AI 컴플라이언스 진단은 무엇을 확인하는 절차인가요?

요약

점수를 매기는 절차가 아니라 「무엇이 확인됐고 무엇이 남았는지」를 정리하는 절차입니다. 실무 순서는 대체로 다섯 단계입니다 · ① 회사가 쓰는 AI 시스템을 목록으로 만들고 ② 각 시스템을 AI기본법의 관련 조항과 연결하고 ③ 조항별 검토 결과를 확정·제외·미확정으로 구분하고 ④ 상태의 근거가 되는 자료를 연결하고 ⑤ 변경이 생기면 다시 확인합니다. 결과는 회사가 파악한 현황과 후속 조치 대상입니다.

① 목록화 · 점검 대상 AI 시스템 정의

AI 시스템 단위를 어떻게 잡느냐에 따라 이후 결과가 달라집니다. 실무에서는 「이용자에게 제공되는 제품·서비스」 단위로 잡는 편이 조항 매핑에 유리합니다. 제31조와 제34조가 모두 제품·서비스 제공을 전제로 쓰여 있기 때문입니다.

같은 모델을 쓰더라도 고객용 챗봇과 사내 요약 도구는 다른 항목으로 셉니다. 시행령 제23조제4항제2호의 내부 업무 용도 전용 여부가 갈리기 때문입니다.

② 조항 매핑 · 응답과 관련 조항 연결

매핑은 점검 질문과 관련 조항을 연결하는 작업입니다. 조항 매핑과 상태 분류에는 언어모델의 가변적 판단을 사용하지 않고 사전에 정의된 규칙을 적용합니다. 동일한 규칙 버전과 동일한 응답에서는 같은 결과가 나와야 하기 때문입니다.

AI 기반 제품·서비스임을 사전 고지하고 있는가 → 제31조제1항
생성형 AI 결과물에 생성 사실을 표시하고 있는가 → 제31조제2항·제3항
학습 누적 연산량 기준 이상인 시스템을 운영하는가 → 제32조·시행령 제24조
고영향 영역에서 활용되는가 → 제2조제4호·제33조
고영향이라면 6가지 조치를 이행하고 있는가 → 제34조·시행령 제27조
영향평가를 수행했는가 → 제35조·시행령 제28조
국내대리인 지정 대상인가 → 제36조·시행령 제29조

③ 상태 분류 · 점수 대신 상태를 사용하는 이유

점수나 등급은 법 준수 수준을 평가한 결과로 오해될 수 있습니다. 자체점검의 목적은 확인된 항목과 남은 항목을 구분하는 것이므로 상태 표기를 사용합니다.

대신 조항별로 세 가지로 구분합니다. 확정은 검토 대상으로 정한 조항, 제외는 검토 대상에서 제외한 조항, 미확정은 아직 결정하지 않은 조항입니다. 「미확정」은 무엇이 잘못되었다는 뜻이 아니라 아직 결정되지 않았다는 뜻입니다.

④ 근거자료 연결 · 상태의 확인 근거 관리

상태만 있고 근거가 없으면 다음 담당자가 기존 검토를 재수행해야 할 수 있습니다. 확정한 조항에는 그 근거(화면 캡처, 이용약관 조항 위치, 내부 문서 링크, 확인 일자)를 연결합니다.

고영향 인공지능에 해당하면 시행령 제27조제2항이 조치 근거를 문서로 5년간 보관하도록 정하므로, 근거자료 연결은 선택이 아니라 보관 체계의 일부가 됩니다.

⑤ 재점검 · 변경 시 재확인

AI 기능은 추가·변경되고, 모델과 사용 목적도 바뀔 수 있습니다. 시행령 제27조제3항은 인공지능시스템을 제공받은 이용사업자가 본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경을 하지 않은 경우 조치를 이행한 것으로 본다고 정하는데, 중대한 기능 변경이 있으면 재검토가 필요하다는 의미입니다.

그래서 진단의 실질은 한 번의 점검이 아니라 변경 이력을 남기는 관리에 가깝습니다.