AI기본법과, 고영향 AI

AI 기본법, 우리 회사도 '고영향 AI' 사업자일까

AI 기본법 시행 이후 기업이 실제로 확인해야 할 것들

지난 1월 AI 기본법이 시행되고, 7월에는 개정 법률까지 시행되면서 문의가 늘고 있습니다. 질문은 대부분 하나로 모입니다. "그래서 우리가 규제 대상인가요?"

답을 드리기 전에, 이 법의 성격부터 정확히 짚어야 합니다. 온도를 잘못 잡으면 필요 없는 곳에 비용을 쓰고, 정작 필요한 곳은 비어 있게 됩니다.

1. AI 기본법은 규제법이 아니다

정식 명칭은 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」입니다. 2024년 12월 국회를 통과해 2026년 1월 22일 시행됐고, EU AI Act에 이어 세계 두 번째 AI 종합법으로 주목받았습니다. 이후 개정안 9건이 여야 합의로 통과되어 2026년 1월 20일 개정이 완료됐고, 개정 법률은 2026년 7월 21일 시행됐습니다.

이름에 '기본법'이 붙은 이유가 있습니다. 과학기술정보통신부는 시행령 제정 과정에서 글로벌 규범 동향과 국내 AI 산업을 고려해 규제보다 진흥에 무게를 두고, 필요 최소한의 규제 체계만 도입하며 중복·유사 규제를 최소화하는 데 집중했다고 밝혔습니다.

즉 이 법의 대부분은 R&D 지원, 데이터센터 육성, 인력 양성, 창업 지원에 관한 조항입니다. 규제 파트는 일부에 불과하고, 그 대상도 딱 둘로 좁혀져 있습니다. 고영향 AI와 생성형 AI입니다.

2. 고영향 AI: 성능이 아니라 용도로 판정한다

법 제2조 제4호는 고영향 인공지능을 “사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서, 법이 정한 영역 중 하나에서 활용되는 것”으로 정의합니다.

여기서 가장 많이 오해가 생깁니다. 판정 기준은 모델의 성능도, 파라미터 규모도, 자체 개발 여부도 아닙니다.오직 어디에 쓰이는가입니다.

수백억 파라미터 모델을 직접 학습시켜도 사내 문서 요약에만 쓴다면 해당되지 않을 수 있고, 외부 API를 단순 호출하는 수준이라도 대출 심사에 쓴다면 해당될 수 있습니다. EU AI Act의 high-risk 개념을 가져오되, 훨씬 단순한 '영역 열거' 방식으로 구현한 구조입니다.

3. 열거된 활용 영역

법이 명시한 영역은 다음과 같습니다.

민간 기업이 실무에서 가장 많이 걸리는 항목은 굵게 표시한 채용·대출 심사 항목입니다.

AI 채용 스크리닝, 신용평가 모델, 보험 인수심사, 이커머스 셀러 정산 한도 산정처럼 개인의 권리·의무에 직접 영향을 주는 자동화된 판단은 대부분 이 범주에 들어옵니다. 문제는 해당 기업 상당수가 자사 시스템을 'AI 시스템'이 아니라 '기존 스코어링 로직'으로 인식하고 있어, 검토 대상에 올리지조차 않는다는 점입니다.

마지막 줄의 “대통령령으로 정하는 영역”도 유의해야 합니다. 현재 해당하지 않는다는 판단이 영구적이지 않다는 뜻이며, 하위법령 개정을 주기적으로 확인할 필요가 있습니다.

4. 해당된다면 무엇을 해야 하나

법 제34조 제1항은 고영향 AI를 이용한 제품·서비스를 제공하는 사업자에게 안전성·신뢰성 확보 조치를 이행하고, 그 근거를 문서로 5년간 보관하도록 하고 있습니다.

영향평가에는 다음과 같은 내용이 포함됩니다.

• 생명·신체의 안전 및 기본권에 영향받을 수 있는 대상의 식별
• 영향받을 수 있는 기본권 유형의 식별
• 기본권에 대한 사회적·경제적 영향의 내용 및 범위
• 해당 고영향 AI의 사용 행태
• 활용한 정량적·정성적 평가지표 및 결과 산출 방식
• 위험의 예방 및 손실 복구 방안
• 평가 결과 개선이 필요한 경우 그 이행 계획

해당 여부 판단이 어려운 경우, 과학기술정보통신부장관에게 확인을 요청할 수 있습니다. 장관은 사용 영역, 기본권에 대한 위험의 영향·중대성·빈도, 활용 영역별 특수성 등을 종합적으로 고려해 판단합니다. 회색지대에 있는 기업에게는 실효성 있는 선택지입니다.

5. 제재 수준: 벌이 아니라 계약이 움직인다

솔직하게 말씀드리면, 제재 수준 자체는 높지 않습니다.

과태료는 3천만원 이하이며, 대상도 투명성 확보를 위한 사전고지 미이행, 일정 기준 이상 해외사업자의 국내대리인 미지정, 시정명령 미이행 정도로 제한적입니다. 고영향 AI 의무 위반 자체에 직접 과태료가 연결되는 구조가 아닙니다. 시행 초기 기업 혼란을 줄이기 위한 과태료 계도기간도 운영될 방침입니다.

그렇다면 왜 지금 준비해야 하는가. 실질적인 압력은 다른 곳에서 옵니다.

첫째, 문서화 부담입니다. 5년 보관 의무는 명확한데, 무엇을 어떤 형식으로 남겨야 하는지에 대한 실무 표준은 아직 형성 중입니다. 사후에 소급해서 만들 수 없는 종류의 기록이므로, 시작 시점이 늦을수록 복구 비용이 커집니다.

둘째, B2B 조달 실사입니다. 이쪽이 훨씬 빠르게 움직일 것으로 봅니다. 대기업과 금융기관이 AI 솔루션을 도입할 때 벤더에게 "고영향 AI 해당 여부 및 대응 현황"을 요구하기 시작하면, 그때부터는 법이 아니라 계약이 이행을 강제합니다. 개인정보보호법 시행 당시 수탁사 관리 실사가 규제 자체보다 빠르게 시장을 재편했던 것과 같은 패턴입니다.

과태료 3천만원은 감당할 수 있어도, 대형 고객사 RFP에서 탈락하는 비용은 감당하기 어렵습니다.

6. 실무 체크포인트

검토를 시작하신다면 다음 순서를 권합니다.

1. 자산 식별 — 사내에서 운영 중인 AI 기능을 빠짐없이 목록화합니다. 외부 API 호출, SaaS 내장 기능, 레거시 스코어링 로직까지 포함해야 합니다.
2. 영역 매핑 — 각 기능을 위 표의 영역에 대조합니다. 이 단계에서 대부분의 판단이 끝납니다.
3. 회색지대 분류 — 내부 업무 용도로만 사용되는 경우, 제품의 부수적·보조적 기능에 그치는 경우 등은 별도 검토가 필요합니다.
4. 문서 체계 수립 — 해당되는 기능에 대해 근거 문서의 양식, 생성 시점, 보관 주체, 갱신 주기를 정합니다.
5. 필요 시 장관 확인 요청 — 판단이 갈리는 사안은 자체 결론에 의존하지 않는 편이 안전합니다.

이 중 1번에서 누락이 발생하는 경우가 압도적으로 많습니다. 규제 대응의 실패는 대개 판단 착오가 아니라 목록 누락에서 시작됩니다.