AI 기본법 시행 이후 기업이 준비해야 할 체크포인트

지금 어떤 상황인가 — 일정으로 확인하기

※ 계도기간의 정확한 종료일은 공식적으로 특정되지 않았습니다(“최소 1년 이상”으로 발표). 최신 일정은 과학기술정보통신부 공지를 확인하시기 바랍니다.

우리 회사도 해당될까 — 의무는 세 갈래로 나뉩니다

AI 기본법의 주요 의무는 대상에 따라 세 갈래로 나뉩니다. 가장 먼저 확인할 것은 우리 회사가 AI를 활용한 제품·서비스를 고객에게 제공하는 사업자인지입니다.

지금 확인할 것 ① — 투명성 의무(고지·표시)

시행령 입법예고안에 따르면 사업자는 계약서·이용약관 등에 기재하는 방법으로 AI 활용 사실을 미리 알릴 수 있고, 이용자의 연령·신체적 조건 등을 고려해 표시 방법을 정하도록 했습니다. “어딘가에 한 번 써 두면 끝”이 아니라, 이용자가 실제로 알아볼 수 있는 방식인지가 관건입니다.

• 우리 서비스가 AI를 활용한다는 사실을 이용약관·계약서 등으로 미리 알리고 있는가
• 생성형 AI 결과물에 AI가 만들었다는 표시를 하고 있는가
• 실제와 구분하기 어려운 이미지·음성·영상에는 이용자가 명확히 알 수 있는 표시를 하고 있는가

지금 확인할 것 ② — 고영향 AI 해당 여부와 사업자 책무

고영향 AI 여부는 두 단계로 판단한다고 알려져 있습니다. ① 법이 정한 분야에서 쓰이는가, ② 생명·안전·기본권에 중대한 영향이나 위험을 줄 우려가 있는가입니다. 보도에 따르면 최종 판단에 사람이 실질적으로 개입·통제하는 경우 고영향 AI에서 제외될 수 있습니다. 판단이 어렵다면 과학기술정보통신부에 확인을 요청할 수 있으며, 원칙적으로 30일 안에 결과를 통지받습니다(최대 60일까지 연장 가능).

고영향 AI에 해당하면 사업자는 다음과 같은 책무를 집니다.

• 위험관리 방안 수립·운영
• AI가 도출한 결과의 주요 기준에 대한 설명 방안 마련
• 이용자 보호 방안 수립·운영
• 사람의 관리·감독 체계 확보
• 안전성·신뢰성 확보 조치 내용의 문서 작성·보관

계도기간의 실제 의미 — “유예”가 아니라 “준비 기간”

계도기간에는 과태료 부과보다 계도와 지원이 중심입니다. 하지만 “지금은 아무것도 안 해도 된다”는 뜻은 아닙니다. 법은 이미 시행됐고, 계도기간이 끝나면 위반 사항에 대해 사실조사와 과태료 부과가 가능해집니다. 기업 입장에서는 제재 없이 체계를 점검하고 갖출 수 있는 시간으로 이해하는 것이 정확합니다.

체크리스트 — 지금 확인할 항목

• 우리 조직이 AI를 어떤 업무·서비스에 쓰는지 목록으로 정리되어 있는가
• 그중 고객에게 제공하는 AI 제품·서비스가 있다면, 고지·표시 의무를 지키고 있는가
• 채용·대출 심사·교육 평가 등 법이 정한 분야에 AI를 쓰고 있다면, 고영향 AI 해당 여부를 검토했는가
• 최종 판단에 사람이 어떻게 개입하는지, 그 기록이 남는가
• AI 관련 의사결정·승인·점검 기록이 문서로 보관되고 있는가
• 계도기간 종료와 관련한 과학기술정보통신부 공지를 정기적으로 확인하고 있는가

AI 거버넌스와 ISO/IEC 42001 — 어디서 만나는가

고영향 AI 사업자 책무인 위험관리, 설명, 이용자 보호, 사람의 관리·감독, 문서 보관은 ISO/IEC 42001이 요구하는 AI 위험 평가, AI 시스템 영향평가, 이해관계자에 대한 정보 제공, 문서화된 정보 관리와 겹치는 부분이 많습니다. 체크리스트 항목을 하나씩 따로 대응하기보다, 정책·책임·위험·모니터링·내부심사로 이어지는 하나의 경영체계로 관리하면 지속하기 쉽습니다.

다만 ISO/IEC 42001 인증을 받았다고 AI 기본법 의무를 이행한 것으로 인정되지는 않습니다. 법적 의무는 따로 확인해야 합니다.