인프라·보안 · 2026
AI기본법 시행 — 우리 회사가 확인해야 할 것
자가진단 3단계와, 실제로 과태료가 붙는 지점
"AI 기본법 때문에 우리도 뭘 해야 한다던데" 정도로 알고 계신 분이 많습니다. 그런데 막상 조문을 열면 사업자 유형, 고영향 여부, 안전성 확보 대상이 층층이 겹쳐 있어 우리가 어디에 해당하는지부터 막힙니다. 그 판단만 먼저 끝내 보겠습니다.
헷갈리는 두 날짜, 그리고 남의 법 하나
기사마다 시행일이 다르게 적혀 있어 혼란이 큽니다. 사실은 두 개의 서로 다른 날짜입니다.
| 구분 | 날짜 | 내용 |
|---|---|---|
| 법 시행 | 2026-01-22 | AI기본법 본법 전면 시행. EU에 이어 세계 두 번째 |
| 시행령 개정 | 2026-07-21 | 7월 14일 국무회의 통과분 시행. 위임사항 구체화 + 'AI 제품·서비스 확인제' 신설 |
즉 의무는 1월부터 이미 살아 있고, 7월 것은 그 위에 세부 규칙이 얹힌 겁니다. "7월에 시행됐으니 이제부터 준비"가 아니라 "1월부터 적용 중인데 7월에 기준이 더 촘촘해졌다"가 정확한 이해입니다.
1분 자가진단 — 우리는 어디에 서 있나
- 우리는 개발사업자인가, 이용사업자인가 모델을 직접 만들어 제공하면 개발사업자입니다. 여기서 많은 분이 안심하는데, 함정은 다음 줄입니다. 타사 AI를 이용해 제품·서비스를 제공하면 이용사업자로 역시 법 적용 대상입니다. OpenAI API로 상담봇을 붙였든, Claude API로 리뷰를 분석하든 마찬가지입니다. 모델을 안 만들었다고 빠져나가지지 않습니다.
- 우리 AI가 고영향 영역에 들어가나 시행령이 정한 아홉 개 영역입니다. 에너지 공급 / 음용수 생산 / 보건의료 제공·이용체계 / 의료기기·디지털의료기기 / 핵물질·원자력시설 안전관리 / 범죄수사·체포를 위한 생체인식정보 분석 / 채용·대출심사 등 권리·의무에 중대한 영향을 미치는 판단 / 교통수단·시설·체계의 주요 작동 / 유아·초중등 학생 평가. 애매하면 과기정통부에 확인을 요청할 수 있습니다.
- 안전성 확보 의무 대상인가 누적 학습 연산량이 1026 FLOPs 이상인 고성능 AI가 대상입니다. 다음 절에서 따로 다루겠습니다.
1번은 거의 모든 기업이 "예"입니다. 2번에서 대부분 갈리고, 3번에서 사실상 전부 빠집니다.
가장 무섭게 보도된 조항이 실은 남의 일인 이유
안전성 확보 의무는 수명주기 전반의 위험 식별·평가·완화 체계를 구축하고 그 이행 결과를 과기정통부에 제출하라는, 상당히 무거운 요구입니다. 기사 제목에 자주 걸리는 것도 이 조항이고요.
그런데 기준선이 누적 학습 연산량 1026 FLOPs입니다. EU AI Act가 1025를 쓰는 것과 비교하면 한 자릿수 위입니다. 미국 기준을 참고해 정해졌다고 알려져 있고, 법률 실무 해설들은 현재로서는 이 수준에 도달한 시스템이 존재하지 않는다고 정리합니다.
이걸 짚는 이유는 안심시키려는 게 아닙니다. 겁먹은 채로 준비하면 엉뚱한 곳에 돈을 쓰기 때문입니다. 위험관리체계 문서를 만드느라 몇 달을 쓰는 사이, 정작 과태료가 붙는 조항은 손도 안 대는 경우가 나옵니다.
실제로 걸리는 건 이 세 가지
대부분의 기업에 적용되는 건 훨씬 소박한 투명성 의무입니다. 그리고 이쪽에 과태료가 붙습니다.
| 의무 | 해야 할 일 | 위반 시 |
|---|---|---|
| 사전 고지 | 고영향·생성형 AI 사용 사실을 이용 전에 알림 (약관·UI 표기) | 3천만 원 이하 과태료 |
| 생성물 표시 | 생성형 AI 산출물에 로고·문구·워터마크·메타데이터 삽입 | 시정명령 |
| 딥페이크 표시 | 실제와 구분이 어려운 음향·이미지·영상에 명확한 고지 | 시정명령 |
여기에 해외 사업자용 조항이 하나 더 있습니다. 국내에 주소나 영업소가 없는 사업자 중 매출 1조 원 이상 또는 일일 국내 이용자 100만 명 이상이면 국내대리인을 지정해야 하고, 미지정 시 3천만 원 이하 과태료입니다.
이번 주에 끝낼 수 있는 것
- 이용약관과 서비스 소개 페이지에 AI 사용 고지 문구 추가
- AI가 답변·생성하는 화면에 "AI 기반 운용" 표기
- 이미지·음성 생성 기능이 있다면 워터마크 또는 메타데이터 삽입 경로 확인
- 고영향에 해당한다면 위험관리방안 문서화, 설명요구권 대응 절차, 사람이 개입해 중단시킬 수 있는 경로 확보
- 관련 증빙 문서 5년 보관 규칙을 사내 문서관리 정책에 반영
계도기간 1년, 그래도 미룰 수 없는 한 가지
과기정통부는 제도 안착을 위해 과태료 계도기간을 최소 1년 이상 운영한다고 밝혔습니다. 이 기간에는 사실조사와 과태료 부과가 인명사고나 인권 침해 같은 중대한 문제가 발생한 경우에 한해 예외적으로 이뤄집니다. 시간이 있다는 뜻은 맞습니다.
다만 계도기간이 해결해 주지 않는 문제가 하나 있습니다. 책임 소재입니다. 현행법은 개발자와 제공자를 "인공지능사업자"로 묶어 두는데, 산출물이 파운데이션 모델 제공자 → API 사업자 → 응용 서비스로 흘러가는 구조에서 어느 단계의 누가 무엇을 책임지는지가 아직 명확하지 않다는 지적이 꾸준합니다. EU가 제공자와 운영자의 책임을 나눠 이중으로 설계한 것과 대비되는 지점이고요.
법이 정리해 주지 않는 부분은 계약이 메워야 합니다. 지금 외부 AI API를 쓰고 있다면, 고지·표시 의무를 누가 이행하는지, 산출물에 문제가 생겼을 때 책임 배분은 어떻게 되는지를 다음 계약 갱신 때 문서에 넣어두는 것. 이건 계도기간이 끝나기를 기다릴 이유가 없는 항목입니다.
정리하면 순서는 이렇습니다. 자가진단 2번까지로 우리 위치를 확정하고, 약관과 화면 표기를 이번 주에 손보고, 계약서 조항은 다음 갱신에 반영한다. 위험관리체계 구축은 그다음이고, 대부분의 회사에는 그다음이 오지 않습니다.