AI 컴플라이언스 진단은 무엇을 확인하는 절차인가요?

① 목록화 — 무엇을 세는지가 결과를 정한다

AI 시스템 단위를 어떻게 잡느냐에 따라 이후 결과가 달라집니다. 실무에서는 「이용자에게 제공되는 제품·서비스」 단위로 잡는 편이 조항 매핑에 유리합니다. 제31조와 제34조가 모두 제품·서비스 제공을 전제로 쓰여 있기 때문입니다.

같은 모델을 쓰더라도 고객용 챗봇과 사내 요약 도구는 다른 항목으로 셉니다. 시행령 제23조제4항제2호의 내부 업무 용도 전용 여부가 갈리기 때문입니다.

② 조항 매핑 — 질문을 조항에 붙인다

매핑은 질문 하나에 조항 하나를 붙이는 작업입니다. 자체점검 도구가 하는 일도 이것이며, 여기에는 언어모델의 판단이 개입하지 않고 사전에 정의된 규칙을 씁니다. 같은 답변이면 언제 점검해도 같은 결과가 나와야 하기 때문입니다.

• AI 기반 제품·서비스임을 사전 고지하고 있는가 → 제31조제1항
• 생성형 AI 결과물에 생성 사실을 표시하고 있는가 → 제31조제2항·제3항
• 학습 누적 연산량 기준 이상인 시스템을 운영하는가 → 제32조·시행령 제24조
• 고영향 영역에서 활용되는가 → 제2조제4호·제33조
• 고영향이라면 6가지 조치를 이행하고 있는가 → 제34조·시행령 제27조
• 영향평가를 수행했는가 → 제35조·시행령 제28조
• 국내대리인 지정 대상인가 → 제36조·시행령 제29조

③ 상태 판정 — 왜 점수를 쓰지 않는가

자체점검 결과를 점수나 등급으로 표기하면, 그 표기가 법적 판단처럼 읽힙니다. 자체점검 도구는 법률상담이나 법률자문을 제공하지 않으므로 그런 표기를 쓰지 않습니다.

대신 세 가지 상태로만 나눕니다. 확인 완료는 근거 자료까지 붙은 항목, 확인 필요는 자료가 없거나 최신이 아닌 항목, 정보 부족은 판단에 필요한 정보 자체가 아직 없는 항목입니다. 「확인 필요」는 무엇이 잘못되었다는 뜻이 아니라 아직 확인되지 않았다는 뜻입니다.

④ 증적 연결 — 상태에 근거를 붙인다

상태만 있고 근거가 없으면 다음 담당자가 처음부터 다시 확인하게 됩니다. 확인 완료로 표시한 항목에는 그 근거(화면 캡처, 이용약관 조항 위치, 내부 문서 링크, 확인 일자)를 붙여둡니다.

고영향 인공지능에 해당하면 시행령 제27조제2항이 조치 근거를 문서로 5년간 보관하도록 정하므로, 증적 연결은 선택이 아니라 보관 체계의 일부가 됩니다.

⑤ 재점검 — 한 번으로 끝나지 않는 이유

AI 기능은 계속 늘고, 모델과 사용 목적도 바뀝니다. 시행령 제27조제3항은 인공지능시스템을 제공받은 이용사업자가 본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경을 하지 않은 경우 조치를 이행한 것으로 본다고 정하는데, 뒤집으면 중대한 기능 변경이 있으면 다시 봐야 한다는 뜻입니다.

그래서 진단의 실질은 한 번의 점검이 아니라 변경 이력을 남기는 관리에 가깝습니다.

실무에서 자주 남는 확인 필요 상황

아래는 자주 관찰되는 상황의 예시이며, 특정 회사의 상태를 판단한 것이 아닙니다.

자주 묻는 질문

AI 컴플라이언스 자체점검 결과는 법적 효력이 있나요?

없습니다. 자체점검은 회사가 스스로 현황을 파악하기 위한 절차이며, 결과는 확인 완료·확인 필요·정보 부족 같은 상태 표시입니다. 법률상담이나 법률자문에 해당하지 않으므로, 최종적인 법적 판단이 필요한 사항은 변호사 등 자격 있는 전문가의 자문을 받아야 합니다.

자체점검에 AI(언어모델)가 판단을 하나요?

xsoft comply의 자체점검은 사전에 정의된 규칙으로 답변과 법령 조항을 매핑합니다. 같은 답변이면 언제 점검해도 같은 결과가 나오도록 하기 위한 방식이며, 결과마다 어떤 조항에 근거했는지 확인할 수 있습니다.

「확인 필요」로 나오면 문제가 있는 건가요?

확인 필요는 해당 항목이 아직 확인되지 않았다는 표시이며, 무엇이 잘못되었다는 의미가 아닙니다. 근거 자료가 없거나 최신이 아닐 때도 확인 필요로 표시됩니다.