AI규제

개인정보보호위원회의 제재 의결 889건을 전수로 훑어, 인공지능이 쟁점이 된 의결 18건을 골라냈습니다. 그중 과징금이나 과태료가 붙은 것은 7건이고 나머지 11건은 권고와 경고로 끝났습니다. 금전 제재 7건을 보면 AI 자체가 아니라 그 옆의 것이 걸렸습니다. 학습에 쓴 원본 데이터의 수집 근거, 생체정보 동의, 국외이전, 평범한 API 취약점입니다. AI 학습을 이유로 과징금이 부과된 사건은 2021년 이루다 한 건뿐이고, 2024년과 2025년의 AI 사전 실태점검에서 위원회는 제15조 제1항 위반 「소지」를 적으면서도 처분하지 않았습니다.

자세·동작을 분석하는 앱은 이용자가 찍은 영상을 자기 모델 학습에 다시 쓰고 싶어 합니다. 얼굴이 찍힌 영상은 개인정보이지만, 특정 개인을 알아볼 목적의 특징정보로 만들지 않는 한 생체인식정보(민감정보)는 아닙니다. 그러나 '서비스 개선' 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 목적 외 이용이 됩니다. 2021년 이루다 사건에서 개인정보위는 '신규 서비스 개발' 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 제재했고, 2025년 1심 법원도 같은 판단으로 위자료를 인정했습니다. 이 글은 생체정보 판정, 동의 설계, 삭제 요구 처리, 저장소 분리까지 실무 순서로 정리합니다.

「데이터기반행정 활성화에 관한 법률」이 법률 제21392호로 개정되어 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 제명이 바뀌어 2026년 8월 28일 시행됐습니다. 공공기관은 AI를 정책 수립·의사결정에 활용할 때 최종적인 권한과 책임이 해당 기관에 있음을 명확히 하여야 하고(제3조 제5항), 편향성·투명성 고려(제3조 제7항), 학습용데이터 품질 확보(제29조), AI 서비스 현황 제출·공표(제30조), 윤리기준 이행(제31조) 의무를 집니다. 공공분야 인공지능 영향평가(제32조)는 2027년 2월 28일 시행되며, 이미 AI를 운영 중인 기관은 부칙 제5조에 따라 시행일부터 2년 안에 평가를 마쳐야 합니다. 개정 시행령(대통령령 제36604호)이 2026년 8월 25일 공포되어 평가 기준(시행령 제26조), 제외대상과 행정안전부장관 확인(제27조), 실시기관(제28조), 위험관리방안의 내용(제29조)이 정해졌고, 개정 시행규칙(행정안전부령 제637호)은 2026년 8월 28일 공포·시행되어 공공 인공지능·데이터협회 설립인가 절차(시행규칙 제4조, 별지 제7호서식)를 정했습니다. 학습용데이터 품질·현황 공표·윤리기준의 하위규범과 시행령이 위임한 고시 세 건은 아직 제정되지 않았습니다. 이 글은 수범자가 공공기관인 이 법을 납품사 관점에서 역산하여, 편향 검증 자료·학습데이터 품질 입증·현황 공표 대비·윤리기준 준수 확약 등 공공에 AI를 납품하는 회사가 계약에서 받게 될 요구와 컨소시엄 내부의 책임 배분 문제를 정리합니다.

공공조달에서 우선구매 고려 대상이 되려면 과기정통부장관의 'AI 제품·서비스 확인’을 받아야 합니다. 절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회가 맡고, 신청 전에 조달청 목록정보시스템에서 물품목록번호를 먼저 받아야 합니다. 심사 기준 일곱 가지, 확인 제외 대상 세 가지, 보완 요청과 결정 기한, 확인 취소까지 조문 단위로 정리합니다.

생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.

정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 유예하고 있습니다. 그런데 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이고 나머지는 사실조사와 시정명령을 거치는데, 사실조사 대상 조문에 사전 고지가 빠져 있는 이유까지 함께 정리합니다.

국내에 주소나 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다. 전년도 매출 1조 원, AI 서비스 부문 매출 100억 원, 국내 이용자 1일 평균 100만 명, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 미지정 시 과태료는 2,000만 원이며 차수에 따른 가중이 없습니다. 개인정보 보호법상 국내대리인과는 근거도 대리 범위도 다릅니다.

AI기본법 제31조는 하나의 의무처럼 보이지만 층이 셋입니다. 서비스가 AI에 기반해 운용된다는 사전 고지(제1항), 생성형 AI 결과물이라는 표시(제2항), 실제와 구분하기 어려운 음향·이미지·영상의 고지(제3항)가 각각 다른 상황을 겨냥합니다. 이 중 사전 고지만 위반 시 곧바로 과태료가 붙습니다. 시행령 제23조가 정한 고지 방법 네 가지와 적용 예외 세 가지, 그리고 모델 제공자가 결과물에 심어 주는 워터마크가 우리 표시의무를 대신하지 못하는 이유를 정리합니다.

고영향 인공지능은 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 인공지능시스템입니다. 민간 사업자와 가장 넓게 닿는 영역은 사목(채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가)입니다. 해당 여부를 사전에 검토하는 것 자체가 법 제33조 제1항의 의무이고, 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다. 요청서 첨부서류, 30일 회신, 10일 내 재확인 요청까지 시행령 제25조가 정한 절차를 정리합니다.

2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다. 실무에서 중요한 것은 특례를 받으면 무엇이 걷히느냐인데, 적용 제외 목록을 정한 제28조의15는 국외 이전 조항을 '처리위탁하는 경우에 한정한다’고 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 그대로 남습니다.