AI 기본법 시행 내용과 기업 의무: 제31조 표시·고영향 AI·계도기간 체크리스트

핵심 답변: 인공지능기본법은 2026년 1월 22일부터 시행 중이며, 인공지능사업자에게 투명성, 안전성, 고영향 AI 관련 조치 등의 의무를 부과합니다. 특히 생성형 AI 결과물 표시 및 고영향 AI 위험 관리가 중요하며, 최소 1년 이상의 계도기간 동안 과태료 및 사실조사가 유예되나 의무 자체는 유효하므로 철저한 대비가 필요합니다.

인공지능기본법 개요: 기업이 알아야 할 기본 사항

「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(약칭 인공지능기본법, AI 기본법)은 법률 제20676호로 2025년 1월 21일 공포되었으며, 2026년 1월 22일 시행되었습니다. 시행령도 같은 날 시행되었습니다. 본 법의 소관 부처는 과학기술정보통신부(과기정통부)이며, 기업 문의를 위해 '인공지능기본법 지원데스크'를 운영합니다.

인공지능기본법의 의무 주체는 '인공지능사업자'입니다. 인공지능사업자는 인공지능개발사업자와 인공지능이용사업자를 포함합니다. 여기서 인공지능이용사업자는 다른 사업자가 제공한 AI를 이용해 AI 제품·서비스를 제공하는 자(제2조 제7호)를 의미합니다. 만약 외부 AI를 자사 내부 업무에만 사용하는 기업이라면 '이용자'(제2조 제8호)에 해당할 가능성이 큽니다. 그러나 플랫폼을 협력사에 제공하거나 기능 요구사항을 정해 개발을 위탁하는 경우에는 사업자로 볼 수 있으므로, 정확한 의무 주체 판단을 위해서는 법률 자문이 필요합니다.

인공지능기본법 핵심 의무 한눈에 보기

인공지능기본법은 AI 기술의 발전과 신뢰성 확보를 위해 다양한 의무를 규정하고 있습니다. 주요 조항별 핵심 내용을 한눈에 정리하면 다음과 같습니다.

제31조 투명성 확보 의무: 생성형 AI 결과물 표시와 사전 고지

인공지능기본법 제31조는 AI 시스템의 투명성을 확보하기 위한 핵심 의무를 규정합니다. 이는 이용자가 AI 기반 제품·서비스를 명확히 인지하고, 생성형 AI의 결과물에 대해 정확한 정보를 바탕으로 판단할 수 있도록 돕기 위함입니다.

사전 고지 방법

고영향 AI 또는 생성형 AI에 기반한 제품·서비스를 제공하는 인공지능사업자는 해당 사실을 이용자에게 사전에 고지해야 합니다. 사전 고지는 계약서, 사용설명서, 이용약관, 서비스 화면 등 다양한 방법으로 가능합니다. 중요한 것은 이용자가 서비스를 이용하기 전에 해당 사실을 명확히 인지할 수 있도록 하는 것입니다.

생성형 AI 결과물 표시

생성형 AI로 만들어진 결과물에는 해당 사실을 표시해야 합니다. 일반적인 결과물의 경우, 사람이 인식할 수 있는 표시 방식이나 워터마크와 같은 기계 판독 방식 모두 가능합니다. 다만, 비가시적 방식으로 표시할 때는 별도의 안내 문구를 제공하여 이용자가 생성형 AI 결과물임을 알 수 있도록 해야 합니다. 특히 실제와 구분이 어려운 가상의 음향·이미지·영상(딥페이크성 결과물)은 이용자가 명확히 인식할 수 있는 방식으로만 표시해야 합니다.

면제 사유

특정 경우에는 투명성 확보 의무의 전부 또는 일부가 면제될 수 있습니다. 예를 들어, AI 사용이 명백한 경우나 사업자 내부 업무용으로만 쓰는 경우 등이 해당합니다.

위반 시 조치

생성형 AI 결과물 표시 의무를 위반할 경우 시정명령의 대상이 될 수 있습니다. 또한, 사전 고지 의무(제31조 제1항)를 위반하면 3천만원 이하의 과태료가 부과될 수 있습니다.

고영향 AI의 이해와 기업의 조치 의무

'고영향 인공지능'(제2조 제4호)은 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 영역의 AI를 의미합니다. 법은 고영향 AI에 해당하는 10개 영역을 열거하고 있으며, 이에 해당하는 AI를 개발하거나 이용하는 사업자는 강화된 의무를 준수해야 합니다.

고영향 인공지능의 정의와 영역 (제2조 제4호)

법에서 열거하는 주요 고영향 AI 영역은 다음과 같습니다.

• 에너지 및 먹는물 관리
• 보건의료
• 원자력
• 생체인식
• 채용·대출 심사 등 개인의 권리·의무에 중대한 영향을 미치는 판단
• 교통
• 공공서비스(국가·지방자치단체의 판단·평가)
• 학생 평가

이 외에도 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 영역의 AI가 고영향 AI에 해당할 수 있습니다.

고영향 AI 확인 요청 (제33조)

인공지능사업자는 자신이 개발하거나 이용하는 AI가 고영향 AI에 해당하는지 여부가 불분명할 경우, 과기정통부장관에게 확인을 요청할 수 있습니다. 이는 불확실성을 해소하고 의무 준수 계획을 수립하는 데 중요한 절차입니다.

고영향 AI 사업자의 안전성·신뢰성 확보 조치 (제34조 제1항)

고영향 AI를 운영하는 사업자는 다음 5가지 안전성 및 신뢰성 확보 조치를 의무적으로 이행해야 합니다. 이 조치들은 단순히 형식적인 준수를 넘어, 실질적인 위험 관리와 이용자 보호에 기여해야 합니다.

위험관리방안 수립 및 운영

고영향 AI 시스템이 야기할 수 있는 다양한 위험을 식별, 분석, 평가하고 이를 통제하기 위한 포괄적인 위험관리방안을 수립하고 운영해야 합니다.

• 실무에서 준비할 것: AI 시스템의 잠재적 위험 요소를 식별하고, 각 위험에 대한 영향도 및 발생 가능성을 평가하는 절차를 문서화해야 합니다.
• 실무에서 준비할 것: 위험을 완화하기 위한 구체적인 통제 방안과 책임자를 명시하며, 주기적으로 위험관리방안의 유효성을 검토하고 업데이트하는 체계를 구축해야 합니다.

기술적으로 가능한 범위에서 AI 최종 결과와 주요 기준, 학습 데이터 개요 등에 대한 설명 방안 수립 및 시행

AI 시스템의 의사결정 과정을 이용자나 관리자가 이해할 수 있도록 설명할 수 있는 방안을 마련하고 이를 실제로 적용해야 합니다. 이는 AI의 신뢰성을 높이는 데 필수적입니다.

• 실무에서 준비할 것: AI의 판단 근거가 되는 주요 기준을 식별하고, 이를 사람이 이해할 수 있는 형태로 제공하는 기술적·절차적 방안을 수립해야 합니다.
• 실무에서 준비할 것: AI 학습에 사용된 데이터의 개요, 특징, 편향성 가능성 등을 설명하는 문서를 작성하고, 이용자가 요청 시 제공할 수 있는 체계를 마련해야 합니다.

이용자 보호 방안 수립 및 운영

고영향 AI 시스템 이용자의 권익을 보호하기 위한 구체적인 방안을 수립하고 지속적으로 운영해야 합니다. 이는 이용자 고충 처리 및 피해 구제 절차 등을 포함합니다.

• 실무에서 준비할 것: AI 시스템 관련 이용자의 문의, 불만, 이의 제기를 접수하고 처리하는 명확한 절차를 수립하고, 관련 부서와 담당자를 지정해야 합니다.
• 실무에서 준비할 것: AI 시스템의 오작동 등으로 인해 이용자에게 피해가 발생할 경우, 이를 신속하게 구제하기 위한 정책 및 절차를 마련해야 합니다.

고영향 AI에 대한 사람의 관리·감독

AI 시스템이 스스로 판단하는 영역이 많더라도, 중요한 결정이나 예외 상황에서는 사람이 개입하여 관리·감독할 수 있는 체계를 갖추어야 합니다. 과기정통부는 '사람의 관리·감독'을 예외 상황에서 사람이 개입할 수 있고 진단·대응 권한과 도구를 갖추는 것으로 설명하며, human-in-the-loop, human-over-the-loop, human-out-of-the-loop로 구분하고 있습니다.

• 실무에서 준비할 것: AI 시스템의 이상 징후나 중대 오류 발생 시 사람이 즉시 인지하고 개입할 수 있는 모니터링 시스템과 경보 체계를 구축해야 합니다.
• 실무에서 준비할 것: AI의 최종 판단을 사람이 검토하고 승인하거나, 필요한 경우 수동으로 개입하여 조치를 취할 수 있는 절차 및 권한을 설정해야 합니다.

안전성·신뢰성 확보 조치의 내용을 확인할 수 있는 문서 작성 및 보관 (보관 기간 5년)

위 1)부터 4)까지의 조치 내용을 증명할 수 있는 모든 문서를 작성하고, 이를 5년간 보관해야 합니다. 이는 법적 준수를 입증하고 사후 감사에 대비하기 위함입니다.

• 실무에서 준비할 것: AI 시스템 개발 및 운영 과정에서 수립된 위험관리방안, 설명 방안, 이용자 보호 방안, 관리·감독 절차 등에 대한 모든 문서를 체계적으로 작성하고 관리해야 합니다.
• 실무에서 준비할 것: 이러한 문서들을 법정 보관 기간인 5년 동안 안전하게 보관할 수 있는 문서 관리 시스템을 구축하고, 정기적으로 백업 및 무결성을 확인하는 절차를 마련해야 합니다.

또한, 위 1)부터 4)까지의 주요 내용과 관리·감독자의 성명·연락처는 사업장이나 홈페이지에 게시해야 합니다. 다만, 영업비밀에 해당하는 내용은 제외할 수 있습니다. 이러한 의무를 위반할 경우 시정명령 대상이 될 수 있습니다.

계도기간의 의미와 전략적 활용

과기정통부는 인공지능기본법의 시행과 함께 최소 1년 이상의 계도기간을 운영한다고 발표했습니다. 이 계도기간은 기업들이 새로운 법적 의무에 대비하고 필요한 준비를 할 수 있도록 지원하는 취지에서 마련되었습니다.

계도기간 동안에는 과태료 부과와 사실조사가 유예됩니다. 즉, 의무 위반이 확인되더라도 당장 과태료가 부과되거나 강제적인 사실조사가 이루어지지 않습니다. 다만, 인명 피해나 인권 훼손과 같은 중대한 사회적 문제가 발생한 극히 예외적인 경우에는 사실조사가 실시될 수 있습니다.

중요한 점은 계도기간이 '제재를 미루는 것'이지 '의무 자체가 유예되는 것'은 아니라는 사실입니다. 인공지능기본법에 명시된 모든 의무는 법 시행일인 2026년 1월 22일부터 유효하게 적용됩니다. 따라서 기업은 계도기간을 단순히 시간을 버는 기간으로 인식하기보다는, 선제적으로 법적 의무를 이해하고 내부 시스템과 프로세스를 정비하는 전략적인 기회로 활용해야 합니다.

과기정통부는 기업들의 법률 준수를 돕기 위해 '인공지능기본법 지원데스크'를 운영해 관련 문의에 응대하고 안내 자료를 제공하고 있습니다. 계도기간의 정확한 종료일은 아직 발표되지 않았습니다. 정확한 내용은 국가법령정보센터의 법령 원문과 과기정통부 안내를 확인해야 합니다.

사내 생성형 AI 활용 기업 대응 체크리스트

인공지능기본법 시행에 따라 사내 생성형 AI를 활용하는 기업은 다음과 같은 사항들을 점검하고 대응 전략을 수립해야 합니다.

1. AI 서비스 목록화 및 고영향 여부 검토: 사내에서 사용 중인 모든 AI 서비스(내부 개발, 외부 솔루션 도입 등)를 목록화하고, 각 서비스가 고영향 AI에 해당하는지 여부를 면밀히 검토해야 합니다. 필요한 경우 과기정통부에 확인을 요청하는 것을 고려하십시오.
2. 사전 고지 문구 마련 및 적용: 고영향 AI 또는 생성형 AI 기반의 제품·서비스를 이용자에게 제공할 경우, 계약서, 사용설명서, 이용약관, 서비스 화면 등을 통해 사전에 해당 사실을 명확히 고지하는 문구를 마련하고 적용해야 합니다.
3. 생성형 AI 결과물 표시 방안 적용: 생성형 AI가 만든 결과물임을 명확히 인지할 수 있도록 시각적 표시, 워터마크 등 기계 판독 방식, 또는 별도 안내 문구를 통해 표시 방안을 마련하고 적용해야 합니다. 특히 딥페이크성 결과물은 이용자가 명확히 인식할 수 있는 방식으로 표시해야 합니다.
4. 입력 데이터(개인정보·기밀) 통제: 생성형 AI에 입력되는 데이터에 개인정보, 기밀정보 등 민감 정보가 포함되지 않도록 마스킹, 필터링 등 통제 방안을 마련하고 운영해야 합니다.
5. 프롬프트 인젝션 등 AI 보안 위협 대응: 프롬프트 인젝션, 데이터 중독, 모델 탈옥(Jailbreak)과 같은 AI 특화 보안 위협에 대응하기 위한 기술적·관리적 통제 체계를 구축해야 합니다.
6. 로그 및 관련 문서 5년간 보관: AI 시스템의 운영 과정 및 의무 준수와 관련된 모든 로그(감사 로그)와 문서를 작성하고, 법정 보관 기간인 5년 동안 안전하게 보관해야 합니다.
7. 사람의 관리·감독 절차 수립 및 운영: AI 시스템의 중요한 판단이나 예외 상황에서 사람이 개입하여 검토하고 결정할 수 있도록 Human-in-the-Loop 등 사람의 관리·감독 절차를 수립하고 운영해야 합니다.
8. AI 관련 담당자 지정 및 게시: 고영향 AI 시스템 운영에 대한 관리·감독 담당자를 지정하고, 해당 담당자의 성명·연락처 등을 사업장이나 홈페이지에 게시하여 소통 창구를 명확히 해야 합니다.
9. 관련 가이드라인 지속 확인: 과기정통부뿐만 아니라 개인정보보호위원회, 국가정보원, 금융위원회 등 관련 부처에서 발표하는 생성형 AI 및 AI 보안 관련 가이드라인(예: 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」, 「챗GPT 등 생성형 AI 활용 보안 가이드라인」)을 지속적으로 확인하여 최신 규제 동향에 맞춰 대비해야 합니다.
10. 법률 전문가와 정기적인 법률 검토: 인공지능기본법의 복잡성과 AI 기술의 빠른 변화를 고려하여, 법률 전문가와 정기적으로 법률 검토를 진행하고 필요한 자문을 구하는 것이 중요합니다.

기술적 가드레일로 법적 의무 이행 뒷받침하기

생성형 AI를 사내에 도입하여 활용하는 기업들은 인공지능기본법의 의무를 효과적으로 이행하기 위한 기술적 수단 마련이 중요합니다. 특히 LLM 기반 AI 시스템의 경우, 입력 데이터 통제, 출력 검증, 그리고 감사 로그 확보 및 사람의 관리·감독 체계를 기술적으로 뒷받침하는 가드레일(Guardrail) 솔루션 도입을 고려할 수 있습니다. 가드레일은 LLM 애플리케이션이나 API 게이트웨이 앞단에 프록시로 배치되어, AI 시스템으로 유입되는 입력(프롬프트)을 검증하고 민감 정보를 마스킹하며, AI의 출력(결과물)을 검사하여 부적절하거나 유해한 콘텐츠를 필터링합니다. 동시에 모든 요청과 응답, 차단 이력에 대한 감사 로깅을 수행하고 위험 평가 리포트를 제공하여 투명성을 확보하는 데 기여합니다.

SeekersLab의 KYRA AI Guardrail은 이러한 기업용 LLM 가드레일로서, 입력 필터(민감정보 마스킹·입력 검증), 프롬프트 검증(인젝션·탈옥 탐지, 시스템 프롬프트 유출 차단), 격리 실행, 출력 검사(민감정보·부적절 콘텐츠), 감사 로깅(모든 차단·마스킹 이력), 위험 평가 리포트 기능을 제공합니다. 이를 통해 GPT, Claude, Gemini 등 여러 LLM 모델에 일관된 정책을 적용할 수 있습니다. 특히 감사 로그와 사람 검토 체계는 제34조의 문서 작성·보관, 설명, 사람의 관리·감독 조치를 뒷받침하는 기술적 수단으로 활용될 수 있습니다. KYRA AI Guardrail 도입이 법 준수를 보장하는 것은 아니며, 법적 판단은 법률 전문가의 확인이 필요합니다.

자주 묻는 질문 (FAQ)

Q1: 인공지능기본법은 언제 시행되나요?

A1: 인공지능기본법은 2025년 1월 21일 공포되었으며, 2026년 1월 22일부터 시행되고 있습니다. 시행령도 같은 날 시행되었습니다.

Q2: 고영향 AI의 주요 특징은 무엇인가요?

A2: 고영향 AI는 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 영역의 AI를 말합니다. 채용·대출 심사, 보건의료, 교통, 공공서비스 등 10개 영역이 법에서 예시로 열거되어 있습니다.

Q3: 제31조 투명성 확보 의무 중 생성형 AI 결과물 표시는 어떻게 해야 하나요?

A3: 일반 결과물은 사람이 인식할 수 있는 표시 또는 워터마크 등 기계 판독 방식으로 표시할 수 있으며, 비가시적 방식의 경우 별도 안내 문구를 제공해야 합니다. 딥페이크성 결과물은 이용자가 명확히 인식할 수 있는 방식으로만 표시해야 합니다.

Q4: 계도기간 동안 기업은 어떤 점에 유의해야 하나요?

A4: 계도기간은 최소 1년 이상 운영되며 과태료 부과와 사실조사가 유예됩니다. 그러나 의무 자체는 유효하므로, 기업은 이 기간을 법률 준수를 위한 준비 시간으로 활용하여 내부 시스템과 프로세스를 정비하고, 지원데스크를 통해 필요한 정보를 얻어야 합니다.

Q5: 인공지능사업자와 이용자의 구분은 어떻게 되나요?

A5: 인공지능사업자는 AI 제품·서비스를 제공하는 자를 말하며 의무 주체가 됩니다. 외부 AI를 자사 내부 업무에만 쓰는 기업은 이용자에 해당할 가능성이 크지만, 플랫폼 제공이나 개발 위탁 시에는 사업자로 볼 수 있어 법률 자문이 필요합니다.

관련 글

• 생성형 AI 활용 가이드라인과 보안: 사내 AI 도입 체크리스트
• KYRA AI Guardrail: 기업용 AI·LLM 가드레일
• 프롬프트 인젝션 OWASP LLM Top 10 방어 가이드
• AI 거버넌스와 LLMOps(AX 5편)
• 기업 AI 도입 방법: AX 추진 단계
• AI 가드레일 자체 구축 vs 도입

정리

인공지능기본법의 시행은 기업의 AI 활용에 있어 새로운 책임과 기회를 동시에 부여합니다. 제31조 투명성 확보 의무와 고영향 AI에 대한 강화된 조치들은 AI 시스템의 신뢰성과 안전성을 높이는 핵심 요소입니다. 기업들은 계도기간을 전략적으로 활용하여 법적 의무를 철저히 준비하고, 사내 AI 시스템 전반에 걸쳐 체계적인 대응 체크리스트를 점검해야 합니다. 기술적 가드레일과 법률 자문을 함께 활용하면 규제 대응과 안전한 AI 활용을 같은 체계 안에서 준비할 수 있습니다. 정확한 내용은 법령 원문과 과기정통부 안내를 기준으로 확인해야 합니다.