AI·자동화 트렌드
AI 기본법 '고영향 AI' 판단법: 3단 체크로 10분 안에 끝내기
AI 기본법 대응, '고영향 AI' 판단부터 시작하세요
AI 기본법은 2026년 1월 22일 시행됐고, 의무의 크기는 '고영향 AI' 해당 여부에서 갈립니다.
법무팀 메일함에 이런 문의가 들어옵니다. "채용 서류 1차 스크리닝에 쓰는 AI, 고영향 AI인가요?" 답하려고 법령을 열면 정의 조항이 나오고, 정의 조항은 다시 대통령령을 가리킵니다. 그 사이 사업부는 모델을 벌써 한 번 갈아탔고요. 지금 국내 AI 담당자가 막히는 지점은 법을 모르는 게 아니라, 우리 서비스가 어느 칸에 들어가는지 가를 기준이 손에 없다는 데 있습니다.
AI 기본법은 언제 시행됐고, 무엇을 규제하나요?
2026년 1월 22일 시행, 규제는 '고영향 AI'와 '생성형 AI' 두 축에만 걸립니다.
정식 명칭은 『인공지능 발전과 신뢰 기반 조성 등에 관한 기본법』이고, 흔히 AI 기본법으로 부릅니다. 2024년 12월 국회를 통과해 2025년 1월 21일 공포, 공포 후 1년이 지나 효력이 생겼습니다.1 소관 부처는 과학기술정보통신부입니다.2
성격은 진흥법과 규제법의 동거예요. 조문의 상당 부분이 산업 기반 조성·투자·인재 양성이고, 규제는 위험이 큰 영역에 선별적으로 들어갑니다. EU처럼 금지 등급을 두고 전면 차단하는 설계가 아니라, 두 개의 문만 통과하면 나머지는 사실상 자율입니다. 그래서 실무의 첫 질문은 "무엇을 지켜야 하나"가 아니라 "우리가 그 두 문 안에 있나"가 됩니다.
우리 서비스가 '고영향 AI'에 해당하는지 어떻게 판단하나요?
사람의 생명·신체 안전이나 기본권에 중대한 영향을 주는 영역에서 쓰이는지, 이 하나로 시작하세요. 법은 고영향 인공지능을 그렇게 정의하고, 정의 조항 안에 해당 영역을 직접 열거합니다.1
열거 영역에는 에너지 공급, 먹는물 생산·공급, 보건의료·의료기기, 원자력 안전, 채용처럼 개인의 권리·의무에 중대한 영향을 주는 판단·평가, 대출 심사 같은 신용평가, 교통수단·교통시설 운영, 국가·지자체의 공공서비스 제공 결정, 범죄 수사용 생체인식정보 분석이 들어갑니다. 세부 범위는 대통령령에서 함께 확정되니 최종 판정은 국가법령정보센터 원문으로 하세요.
| 사례 | 판정 기준 |
|---|---|
| 채용 서류 자동 스크리닝 | 합격·불합격 결정에 점수가 직접 반영되면 해당 |
| 사내 회의록 요약 AI | 열거 영역 밖 + 개인의 권리·의무를 결정하지 않으면 비해당 |
| 대출 한도 산정 보조 모델 | 신용평가 영역이므로 사람이 최종 승인해도 해당 전제 |
| 의료 영상 판독 보조 | 보건의료·의료기기 영역이므로 해당 전제 |
보충. 법에는 사업자가 과기정통부장관에게 고영향 AI 해당 여부를 확인해 달라고 요청하는 절차가 있습니다. 경계선에서 사내 법리만으로 버티는 것보다, 이 확인을 받아 두는 편이 감사 대응에 훨씬 유리해요.
고영향 AI 사업자의 의무는 무엇인가요?
네 덩어리입니다.
첫째, 사전 고지. 해당 제품·서비스가 고영향 AI를 기반으로 한다는 사실을 이용자에게 미리 알려야 합니다. 가장 빨리, 가장 싸게 끝나는 항목이라 보통 여기서 시작합니다.
둘째, 위험관리방안의 수립과 이행. 문서 한 장이 아니라 위험을 식별하고 완화하는 절차, 그 절차의 책임자까지 포함됩니다.
셋째, 설명과 사람의 감독. 결과가 어떤 기준으로 나왔는지, 학습에 쓰인 데이터 개요는 무엇인지 설명할 수 있어야 하고, 사람이 개입해 관리·감독하는 체계를 둬야 합니다. 완전 자동 결정일수록 부담이 커집니다.
넷째, 문서화와 보관. 앞의 셋을 했다는 증거가 남아야 합니다. 조사받을 때 실제 방어선이 되는 건 결국 이 기록이에요.
생성형 AI를 쓰기만 해도 의무가 생기나요?
네, 대외 서비스에 끼워 제공하면 생깁니다. 만들어 파는 사업자만의 문제가 아닙니다.
생성형 AI 의무는 고영향 의무와 별개 트랙입니다. 생성형 AI 기반으로 제품·서비스를 제공하면 그 산출물이 생성형 AI의 결과물이라는 점을 알려야 하고, 실제와 구분하기 어려운 가상의 결과물에는 표시(워터마크 등)를 해야 합니다.1 외부 API를 붙였더라도 고객에게 서비스를 제공하는 주체가 여러분이면 고지·표시 책임도 여러분에게 옵니다.
반대로 임직원이 사내에서 초안을 뽑는 내부 활용은 성격이 다릅니다. 외부 이용자 제공 여부가 1차 분기점이니, 사내용과 대외용 AI 목록은 처음부터 분리해 관리하세요.
위반하면 어떤 제재를 받나요?
형사처벌이 아니라 행정 제재 중심입니다. 사실조사에서 시정명령, 시정명령 불이행 시 과태료로 이어집니다.1
| 단계 | 작동하는 수단 |
|---|---|
| 위반 의심 신고·인지 | 과기정통부의 사실조사, 자료 제출 요구 |
| 조사 결과 위반 확인 | 시정명령 |
| 시정명령 불이행·고지 의무 위반 | 과태료 부과 |
과태료 금액 구간은 조문과 대통령령에 규정돼 있고, 시행 초기 운영 방침은 과기정통부 발표로 공지됩니다.2
클래스도산 '고영향 3단 체크'
해당성 판단을 매번 법무팀으로 올리면 병목이 생깁니다. 사업부가 30분 안에 1차 분류하도록 쓰는 틀이 이 세 질문이에요.
1단, 분야 해당성. 이 AI가 쓰이는 업무가 법이 열거한 영역에 닿아 있나요? 닿지 않으면 여기서 끝입니다.
2단, 의사결정 영향력. 출력이 특정 개인의 권리·의무를 바꾸나요? 결과에 합격·거절·승인·배제가 등장하면 영향력이 있다고 보세요.
3단, 자동화 수준. 사람이 실질적으로 번복할 수 있나요? "검토 권한이 있다"는 규정만 있고 실제로는 모델 점수대로 처리된다면 그건 자동화된 결정입니다.
셋 다 '예'면 고영향 전제로 설계하고, 2단·3단만 '예'면 법적 해당성이 낮아도 내부 거버넌스는 걸어 두세요.
EU AI Act와 뭐가 다른가요?
구조는 닮았고 범위와 강도가 다릅니다. 유럽 대응 체계가 있다면 상당 부분 재활용되지만 복사는 안 됩니다.
| 항목 | EU AI Act (Regulation (EU) 2024/1689) | 한국 AI 기본법 |
|---|---|---|
| 기본 구조 | 위험 등급별 차등 규제, 금지 관행 포함3 | 고영향·생성형 두 축, 진흥 조항 병행1 |
| 분류 용어 | high-risk(고위험) | 고영향 |
| 세부 절차 | 적합성 평가 등 절차가 상세3 | 간결, 세부는 대통령령 위임1 |
| 제재 | 매출 연동 과징금 체계3 | 시정명령·과태료 중심 |
EU에서 만든 위험관리 문서와 데이터 거버넌스 기록은 한국 의무를 꽤 덮습니다. 다만 열거 영역 목록이 다르고, 생성형 AI 표시·고지는 한국 조문 기준으로 다시 맞춰야 합니다.
이번 분기에 끝낼 다섯 가지
- AI 인벤토리 작성. 사내 모델·API·SaaS 기능을 한 표에 모읍니다. 가장 많이 빠지는 건 사업부가 법인카드로 결제한 SaaS 안의 AI 기능이에요.
- 인벤토리마다 3단 체크. 1차 분류는 사업부가, 경계선만 법무로 올립니다.
- 대외 화면의 고지·표시 점검. 생성형 AI 산출물 표시가 빠진 화면을 찾는 작업이고, 반나절이면 끝납니다.
- 고영향 후보에 감독 지점 지정. 누가, 어떤 화면에서, 어떤 근거로 번복하는지까지 적어야 기록이 됩니다.
- 사업부 실무자 교육. 규정을 법무팀만 알면 인벤토리는 다음 분기에 또 틀립니다.
마무리
AI 기본법 대응의 8할은 법 해석이 아니라 현황 파악입니다. 뭘 쓰는지 모르는 상태에서는 어떤 조문도 적용되지 않으니까요. 순서는 늘 같습니다.
- AI 인벤토리
- 고영향 3단 체크
- 고지·표시와 기록
현황 정리 단계라면, 실무자가 직접 AI를 만들어 보며 구조를 이해하는 쪽이 의외로 빠른 길이에요 🙂 클래스도산의 클로드 바이브 코딩 원데이 클래스(비개발자 대상, 5시간, 결과물 1개 완성)로 시작해 보세요 — classdosan.com
자주 묻는 질문
Q. AI 기본법은 언제부터 시행됐나요? A. 2026년 1월 22일입니다. 2025년 1월 21일 공포 후 1년이 지나 시행됐습니다.1
Q. 고영향 AI의 정의가 뭔가요? A. 사람의 생명·신체 안전이나 기본권에 중대한 영향을 주는 영역에서 쓰이는 AI로, 보건의료·채용 평가·신용평가·에너지·교통·공공서비스 결정 등이 법에 열거돼 있습니다.1
Q. ChatGPT나 Claude를 업무에 쓰는 것만으로 의무가 생기나요? A. 순수 내부 활용이면 생성형 AI 고지·표시 의무의 직접 대상으로 보기 어렵습니다. 그 AI를 끼워 고객에게 서비스를 제공하면 책임은 제공 주체인 회사에 옵니다.1
Q. 해외 기업도 적용받나요? A. 국내 이용자에게 영향을 주면 적용 대상이고, 국내 영업소가 없는 일정 규모 이상 사업자에게는 국내대리인(국내에서 의무 이행을 대리하는 지정 주체) 지정 의무가 규정돼 있습니다. 규모 기준은 대통령령에 위임돼 있습니다.1