AI 기본법 시행, 우리 회사가 지금 당장 준비해야 할 7가지: 자가진단부터 D-day 로드맵까지

법무팀에서 메일이 왔다.

“우리 서비스 중에 AI 기본법 적용받는 게 뭐가 있는지 정리해 달라”는 한 줄. 첨부는 없다. 사내 챗봇, 이력서 스크리닝 도구, 마케팅 카피 생성기까지 떠오르는데 어느 것이 규제 대상인지 판단할 기준이 손에 없다. 검색해 보면 법 조문 해설은 넘치는데, 정작 “우리 회사는 여기 해당한다”고 짚어주는 글이 없다. 그래서 AI 기본법 기업 대응은 늘 법무팀과 실무팀 사이에서 공중에 떠 있다.

이 글을 처음부터 끝까지 읽을 필요는 없습니다. 자가진단 체크리스트와 로드맵 템플릿만 먼저 챙기고 싶다면 AI 컴플라이언스 자료실에서 체크리스트 파일을 받아 가는 것으로 충분합니다.

핵심 요약

• AI 기본법 기업 대응의 출발점은 2026년 1월 22일 시행일과 약 1년의 계도기간 — 단, 유예된 것은 제재이지 의무 자체가 아님
• 기업 의무는 생성형 AI 투명성·표시, 고영향 AI 안전·설명, 초거대 AI 모델 안전성 확보의 세 갈래이며 도입 기업 대부분은 앞의 둘에 해당
• 국내 이용자에게 영향을 미치면 해외 사업자도 적용 대상이고, 위반 시 과태료·사실조사·시정명령이 따르며 API를 가져다 쓰는 서비스 사업자도 책임 범위 안
• 지금 필요한 순서는 법 해석이 아니라 AI 자산 인벤토리 작성 → 고영향 여부 판별 → 표시·문서화 체계 구축

많은 팀이 비슷한 자리에서 멈춥니다. 법 조문은 읽었는데 우리 서비스가 ‘고영향 AI’인지 아닌지 판단이 안 서고, 판단이 안 서니 예산도 담당자도 정해지지 않습니다. AI 기본법 기업 대응이 어려운 이유는 법이 난해해서가 아니라, 판별 기준을 자사 서비스 목록에 대입해 본 사람이 아직 없기 때문입니다.

이 글은 그 대입 작업을 대신 설계했습니다. 자사 AI 서비스가 어떤 의무 유형에 걸리는지 30분 안에 자가진단하고, 계도기간 종료 시점을 역산한 사내 로드맵과 담당자별 실행 과제를 문서로 정리할 수 있도록 구성했습니다.

근거는 세 가지를 겹쳐 놓았습니다. 과학기술정보통신부가 예고한 하위 가이드라인 체계, EU AI Act와 미국 규제를 나란히 놓은 비교, 그리고 법무·컨설팅 업계가 공개한 실무 Q&A입니다. 여기에 규제 산업 실무자 교육 현장에서 반복해 들은 질문을 섞었습니다.

읽고 나면 남는 것은 조문 지식이 아니라 문서 세 개입니다. AI 자산 인벤토리, 고영향 판별 결과표, 그리고 D-day 기준 대응 로드맵.

이미 시행됐는데 왜 아직도 아무것도 준비 못 했을까요?

“우리는 AI를 만드는 회사가 아닌데요.”

교육장에서 가장 자주 듣는 말입니다. 동시에 가장 값비싼 오해이기도 합니다.

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법은 개발사만 겨냥하지 않습니다. 외부 챗봇을 붙여 고객 응대를 하거나 생성형 AI로 지원서를 1차 선별하면, 그 순간 ‘이용사업자’로서의 의무가 생깁니다.

법은 2026년 1월 22일 시행됐습니다. 시행 첫해는 과태료 부과를 미루는 계도기간으로 운영된다고 안내됐고, 바로 그 문장이 실무자에게 착시를 만들었습니다.

‘아직 시간이 있다’는 감각입니다. 그런데 계도기간은 준비 기간이지 면제 기간이 아닙니다. 문서와 절차를 만드는 데만 몇 달이 걸리니, 인공지능기본법 시행 준비는 지금 시작해야 겨우 맞습니다.

이 글은 다섯 가지를 순서대로 다룹니다. 적용 대상 가르기, 의무 3분류, 고영향 AI 자가진단, 과태료 금액표, 산업별 시나리오와 D-day 로드맵입니다.

금융·의료·제약처럼 규제가 이중으로 걸리는 산업의 도입 절차 전체 그림은 별도의 규제산업 AI 도입 가이드에서 다룹니다. 여기서는 AI 기본법 기업 대응 하나만 파고듭니다.

우리 회사는 개발자인가요, 이용사업자인가요? 적용 대상부터 가르기

“규제 대상이긴 한 건가요?” 이 질문에 답하지 못한 채로 대책 회의를 하는 조직이 많습니다. 순서가 뒤집힌 겁니다.

법은 AI사업자를 개발·제공하는 쪽과 이를 업무에 쓰는 쪽으로 나눕니다. 어느 칸에 서 있느냐에 따라 해야 할 일이 완전히 달라집니다.

AI사업자 유형별 의무 매트릭스

구분	해당 예시	핵심 의무	실무 산출물
AI 개발사업자	자체 모델·솔루션 개발사, 파인튜닝 후 외부 제공	투명성·안전성 확보, 고영향 여부 사전 검토, 기술문서 작성	모델 카드, 위험관리 문서
AI 이용사업자	SaaS·API를 붙여 서비스나 사내 업무에 적용	이용자 사전 고지, AI 생성 표시, 고영향 해당 시 이용자 보호조치	고지 문구, 이용 내부 규정
배포·유통 주체	앱마켓·리셀러·재판매 파트너	표시 유지, 고지 누락 시 시정 협조, 자료 보관	계약서 책임 조항
국외 사업자	해외 본사 모델을 국내 이용자에게 제공	역외적용, 요건 충족 시 국내대리인 지정	대리인 지정서

해외 사업자·API 활용 서비스는 어떻게 되나요

여기서 가장 자주 엉키는 게 API 제공사와 서비스 사업자 책임 구분입니다. 모델 자체의 안전성과 학습 데이터는 제공사 몫입니다.

반면 이용자에게 AI가 쓰였다고 알리는 일, 결과물에 표시하는 일, 업무 판단에 적용한 결과에 대한 책임은 서비스 사업자에게 남습니다. 모델을 빌려 왔다고 해서 의무까지 빌려 오지는 못합니다.

국외 사업자도 국내 이용자에게 영향을 주면 법이 적용되고, 매출·이용자 수 기준을 넘으면 국내대리인을 두어야 합니다. 세부 기준은 과학기술정보통신부 고시와 시행령에서 정합니다.

“우리는 SaaS만 씁니다”라는 회사가 놓치는 건 대개 넷입니다. 고객 대면 화면의 AI 고지, 사내 이용 규정과 민감정보 입력 통제, 벤더 계약서의 책임 배분 조항, 그리고 기록 보관입니다.

계약서에 책임 소재 한 줄이 없으면 사고가 났을 때 전부 우리 쪽 몫이 됩니다. 외부 업체를 들일 때의 확인 기준은 기업 AI 교육 업체 비교 글의 체크리스트 구조를 그대로 응용할 수 있습니다.

결국 지켜야 할 건 세 가지입니다: 투명성·안전성·고영향 AI

조문을 처음 열면 압도됩니다. 그런데 기업이 실제로 손댈 AI 기본법 의무사항은 세 덩어리로 줄어듭니다.

이 셋을 관통하는 원리가 위험 기반 접근(Risk-based Approach)입니다. 위험이 낮으면 알리는 것으로 끝나고, 사람의 권리에 닿을수록 문서와 절차가 늘어납니다. EU AI Act가 먼저 쓴 방식과 골격이 같습니다.

생성형 AI 결과물에 무엇을, 어떻게 표시해야 하나요

투명성 확보 의무는 두 층입니다. 먼저 생성형 AI가 쓰인다는 사실을 이용자에게 미리 알리고, 산출물에는 AI로 만들었다는 표시를 답니다.

가상으로 만든 영상·음성처럼 실제와 구분이 어려운 결과물은 더 강합니다. 딥페이크 표시 의무는 이용자가 ‘명확히 인식할 수 있는’ 방식을 요구하고, 워터마크나 메타데이터만으로 갈음하기 어려운 경우가 여기 해당합니다.

한 제약사 사업부 교육은 요청부터 결이 달랐습니다. ‘민감정보를 넣지 말라는 당부로 시작해달라’, ‘출처와 근거 제시, 할루시네이션 방지를 깊게 다뤄달라’는 주문이었습니다.

이미 부서용 앱까지 만들어 쓰는 팀이었는데도 그랬습니다. 표시 의무는 결국 이 질문의 법제화된 형태입니다. 어디까지가 AI가 쓴 문장인지 밝히는 일 말입니다.

고영향 AI로 분류되면 추가로 생기는 의무

채용, 대출 심사, 의료 판단처럼 사람의 권리에 직접 영향을 주는 영역은 고영향 AI로 분류됩니다. 이때 얹히는 의무는 여섯입니다.

• 고영향 AI라는 사실의 사전 고지
• 위험관리방안 수립·운영
• 판단 근거에 대한 설명 가능성 확보
• 사람이 개입해 확인·중단할 수 있는 인간 개입 구조
• 이용자 보호조치와 이의 제기 경로
• 관련 문서의 작성·보관

우리 서비스가 여기에 해당하는지 가르는 판별 방법론과 인공지능 영향평가 양식은 형제 글에서 따로 다룹니다. 이 글에서는 해당됐을 때 무엇이 늘어나는지까지만 잡아 둡니다.

초거대 AI 모델 안전성 확보 의무는 누구 이야기인가요

안전성 확보 의무는 학습에 쓰인 누적 연산량이 대통령령상 임계치를 넘는 초거대 AI 모델에 붙습니다. 국내 기업 대부분과는 무관한 수준입니다.

대상이 되면 위험 식별·평가·완화 체계를 갖추고 그 이행 결과를 정부에 제출해야 합니다. 모델을 직접 만들지 않는 회사라면 벤더에게 이 요건 충족 여부를 확인받는 것으로 갈음됩니다. 실무 쟁점을 더 보려면 AI 기본법 시행에 따른 기업 대응 전략 정리가 참고가 됩니다.

세 의무 모두 결국 사내에서 누가 지키느냐로 돌아옵니다. 규정을 만들어도 쓰는 사람이 모르면 표시 하나가 빠지고, 그 하나가 과태료가 됩니다. 조직의 현재 수준부터 확인하고 싶다면 AI 성숙도 자가진단 30문항이 출발점이 되고, 규정을 교육으로 옮기는 절차는 기업 AI 교육 도입 8단계 로드맵에 정리해 두었습니다.

우리 서비스가 고영향 AI인지, 10문항으로 먼저 걸러보세요

“우리가 고영향 AI인지 아닌지, 그걸 판단할 사람이 회사에 없어요.”

담당자들이 가장 자주 하는 말입니다. 법령 조문을 읽어도 우리 서비스에 대입이 안 되는 게 진짜 문제죠.

그래서 조문 대신 질문으로 바꿔봤습니다. 열 문항이면 1차 분류는 끝납니다.

1차 자가진단 체크리스트 10문항

• 채용, 승진, 인사평가 결과에 AI 산출물이 반영되나요?
• 대출 심사, 신용평가, 보험 인수 판단에 쓰이나요?
• 보건의료 진단·처방·환자 분류에 관여하나요?
• 에너지 공급, 교통·운송 안전에 관련된 판단을 하나요?
• 수사, 사법, 행정처분 등 공권력 행사 과정에 쓰이나요?
• 국민에게 제공되는 공공서비스의 자격이나 배분을 결정하나요?
• 생체정보로 개인을 식별하거나 분류하나요?
• 이 AI의 결과가 특정인의 권리·의무에 중대한 영향을 주나요?
• 최종 판단을 사람이 아니라 AI가 내리나요?
• 결과가 잘못됐을 때 사람이 이를 되돌리거나 이의를 제기할 수 있나요?(아니오면 위험)

앞의 일곱 문항은 법이 열거한 고영향 영역입니다. 뒤의 세 문항이 실제 판단축이고요.

중대성·자동성·가역성. 고영향 인공지능 판단기준은 결국 이 세 축의 조합입니다.

결과별 다음 행동 가이드

해당 없음(1~7번 모두 아니오)이라면 생성형 AI 투명성 의무만 챙기면 됩니다. 고지 문구와 AI 생성 표시가 전부죠.

회색지대(영역은 걸리는데 8~10번이 애매한 경우)가 가장 많습니다. 이때는 과학기술정보통신부에 고영향 AI 해당 여부 확인을 요청할 수 있습니다. 판단 근거를 문서로 남겨두는 것 자체가 방어 자료가 됩니다.

고영향 유력이라면 인공지능 영향평가와 위험관리방안 수립으로 바로 넘어가야 합니다. 준비 기간이 짧지 않습니다.

AI 기본법 체크리스트는 다운로드용 문서로 정리해뒀습니다. 사내 서식이 있다면 그쪽이 우선이고, 항목 구조만 참고하면 됩니다.

진단 결과를 법무팀에 들고 가기 전, 조직의 준비 수준부터 확인하고 싶다면 AI 성숙도 자가진단 30문항이 그 역할을 합니다.

안 지키면 얼마를 물어야 하나요? 과태료와 실제 리스크 정리

“어차피 과태료 조금이면 감수하죠.” 실제로 들어본 말입니다.

그 계산이 왜 틀렸는지는 표 아래 문단부터 시작됩니다. 먼저 금액부터 보시죠.

위반 유형	과태료 상한	부과 대상
생성형 AI 표시·고지 의무 위반	3천만 원 이하	개발·이용사업자
고영향 AI 의무(위험관리·설명가능성 등) 위반	3천만 원 이하	개발·이용사업자
안전성 확보 의무 미이행	3천만 원 이하	초거대 AI 모델 사업자
사실조사 거부·자료제출 불이행	3천만 원 이하	전 사업자
국내대리인 미지정	3천만 원 이하	역외 사업자

금액만 보면 감당 가능해 보입니다. 문제는 과태료가 마지막 단계가 아니라는 점입니다.

그 앞에 사실조사와 시정명령이 있고, 불이행 시 공표가 따라옵니다. 공표된 이름은 공공입찰 감점과 파트너사 실사에서 그대로 되돌아옵니다.

중첩 적용도 무겁습니다. 학습 데이터에 개인정보가 섞였다면 개인정보보호법이, 광고 문구에 AI 표시를 빠뜨렸다면 전자상거래법이 별도로 붙습니다.

민사 책임은 더 조용하게 옵니다. 알고리즘 편향성으로 채용 탈락자가 손해배상을 청구했을 때, 회사가 “설명을 제공했다”는 걸 입증하지 못하면 방어선이 없습니다.

결국 AI 리스크 관리는 문서화 싸움입니다. 법무·컴플라이언스 승인 절차를 도입 초기에 설계해두는 편이 훨씬 쌉니다.

규제 산업일수록 요청이 구체적이더군요. 한 제약사 사업부 교육에서는 시작 전부터 “민감정보를 AI에 입력하지 말라는 당부로 문을 열어달라”는 주문을 받았습니다. 이미 부서용 앱까지 만들어 쓰는 조직이 그 요청을 먼저 했다는 게 오래 남았습니다.

데이터 취급 기준을 조직 단위로 세우는 순서는 기업 AI 교육 도입 8단계에서 이어집니다.

EU AI Act와 뭐가 다른가요? 글로벌 사업이라면 꼭 보세요

해외 법인이 있는 회사라면 걱정이 두 배죠. 두 번 일할까 봐서요.

결론부터 말하면 겹치는 부분이 생각보다 많습니다.

구분	한국 AI 기본법	EU AI Act	미국
규제 방식	진흥 중심, 사후 규제	사전 규제, 적합성 평가	연방 행정명령 + 주법 분산
위험 분류	고영향 + 생성형 2축	금지·고위험·제한적·최소 4단계	통일 분류 없음
제재 수준	과태료 3천만 원 이하	전 세계 매출 최대 7%	주별 상이, FTC 집행
문서화 요구	위험관리방안·영향평가	기술문서·적합성선언·EU DB 등록	NIST AI RMF 자율 준용

차이의 핵심은 무게입니다. EU는 시장 출시 전에 증명하라고 하고, 한국은 운영하면서 관리하라고 합니다.

그래서 EU 대응 문서를 이미 갖춘 기업은 재활용할 게 많습니다. 위험 기반 접근에 따른 리스크 분류표, 데이터 거버넌스 문서, 로그 보관 체계는 대부분 그대로 씁니다.

추가할 건 두 가지입니다. 국내법이 요구하는 한국어 사전 고지 문구, 그리고 딥페이크 표시 의무의 국내 기준 적용입니다.

반대로 국내만 대응한 기업이 EU로 나가면 격차가 큽니다. 기술문서와 적합성 평가는 새로 만들어야 하니까요.

글로벌 서비스라면 가장 엄격한 기준 하나로 통일하는 편이 낫습니다. 규제마다 별도 문서를 유지하는 비용이 통합 AI 거버넌스 구축 비용을 금세 넘어섭니다.

산업별로 어느 규제가 먼저 걸리는지는 AI 활용 성숙도 단계와 함께 보면 순서가 잡힙니다. 실무 Q&A 형태의 정리가 필요하다면 법무법인 린의 AI 기본법 실무 Q&A 48선과 PwC의 AI Risk 대응 자료가 참고가 됩니다.

제조·금융·헬스케어·커머스, 업종마다 걸리는 지점이 다릅니다

“우리 업종은 해당 없겠죠.”

업종을 불문하고 가장 먼저 나오는 말입니다. 그런데 걸리는 지점은 업종마다 다른 얼굴로 숨어 있습니다.

제조부터 봅니다. 설비 이상탐지와 산업안전 판단에 AI를 붙이는 순간, 근로자 안전에 직결되는 고영향 AI 영역에 가까워집니다.

여기서 확인되는 건 모델 정확도가 아니라 구조입니다. 라인 정지나 작업 중지 판단을 사람이 최종 확인하고 되돌릴 수 있게 설계했는지가 먼저 질문됩니다.

금융은 이중 준수가 관건입니다. 여신심사·보험인수 AI는 AI 기본법의 설명 의무와 신용정보법·감독규정의 설명 요구를 동시에 받습니다.

대신 기존 금융 규제 대응 문서 상당수가 재활용됩니다. 새로 만드는 작업이 아니라, 있는 문서에 AI 관점 항목을 덧대는 작업에 가깝습니다.

헬스케어는 겹침이 가장 복잡합니다. 진단 보조 AI는 의료기기 인허가 체계와 AI 기본법이 함께 걸리고, 임상 근거를 어디까지 문서로 남겼는지가 그대로 리스크가 됩니다.

한 제약사 사업부 교육을 준비할 때, 요청서 첫 줄이 “민감정보를 AI에 넣지 말라는 당부로 시작해달라”였습니다. 규제산업 AI 도입은 도구보다 근거 관리에서 갈립니다.

커머스와 마케팅은 표시 의무에서 걸립니다. 생성형 AI로 만든 광고 이미지, AI 모델, 가상 인플루언서는 사람이 인식할 수 있는 표시가 필요합니다.

그리고 업종을 가리지 않고 가장 먼저 걸리는 건 사내 도구입니다. 채용 스크리닝과 인사평가 보조 AI는 법이 열거한 고영향 영역에 정면으로 들어갑니다.

HR팀이 무료 툴로 이력서를 요약해온 관행도 점검 대상입니다. AI 기본법 기업 대응이 IT팀만의 일이 아닌 이유가 여기 있습니다. 임직원이 실제로 무엇을 쓰는지 훑는 데는 기업 AI 교육 도입 8단계의 진단 파트가 출발점이 됩니다.

계도기간이 끝나기 전, 이 순서대로 움직이세요 (D-day 로드맵)

“어디서부터 손대야 하나요.”

인공지능기본법 시행 준비에서 진짜 병목은 이 질문입니다. 계도기간 종료일을 D-day로 두고 12주를 역산하면, 주차별로 남길 산출물이 하나씩 정해집니다.

1단계 진단(1~4주): AI 자산 인벤토리와 의무 매핑

1. 사내 AI 도구 전수조사 — 부서별 유·무료 도구, 자체 개발 모델, API 연동을 한 장에 모읍니다. 2주차 산출물은 인벤토리 시트입니다.
2. 각 항목을 고영향 여부와 생성형 여부로 분류하고, 판단이 갈리는 건 회색지대로 따로 표시해 남깁니다.
3. 벤더 계약서에서 학습 데이터 이용, 로그 보관, 사고 통지, 책임 배분 조항을 확인합니다. 4주차 산출물은 계약 점검 메모입니다.

부서별 현황을 설문으로 돌릴 여유가 없다면 AI 성숙도 자가진단 체크리스트가 그 앞단을 대신합니다. 활용 편차가 리포트로 나와 인벤토리 배경 자료로 붙습니다.

2단계 체계 구축(5~12주): 표시·문서·거버넌스

1. AI 생성물 표시 규칙을 사내 표준으로 확정합니다. 문구·위치·예외까지 정해두면 부서마다 다르게 쓰는 일이 사라집니다.
2. 고영향 후보 서비스별로 위험관리방안과 설명자료 템플릿을 만들고, 검토 이력까지 같은 폴더에 둡니다.
3. AI 책임자를 지정합니다. 담당 임원, 실무 오너, 법무 접점까지 이름으로 적힙니다.

결재하는 쪽에 앉아 있던 시절, 담당자 이름이 비어 있는 품의는 대부분 되돌려 보냈습니다. AI 거버넌스도 같습니다. 주인 없는 규정은 계도기간이 끝나도 그대로 남습니다.

3단계 고도화(13주~): 내부교육과 상시 점검

1. 임직원 AI 사용 가이드 교육을 돌립니다. 금지 데이터, 표시 규칙, 검증 절차가 축입니다.
2. 프롬프트·출력물·검토자 기록을 남기는 로그 보관 체계를 붙입니다. 사고가 났을 때 회사를 지키는 건 이 이력입니다.
3. 분기 점검 루틴을 잡고, 국가인공지능전략위원회의 3년 기본계획과 하위 고시 변화를 볼 모니터링 담당자를 정합니다.

컴플라이언스 체계 구축은 문서로 끝나지 않습니다. 현업이 실제로 지키는지가 마지막 관문이라, 교육 설계 기준은 기업 AI 교육 업체 비교 9가지 기준에서 이어 보면 됩니다. 법률 실무 쟁점은 AI 기본법 실무 Q&A 48선이 참고가 됩니다.

자주 묻는 질문

우리 회사 AI 서비스가 고영향 AI에 해당하는지 어떻게 판단하나요?

법이 열거한 영역에 걸리는지를 먼저 보고, 그다음 권리·의무에 미치는 중대성, 마지막으로 인간 개입 가능성 순으로 판단합니다. 보건의료, 채용·인사, 대출심사, 에너지, 교통, 공공서비스 같은 영역에 서비스가 닿아 있다면 1차 관문에 들어온 겁니다. 다음 질문은 하나입니다. 그 판단이 사람의 채용·거래·치료 결과를 실제로 좌우하는가. 경계가 애매한 회색지대라면 과학기술정보통신부에 고영향 여부 확인을 요청하는 절차를 활용하는 편이 안전합니다.

생성형 AI 결과물에 반드시 눈에 보이는 워터마크를 넣어야 하나요?

일반 생성물은 이용자가 인지할 수 있는 고지나 메타데이터 방식으로도 가능하지만, 딥페이크류 가상 콘텐츠는 다릅니다. 실제와 구분하기 어려운 영상·음성·이미지는 이용자가 명확히 인식할 수 있는 형태의 표시가 요구됩니다. 즉 일반 콘텐츠는 ‘알 수 있게’, 가상 콘텐츠는 ‘보이게’로 기준이 갈립니다. 마케팅 소재에 AI 모델이나 합성 음성을 쓰는 조직이라면 이 구분을 사내 표시 규칙에 먼저 반영해두는 게 좋습니다.

계도기간 동안에는 아무 조치를 하지 않아도 되나요?

아닙니다. 유예된 것은 제재이고, 의무 자체는 시행일부터 이미 발생해 있습니다. 계도기간 중에도 사실조사와 시정 요구는 가능하며, 종료 후 점검에서 그동안의 운영 이력이 함께 들여다보일 수 있습니다. 표시 규칙도 문서도 없이 계도기간을 통과한 조직은, 종료 시점에 몇 달 치를 한꺼번에 소급해 만들어야 하는 상황에 놓입니다.

ChatGPT API를 활용한 서비스도 규제 대상인가요?

대상입니다. 모델 자체의 안전성 확보는 API 제공사의 몫이지만, 이용자에게 생성형 AI 사용 사실을 알리고 산출물에 표시하는 책임, 그리고 그 결과를 업무에 적용한 책임은 서비스 사업자에게 남습니다. ‘우리는 만들지 않고 붙여 쓸 뿐’이라는 설명은 면책 사유가 되지 않습니다. 벤더 계약서에 책임 분담과 자료 제공 협조 조항이 들어 있는지부터 확인하는 편이 실무적입니다.

AI 기본법 대응을 위해 기업이 가장 먼저 해야 할 일은 무엇인가요?

사내에서 쓰이는 AI 도구를 전부 목록화하는 일, 즉 AI 자산 인벤토리 작성이 1순위입니다. 부서별로 결제해 쓰는 SaaS, 자체 개발 모델, API 연동 기능까지 한 장에 모아야 어떤 의무가 어디에 붙는지 매핑할 수 있습니다. 인벤토리 없이 고영향 판별부터 시작하면 대상이 빠진 채로 결론이 나옵니다. 목록이 완성되면 고영향 판별, 표시 규칙 표준화, 담당자 지정 순으로 이어집니다. 조직의 현재 활용 수준이 가늠되지 않는다면 AI 성숙도 자가진단으로 범위를 먼저 좁힐 수 있습니다.

마무리

규제 글을 끝까지 읽었다는 건, 이미 뭔가 걸리는 게 있다는 뜻입니다.

• 개발하지 않고 도입만 해도 이용사업자로서의 고지·표시 의무 발생
• 계도기간은 제재 유예이지 의무 유예가 아니라는 점
• 대응의 출발점은 법 해석이 아니라 사내 AI 도구 목록 한 장

오늘 할 수 있는 첫 행동은 하나입니다. 부서별로 지금 쓰는 AI 도구 이름과 용도, 결제 주체를 한 줄씩 적은 목록을 만드는 것.

한 IT 기업 마케팅팀에서 이 작업을 해보니, 팀장이 모르는 도구가 절반이었습니다. 잘 쓰는 직원과 안 쓰는 직원의 간극이 그대로 목록의 공백으로 나타난 겁니다.

다만 목록을 만들고 나면 곧바로 다음 벽이 옵니다. 표시 규칙과 사용 가이드를 만들려면 예산과 결재가 필요한데, 이 대목에서 대부분 멈춥니다. 저는 결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해봤고, 반려의 이유는 대개 필요성이 아니라 숫자와 회수 시점의 부재였습니다.

품의 단계의 전체 절차는 기업 AI 교육 도입 8단계에서, 예산 규모 감은 기업 AI 교육 비용 시뮬레이션에서 잡을 수 있습니다.

이미 한 번 반려당한 상태라면, 필요한 건 설명이 아니라 채워진 문서입니다. 320명 규모 가상 기업 시나리오로 전 칸을 채운 품의서 예시본과, ‘보안은?’ ‘내년에 하자’ 같은 반려 사유 5가지별 재상신 문구가 들어 있습니다. AI 교육 도입 서류 3종 무료로 받기 — 전 칸을 채운 품의서 완성 예시본과 반려 사유 5가지별 재상신 문구 포함 (편집용 DOCX)