고영향 AI 사업자 의무 판정표: 우리 회사 해당 여부를 10분 안에 확인하는 법

법무팀에서 메일이 하나 왔다.

“우리 회사가 고영향 인공지능사업자에 해당하는지 확인 부탁드립니다.” 첨부 파일은 조문 40쪽. 읽어도 우리 서비스가 여기 해당하는지 판단이 서지 않는다. 담당자 이름이 적힌 회신 요청일은 이번 주 금요일이다. 이 메일에 답하려면 결국 고영향 AI 사업자 의무의 시작점, 즉 ‘해당 여부 판정’부터 끝내야 합니다.

이 글을 처음부터 끝까지 읽지 않아도 됩니다. 판정표와 문서 세트만 바로 손에 쥐고 싶다면 실무 자료실의 AI 거버넌스 템플릿에서 체크리스트 파일부터 받아 두면 됩니다.

핵심 요약

• 고영향 AI 사업자 의무의 출발점은 ‘가~바 목 영역 해당 + 인간의 생명·신체·기본권에 중대한 영향’ 두 축 판정(AI기본법 2026년 1월 22일 시행)
• 제34조가 부과하는 6대 책무 — 위험관리방안 수립, 설명 방안 마련, 이용자 보호방안, 사람의 관리·감독, 문서 작성·보관
• 다른 법령상 유사 조치를 이미 이행한 경우 제34조 제3항에 따른 중복 의무 조정 가능성, 기존 규제 대응 문서 매핑이 최단 경로
• EU AI Act 고위험 의무와의 항목별 대조를 통한 글로벌 문서 세트 일괄 설계

실무자가 막히는 지점은 조문 해석이 아닙니다. “우리 챗봇이 채용에 쓰이면 고영향인가, 아니면 단순 안내인가” 같은 경계선 질문입니다. 기존 해설 글들은 조문을 그대로 옮겨 적고 끝나서, 고영향 AI 사업자 의무가 우리 회사에 걸리는지 아닌지를 답해주지 못합니다.

그래서 이 글은 순서를 바꿨습니다. 가~바 목 판정 → 제34조 6대 의무 이행 → 위반 시 제재 리스크 계산까지를 하나의 표로 연결했습니다. 다 읽고 나면 “우리는 해당/비해당”이라고 회신할 수 있게 됩니다.

근거는 과학기술정보통신부의 고영향 인공지능 가이드라인과 시행령 체계, 그리고 EU AI Act·캘리포니아 SB 53 등 해외 규제의 의무 구조를 항목별로 대조한 결과입니다. 산업 전반의 도입 순서가 궁금하다면 규제산업 AI 도입 완벽 가이드: 금융·의료·제약 실무자를 위한 2026 로드맵을 먼저 훑고 오는 편이 이해가 빠릅니다.

결재하는 쪽에 앉아 품의서를 승인하고 반려해본 입장에서 보면, 이 질문에 대한 답은 길 필요가 없습니다. 한 장이면 됩니다.

왜 ‘우리 회사가 해당되는가’부터 확인해야 할까요?

AI 도입 회의가 멈추는 지점은 대체로 같습니다. “그런데 우리도 규제 대상인가요?”

이 질문에 아무도 답을 못 하면 그다음 논의가 전부 공중에 뜹니다. 예산도, 일정도, 담당자 배정도 정할 수 없기 때문입니다.

고영향 AI 사업자 의무는 해당 여부가 확정되어야 비로소 범위가 나옵니다. 해당하면 위험관리방안 수립부터 설명 가능성 확보, 기록 보관까지 최소 반년치 일이 생기고, 해당하지 않으면 투명성 의무 정도로 정리됩니다. 같은 서비스인데 판정 하나로 준비 비용이 몇 배 차이 납니다.

시행일은 2026년 1월 22일입니다. 남은 시간은 판정에 쓰는 게 아니라 이행에 써야 합니다.

그래서 이 글은 순서를 지킵니다. 고영향 AI 해당 여부 판정표 → 제34조 6대 의무 → 의무별 이행 로드맵 → 위반 시 제재와 책임보험까지, 실무자가 앉은 자리에서 따라올 수 있게 배치했습니다.

AI 기본법 사업자 의무의 전체 지형도나 금융·의료·제약별 도입 절차 자체가 궁금하다면 규제산업 AI 도입 가이드를 먼저 보는 편이 빠릅니다. 이 글은 그중 ‘고영향’ 판정 한 지점만 깊게 팝니다.

고영향 인공지능이란 정확히 무엇을 말하나요?

법 조문을 읽어봤는데 우리 서비스가 거기 들어가는지 여전히 모르겠다는 말, 자주 듣습니다. 조문이 불친절해서가 아니라 판단 구조가 두 겹이라서 그렇습니다.

법 조문이 말하는 ‘중대한 영향’의 두 가지 축

AI기본법은 고영향 인공지능을 이렇게 정의합니다. 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 영역에서 활용되는 인공지능.

여기서 축이 둘입니다. 하나는 어느 영역에서 쓰이는가이고, 다른 하나는 그 쓰임이 실제로 중대한 영향을 미치는가입니다.

이 둘을 한 덩어리로 읽으면 판정이 안 됩니다. 영역은 법이 열거로 정해뒀고, 영향도는 개별 서비스마다 따져야 하기 때문입니다.

가~바 목 영역, 우리 업무 언어로 바꾸면

법은 열거 영역을 개별 법률 이름으로 지목합니다. 에너지법상 에너지 공급, 먹는물관리법상 먹는물 생산·공급, 보건의료기본법상 보건의료 서비스가 대표적입니다.

의료 쪽은 더 촘촘합니다. 의료기기법과 디지털의료제품법에 따른 의료기기·디지털의료기기 개발과 이용이 별도로 들어가 있습니다.

원자력시설 등의 방호 및 방사능 방재 대책법에 따른 핵물질·원자력시설 안전관리, 그리고 범죄 수사나 체포 목적의 생체인식 정보 분석·활용도 열거 대상입니다. 채용·대출 심사·교통 같은 생활 밀착 영역 역시 시행령 논의 과정에서 계속 오르내렸습니다.

논쟁적인 이유는 단순합니다. 채용 AI 하나만 봐도 서류 자동 탈락에 쓰이는 경우와 지원자 데이터 정리에만 쓰이는 경우의 무게가 전혀 다릅니다.

그래서 실무에서 가장 많이 틀리는 지점이 여기입니다. ‘우리는 보건의료 영역이니 무조건 고영향’도, ‘우리는 사내 도구니 무조건 비해당’도 둘 다 틀린 판정입니다. 영역에 속하는 것과 고영향에 해당하는 것은 별개의 판단입니다.

세부 기준은 과기정통부 고시와 고영향 인공지능 해설 가이드라인에서 구체화되고 있습니다. 다만 회색지대가 남아 있다는 사실은 지금도 그대로입니다. 업종별로 규제 강도가 어떻게 갈리는지는 산업별 AI 규제 비교에서 따로 다뤘습니다.

10분 판정표: 우리 서비스는 고영향 AI에 해당할까요?

정의를 읽었으니 이제 우리 서비스에 대봐야 합니다. 회의실에서 10분이면 됩니다.

1단계: 영역 판정 6문항

하나라도 Yes면 2단계로 넘어갑니다. 전부 No면 영역 밖입니다.

• 에너지법상 에너지 공급·수요관리 판단에 이 AI가 관여하는가
• 먹는물관리법상 먹는물 생산·공급 공정의 판단에 쓰이는가
• 보건의료기본법상 보건의료 서비스 제공 과정에 관여하는가
• 의료기기법·디지털의료제품법 적용 대상 제품의 개발·이용에 쓰이는가
• 원자력시설 안전관리나 핵물질 방호 판단에 관여하는가
• 범죄 수사·체포 목적의 생체인식 정보 분석에 쓰이는가

2단계: 영향도 판정 6문항과 결과 해석

• AI 출력이 사람의 재검토 없이 그대로 결정이 되는가
• 그 결정이 특정 개인에게 불이익(거절·배제·제한)을 줄 수 있는가
• 영향받는 사람이 결정을 거부하거나 다른 경로를 택할 수 없는가
• 오작동 시 신체 안전이나 건강에 직접 영향이 가는가
• 민감정보나 생체정보를 학습·추론에 쓰는가
• 영향 범위가 특정 소수가 아니라 불특정 다수인가

해석은 셋으로 나뉩니다. 1단계 Yes가 있고 2단계 Yes가 3개 이상이면 해당 확실, 2단계 Yes가 1~2개면 회색지대, 1단계가 전부 No면 비해당입니다.

회색지대가 가장 곤란한 자리인데, 방향은 정해져 있습니다. 판정 근거를 문서로 남기고, 과기정통부 고시 확정본을 확인하고, 그동안은 보수적으로 준수하는 쪽입니다. 나중에 비해당으로 정리되면 준비한 문서가 그대로 내부 거버넌스 자산이 됩니다.

여기서 놓치기 쉬운 게 하나 있습니다. 판정 자체를 기록으로 남기는 일입니다.

인공지능사업자에게는 기록 보관 의무가 따라붙습니다. 판정 회의록에 날짜, 참석자, 12문항 답변, 근거 조문, 결론을 남겨두면 그 자체가 첫 번째 증빙이 됩니다. 품의서 배경란에 이 결론을 한 줄로 옮겨두면 결재 라인에서 되묻는 일이 줄어듭니다.

결재하는 쪽에 앉아 품의서를 승인하고 반려해본 입장에서 말하면, 반려의 상당수는 내용이 부실해서가 아니라 판단 근거가 안 보여서 생깁니다. “검토 결과 비해당”보다 “1단계 6문항 전부 No, 근거는 제2조 제4호”가 훨씬 빨리 통과됩니다.

문항을 더 세분화한 배점형 진단과 AI 영향평가 양식은 고영향 AI 리스크 평가 글에 정리해뒀습니다. 판정 이후 사내 절차로 넘어가는 순서는 AI 기본법 기업 대응 쪽이 맞습니다.

해당된다면 무엇을 해야 하나요? 제34조 6대 책무 해설

“해당된다”는 결론이 나오면 그다음 질문은 하나입니다. 그래서 뭘 만들어야 하나.

AI 기본법 제34조(고영향 인공지능과 관련한 사업자의 책무)는 이 질문에 비교적 친절한 편입니다. 조문이 방안 수립·운영, 사람의 감독, 문서 작성·보관이라는 세 덩어리로 나뉘어 있기 때문입니다.

다만 조문의 언어와 실무의 언어가 다릅니다. “이용자 보호 방안을 마련한다”는 문장을 받아들고 무엇부터 손대야 할지 막막해지는 지점이 여기입니다.

위험관리방안·설명방안·이용자보호방안

위험관리방안은 한 번 쓰고 캐비닛에 넣는 문서가 아닙니다. 식별 → 평가 → 완화 → 모니터링이 돌아가는 사이클로 설계해야 합니다.

식별은 우리 모델이 누구에게 어떤 불이익을 줄 수 있는지 목록으로 적는 일입니다. 평가는 그 불이익의 심각도와 발생 가능성을 등급화하는 일이고요. 완화는 임계값 조정·사람 검토 삽입 같은 구체적 조치를 붙이는 단계입니다.

설명방안은 결과 도출 기준과 학습 데이터 개요를 이용자가 알아들을 수준으로 전달하는 장치입니다. 모델 내부 가중치를 공개하라는 뜻이 아닙니다. “어떤 요소를 무슨 비중으로 봤는가”를 말로 풀 수 있으면 설명 가능성은 확보된 것으로 봅니다.

이용자 보호 방안에는 편향성 제거 절차와 고충 처리 채널이 함께 들어갑니다. 이의를 제기할 창구가 없으면 나머지 문서가 아무리 두꺼워도 실효성 심사에서 약해집니다.

사람의 관리·감독과 문서 작성·보관

사람의 관리·감독은 흔히 말하는 휴먼 인 더 루프입니다. 핵심은 “사람이 본다”가 아니라 “누가, 어느 단계에서, 무엇을 뒤집을 권한이 있는가”입니다.

감독자가 모델 결과를 거부할 권한이 문서로 없으면, 그 감독은 형식적 절차로 읽힙니다. 권한 규정에 승인·보류·기각 세 가지 행위를 명시해두는 편이 안전합니다.

문서 작성·보관은 안전성·신뢰성 확보 조치를 실제로 했다는 증빙을 남기는 의무입니다. 버전·작성일·승인자가 추적되는 형태여야 의미가 있습니다. 구체적인 평가 절차와 양식은 고영향 AI 리스크 평가에서 단계별로 다뤘습니다.

제34조 제3항도 놓치기 쉽습니다. 다른 법령에 따라 유사한 조치를 이미 이행한 경우 그 범위에서 의무가 조정될 수 있다는 취지의 규정입니다. 의료기기법이나 개인정보 보호 체계로 이미 갖춘 게 있다면, 처음부터 다시 만들 필요가 없다는 뜻입니다.

여기까지 읽고 “우리 조직은 지금 어느 단계지?”가 궁금하다면 — 17문항 5분 정밀 진단으로 AMI 점수, 8차원 중 어디가 병목인지, 90일 로드맵이 담긴 리포트가 바로 메일로 옵니다. 품의서에 그대로 첨부할 수 있는 형식입니다. 무료 진단 시작하기 →

각 의무를 실제로 어떤 문서와 프로세스로 증명하나요?

조문을 다 읽어도 남는 불안이 있습니다. “그래서 감사 나오면 뭘 보여주나.”

이 질문에 답이 안 되면 준비가 끝나지 않습니다. 의무를 산출물로 바꿔놓는 작업이 필요한 이유입니다.

의무별 산출물 매핑표

의무	산출물	최소 포함 항목	주관 부서
위험관리방안	AI 위험관리 정책서	위험 목록, 등급 기준, 완화 조치, 재평가 주기	정보보호·법무
설명방안	모델 카드	용도, 학습 데이터 개요, 성능 한계, 판단 요소	개발·데이터
설명 고지	이용자 설명 고지문	결과 도출 기준 요약, 이의 제기 방법	현업·법무
이용자 보호	안내 UI·고충 처리 절차서	표시 문구, 접수 채널, 처리 기한, 회신 양식	현업·CS
사람의 감독	감독자 권한 규정	개입 지점, 승인·보류·기각 권한, 대리 지정	현업·인사
문서 보관	로그·기록 보관 정책	보관 대상, 기간, 접근 권한, 폐기 절차	정보보호

이미 있는 문서를 재활용하는 법

여섯 개를 전부 새로 만드는 조직은 드뭅니다. 대부분 절반은 이미 갖고 있습니다.

ISO/IEC 42001 인증을 준비했다면 위험관리 정책서의 뼈대가 그대로 옮겨집니다. 개인정보 영향평가 보고서는 이용자 보호 방안의 상당 부분을 채우고, 의료기기 허가 자료의 성능 한계 기술은 모델 카드로 이어집니다.

기존 문서에 “이 항목이 제34조 몇 호에 대응한다”는 대응표 한 장을 붙이는 방식이 가장 빠릅니다. 중복 작업이 줄고 감사 대응 동선도 짧아집니다.

AI 투명성 의무와의 관계도 정리해두면 좋습니다. 생성형 AI 표시·고지는 고영향 해당 여부와 무관하게 별도로 적용되는 축입니다. 고영향 의무를 이행한다고 투명성 표시가 면제되지 않습니다.

마지막 한 칸이 교육 기록입니다. 감독자가 권한을 행사할 역량을 갖췄다는 증빙은 결국 교육·훈련 이력에서 나옵니다. 커리큘럼과 증빙 설계는 규제산업 AI 사내교육 설계에서 직무별로 풀어뒀습니다.

한 제약사 사업부에서는 강의 요청부터 결이 달랐습니다. ‘민감정보를 AI에 넣지 말라는 당부로 시작해달라’는 것 — 제약사다운 첫 문장이었습니다. 이미 부서용 앱까지 만들어 쓰는 팀이었는데도, 다음 고민은 도구가 아니라 출처를 어떻게 믿게 만들 것인가였습니다. 제34조가 요구하는 설명방안이 바로 그 고민의 법적 이름입니다.

지키지 않으면 실제로 무슨 일이 생기나요? 제재와 책임보험

경영진 보고에서 가장 먼저 나오는 질문은 정해져 있습니다. “안 하면 얼마 물어야 하나요.”

과태료 액수만 보면 대응 의지가 꺾입니다. 실제 리스크는 다른 데 있습니다.

감독 절차는 사실조사 → 자료 제출 요구 → 시정명령 → 미이행 시 과태료라는 계단 구조입니다. 과기정통부가 조사 권한을 갖고, 시정명령을 따르지 않을 때 금전 제재가 붙습니다. 조문 구조와 해설은 AI 기본법 시행과 그 시사점과 고영향 인공지능 가이드라인 해설에서 확인할 수 있습니다.

진짜 타격은 그다음입니다. 시정명령 기간 중 서비스가 멈추면 매출이 직접 깎입니다. 공공 조달·입찰에서는 제재 이력이 감점 요소가 되고, B2B 계약서의 법령 준수 조항은 해지 사유로 작동합니다.

책임보험이 여기서 의미를 갖습니다. 배상 재원 확보 자체보다, 계약 협상에서 “가입 증서 제출”을 요구받을 때 대응할 수 있다는 점이 큽니다. 미가입 상태로 분쟁에 들어가면 과실 판단에서 불리하게 읽히기도 합니다.

경영진 설득은 세 개의 숫자로 하면 됩니다. 서비스 중단 1개월 시 예상 매출 손실, 해당 서비스가 걸린 계약 잔여 금액, 준수 체계 구축에 드는 1년 비용. 앞의 둘을 더한 값과 셋째를 나란히 놓으면 결재가 훨씬 빨리 납니다.

결재하는 쪽에 앉아 품의서를 승인하고 반려해본 입장에서 보면, 반려되는 안건은 대개 위험을 설명하지 못한 게 아니라 금액으로 바꾸지 못한 경우였습니다. 검토 순서를 통째로 잡고 싶다면 AI 도입 컴플라이언스 검토 7단계를, 법 전체 프레임은 AI 기본법 기업 대응 쪽을 함께 보면 빈칸이 줄어듭니다.

EU AI Act·미국 규제와 비교하면 무엇이 다른가요?

“유럽 대응 문서를 이미 만들었는데, 한국 것도 따로 만들어야 하나요?”

글로벌 서비스를 운영하는 팀에서 가장 먼저 나오는 질문입니다. 결론부터 말하면 문서를 두 벌 만들 필요는 없습니다. 항목은 대부분 겹치고, 갈리는 지점은 ‘누가 검증하느냐’입니다.

한국 제34조 vs EU AI Act 고위험 의무 비교표

항목	한국 AI기본법 제34조	EU AI Act(고위험 AI)
위험관리	위험관리방안 수립·운영	전 생애주기 위험관리 시스템 의무
데이터 거버넌스	편향 제거 등 이용자 보호 방안에 포함	학습·검증 데이터 품질 요건 명문화
기술문서	안전성·신뢰성 확보 조치 문서 작성·보관	기술문서 작성 및 상시 최신화
로깅	보관 의무로 간접 규율	자동 로그 기록 의무
투명성	설명방안 마련, 생성형 AI 표시·고지	이용자 정보제공 + 표시 의무
인간 감독	사람의 관리·감독 방안	휴먼 오버사이트 설계 의무
적합성 평가	사전 인증 없음, 사업자 자율 이행	적합성 평가 후 CE 마킹
제재	시정명령·과태료 중심	글로벌 매출 연동 고액 과징금

핵심 차이는 마지막 두 줄입니다. EU는 시장에 내놓기 전 제3자 또는 자체 적합성 평가를 거쳐 CE 마킹을 붙여야 합니다. 한국은 사업자가 스스로 이행하고, 문제가 생겼을 때 증빙으로 소명하는 구조입니다.

순서가 반대라는 뜻이죠. 그래서 한국에서는 평소의 기록이 곧 허가서 역할을 합니다.

미국 연방·주 단위 동향에서 읽을 신호

EU는 Digital Omnibus package 논의로 고위험 AI 관련 적용 일정을 늦추는 방향이 거론되고 있습니다. 일정이 밀린다고 준비를 미루면, 밀린 만큼 한꺼번에 몰립니다.

미국은 연방 단일법 대신 주 단위로 움직입니다. 캘리포니아 SB 53은 대형 모델 개발사에 안전 프레임 공개와 중대 사고 보고를 요구하는 방향입니다. 투명성과 사고 보고가 공통 언어가 되고 있다는 신호입니다.

그래서 우선순위는 이렇게 잡는 편이 낫습니다. 위험관리·기술문서·로깅을 한 세트로 먼저 만들고, 지역별로 표지(적합성 선언, 설명 고지문)만 갈아 끼우는 방식입니다. 업종별로 어디까지 규제받는지는 산업별 AI 규제 비교에서 더 자세히 정리했습니다.

한 IT 기업 마케팅 조직에서 들은 고민이 떠오릅니다. 어디까지 외주에 맡기고 어디부터 내부에서 할지 경계가 흐려졌다는 것. 인공지능 규제 비교도 같습니다. 공통 문서는 내부에, 지역 특수 요건은 현지 자문에 두는 경계가 필요합니다.

2026년 1월 22일까지, 언제 무엇을 준비해야 하나요?

달력을 열면 마음이 급해집니다. 남은 기간에 다 못 할 것 같다는 감각, 대부분 사실이 아닙니다.

판정이 끝났다면 실제로 손댈 것은 그리 많지 않습니다. 순서만 어긋나지 않으면 됩니다.

D-90 / D-60 / D-30 체크포인트

1. D-90 · 판정과 목록화 — 운영 중인 AI 서비스를 전부 적어 앞의 판정표를 돌립니다. 해당·회색지대·비해당 세 칸으로 분류한 목록 하나면 충분합니다.
2. D-75 · 갭 분석 — 해당 서비스별로 6대 책무 중 없는 산출물을 표시합니다. 이미 있는 개인정보 영향평가서나 품질 문서를 먼저 매핑하면 신규 작성 분량이 줄어듭니다.
3. D-60 · 문서화 — 위험관리방안과 설명 고지문 초안을 만듭니다. 법무 검토는 이 단계에서 한 번에 받는 편이 빠릅니다.
4. D-30 · 교육과 내부 감사 — 감독자·현업 대상 교육을 돌리고, 기록이 실제로 남는지 샘플로 확인합니다. 교육 이수 기록 자체가 증빙이 됩니다.
5. D-7 · 책임보험과 고지 점검 — 가입 여부, 생성형 AI 표시 문구, 고충 처리 채널 연결을 최종 확인합니다.

시행령·고시·가이드라인 확인 루틴

시행일 2026년 1월 22일 기준으로 AI기본법 시행령과 과기정통부 고시는 계속 다듬어지고 있습니다. 확인처는 과기정통부 보도자료와 입법예고 페이지, 두 곳으로 좁히면 됩니다. 고영향 인공지능 가이드라인 해설 같은 로펌 뉴스레터는 변경점 요약용으로 유용합니다.

회색지대로 분류한 서비스는 고시 개정이 있을 때, 그리고 기능이 바뀔 때 재판정합니다. 분기 1회 정기 점검을 얹으면 놓치는 일이 줄어듭니다.

신규 도입 건은 기획 단계 품의서에 판정 결과 한 줄을 넣는 게 가장 값쌉니다. 결재하는 쪽에 앉아 품의서를 승인하고 반려해본 입장에서 말하면, 나중에 붙인 검토는 거의 읽히지 않습니다.

운영 체계는 담당자 한 명으로 굴러가지 않습니다. 현업이 판정하고 법무가 확인하고 정보보호가 기록을 보관하는, 최소 세 역할이면 돌아갑니다. 시행 전 준비 항목 전반은 AI 기본법 기업 대응 글에, 검토 순서는 AI 도입 컴플라이언스 검토에 정리해뒀습니다.

자주 묻는 질문

여기까지 읽고도 “그래서 우리는요?”가 남습니다. 실무자들이 반복해서 묻는 다섯 가지를 정리했습니다.

우리 회사가 고영향 인공지능사업자에 해당하는지 어떻게 판단하나요?

2단계로 봅니다. 먼저 AI기본법이 열거한 가~바 목 영역(에너지법, 먹는물관리법, 보건의료기본법, 의료기기법·디지털의료제품법, 원자력시설 등의 방호 및 방사능 방재 대책법 관련 영역, 범죄수사 등)에 서비스가 걸리는지 확인합니다.

영역에 걸렸다면 그다음은 영향도입니다. 사람의 생명·신체 안전이나 기본권에 중대한 영향을 미치는지, 판단이 자동화돼 개인에게 불이익이 갈 수 있는지를 봅니다. 둘 다 예면 해당, 하나만 예면 회색지대입니다.

회색지대는 판정 근거를 문서로 남기고 시행령·고시가 확정될 때 재판정하는 게 안전합니다. 판정 절차 자체는 고영향 AI 리스크 평가 글의 자가진단 양식과 함께 돌리면 한 번에 끝납니다.

AI기본법 제34조를 위반하면 어떤 제재를 받나요?

핵심은 과기정통부의 사실조사와 시정명령, 그리고 명령 미이행 시 부과되는 과태료입니다. 형사처벌형 제재가 아니라 행정 감독 중심 구조라는 뜻입니다.

다만 금액보다 무서운 건 간접 리스크입니다. 시정명령을 받은 사실이 공공 조달 자격, 대기업 벤더 심사, 계약서의 법령 준수 조항에 그대로 걸립니다.

서비스를 멈추고 문서를 다시 만드는 비용이 과태료보다 큰 경우가 대부분입니다. 경영진 보고서에는 과태료 금액이 아니라 이 중단 비용을 적는 편이 설득력이 있습니다.

AI기본법과 EU AI Act의 고위험 규제는 무엇이 다른가요?

구조가 다릅니다. EU AI Act는 시장 출시 전 적합성 평가와 CE 마킹을 요구하는 사전 허가형에 가깝고, 한국 AI기본법은 사업자가 책무를 이행하고 그 근거를 문서로 남기는 사후 확인형에 가깝습니다.

제재 수준도 차이가 큽니다. EU는 전 세계 매출 기준 과징금을 두지만 한국은 시정명령 중심입니다.

그래서 EU 수출·서비스가 있는 회사는 EU 기준으로 문서를 만들고 한국 요건을 그 안에 매핑하는 순서가 효율적입니다. 항목별 차이는 산업별 AI 규제 비교에서 업종 단위로 더 좁혀 볼 수 있습니다.

다른 법령에 따라 이미 유사한 조치를 했다면 AI기본법 의무도 면제되나요?

자동 면제는 아닙니다. 제34조 제3항은 다른 법령에 따라 같은 취지의 조치를 이행한 경우 중복을 조정할 수 있도록 열어두고 있을 뿐입니다.

전제는 입증입니다. 의료기기 허가 자료나 개인정보 영향평가 결과가 위험관리방안·설명방안의 어느 항목을 어디까지 충족하는지 표로 대응시켜 두어야 합니다.

이 매핑표가 없으면 감독기관 앞에서는 “안 했다”와 구분되지 않습니다. 조문 해석의 세부는 법무법인의 고영향 인공지능 가이드라인 해설도 함께 참고할 만합니다.

고영향 AI가 아니어도 지켜야 할 의무가 있나요?

있습니다. 생성형 AI 산출물 표시·고지 같은 AI 투명성 의무는 고영향 해당 여부와 무관하게 적용됩니다.

사내 문서 초안, 마케팅 카피, 고객 응대 문구를 생성형 AI로 만드는 회사라면 고영향 판정이 ‘비해당’으로 나와도 할 일이 남는다는 뜻입니다.

표시 문구와 내부 검수 절차는 사규 한 줄로 끝나지 않습니다. AI 기본법 기업 대응 체크리스트에서 투명성 의무 항목만 따로 뽑아 쓰는 편이 빠릅니다.

마무리

• 고영향 여부는 영역 해당과 영향도, 두 단계 판정의 결과물
• 제34조 6대 책무의 실체는 선언이 아니라 산출물 여섯 묶음
• 회색지대의 정답은 ‘보류’가 아니라 ‘문서화 후 재판정’

오늘 할 수 있는 건 하나입니다. 운영 중이거나 도입 검토 중인 AI 서비스 목록을 한 장에 적고, 각 줄 옆에 판정표 결과와 판정 근거 한 문장을 붙이는 것.

이 표만 있어도 회의가 달라집니다. “우리 규제 대상인가요”라는 질문이 “이 줄은 왜 회색인가요”로 바뀌기 때문입니다.

그런데 여기서 대부분 한 번 더 막힙니다. 판정은 끝났는데, 그다음에 필요한 예산과 교육을 결재로 통과시키는 일이 남습니다.

결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해본 입장에서 말하면, 반려 사유는 대개 내용이 아니라 숫자와 회수 시점의 부재였습니다. 규제 대응이라는 말만으로는 다음 칸이 채워지지 않습니다.

이미 한 번 반려당했거나, 초안의 빈칸 앞에서 멈춰 있다면 채워진 문서가 필요합니다. 가상 기업 ‘한결식품’ 시나리오로 전 칸을 채운 품의서 완성 예시본과, ‘내년에 하자’·’무료로 배우면 되잖나’ 같은 반려 사유 5가지별 재상신 문구가 함께 들어 있습니다. AI 교육 도입 서류 3종 무료로 받기 — 전 칸을 채운 품의서 완성 예시본과 반려 사유 5가지별 재상신 문구 포함 (편집용 DOCX)

판정 이후의 전체 도입 절차, 그러니까 파일럿부터 벤더 계약과 사내 감사까지의 순서는 규제산업 AI 도입 완벽 가이드: 금융·의료·제약 실무자를 위한 2026 로드맵에서 이어 보면 됩니다.

이 내용을 우리 회사 상황에 맞춰 이야기하고 싶다면 — 문의를 남겨 주세요. 24시간 안에 대표가 직접 답하고, 문의하신 분께는 전자책 《우리 회사 AI는 왜 2단계에서 멈췄을까》를 무료로 드립니다. 먼저 보고 결정하고 싶다면 다음 무료 라이브 특강을 예약해 두세요. 날짜가 잡히면 가장 먼저 알려드립니다.