사내 AI 자동화에도 AI 기본법 고지·표시 의무가 붙나요?

우리 회사 AI 자동화도 AI 기본법 적용을 받나요?

받습니다. 다만 무엇을 해야 하는지는 '결과물을 누가 받는가'에서 먼저 갈립니다. 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 2026년 1월 22일부터 시행 중이고, 다른 회사가 만든 인공지능을 이용해 제품이나 서비스를 제공하는 회사도 인공지능이용사업자로 이 법의 적용을 받습니다(법 제2조제7호).

반대로 직원만 쓰는 자동화는 빠질 여지가 큽니다. 시행령 제23조제4항은 제품·서비스명이나 화면 문구만으로도 인공지능 활용 사실이 명백한 경우, 그리고 사업자의 내부 업무 용도로만 사용되는 경우에 고지·표시 규정의 전부 또는 일부를 적용하지 않을 수 있다고 정하고 있습니다. 사내 문서 요약이나 내부 보고서 초안 작성이 여기에 해당할 수 있습니다.

그래서 '우리 회사가 AI를 쓰는가'는 판정 질문이 아닙니다. 자동화 하나하나를 놓고 결과물의 수신자와 활용 영역을 따지는 것이 판정입니다.

자동화 목록을 놓고 다섯 줄만 채워 보세요

아래 표를 자동화별로 한 번씩 채우면 대부분 판정이 끝납니다. 채우지 못하는 줄이 있다면 그 자동화는 아직 설계가 덜 된 것이고, 법보다 설계를 먼저 손봐야 합니다.

확인할 것	판단 기준	해당하면 할 일
결과물을 누가 받나	직원만 쓰면 내부 업무 용도에 해당할 수 있음(시행령 제23조제4항제2호)	고객·지원자 등 외부 이용자가 받으면 화면·이용약관·설명서 중 한 곳에 인공지능 기반으로 운용된다는 사실을 사전 고지
생성형 AI 결과물을 그대로 내보내나	글·이미지·음성 등 생성 결과를 이용자에게 제공(법 제31조제2항)	사람이 읽을 수 있는 문구로 표시하거나, 기계가 판독하는 표시와 함께 안내 문구·음성을 1회 이상 제공
실제와 구분하기 어려운 결과물인가	합성 음성·이미지·영상(법 제31조제3항)	주된 이용자의 나이와 조건을 고려해 이용자가 명확히 인식하는 방식으로 고지·표시
어느 영역의 판단에 쓰나	채용, 대출 심사 등 개인의 권리·의무에 중대한 영향을 미치는 판단·평가를 포함한 법 제2조제4호 각 목의 영역	고영향 인공지능으로 보고 법 제34조 책무 이행 계획부터 수립
모델을 직접 학습하나	누적 연산량 10의 26승 부동소수점연산 이상 등 세 요건을 모두 충족(시행령 제24조)	외부 API만 쓰면 해당 가능성이 낮음. 직접 학습한다면 위험관리체계와 이행 결과 제출을 검토

사전 고지를 하지 않으면 3천만원 이하의 과태료 대상입니다(법 제43조제1항제1호). 반면 생성 사실 표시(제31조제2항)는 같은 조항의 과태료 목록에 들어 있지 않습니다. 제재 수위가 달라도 두 가지를 함께 설계해 두는 편이 나중에 화면을 다시 만들지 않습니다.

고영향으로 분류되면 무엇이 더 붙나요?

위험관리와 설명, 사람의 감독, 그리고 문서입니다. 법 제34조제1항은 위험관리방안 수립·운영, 최종 결과와 주요 판단 기준·학습용데이터 개요에 대한 설명 방안, 이용자 보호 방안, 사람의 관리·감독, 조치 내용을 확인할 수 있는 문서의 작성·보관을 요구합니다.

시행령 제27조는 이 중 네 가지를 밖에서 볼 수 있게 만들라고 정합니다.

1. 위험관리정책과 조직체계 등 위험관리방안의 주요 내용을 사무소·사업장 또는 홈페이지에 게시
2. 설명 방안의 주요 내용을 같은 방식으로 게시
3. 이용자 보호 방안을 게시
4. 해당 고영향 인공지능을 관리·감독하는 사람의 성명과 연락처를 게시

영업비밀에 해당하는 사항은 게시에서 뺄 수 있습니다. 대신 조치를 이행한 근거 문서는 5년간 보관해야 하므로, 누가 어떤 판단으로 모델을 바꿨는지 남는 형태로 운영 도구를 만들어 두어야 합니다.

외부 솔루션을 그대로 쓰는 경우에는 부담이 줄어듭니다. 개발사업자가 위험관리방안·설명 방안·이용자 보호 방안을 이행했고 이용사업자가 본래 목적이나 용도를 현저하게 변경하지 않았다면 그 조치를 이행한 것으로 봅니다(시행령 제27조제3항). 다만 이 특례에 기대려면 개발사에 근거 자료를 요청할 수 있어야 하므로, 자료 제공 협조를 계약서에 적어 두시기 바랍니다.

해당 여부가 애매하면 어디에 확인하나요?

과학기술정보통신부장관에게 고영향 인공지능 해당 여부의 확인을 요청할 수 있습니다(법 제33조제1항). 확인 요청서에는 제품·서비스 개요서, 학습용데이터 개요, 활용 과정과 결과를 확인할 수 있는 자료를 첨부합니다(시행령 제25조제1항).

일정을 잡을 때는 회신 기간을 그대로 반영하십시오. 요청일부터 30일 이내 회신이 원칙이고 30일 범위에서 한 차례 연장될 수 있습니다. 회신에 이의가 있으면 10일 이내에 재확인을 요청할 수 있고 재확인도 30일 이내에 회신됩니다(시행령 제25조제3항부터 제5항까지). 확인 절차만으로 두 달 이상 걸릴 수 있다는 뜻이므로, 출시일에서 거꾸로 세어 요청 시점을 잡아야 합니다.

이번 주에 정리할 한 가지

쓰고 있거나 만들고 있는 자동화 목록에 '결과물을 누가 받는가' 한 열을 추가해 보시기 바랍니다. 이 열만 채워도 사전 고지가 필요한 자동화와 내부 전용 자동화가 갈리고, 다음에 무엇을 확인해야 하는지가 정해집니다. 자동화 설계 단계에서 이 판정을 함께 맡기고 싶다면 자동화 목록과 결과물 수신자, 활용 영역을 정리해 보내 주시면 검토해 드립니다.