AI기본법 시행, 기업의 대응은
처음부터 설계해야 합니다
AI기본법 대응을 규제가 나올 때마다 덧붙이면 비용과 시간이 반복됩니다. 처음부터 AX를 설계해야 하는 이유입니다.
2026년 AI기본법이 시행되면서, 기업은 이제 “AI를 사용하는가”가 아니라 “어떤 AI를, 어떤 데이터로, 누구의 책임 아래, 어떤 절차로 사용하는가”를 설명할 수 있어야 합니다.
문제는 대응 방식입니다. 규제가 나올 때마다 기존 업무에 규정을 급하게 덧붙이면, 조직은 같은 설계를 몇 번이고 다시 하게 됩니다. 그때마다 비용과 시간이 들고 운영에는 마이너스로 작용합니다. AI 거버넌스는 사후에 붙이는 것이 아니라, 처음부터 AX 구조 안에 설계해야 합니다.
1. AI기본법의 시행 배경과 주요 방향
「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(이하 ‘AI기본법’ 또는 ‘인공지능기본법’)은 2026년 1월 22일 시행되었고, 2026년 7월 21일 일부 개정법과 개정 시행령이 시행되었습니다.
AI기본법은 인공지능산업을 규제하기만 하는 법이 아닙니다. 산업의 발전을 지원하면서도, 국민의 생명·안전과 기본권에 영향을 줄 수 있는 AI에 대해서는 투명성·안전성·책임성을 확보하려는 기본법입니다. 따라서 기업은 AI 도입을 단순한 생산성 향상이나 업무자동화로만 볼 수 없으며, AI의 기획·개발·구매·운영·폐기까지 관리하는 전사적 거버넌스 체계를 갖춰야 합니다.
법률상 ‘인공지능사업자’에는 AI를 직접 개발하는 기업뿐 아니라, AI를 이용해 제품·서비스를 제공하는 사업자도 포함될 수 있습니다. 다만 임직원이 문서작성·정보검색을 위해 생성형 AI를 내부적으로 이용하는 모든 경우에 고영향 AI 사업자의 의무가 적용되는 것은 아닙니다. 기업은 먼저 자사가 AI를 내부 도구로 이용하는지, 아니면 AI가 포함된 제품·서비스를 고객에게 제공하는지를 구분해야 합니다.
2. 기업이 주목해야 할 핵심 규정
2.1 생성형 AI·고영향 AI의 투명성
AI기본법 제31조는 생성형 AI 또는 고영향 AI를 이용한 제품·서비스를 제공하는 사업자에게, 이용자가 인공지능 기반 제품·서비스라는 사실을 사전에 알리도록 요구합니다. 또한 생성형 AI가 만든 결과물에는 그것이 AI로 생성되었다는 사실을 표시해야 하며, 실제 사람·상황으로 오인할 수 있는 음성·이미지·영상은 이용자가 명확히 인식할 수 있게 시각적·청각적으로 표시해야 합니다.
기업은 AI 챗봇·상담, 자동 보고서, AI 광고 이미지, 합성 음성·영상 등에 다음과 같은 표시체계를 적용할 수 있습니다.
- “본 서비스는 생성형 인공지능을 활용합니다.”
- “본 콘텐츠는 인공지능을 활용하여 생성 또는 편집되었습니다.”
표시는 제품 화면·이용약관·계약서·사용자 설명서 등 법령이 인정하는 방법으로 할 수 있지만, 약관에 형식적으로 기재하기보다 이용자가 실제로 확인할 수 있는 위치에 표시하는 것이 바람직합니다.
2.2 고영향 AI의 판단과 관리
고영향 AI는 사람의 생명·신체 안전이나 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 AI입니다. 대표 분야는 다음과 같습니다.
| 주요 분야 | 적용 사례 |
|---|---|
| 보건·의료 | 질병 진단, 치료 결정, 디지털 의료기기 |
| 채용·인사 | 지원자 평가, 채용·승진·배치 결정 |
| 금융 | 대출심사, 신용평가, 보험인수 |
| 교육 | 입학·선발·성적 평가 |
| 교통·안전 | 자율주행, 교통시설, 안전관리 |
| 공공서비스 | 복지·행정서비스 대상자 선정 |
| 수사·사법 | 범죄수사, 체포 및 위험도 판단 |
| 에너지·기반시설 | 전력, 원자력, 상수도 등 핵심 시설 |
기업은 자사 AI가 고영향 AI에 해당하는지 먼저 자체 검토하고, 판단이 어려우면 과학기술정보통신부 장관에게 공식 확인을 요청할 수 있습니다(처리기간 원칙 30일, 재확인 10일 이내). 고영향 AI 사업자는 위험관리 방안, 이용자 보호조치, 사람에 의한 관리·감독, 주요 판단 기준 설명, 학습데이터 개요, 문서 작성·보관 체계를 갖춰야 하며, 관련 증빙문서는 5년간 보관해야 합니다.
2.3 고성능 AI의 안전성
누적 학습 연산량이 10²⁶ FLOPs 이상이면서 첨단 기술 수준·중대한 위험 가능성 요건을 충족하는 고성능 AI에는 별도의 안전성 확보 의무가 적용될 수 있습니다. 이는 외부 생성형 AI를 구독해 쓰는 일반 기업보다, 초거대 AI 모델을 직접 개발·운영하는 사업자에게 주로 관련됩니다. 자체 거대언어모델·파운데이션 모델을 개발하는 기업은 학습 연산량, 모델 성능, 위험평가·사고 대응체계를 관리해야 합니다.
2.4 기본권 영향평가와 제재
고영향 AI 사업자는 AI가 국민의 기본권에 미치는 영향을 사전에 평가하도록 노력해야 합니다. 현재 민간기업의 기본권 영향평가는 강행의무라기보다 노력 의무에 가깝습니다. 다만 국가·공공기관은 기본권 영향평가를 실시한 AI를 우선 고려할 수 있어, 공공시장 진출 기업에는 사실상 중요한 경쟁요건이 됩니다.
AI기본법상 과태료는 최대 3천만 원입니다. 고영향·생성형 AI 제품·서비스임을 사전에 알리지 않은 경우, 국내대리인 지정 의무 불이행, 행정기관의 중지·시정명령 불이행 등이 해당합니다. 생성물 표시 누락이 모든 경우 즉시 과태료로 이어진다고 단정할 수는 없지만, 시정명령 불이행으로 이어지면 제재 위험이 커집니다.
3. 기업이 준비해야 할 실행과제
- AI 사용 현황 파악 — 부서별 외부 서비스(ChatGPT·Claude·Gemini·Copilot)와 챗봇·자동심사·고객추천·OCR·RPA·예측모델·자체 시스템을 모두 목록화하고, 사용 목적·책임부서·입력/출력 데이터·이용자·공급자·의사결정 영향도를 기록합니다.
- 위험등급 분류 — 내부 업무지원, 고객대면 생성형 AI, 일반 의사결정 지원, 고영향 가능 AI로 구분하고 위험 수준에 따라 승인·통제 수준을 다르게 설계합니다.
- AI 운영규정 수립 — 최소한 다음을 포함합니다.
- AI 사용·승인 기준
- 개인정보·영업비밀 입력 제한
- 생성 결과의 사람에 의한 검토 절차
- AI 생성물 표시 기준
- 데이터 출처·저작권 점검
- 편향·오류·환각 검증
- 사고·민원·오작동 보고체계
- 협력사·AI 공급자 관리
- 변경 이력·증빙문서 보관
- 책임체계 명확화 — AI를 IT부서에만 맡기지 말고, 경영진 중심으로 법무·개인정보보호·정보보안·인사·품질·마케팅·현업이 참여하는 거버넌스를 만듭니다. 채용·평가·대출·의료·안전에 AI가 관여하면 최종 결정권자와 사람의 개입 시점을 명확히 합니다.
- 외부 AI 공급자 관리 — 직접 개발하지 않아도 외부 솔루션으로 서비스를 제공하면 책임에서 완전히 벗어나지 않습니다. 계약 단계에서 데이터 사용 범위, 학습데이터 재사용, 정보보호, 모델 변경 통지, 장애 대응, 로그 제공, 결과 설명 가능성, 책임분담을 확인합니다.
4. ISO/IEC 42001을 활용한 대응
ISO/IEC 42001은 인공지능경영시스템(AIMS) 국제표준으로, AI 정책·역할·위험평가·영향평가·데이터 관리·운영 통제·성과평가·지속 개선을 체계화하는 데 활용할 수 있습니다. AI기본법 요구사항을 운영체계로 전환하는 데 유용하지만, 인증을 취득했다고 AI기본법 준수가 자동 인정되거나 법적 책임이 면제되는 것은 아닙니다. 인증 자체보다 먼저 실제 운영체계를 구축하고, AI 인벤토리·위험/영향평가서·공급자 평가서·감독 기록·표시 기준·사고 대응 기록 등 증빙을 남기는 것이 중요합니다.
결론 — AX 설계는 처음부터 제대로 해야 합니다
AI기본법 대응의 핵심은 ‘AI를 사용하는가’가 아니라, ‘어떤 AI를, 어떤 데이터로, 누구의 책임 아래, 어떤 위험관리 절차로 사용하는가’를 설명할 수 있는 구조를 갖추는 것입니다.
이 구조를 규제가 나올 때마다 사후에 덧붙이면, 기업은 같은 설계를 반복하며 비용과 시간을 계속 지출하게 됩니다. 반대로 처음부터 AX를 설계하면 투명성·책임·문서화·사람의 감독이 업무 프로세스 안에 자연스럽게 들어가, 이후의 규제 변화에도 반복 비용 없이 대응할 수 있습니다.
AI 거버넌스는 사후에 붙이는 것이 아니라,
처음부터 AX 구조 안에 설계하는 것입니다.
TRIVIAN은 AI 도입부터 운영·모니터링·개선까지 연결되는 AI 거버넌스와 Business Architecture를 설계합니다. 규제 대응을 넘어 고객 신뢰, 공공사업 참여, 글로벌 경쟁력의 기반이 되는 구조를 처음부터 함께 만듭니다.
※ 본 내용은 2026년 7월 26일 현재 시행 중인 AI기본법과 시행령을 기준으로 작성한 일반적인 설명이며, 개별 기업의 법률 적용 여부는 사업구조와 AI 사용방식에 따라 별도 검토가 필요합니다.