AI기본법 대응 체크리스트, 무엇부터 확인해야 하나요?
문서 양식을 먼저 찾는 대신 「우리 회사 AI가 몇 개이고 각각 어느 조항에 닿는가」를 세는 일부터 시작하는 편이 빠릅니다. AI기본법의 사업자 의무는 크게 다섯 축입니다 — 투명성 확보(제31조), 안전성 확보(제32조), 고영향 해당 여부의 사전 검토(제33조), 고영향 사업자 책무(제34조), 영향평가(제35조). 여기에 국외 사업자를 위한 국내대리인 지정(제36조)이 붙습니다. 이 다섯 축에 회사의 AI 기능을 하나씩 대보면, 해야 할 일이 「전부」가 아니라 「몇 개」로 줄어듭니다.
작성 · 최종 업데이트
축 1 — 투명성: 고지와 표시는 다른 의무다
제31조는 세 가지를 나누어 정합니다. 제1항은 고영향 또는 생성형 인공지능 기반 제품·서비스라는 사실의 사전 고지, 제2항은 생성형 인공지능 결과물에 생성 사실의 표시, 제3항은 실제와 구분하기 어려운 가상의 음향·이미지·영상에 대한 명확한 인식이 가능한 고지 또는 표시입니다.
현장에서 가장 자주 섞이는 부분이 제1항(사전 고지)과 제2항(결과물 표시)입니다. 서비스 소개 페이지에 「AI 기반」이라고 적어두는 것과, 생성된 결과물 자체에 표시를 남기는 것은 서로 대체되지 않습니다.
시행령 제23조는 방법을 구체화합니다. 사전 고지는 제품에 직접 기재하거나 계약서·사용설명서·이용약관에 기재, 화면·단말기 표시, 제공 장소 게시 등이 인정되고, 표시는 사람이 인식할 수 있는 방법 또는 기계가 판독할 수 있는 방법으로 할 수 있습니다. 기계 판독 방식을 쓰는 경우에는 생성 사실을 1회 이상 안내 문구·음성 등으로 제공해야 합니다.
축 2 — 고영향 해당 여부: 사전 검토는 선택이 아니다
제33조제1항은 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우 그 인공지능이 고영향 인공지능에 해당하는지 사전에 검토하도록 정합니다. 필요하면 과학기술정보통신부장관에게 확인을 요청할 수 있습니다.
즉 「우리는 고영향이 아니다」라는 결론도 검토를 거쳐 나와야 합니다. 검토한 날짜와 기준, 결론을 남겨두는 것이 체크리스트의 첫 산출물이 됩니다.
축 3 — 고영향 책무: 여섯 가지 조치와 5년 보관
고영향에 해당하면 제34조제1항의 조치가 따라옵니다. 위험관리방안 수립·운영, 설명 방안 수립·시행, 이용자 보호 방안 수립·운영, 사람의 관리·감독, 조치 내용을 확인할 수 있는 문서의 작성·보관 등입니다.
시행령 제27조는 이 중 위험관리방안의 주요 내용, 설명 방안의 주요 내용, 이용자 보호 방안, 관리·감독하는 사람의 성명과 연락처를 사무소·사업장 또는 인터넷 홈페이지 등에 게시하도록 하고, 조치 근거를 문서로 5년간 보관하도록 정합니다. 「만들고 끝」이 아니라 「보관하고 최신으로 유지」가 실제 과제입니다.
축 4·5 — 안전성 확보와 영향평가
제32조의 안전성 확보 의무는 대상 범위가 좁습니다. 시행령 제24조는 학습 누적 연산량 10의 26승 부동소수점연산 이상, 최첨단 인공지능기술 적용, 생명·신체의 안전 및 기본권에 광범위하고 중대한 영향 우려라는 세 조건을 모두 충족하는 시스템으로 한정합니다. 외부 모델을 가져다 쓰는 대부분의 회사는 여기에 해당하지 않지만, 해당하지 않는다는 판단 역시 기록으로 남겨두는 편이 좋습니다.
제35조의 영향평가는 고영향 인공지능을 이용한 제품·서비스를 제공하는 경우 사전에 사람의 기본권에 미치는 영향을 평가하도록 노력한다는 노력 규정입니다. 국가기관등은 영향평가를 실시한 제품·서비스를 우선적으로 고려하므로, 공공 조달을 노린다면 실무상 비중이 커집니다.
정리 — 한 번에 다 하지 않아도 된다
체크리스트의 목적은 완벽한 준비가 아니라 「지금 어디까지 확인됐는지」를 말할 수 있게 만드는 것입니다. 확인 완료·확인 필요·정보 부족 세 가지 상태로만 정리해도 회사 안팎의 질문에 답할 수 있습니다.
AI기본법은 2026.1.22 시행됐고 계도기간은 2027.1 종료 예정입니다. 남은 기간은 서류를 완성하는 시간이 아니라 현황을 파악하고 빠진 곳을 채우는 시간으로 쓰는 편이 현실적입니다.
자체점검 체크리스트
- 1
AI 기능 목록과 담당자를 한 장으로 정리했는가
기능명·모델 출처·외부 노출 여부·담당 부서. 목록이 없으면 이후 모든 확인이 반복됩니다.
- 2
생성형 AI 결과물에 생성 사실 표시를 하고 있는가
제31조제2항. 시행령 제23조제2항의 사람이 인식할 수 있는 방법 또는 기계 판독 방법 중 어느 쪽인지 함께 적습니다.
- 3
AI 기반 제품·서비스라는 사실을 사전에 고지하고 있는가
제31조제1항. 이용약관·사용설명서·화면 표시 등 어디에서 고지하는지 위치를 남깁니다.
- 4
고영향 해당 여부를 검토하고 결론과 근거를 남겼는가
제33조제1항. 검토일·기준·결론 세 줄이면 시작으로 충분합니다.
- 5
고영향에 해당한다면 제34조 조치와 5년 문서 보관 체계를 갖췄는가
시행령 제27조제2항의 5년 보관은 문서 저장 위치와 갱신 담당자가 정해져야 지켜집니다.
실무에서 자주 남는 확인 필요 상황
아래는 자주 관찰되는 상황의 예시이며, 특정 회사의 상태를 판단한 것이 아닙니다.
사전 고지만 하고 결과물 표시를 하지 않았다
서비스 소개에는 「AI 기반」이라고 적었지만, 생성형 AI가 만든 문서·이미지에는 생성 사실 표시가 없어 제31조제2항 관련 확인이 필요한 상태로 남습니다.
고영향 검토를 한 적은 있으나 기록이 없다
담당자가 바뀐 뒤 「검토했다」는 사실을 증명할 자료가 남지 않아, 제33조제1항의 사전 검토를 처음부터 다시 하게 됩니다.
문서는 만들었는데 보관과 갱신 주체가 없다
위험관리방안 문서가 개인 PC나 특정 부서 드라이브에만 있어, 시행령 제27조제2항의 5년 보관 요건을 실제로 지키는지 확인할 수 없습니다.
근거 · 출처
아래 요약은 법령 원문(국가법령정보센터)을 확인해 정리한 것입니다.
AI기본법 제31조
투명성 확보 의무. ① 고영향 또는 생성형 인공지능 기반 제품·서비스는 그 사실을 이용자에게 사전 고지한다. ② 생성형 인공지능의 결과물에는 생성 사실을 표시한다. ③ 실제와 구분하기 어려운 가상의 음향·이미지·영상은 이용자가 명확히 인식할 수 있는 방식으로 고지·표시한다.
법령 원문 보기 →AI기본법 시행령 제23조
제31조의 고지·표시 방법을 정한다. 사전고지 = 제품에 직접 기재·계약서·사용설명서·이용약관 기재, 화면·단말기 표시, 제공 장소 게시 등. 표시 = 사람이 인식할 수 있는 방법 또는 기계 판독 방법(이 경우 1회 이상 안내 문구·음성 제공). 제4항에 적용 예외(활용 사실이 명백한 경우·내부 업무 용도 전용 등)를 둔다.
법령 원문 보기 →AI기본법 제33조
고영향 인공지능의 확인. 인공지능사업자는 자사의 인공지능이 고영향에 해당하는지 **사전에 검토**하여야 하며, 필요하면 과학기술정보통신부장관에게 해당 여부 확인을 요청할 수 있다.
법령 원문 보기 →AI기본법 제34조
고영향 인공지능 사업자의 책무 6가지. 위험관리방안 수립·운영, 설명 방안 수립·시행, 이용자 보호 방안 수립·운영, 사람의 관리·감독, 조치 내용을 확인할 수 있는 문서의 작성·보관 등.
법령 원문 보기 →AI기본법 시행령 제27조
제34조 조치의 구체화. 위험관리방안 주요 내용·설명 방안 주요 내용·이용자 보호 방안·관리감독자의 성명과 연락처를 사무소나 홈페이지 등에 게시하고, 조치 근거를 **문서로 5년간 보관**한다(전자적 보관 포함).
법령 원문 보기 →AI기본법 시행령 제24조
제32조의 대상 기준을 정한다. ① 학습 누적 연산량 10의 26승 부동소수점연산 이상 ② 최첨단 인공지능기술 적용 ③ 생명·신체의 안전 및 기본권에 광범위·중대한 영향 우려 — 세 가지를 모두 충족하는 시스템.
법령 원문 보기 →AI기본법 제35조
고영향 인공지능 영향평가. 고영향 인공지능을 이용한 제품·서비스를 제공하는 경우 사전에 사람의 기본권에 미치는 영향을 평가하도록 노력한다. 국가기관등은 영향평가를 실시한 제품·서비스를 우선 고려한다.
법령 원문 보기 →
자주 묻는 질문
- AI기본법 대응은 어떤 순서로 하는 것이 좋나요?
- 현황 파악이 먼저입니다. 회사가 제공하는 제품·서비스에서 인공지능이 쓰이는 지점을 목록으로 만들고, 각 기능이 투명성(제31조)·고영향 사전 검토(제33조)·안전성(제32조) 중 어디에 닿는지 표시합니다. 그 다음에 확인 필요로 남은 항목만 문서와 절차로 채워 나가는 순서가 현실적입니다.
- 생성형 AI 표시는 결과물마다 해야 하나요?
- AI기본법 제31조제2항은 생성형 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우 그 결과물이 생성형 인공지능에 의하여 생성되었다는 사실을 표시하도록 정합니다. 시행령 제23조제2항은 사람이 인식할 수 있는 방법 또는 기계가 판독할 수 있는 방법을 제시하며, 기계 판독 방법을 쓰는 경우 생성 사실을 1회 이상 안내 문구·음성 등으로 제공하도록 하고 있습니다.
- 고영향 인공지능 관련 문서는 얼마나 보관해야 하나요?
- AI기본법 시행령 제27조제2항은 인공지능사업자가 법 제34조제1항 각 호의 조치를 이행하고 그 근거를 문서로 5년간 보관하도록 정하고 있습니다. 전자적 방법을 통한 보관도 포함됩니다.
※ '확인 필요'는 위반·불이행을 의미하지 않습니다. 자체점검 결과이며 법률상담·법률자문을 제공하지 않습니다. 이 페이지는 법령 원문을 정리한 참고 자료이며, 개별 사안에 대한 판단은 변호사 등 자격 있는 전문가의 자문이 필요합니다.