xsoft comply중소기업·스타트업도 AI기본법 준비가 필요한가요?
AI기본법은 매출이나 인원 같은 회사 규모로 적용 대상을 나누지 않습니다. 다만 규모가 결과를 바꾸는 조항은 있습니다. 안전성 확보 의무(제32조)는 시행령 제24조가 학습 누적 연산량 10의 26승 부동소수점연산 이상 등 세 조건을 모두 충족하는 시스템으로 한정하고, 국내대리인 지정(제36조)은 시행령 제29조가 매출액·이용자 수 기준을 둡니다. 두 조항은 해당 기준을 충족하는 사업자에게 적용됩니다. 규모와 관계없이 우선 확인할 조항은 투명성 확보 의무(제31조)와 고영향 해당 여부의 사전 검토(제33조)입니다.
회사 규모와 무관하게 확인할 조항
안전성 확보 의무는 대상이 좁습니다. 시행령 제24조제1항은 ① 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산 이상 ② 최첨단 인공지능기술을 적용하여 구성·운영 ③ 위험도가 사람의 생명, 신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려 · 세 가지를 모두 충족하는 시스템으로 한정합니다. 외부 모델을 가져다 쓰는 회사는 여기에 해당하지 않는 것이 일반적입니다.
국내대리인 지정도 마찬가지입니다. 시행령 제29조제1항은 전년도 매출액 1조원 이상, 인공지능서비스 부문 전년도 매출액 100억원 이상, 직전 3개월간 국내 이용자 수 1일 평균 100만명 이상 등을 기준으로 듭니다.
반대로 투명성 확보 의무(제31조)와 고영향 사전 검토(제33조)는 규모 기준이 없습니다. 작은 회사라도 생성형 AI로 고객용 결과물을 만든다면 표시 여부를 확인해야 합니다.
거래 과정의 자료 요청
계도기간과 별개로 거래 과정에서 자료 요청이 먼저 발생할 수 있습니다. 대기업이나 공공기관 납품 시 보안성 검토, 협력사 실사, 조달 심사에서 AI 사용 여부와 고지·표시 현황을 확인하는 경우가 있습니다.
제35조제2항이 국가기관등은 영향평가를 실시한 제품 또는 서비스를 우선적으로 고려하도록 한 것도 같은 맥락입니다. 공공 시장을 보는 회사라면 이 조항이 실무상 먼저 다가옵니다.
소규모 조직의 우선 준비항목
인력이 적을수록 「전부 준비」가 아니라 「무엇이 남았는지 말할 수 있는 상태」를 목표로 잡는 편이 낫습니다. 실제로 필요한 산출물은 많지 않습니다.
- AI 기능 목록 한 장 · 기능명·모델 출처·외부 노출 여부·담당자
- 고영향 사전 검토 기록 세 줄 · 검토일·기준·결론
- 고지 문구 위치 · 이용약관 또는 서비스 소개 화면 어디에 적었는지
- 생성물 표시 방식 · 사람 인식형인지 기계 판독형인지
중소기업 지원 및 이용사업자 관련 규정
AI기본법 제17조는 이 법에 따른 지원시책을 시행할 때 중소기업 등을 우선적으로 고려하도록 하는 특별지원 규정을 두고 있습니다. 제17조의2는 경제적 여건으로 인공지능제품·서비스 이용이 어려운 경우의 비용 지원 근거를 둡니다.
또한 시행령 제27조제3항은 조치를 이행한 개발사업자로부터 인공지능시스템을 제공받은 이용사업자가 본래 목적·용도를 현저하게 변경하지 않은 경우 해당 조치를 이행한 것으로 본다고 정합니다. 솔루션을 도입해 쓰는 작은 회사에는 실질적인 완화 지점입니다.
자체점검 체크리스트
- 우리 제품·서비스에 생성형 AI 결과물이 고객에게 제공되는 지점이 있는가있다면 제31조제2항의 표시 방식을 정하는 것이 첫 번째 과제입니다.
- 고영향 영역(채용·대출 심사 등) 해당 여부를 검토하고 기록했는가제33조제1항. 결론이 「해당 없음」이어도 검토일과 근거를 남깁니다.
- 안전성 확보 의무 대상이 아니라는 근거를 한 줄로 적어두었는가시행령 제24조제1항의 세 조건 중 어디에 해당하지 않는지 적으면 됩니다.
- 도입한 솔루션 공급사에서 이행 자료를 받을 수 있는지 확인했는가시행령 제27조제4항은 이용사업자가 개발사업자에게 자료 제공을 요청할 수 있도록 합니다.
- 거래처 실사 문항에 답할 수 있는 한 장짜리 현황표가 있는가실제로 가장 먼저 필요해지는 산출물입니다.
실무에서 자주 발생하는 상황
납품 심사에서 AI 사용 현황 자료를 요구받았다
제출 기한이 짧은데 부서별로 흩어진 AI 기능을 모으는 데만 시간이 걸려 심사 일정에 맞추지 못합니다.
공공 조달에서 영향평가 실시 여부를 물었다
제35조제2항에 따라 국가기관등이 영향평가를 실시한 제품·서비스를 우선 고려하는데, 실시 여부를 답할 자료가 없습니다.
「우리는 작아서 해당 없음」으로 검토를 생략했다
투명성 확보 의무(제31조)에는 규모 기준이 없어, 생성형 AI 결과물 표시 여부가 확인되지 않은 채 남습니다.
근거 조항
자주 묻는 질문
직원이 10명인 회사도 AI기본법 적용 대상인가요?
AI기본법은 회사 규모를 기준으로 적용 대상을 나누지 않습니다. 다만 안전성 확보 의무는 시행령 제24조가 학습 누적 연산량 10의 26승 부동소수점연산 이상 등 세 조건을 모두 충족하는 시스템으로 한정하고, 국내대리인 지정은 시행령 제29조가 매출액·이용자 수 기준을 둡니다. 규모와 관계없이 우선 확인할 조항은 투명성 확보 의무(제31조)와 고영향 사전 검토(제33조)입니다.
AI 솔루션을 사서 쓰는 경우에도 우리가 조치를 해야 하나요?
AI기본법 시행령 제27조제3항은 법 제34조제1항제1호부터 제3호까지의 조치를 이행한 사업자로부터 인공지능시스템을 제공받은 인공지능이용사업자가 본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경을 하지 않은 경우 해당 조치를 이행한 것으로 본다고 정합니다. 같은 조 제4항은 이용사업자가 개발사업자에게 필요한 자료의 제공을 요청할 수 있도록 하고 있습니다.
계도기간에도 준비가 필요한가요?
AI기본법은 2026년 1월 22일 시행되었고, 과학기술정보통신부는 사실조사·과태료 부과에 대해 1년 이상의 계도기간을 운영한다고 밝혔습니다. 계도기간은 과태료 부과를 유예하는 기간이며 의무 자체를 면제하지 않습니다. 거래처 실사나 공공 조달 심사에서 AI 사용 현황을 요청받을 수 있으므로 현황 자료는 미리 정리해 두는 편이 좋습니다.
관련 가이드
자료 이용 안내 · 이 글은 현행 AI기본법(2026년 7월 21일 시행 개정본)과 시행령을 기준으로 작성한 일반 정보입니다. 실제 적용 범위는 사업자의 역할과 서비스 운영 방식에 따라 달라질 수 있습니다.
무료로 자체점검을 시작해보세요.