는 이를 이용한 서비스는, 행정안전부장관과 협의한 경우 평가 대상에서 제외됩니다(제32조 제2항 제3호). 자사 제품이 고영향 AI에 해당하는지 확인하는 방법은 고영향 AI 확인에서 다뤘습니다. 한편 부칙 제5조에 따라 이미 도입·운영 중인 AI도 2년 안에 평가 대상이 되므로, 기존 납품 계약에도 평가 협조 요구가 올 수 있습니다.

평가의 기준·방법·절차는 대통령령에 위임되어 있었는데, 이 위임은 2026년 8월 25일 채워졌습니다. 개정 시행령인 「인공지능 및 데이터 기반 행정 활성화에 관한 법률 시행령」(대통령령 제36604호)이 이날 공포된 것입니다. 시행령은 2026년 8월 28일 시행됐지만, 영향평가에 관한 시행령 제26조부터 제29조까지는 부칙 단서에 따라 법 제32조와 같은 2027년 2월 28일부터 시행됩니다.

평가 기준은 시행령 제26조가 정합니다. 공공기관의 장은 영향평가를 실시할 때 인공지능의 의사결정 과정 및 결과에 대한 투명성, 성능 및 결과의 신뢰성, 데이터 및 알고리즘에 따른 편향 발생 가능성을 고려해야 합니다. 넷째 기준은 국민의 기본권 보호를 위해 고려가 필요한 사항으로서 행정안전부장관이 고시로 정하도록 되어 있습니다. 기준 셋은 시행령이 직접 정했고, 나머지 하나는 고시로 다시 넘어간 구조입니다.

평가를 수행할 기관도 정해졌습니다. 시행령 제28조는 「지능정보화 기본법」 제12조 제1항에 따른 한국지능정보사회진흥원과, 전문기관 또는 전문인력·시설 등을 갖추어 행정안전부장관이 지정·고시하는 기관을 실시기관으로 규정합니다. 납품사 입장에서 위 세 가지 기준은 발주 기관이 평가 과정에서 요구할 자료의 목록으로 읽어 둘 필요가 있습니다. 의사결정 과정을 설명하는 자료, 성능과 신뢰성을 뒷받침하는 검증 자료, 데이터와 알고리즘의 편향 점검 자료를 요구받을 수 있다는 뜻입니다.

영향평가를 받지 않아도 되는 도입은 어떤 경우일까요

시행령 제27조는 평가 제외대상을 정합니다. 첫째, 대국민 서비스가 아니면서 국민의 권리·의무에 관한 정책의 의사결정에 사용하지 않는 것이 명백한 경우입니다. 둘째, 종전에 영향평가를 실시한 인공지능을 동일한 목적·대상 범위·운영 방식으로 변경 없이 다시 도입하는 경우입니다. 셋째, 성능·효과를 검증할 목적으로 제한된 범위에서 1년 이내로 운영하는 경우입니다. 이 셋째 유형은 실증 사업이나 시범 도입이 평가 없이 진행될 수 있는 경로가 됩니다.

다만 제외대상이라고 해서 절차가 없는 것은 아닙니다. 시행령 제27조 제2항에 따라 공공기관의 장은 제외대상에 해당하는지에 대해 행정안전부장관의 확인을 받아야 합니다. 우리 사업은 평가 대상이 아니라는 판단을 발주 기관이 단독으로 내릴 수 없다는 뜻입니다. 납품사로서는 이 확인 절차에 걸리는 기간이 사업 일정에 들어온다는 점을 일정 협의에 반영해 둘 필요가 있습니다.

위험관리방안의 내용도 정해졌습니다. 시행령 제29조는 위험관리방안에 여섯 가지를 담도록 합니다. 인공지능 활용 구조, 담당자 지정 및 로그기록 관리 계획, 성능 및 안전성 점검·검증 절차, 오류·편향·침해사고 탐지 및 사고 대응 절차, 운영 중단·제한 및 이용자 보호 기준, 민원·이의제기·피해구제 절차의 운영입니다.

이 가운데 로그기록 관리 계획, 성능·안전성 점검·검증 절차, 오류·편향·침해사고 탐지 및 대응 절차는 발주 기관이 혼자 만들 수 있는 문서가 아닙니다. 시스템을 만든 납품사의 자료가 있어야 완성됩니다. 어느 자료를 누가 작성하고 비용은 누가 부담하는지를 계약 체결 단계에서 정해 두면, 사업 수행 중에 이 요구가 왔을 때 근거를 두고 처리할 수 있습니다.

컨소시엄 안에서는 책임을 어떻게 나눌 것인가

법이 정하는 것은 발주처의 대외적 책임이고, 공급망 내부의 책임 배분은 계약이 정합니다. 주사업자가 발주처로부터 자료 제공·평가 협조 요구를 받으면, 그 요구는 다시 하도급이나 컨소시엄 구성원인 AI 개발사에게 내려갑니다. 그런데 누가 편향 검증 자료를 만들고, 누가 영향평가에 협조하며, 그 비용을 누가 부담하는지는 법에 없습니다.

따라서 주사업자와 AI 개발사는 컨소시엄 협약과 하도급 계약을 맺을 때, 위 요구 목록을 항목별로 나눠 자료 작성 주체와 비용 부담을 미리 적어 둘 실익이 있습니다. 발주처의 요구가 도착한 뒤에 배분을 다투는 것보다, 계약 체결 시점에 정해 두는 편이 분쟁의 여지를 줄입니다.

시행령이 공포되면서 영향평가의 뼈대는 드러났습니다. 그러나 이번 개정에는 학습용데이터 품질 확보(제29조), 인공지능 서비스 현황의 제출과 공표(제30조), 윤리기준(제31조)에 관한 규정이 들어 있지 않습니다. 시행령 자체도 세 곳을 행정안전부 고시로 다시 넘겼습니다. 평가 기준의 추가 항목(시행령 제26조 제4호), 실시기관의 지정(시행령 제28조 제2호), 위험관리방안의 세부 기준(시행령 제29조 제2항)입니다.

법과 시행령이 시행된 2026년 8월 28일에는 「인공지능 및 데이터 기반 행정 활성화에 관한 법률 시행규칙」(행정안전부령 제637호)도 공포되어 같은 날 시행됐습니다. 부령까지 나왔으니 빈 곳이 채워졌는지 확인할 차례인데, 위 진단은 그대로 유지됩니다. 이 시행규칙은 조문이 네 개뿐이고, 제1조부터 제3조까지는 바뀐 제명에 맞춰 인용 법령명을 고치는 정비입니다. 실질적으로 새로 만들어진 것은 공공 인공지능·데이터협회의 설립 절차를 정한 제4조와 별지 제7호서식뿐입니다. 법 제29조부터 제31조까지에 관한 규정도, 시행령이 행정안전부 고시로 넘긴 세 곳도 이 시행규칙은 채우지 않았습니다.

다만 협회 조항은 납품하는 회사 입장에서 성격이 다릅니다. 이 법에서 납품사는 의무의 수범자가 아니지만, 법 제26조 제1항은 "인공지능 및 데이터와 관련한 연구 등을 수행하는 자"가 행정안전부장관의 인가를 받아 협회를 설립할 수 있다고 정하고, 법 제26조 제5항 제2호는 협회의 업무에 제도 개선 건의를 넣어 두었습니다. 납품사 쪽이 이 법에 의무의 대상이 아니라 주체로 등장하는 통로가 여기입니다. 시행규칙 제4조 제1항이 설립인가 신청서 서식(별지 제7호서식)을 확정하면서 그 절차가 갖춰졌습니다. 시행령 제24조 제1항에 따라 50명 이상의 발기인이 정관을 작성하고 발기인총회 의결을 거쳐 인가를 신청하며, 서식상 처리기간은 20일입니다. 협회가 이미 만들어진 것은 아니고, 설립할 수 있는 절차가 2026년 8월 28일에야 확정됐다는 뜻입니다.

계약 요구의 구체적인 수준은 이 하위규범들이 나와야 다 드러납니다. 공공 납품을 준비하는 회사는 고시 제정 여부를 계속 확인할 필요가 있습니다. 다만 그 사이에도 지금 할 수 있는 일이 있습니다. 계약에서 자료 작성 주체와 비용 부담을 미리 정해 두는 것입니다.

자주 묻는 질문

Q. 이 법은 민간 기업에도 적용되나요?

이 법의 수범자는 공공기관이고, 납품사에 직접 의무를 지우는 조문은 없습니다. 그러나 공공기관은 AI 활용 결정의 최종 권한과 책임이 자신에게 있음을 명확히 하여야 하고(제3조 제5항), 편향성·투명성 고려(제3조 제7항), 학습용데이터 품질 확보(제29조) 등의 의무를 집니다. 공공기관은 이 의무를 이행하기 위해 필요한 자료와 협조를 조달 규격과 계약 조건으로 납품사에 요구하게 됩니다. 따라서 민간 기업은 법의 직접 수범자가 아니더라도 계약을 통해 사실상 그 의무의 상당 부분을 나눠 지게 됩니다.

Q. AI기본법 영향평가를 이미 받았으면 또 받아야 하나요?

면제 경로가 조문에 있습니다. AI기본법 제35조에 따른 영향평가를 실시한 고영향 인공지능 또는 이를 이용한 서비스는 공공분야 인공지능 영향평가 대상에서 제외될 수 있습니다(제32조 제2항 제3호). 다만 이 면제는 공공기관이 행정안전부장관과 협의한 경우에 적용되므로, 평가를 받았다는 사실만으로 자동으로 면제되는 구조는 아닙니다. 평가의 기준·방법·절차를 정하는 개정 시행령은 2026년 8월 25일 공포되었습니다(대통령령 제36604호). 참고로 행정안전부장관의 확인 절차(시행령 제27조 제2항)는 이 면제가 아니라 시행령 제27조 제1항이 정하는 별도의 제외대상(대국민 서비스가 아닌 경우 등)에 걸리는 것이고, 고영향 AI 면제 경로의 절차는 협의입니다. 자사 제품이 면제 경로를 탈 수 있는지는 발주처와의 협의 단계에서 확인해야 합니다.

Q. 이미 공공기관에 납품해 운영 중인 AI는 어떻게 되나요?

부칙 제5조가 경과조치를 두고 있습니다. 이 법 시행 당시 이미 인공지능을 도입·활용하고 있는 공공기관의 장은 시행일부터 2년 이내에 공공분야 인공지능 영향평가를 실시하고 그 결과를 공표하여야 합니다. 평가받은 AI에 대해서는 오류 등 위험에 대처하는 위험관리방안도 수립·시행되어야 합니다(제32조 제4항). 따라서 이미 운영 중인 계약이라도 발주처로부터 평가에 필요한 자료 제공과 협조 요구가 올 수 있고, 기존 계약에 협조 의무와 비용 부담 조항이 없다면 변경 계약에서 정리해 둘 실익이 있습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료