💡
용어 하나만 맞추고 갈게요.
해외 자료에는 「고위험 인공지능」이라고 적혀 있지만,
우리 법이 쓰는 말은 「고영향 인공지능」이에요.
「우리도 AI 기본법에 걸리는 거 아니냐」는 말, 한 번쯤 들으셨을 거예요.
이 법은 2026년 1월 22일부터 시행 중이고, 시행령도 같은 날 함께 시행됐습니다.
고영향 인공지능이란, 사람의 안전이나 권리에 크게 영향을 주는
자리에 쓰이는 AI를 말하는데, 그 자리를 법이 열한 개로 정해뒀습니다.
우리 회사가 거기 들어가는지가 이 글의 첫 질문이에요.
지난 8월의 대한민국 인공지능 윤리원칙과 헷갈리기 쉬운데, 차이는 안지켰을 때 무슨 일이 생기느냐예요. 윤리원칙은 안 지켜도 아무 일이 없지만, 이 법은 안 지키면 시정명령이나 과태료로 이어져요.
법 제2조 7호는 인공지능사업자를 두 갈래로 나눕니다. 개발사업자는 인공지능을 개발해 제공하는 자이고, 이용사업자는 「가목의 사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자」예요.
두 번째 정의를 천천히 보세요. 남이 만든 AI를 갖다 쓰는 것만으로는 부족하고, 그걸 이용해 제품이나 서비스를 제공해야 합니다. 그러니 「사서 쓰는데요」라는 말만으로는 비껴가지 못해요.
그리고 조문은 사업자의 범위를 「법인, 단체, 개인 및 국가기관등」이라고 적었습니다.
공공기관도 인공지능사업자가 될 수 있어요.
법 제2조 4호는 고영향 인공지능을 「사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서 다음 각 목의 어느 하나의 영역에서 활용되는 것」이라고 정의했어요. 성질과 영역이 함께 걸려야 합니다.
고영향 인공지능 · 열한 개 영역
에너지의 공급
먹는물의 생산 공정
보건의료의 제공 및 이용체계
의료기기 및 디지털의료기기
핵물질과 원자력시설
범죄 수사·체포를 위한 생체인식정보 분석
채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가
교통수단·교통시설·교통체계의 작동 및 운영
공공서비스 자격 확인·결정, 비용징수 등 국가기관등의 의사결정
유아·초등·중등교육에서의 학생 평가
그 밖에 대통령령으로 정하는 영역
굵게 표시한 사목과 자목이 서류를 다루는 일과 맞닿아 있어요. 근거는 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조제4호입니다.
사목은 채용과 대출 심사를, 자목은 공공서비스의 자격 확인과 결정을 적었어요. 이력서에서 값을 뽑아 지원자를 거르거나, 신청서를 읽어 수급 자격을 판정하는 흐름이 여기 걸릴 수 있습니다. 다만 서류를 읽는다는 사실만으로 곧바로 고영향이 되지는 않아요. 그 값이 판단에 실제로 쓰이는지, 사람이 다시 보는 구조인지에 따라 달라집니다.
법 제33조 1항은 고영향에 해당하는지 사전에 검토하라고 정했어요.
필요하면 과학기술정보통신부장관에게 확인을 요청할 수도 있습니다.
검토는 의무, 확인 요청은 선택이에요. 결론이 「해당 없음」이더라도 따져보지 않았다면 그 자체로 조문을 어긴 게 됩니다. 다만 최종 판단은 확인 요청이나 법률 검토로 하시길 권해요.
법 제34조 1항이 여섯 가지를 적었어요. 하나씩 열어 볼게요.
어떤 서식에서 오인식이 잦은지, 그때 어떻게 처리하는지를 정해두는 일이에요. 위험을 없애라는 게 아니라 알고 관리하라는 뜻입니다.
조문은 최종결과와 그 결과를 낸 주요 기준, 학습용데이터의 개요를 설명할 방안을 마련하라고 적었어요. 문서 업무에서는 추출한 값이 원문 어디에서 나왔는지 보여줄 수 있느냐로 바뀝니다. 값을 눌렀을 때 원본 이미지의 위치가 표시되는 기능이 여기 해당해요.
결과에 이의를 제기하고 재검토를 요청할 수 있는 통로예요. 규정에만 있고 화면에 없으면 없는 것과 같습니다.
검수 화면이 있어야 하고, 그 화면을 실제로 보는 담당자가 있어야 해요. 이 항목은 공급자에게서 넘어오지 않습니다. 뒤에서 다시 설명할게요.
했다는 사실이 아니라 했다는 근거를 남기라는 조항이에요. 시행령 제27조 2항이 보관 기간을 5년으로 정했습니다. 처리 이력이 남지 않는 구조라면 지킬 방법이 없어요.
현재 심의·의결된 사항은 없습니다.
법 제34조 3항은 다른 법령에 따라 준하는 조치를 이행한 경우 이 조치를 이행한 것으로 본다고 적었고, 그 목록이 시행령 별표 1에 있어요. 앞부분은 디지털의료기기나 자율운항선박 이야기라 문서 업무와는 거리가 있는데, 뒷부분 두 개가 다릅니다.
안전조치, 처리방침, 보호책임자 지정, 유출 통지, 열람과 정정·삭제 같은 조문을 이행하고 있으면 개인정보 처리 및 보호에 대해서는 제34조 1항 각 호를 이행한 것으로 봅니다.
다만 이 한정어가 중요해요. 개인정보와 무관한 부분, 예를 들어 오인식으로 판단이 틀어지는 위험을 관리하는 일은 여전히 따로 봐야 합니다. 전면 면제가 아니라 겹치는 범위에서의 인정이에요.
개발사업자가 1호부터 3호까지를 모두 또는 일부 이행했고, 받아 쓰는 쪽이 중대한 기능 변경을 하지 않았다면 그만큼 이행한 것으로 봅니다.
4호 사람의 관리·감독은 넘어오지 않아요. 그리고 「모두 또는 일부」라서 공급자가 일부만 했으면 그 일부만 넘어옵니다. 그래서 계약서에 무엇을 어디까지 이행했는지 적어두는 일이 중요해져요.
「지능정보화 기본법」 제60조 1항의 안전성 보호조치도 마찬가지로 인정됩니다. 1호부터 3호까지와 5호를 이행했으면 제34조 1항 1호와 2호를, 4호를 이행했으면 4호를 이행한 것으로 봐요.
시행령 제27조 4항은 이용사업자가 개발사업자에게 필요한 자료를 요청할 수 있고, 개발사업자는 협력하도록 노력해야 한다고 적었습니다. 자료를 달라고 하실 근거가 조문에 있는 셈이에요.
지금 쓰는 문서 AI로 이게 되나요
고영향에 해당하면 해야 할 여섯 가지 가운데, 화면에서 바로 드러나는 셋이에요.
뽑아낸 값이 원본 어디에서 나왔는지 보여줄 수 있나요제34조 1항 2호
사람이 결과를 확인하고 고칠 화면이 있나요제34조 1항 4호
누가 언제 확인했는지 기록이 남나요제34조 1항 5호
하나라도 안 된다면, 고영향 판정을 받았을 때 그때 가서 만들어야 합니다. 한국딥러닝 DEEP OCR은 이 셋을 화면에서 제공하고, 문서가 밖으로 나가지 않도록 온프레미스 설치를 기본으로 둡니다.
우리 회사 문서로 직접 확인해보기쓰시는 서식 그대로 넣어보실 수 있어요
과태료가 곧바로 부과되지는 않습니다. 조치를 이행하지 않았다고 해서
바로 처분이 내려오는 것이 아니라, 시정 절차를 먼저 거칩니다.
과태료 부과까지의 단계
미이행
제34조 1항의 여섯 가지 조치를 이행하지 않은 상태
시정명령
과학기술정보통신부장관이 중지명령 또는 시정명령을 내립니다
명령 불이행
이 단계에서 3천만원 이하의 과태료가 부과됩니다
다음 두 가지는 시정 절차 없이 곧바로 과태료 대상입니다. 인공지능에 기반해 운용된다는 사실을 이용자에게 사전 고지하지 않은 경우(제31조 1항), 그리고 국내대리인을 지정하지 않은 경우(제36조 1항)입니다.
시정명령을 받으면 정해진 기한 안에 전부 갖춰야 합니다. 그 시점에 급히 만드는 비용이 미리 준비하는 비용보다 큽니다.
게다가 위반 상태가 6개월을 넘기면 과태료가 가중됩니다. 시행령 별표 2가 개별기준 금액의 2분의 1 범위에서 늘려 부과할 수 있도록 정해두었어요.
이 법의 과태료와 별개로 손해배상 책임과 개인정보보호법상 책임은 그대로 남습니다. 「이 법에 안 걸리니 괜찮다」가 성립하지 않는 이유예요.
제36조 1항은 국내에 주소나 영업소가 없는 사업자를 전제로 합니다. 국내에 사업장을 두셨다면 매출 규모와 무관하게 해당되지 않아요.
법 제40조 3항, 제43조 1항, 제36조 1항, 시행령 별표 2
민간 사업자에게는 노력 의무인 것이, 공공 납품에서는 사실상 요건이 됩니다.
법은 두 가지를 민간 사업자에게 노력 의무로 정했습니다. 안전성·신뢰성 검증·인증을 받는 것, 그리고 도입 전에 기본권 영향평가를 실시하는 것입니다. 이행하지 않아도 벌칙은 없습니다.
그런데 발주처에 걸린 조문은 표현이 다릅니다. 국가기관과 공공기관은 고영향 인공지능을 이용할 때 검증·인증을 받은 제품과 영향평가를 실시한 제품을 우선적으로 고려하여야 한다고 정해져 있어요. 벌칙이 없을 뿐, 조달 단계에서는 사실상 요건으로 작동합니다.
영향평가는 사업자가 직접 실시하거나 제3자에게 의뢰할 수 있습니다. 포함해야 할 사항은 시행령이 일곱 가지로 정했어요. 영향을 받을 개인이나 집단의 식별, 관련 기본권 유형, 사회적·경제적 영향의 범위, 사용 행태, 평가지표와 산출 방식, 위험의 예방과 완화, 개선이 필요한 경우의 이행계획입니다.
법 제30조 3항·4항, 제35조 1항·2항, 시행령 제28조
결론이 「해당 없음」이더라도 검토한 내용은 남겨두시는 편이 좋습니다.
개인정보보호법을 지키고 계시다면 그 범위에서 인정받고, 공급자가 조치한 부분도 일부 넘어옵니다. 다만 사람의 관리·감독은 넘어오지 않아요.
민간에는 노력 의무인 것이 발주처의 우선 고려 사유로 걸려요.
저희가 문서 AI를 만들면서 가장 오래 붙들었던 것도 결국 이 지점이었어요. 값을 잘 뽑는 일보다 그 값이 어디에서 왔고 누가 언제 확인했는지를 남기는 일이 실제 업무에서는 더 오래 남더라고요.
고영향 해당 여부는 법률 검토가 필요한 일입니다. 다만 문서 처리 단계에서 무엇을 갖춰야 하는지는 저희가 함께 볼 수 있어요. 쓰시는 서식과 업무 흐름을 보고 ②·④·⑤에 해당하는 부분을 어떻게 맞출지 정리해 드립니다.
시행령 제23조 4항 2호가 「인공지능사업자의 내부 업무 용도로만 사용되는 경우」를 적용 제외 사유로 들고 있어요. 다만 조문은 「적용하지 않을 수 있다」고 적었습니다. 반드시 면제된다는 뜻이 아니라 재량이 있다는 뜻이에요.
법 제31조 2항이 결과물에 생성 사실을 표시하라고 정했습니다. 시행령 제23조 2항은 방법을 둘로 나눴어요. 사람이 인식할 수 있는 방법, 기계가 판독할 수 있는 방법입니다. 후자를 택하시면 생성 사실을 1회 이상 안내 문구나 음성 등으로 제공해야 해요.
그 AI를 이용해 제품이나 서비스를 제공하고 계시면 이용사업자에 해당할 수 있습니다. 다만 시행령 제27조 3항에 따라 공급자가 이행한 1호부터 3호까지는 일정 조건에서 넘어와요.
법 제35조 1항은 「노력하여야 한다」입니다. 그런데 같은 조 2항이 국가기관등에게 영향평가를 실시한 제품을 우선 고려하라고 정했어요. 공공 조달을 염두에 두신다면 사실상 준비하셔야 합니다.
법 제32조의 안전성 확보 의무는 시행령 제24조가 정한 세 가지를 모두 충족하는 시스템에만 적용됩니다. 누적 연산량 10의 26승 부동소수점연산 이상, 최첨단 기술 적용, 광범위하고 중대한 영향 우려예요. 모델을 직접 학습시키지 않고 도입해 쓰는 조직이라면 이 조항의 수범자가 아닐 가능성이 큽니다.
이 법은 지키지 않으면 시정명령이나 과태료로 이어지고, 「대한민국 인공지능 윤리원칙」은 법적 구속력이 없는 자율규범이에요. 원칙은 대한민국 인공지능 윤리원칙, 우리 회사 몫은 뭔가요에서, 한국딥러닝이 문서 AI를 만들 때 지키는 기준은 한국딥러닝(KDL)의 AI 윤리기준에 정리해 두었습니다.
법제처 국가법령정보센터, 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 [시행 2026. 7. 21.] [법률 제21311호, 2026. 1. 20., 일부개정] https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법
법제처 국가법령정보센터, 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령」 [시행 2026. 8. 20.] [대통령령 제36580호, 2026. 8. 18., 타법개정] 및 [별표 1] 이행조치 인정 기준 및 절차, [별표 2] 과태료의 부과기준 https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령
과학기술정보통신부, 「인공지능 투명성 확보 가이드라인」 공개 보도자료, 2026년 1월 21일 https://www.korea.kr/briefing/pressReleaseView.do?newsId=156740669
