인공지능기본법은 2026년 1월 22일 시행됐지만, AI를 쓰는 모든 회사에 같은 의무가 생기는 것은 아닙니다. 먼저 회사가 AI를 내부 업무에만 이용하는지, AI를 이용한 제품이나 서비스를 고객에게 제공하는지를 구분해야 합니다. 그다음 생성형 AI, 고영향 AI, 일정 기준 이상의 최첨단 AI에 해당하는지를 각각 판단합니다.
법은 AI를 개발해 제공하는 자를 인공지능개발사업자, 다른 사업자가 제공한 AI를 이용해 AI 제품·서비스를 제공하는 자를 인공지능이용사업자로 정의합니다. 두 유형을 합쳐 인공지능사업자라고 합니다. 외부 AI 도구로 사내 보고서 초안을 만드는 것과, 외부 모델을 결합한 고객 대상 서비스를 운영하는 것은 출발점부터 다릅니다. 인공지능기본법 제2조와 시행령 제23조는 이 구분의 기준이 됩니다.
우리 회사는 인공지능사업자인가요?
판단의 핵심은 AI를 사용했는가보다 AI 제품·서비스를 이용자에게 제공하는가입니다. 회사 이름이나 업종만으로 결론을 내리지 말고 실제 제공 구조를 확인해야 합니다.
| 회사의 AI 활용 방식 | 1차 판단 | 다음 확인 |
|---|---|---|
| 임직원이 문서 요약·번역·초안 작성에만 사용 | 내부 이용 가능성이 큼 | 결과가 외부 제품·서비스로 제공되는지, 별도 개인정보·보안 기준이 있는지 확인 |
| 외부 AI 모델을 고객용 상담·검색·추천 서비스에 결합 | 인공지능이용사업자 가능성 | 생성형 AI 또는 고영향 AI 해당 여부와 이용자 고지·표시 검토 |
| 자체 AI 모델이나 AI 기반 제품·서비스를 개발해 제공 | 인공지능개발사업자 가능성 | 제공 대상과 기능별 의무 검토 |
| AI로 채용·대출 심사 등 권리·의무에 중대한 영향을 주는 판단·평가 제공 | 고영향 AI 가능성 | 분야, 위험의 중대성, 사람의 실질적 개입 여부를 함께 검토 |
| 고성능 AI를 단순 구매해 내부에서 이용 | 이용자에 가까울 수 있음 | 구매 사실만으로 안전성 확보 의무 대상이라고 단정하지 않음 |
시행령은 인공지능사업자의 내부 업무 용도로만 사용되는 경우 투명성 확보 의무의 전부 또는 일부를 적용하지 않을 수 있다고 규정합니다. 다만 내부 이용이라는 이유로 개인정보, 저작권, 영업비밀, 근로 관련 법령이나 회사의 보안 정책까지 면제되는 것은 아닙니다.
경계가 불분명하면 계약서의 서비스 설명만 보지 말고 실제 데이터 흐름과 이용자 경험을 기준으로 판단해야 합니다. 과학기술정보통신부와 관계 전문기관이 운영하는 인공지능기본법 지원데스크는 적용 범위와 고영향 AI 여부 등에 대한 상담 창구를 운영하고 있습니다.
투명성·고영향 AI·안전성 의무는 적용 조건이 다릅니다
모든 사업자 의무를 한 묶음으로 보면 적용 범위를 잘못 판단하기 쉽습니다. 법 조항별로 대상과 의무를 분리해 보세요.
| 구분 | 적용 대상의 핵심 | 주요 의무 | 경영관리에서 남길 근거 |
|---|---|---|---|
| 투명성 확보 | 고영향 AI나 생성형 AI를 이용한 제품·서비스를 제공하는 인공지능사업자 | AI 기반 운영 사실 사전 고지, 생성형 AI 결과물 표시, 실제와 구분하기 어려운 가상 결과물의 명확한 고지·표시 | 제공 화면·약관·설명서별 고지 위치, 결과물 표시 방식, 적용 예외 판단 |
| 안전성 확보 | 누적 학습 연산량, 최첨단 기술 적용, 광범위하고 중대한 위험 요건을 모두 충족하는 AI 시스템의 사업자 | 수명주기 위험 식별·평가·완화, 사고 모니터링·대응 체계, 이행 결과 제출 | 기술 기준 검토서, 위험관리 체계, 사고 기록과 제출 이력 |
| 고영향 AI 확인 | 법이 정한 영역에서 생명·신체 안전·기본권에 중대한 영향을 줄 수 있는 AI 제품·서비스 제공자 | 고영향 AI 해당 여부 사전 검토, 필요한 경우 과기정통부 확인 요청 | 적용 분야, 영향 대상, 사람의 개입, 판단 근거와 확인 요청 결과 |
| 고영향 AI 사업자 책무 | 고영향 AI 또는 이를 이용한 제품·서비스 제공자 | 위험관리, 설명 방안, 이용자 보호, 사람의 관리·감독, 조치 문서 작성·보관 | 책임자, 통제 절차, 설명 자료, 보호 조치, 최신 문서와 보관기한 |
| 영향평가 | 고영향 AI 제품·서비스 제공자 | 기본권 영향평가를 하도록 노력 | 평가 실시 여부, 미실시 사유, 재검토 일정 |
인공지능기본법 제31조부터 제35조는 의무별 대상을 나누고 있습니다. 일반적인 생성형 AI 서비스의 결과물 표시는 사람이 인식할 수 있는 방법뿐 아니라 일정 조건의 기계 판독 방식도 허용됩니다. 반면 실제와 구분하기 어려운 가상의 음향·이미지·영상은 이용자가 명확하게 인식할 수 있는 방식으로 고지하거나 표시해야 합니다.
5년 기록 보관은 모든 AI 이용 기업에 적용되는 공통 의무가 아닙니다. 시행령 제27조의 5년 보관은 고영향 AI 사업자가 법 제34조의 조치를 이행한 근거 문서에 관한 기준입니다. 인공지능기본법 시행령 제27조에서 적용 대상을 함께 확인해야 합니다.
과태료 3천만원과 1년 유예는 어떻게 읽어야 하나요?
법 위반 시 모두 3천만원 과태료라고 이해하면 정확하지 않습니다. 인공지능기본법 제43조는 3천만원 이하 과태료 대상을 다음과 같이 정합니다.
- 제31조 제1항의 사전 고지 의무를 이행하지 않은 경우
- 법에서 정한 국내대리인을 지정하지 않은 경우
- 중지명령이나 시정명령을 이행하지 않은 경우
과학기술정보통신부는 법 시행 당시 현장 준비를 위해 최소 1년 이상 규제를 유예하고 사실조사·과태료 계도기간을 운영하겠다고 발표했습니다. 그러나 이는 법 시행일이 미뤄졌거나 의무가 사라졌다는 뜻은 아닙니다. 적용 여부를 분류하고 고지·문서·통제 체계를 준비하는 기간으로 보는 편이 안전합니다. 구체적인 유예 운영은 과기정통부 시행 발표와 이후 공지를 함께 확인해야 합니다.
대표와 경영지원은 어떤 관리표를 만들어야 하나요?
첫 결과물은 긴 규정집보다 AI 활용 인벤토리가 적합합니다. 사용 중인 모델 이름만 적지 말고 아래 항목을 한 행에 연결해야 적용 범위를 다시 판단할 수 있습니다.
| 관리 항목 | 기록할 내용 | 책임 부서의 질문 |
|---|---|---|
| 사용 목적 | 요약, 생성, 추천, 평가, 의사결정 등 | AI가 어떤 결과를 만들거나 판단하는가? |
| 제공 범위 | 내부 임직원, 계약 상대방, 일반 이용자 | 결과가 회사 밖의 이용자에게 제공되는가? |
| 사업자 역할 | 개발사업자, 이용사업자 가능성, 단순 이용자 | 누가 AI 제품·서비스의 제공자인가? |
| 영향 영역 | 채용, 금융, 의료, 교육, 공공서비스 등 | 생명·안전·기본권에 중대한 영향을 줄 수 있는가? |
| 사람의 개입 | 검토자, 승인권자, 번복 가능성 | 사람이 결과를 실질적으로 검토·통제하는가? |
| 고지·표시 | 대상, 위치, 시점, 방식 | 사전 고지와 결과물 표시를 구분했는가? |
| 계약·데이터 | 공급자, 입력 데이터, 외부 전송, 보관·삭제 | 개인정보와 영업비밀 통제가 계약에 반영됐는가? |
| 근거 문서 | 적용 판단, 위험관리, 사고 대응, 검토일 | 누가 언제 어떤 근거로 결론을 내렸는가? |
재무·구매 담당자는 AI 사용료만 집계하는 역할에 머물지 않아야 합니다. 계약 상대방, 서비스 범위, 갱신일, 데이터 처리 조건, 책임 제한, 법 준수 자료 제공 조건을 함께 관리해야 합니다. 경영지원은 사용 승인과 담당자를 연결하고, 법무·개인정보·보안·제품 담당자는 각자의 판단 근거를 같은 인벤토리에 남기는 방식이 효율적입니다.
시행 후 기업 점검 체크리스트
- 회사가 사용하는 AI를 사용 목적과 제공 대상별로 목록화했습니다.
- 내부 업무 이용과 고객 대상 AI 제품·서비스 제공을 구분했습니다.
- 인공지능개발사업자·인공지능이용사업자·단순 이용자 중 회사의 역할을 검토했습니다.
- 생성형 AI, 고영향 AI, 안전성 확보 의무 대상 여부를 서로 다른 기준으로 확인했습니다.
- 사전 고지와 생성 결과물 표시를 별도 항목으로 관리합니다.
- 고영향 AI 가능성이 있으면 분야, 위험, 사람의 개입과 번복 가능성을 문서화했습니다.
- 5년 보관 기준을 모든 자료에 일괄 적용하지 않고 해당 조항과 문서 유형을 확인했습니다.
- 법률·개인정보·보안·계약 검토의 담당자와 재검토일을 지정했습니다.
- 판단이 불명확한 서비스는 지원데스크 또는 별도 법률 검토 대상으로 분리했습니다.
자주 묻는 질문
사내에서 생성형 AI로 보고서를 작성하면 바로 인공지능사업자인가요?
그 사실만으로 바로 인공지능사업자라고 단정하기 어렵습니다. 법은 AI를 개발해 제공하거나, 제공받은 AI로 AI 제품·서비스를 다시 제공하는 자를 인공지능사업자로 정의합니다. 내부 업무 용도만이라면 투명성 의무의 적용 예외가 될 수 있지만 개인정보·기밀정보·저작권 등 다른 쟁점은 별도로 검토해야 합니다.
외부 AI API를 사용하면 인공지능이용사업자인가요?
API 사용 자체보다 그 AI를 이용한 제품·서비스를 이용자에게 제공하는지가 중요합니다. 고객 대상 기능에 결합했다면 인공지능이용사업자 가능성을 검토하고, 결과의 성격에 따라 투명성이나 고영향 AI 관련 의무를 확인해야 합니다.
모든 생성형 AI 결과물에 눈에 보이는 워터마크가 필요한가요?
항상 그런 것은 아닙니다. 시행령은 일반적인 생성형 AI 결과물에 사람이 인식할 수 있는 방법 또는 일정 조건의 기계 판독 방식을 허용합니다. 다만 실제와 구분하기 어려운 가상의 음향·이미지·영상은 이용자가 명확히 인식할 수 있는 방식이 요구됩니다.
계도기간에는 아무 준비를 하지 않아도 되나요?
아닙니다. 정부의 규제 유예 발표와 법의 시행 여부는 구분해야 합니다. 적용 대상 분류, 고지·표시 설계, 고영향 AI 검토, 책임자 지정과 근거 문서 작성은 계도기간 중 준비해야 나중에 판단 과정을 설명할 수 있습니다.
모든 회사가 AI 운영 기록을 5년 보관해야 하나요?
아닙니다. 5년 보관은 고영향 AI 사업자가 법 제34조의 조치를 이행한 근거 문서에 관한 시행령 기준입니다. 회사의 다른 법정 보관기간이나 내부 보안정책과 혼동하지 말고 자료별 근거를 확인해야 합니다.
확인한 공식 자료
마지막 확인일: 2026년 7월 13일
개별 서비스의 적용 여부는 기능, 제공 대상, 사람의 개입과 실제 운영 방식에 따라 달라질 수 있습니다. 이 글은 일반적인 판단 순서를 정리한 것이며 개별 사안의 법률 자문을 대신하지 않습니다.
