한국 AI기본법 2026 시행 — 변호사가 알아야 할 핵심과 실무 영향
한줄 요약: 한국 AI기본법은 2026년 1월 22일 세계 최초의 포괄적 AI 법률로 시행됐지만, 정부가 최소 1년 이상 계도기간을 운영하기로 하면서 지금은 "처벌보다 준비"의 시기다. 고영향 AI와 생성형 AI를 다루는 기업은 위험관리·투명성 확보 의무의 실무 체계를 이 기간에 갖춰야 한다.
한국 AI기본법이란 무엇인가?
정식 명칭은 "인공지능 발전과 신뢰 기반 조성 등에 관한 기본법"이다. 이름에서 드러나듯 이 법은 두 가지 목표를 동시에 추구한다. 하나는 AI 산업 발전을 지원하는 것이고, 다른 하나는 AI에 대한 사회적 신뢰 기반을 만드는 것이다. EU AI Act처럼 위험도별로 세밀하게 금지·고위험·저위험을 나누는 촘촘한 규제 체계라기보다, 기본법 성격에 가깝게 큰 원칙과 사업자 의무를 규정하고 세부 사항은 시행령과 고시로 위임하는 구조를 취하고 있다.
법은 2026년 1월 22일부터 시행되었고, 같은 날 시행령도 함께 발효되었다. 다만 과학기술정보통신부는 기업 현장의 준비 부담을 고려해 실제 사실조사·과태료 부과와 관련해서는 최소 1년 이상의 계도기간을 두기로 했다. 즉 법 조문 자체는 살아있지만, 당장 위반 즉시 제재가 들어오는 국면은 아니다. 이 계도기간의 존재를 아는지 모르는지가 기업의 대응 속도를 크게 좌우한다.
이 법이 다루는 핵심 축은 크게 세 가지다. 첫째, "고영향 인공지능"이라는 개념을 도입해 사람의 생명·신체·기본권에 큰 영향을 줄 수 있는 AI 시스템에 별도의 의무를 부과한다. 둘째, 생성형 AI가 만든 결과물에는 AI가 생성했다는 사실을 표시하도록 하는 투명성 의무를 신설했다. 셋째, 국가 차원의 AI 안전 거버넌스를 위해 과학기술정보통신부 산하에 AI안전연구소 체계를 구축했다.
고영향 인공지능이란 어떤 AI를 말하는가?
실무자 입장에서 가장 먼저 확인해야 할 것은 "우리 회사 제품이 고영향 AI에 해당하는가"이다. 법과 시행령이 제시하는 고영향 AI는 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미칠 우려가 있는 분야에서 활용되는 AI 시스템을 가리킨다. 정부가 예시로 든 영역은 에너지, 먹는 물과 같은 국민 생활 기반 시설, 의료, 원자력, 범죄 수사, 채용, 대출 심사, 교통, 공공서비스, 교육 등이다.
이 목록을 보면 알 수 있듯 반드시 첨단 생성형 AI만을 겨냥한 것이 아니다. 오히려 채용 스크리닝 알고리즘, 신용·대출 심사 모델, 의료 진단 보조 시스템처럼 이미 여러 기업이 운영 중인 전통적 머신러닝 기반 서비스도 고영향 AI 범주에 들어갈 수 있다. 법률사무소나 기업 법무팀이 신규 AI 도입 프로젝트를 검토할 때 "생성형 AI인가 아닌가"만 따지고 끝내면 놓치는 지점이 바로 이 부분이다.
다만 구체적으로 어떤 서비스가 고영향 AI에 해당하는지는 시행령과 하위 고시, 그리고 향후 축적될 유권해석·가이드라인을 통해 계속 구체화될 것으로 보인다. 현재로서는 "생명·신체·기본권에 미치는 영향의 크기"라는 다소 추상적인 기준이 출발점이므로, 경계선에 있는 서비스는 사안별 법률 검토가 필요하다.
사업자에게 부과되는 핵심 의무는 무엇인가?
법과 시행령이 규정한 의무는 크게 투명성 확보 의무와 고영향 AI 특유의 위험관리 의무로 나눌 수 있다.
투명성 확보 의무는 두 갈래다. 하나는 사전 고지 의무로, 고영향 AI 또는 생성형 AI를 기반으로 운용되는 제품·서비스를 이용자에게 제공할 때는 그 사실을 미리 알려야 한다. 다른 하나는 생성물 표시 의무로, 생성형 AI가 만든 결과물이라는 사실을 표시해야 한다. 표시 방식은 결과물이 서비스 환경 내부에서만 소비되는지, 외부로 반출(다운로드·공유)되는지에 따라 달라진다. 서비스 내부용은 UI 안내나 로고 노출처럼 비교적 유연한 방식이 허용되지만, 외부로 반출되는 텍스트·이미지·영상 등은 사람이 인식 가능한 워터마크나 문구, 또는 메타데이터 같은 기계 판독 방식으로 표시해야 한다. 특히 실제와 구분하기 어려운 딥페이크 콘텐츠는 반드시 사람이 명확히 인지할 수 있는 방식으로 표시하도록 강화되어 있다.
고영향 AI를 서비스하는 사업자는 여기에 더해 위험관리방안 수립, 결과 도출 기준과 학습데이터에 대한 설명자료 마련, 이용자 보호 방안, 사람에 의한 관리·감독 체계(인간 개입) 구축, 안전성·신뢰성 확보 조치 관련 문서화 의무를 진다. 이런 문서는 일정 기간 보관해야 하고, 위험관리방안의 주요 내용은 사업장이나 홈페이지 등을 통해 공개하도록 하고 있다.
의무를 이행하지 않을 경우 과태료가 부과될 수 있다. 다만 앞서 언급한 대로 계도기간 동안에는 실제 사실조사·과태료 부과보다 자율 개선 유도에 방점이 찍혀 있다는 점을 함께 이해할 필요가 있다.
| 구분 | 내용 |
|---|---|
| 법률 시행일 | 2026년 1월 22일 (시행령 동시 시행) |
| 계도기간 | 과기정통부가 사실조사·과태료 부과에 대해 최소 1년 이상 유예 운영 |
| 고영향 AI 예시 영역 | 에너지, 먹는 물, 의료, 원자력, 범죄 수사, 채용, 대출 심사, 교통, 공공서비스, 교육 등 |
| 투명성 의무 | 고영향·생성형 AI 운용 사실 사전 고지 + 생성물 AI 표시(워터마크·메타데이터) |
| 고영향 AI 추가 의무 | 위험관리방안, 설명자료, 이용자 보호방안, 인간 관리·감독 체계, 문서화·공개 |
| 거버넌스 기구 | 과기정통부 산하 AI안전연구소(AISI) — 안전성 평가·연구·국제 협력 |
| 적용 대상 | 국내 이용자 대상 서비스 제공자는 해외 사업자도 포함 |
로펌·기업 실무에는 어떤 영향을 미치는가?
계약서 관점에서 보면, AI 제품·서비스를 공급하거나 도입하는 계약에서 표시 의무 이행 주체와 책임 분담을 명확히 하는 조항이 새롭게 중요해진다. 예를 들어 생성형 AI 기능을 내장한 SaaS를 재판매(화이트라벨)하는 구조라면, 최종 이용자에 대한 고지·표시 의무를 원 개발사와 재판매사 중 누가 이행할지 계약서에 못박아 두지 않으면 분쟁 소지가 남는다. 고영향 AI를 조달하는 공공기관·금융회사 계약에서도 위험관리방안·설명자료 제출을 계약 이행 조건으로 넣는 사례가 늘어날 것으로 보인다.
내부정책 관점에서는 AI 거버넌스 문서 체계를 새로 갖추거나 기존 개인정보·정보보안 정책에 AI 관련 조항을 추가하는 작업이 필요하다. 구체적으로는 우리 회사 제품이 고영향 AI에 해당하는지 판단하는 내부 체크리스트, 생성형 AI 표시 의무를 어떤 화면·어떤 방식으로 이행할지 정하는 UX 가이드, 인간 개입 체계를 문서화한 운영 매뉴얼 등이 실무에서 요구되는 산출물이다.
컴플라이언스 관점에서는 계도기간이라는 시간을 어떻게 쓰느냐가 관건이다. 지금 당장 과태료 위험은 낮지만, 계도기간이 끝나는 시점에는 준비된 기업과 그렇지 않은 기업의 격차가 뚜렷하게 드러날 것이다. 특히 해외 사업자도 국내 이용자에게 서비스를 제공하면 적용 대상이 된다는 점에서, 국내 진출 중인 글로벌 AI 서비스도 예외가 아니라는 사실을 법무팀이 놓치지 않아야 한다.
이런 대응 문서(내부정책 초안, 위험관리방안 골격, 이용자 고지문 초안 등)를 처음부터 백지에서 작성하려면 시간이 많이 든다. AI기본법 대응 문서 초안은 MeshLaw로 빠르게 잡아본 뒤, 법령 해석과 최종 판단은 담당 변호사가 검토하는 방식이 실무적으로 안전하다. 초안 작성 속도를 높이는 것과, 법적 정확성을 담보하는 것은 별개의 문제이기 때문이다.
다른 나라 AI 규제와 비교하면 어떤 특징이 있는가?
EU AI Act가 위험도(금지·고위험·제한위험·최소위험)를 촘촘하게 나누고 방대한 부속서로 구체적 요건을 규정하는 방식이라면, 한국 AI기본법은 상대적으로 간결한 기본법 형태에 "고영향 AI"라는 단일 상위 개념을 두고 세부는 시행령·고시에 위임하는 구조다. 미국은 연방 차원의 포괄 입법이 없는 대신 주(state)별로 개별 법률이 산발적으로 만들어지는 파편화된 양상을 보이고, 중국은 생성형 AI 서비스에 대한 알고리즘 등록·안전평가 중심의 사전 통제형 규제를 운영하고 있다.
이런 맥락에서 한국 AI기본법은 "포괄적 기본법을 세계에서 처음으로 전면 시행한 사례"로 자주 언급된다. 다만 조문이 원칙 중심이고 세부 기준이 시행령·고시·가이드라인으로 계속 보완되는 단계이기 때문에, 실무자 입장에서는 법 시행 이후에도 한동안 해석과 적용례가 유동적일 수 있다는 점을 염두에 두어야 한다. 국가별 규제 지형을 한눈에 비교하고 싶다면 시리즈의 다른 글들을 참고하는 것이 도움이 된다.
자주 묻는 질문
고영향 AI에 해당하는지 애매할 때는 어떻게 판단하나요?
법과 시행령이 제시하는 영역 목록(의료, 채용, 대출 심사 등)을 1차 기준으로 삼되, 서비스의 실제 활용 방식과 결과가 이용자에게 미치는 영향의 크기를 함께 검토해야 합니다. 경계선에 있는 서비스는 개별 법률 자문을 받는 것이 안전합니다.
생성형 AI 표시 의무는 모든 결과물에 다 적용되나요?
서비스 내부에서만 소비되는 결과물과 외부로 반출되는 결과물의 표시 방식이 다르게 규정되어 있습니다. 외부 반출 시에는 사람이 인식 가능한 워터마크나 메타데이터 방식의 표시가 요구되는 경우가 많습니다.
지금 당장 과태료를 걱정해야 하나요?
과기정통부가 최소 1년 이상 계도기간을 운영하기로 했기 때문에 즉각적인 제재 위험은 낮은 편입니다. 다만 계도기간은 준비 시간이지 면제가 아니므로 그 사이 체계를 갖추는 것이 바람직합니다.
해외 기업도 이 법의 적용을 받나요?
국내 이용자를 대상으로 AI 제품·서비스를 제공하는 경우라면 해외 사업자도 적용 대상에 포함될 수 있습니다. 국내 진출 여부와 무관하게 서비스 제공 대상 기준으로 판단합니다.
기존에 운영 중이던 AI 서비스도 소급 적용되나요?
법 시행 이후 계속 운영되는 서비스라면 신규·기존을 가리지 않고 해당 의무의 적용 대상이 될 수 있습니다. 기존 서비스일수록 계도기간 중 점검이 더 시급할 수 있습니다.
중소기업이나 스타트업에도 동일한 수준의 의무가 적용되나요?
기본 의무 구조는 동일하게 적용되지만, 실제 이행 부담과 세부 기준은 기업 규모나 서비스 특성에 따라 시행령·고시, 향후 가이드라인에서 조정될 여지가 있습니다. 최신 고시와 가이드라인을 계속 확인해야 합니다.
AI안전연구소는 어떤 역할을 하나요?
과학기술정보통신부 산하 조직으로 AI 안전성 평가와 연구, 주요국 AI안전연구소와의 국제 협력을 담당합니다. 고영향 AI의 위험 평가 기준이나 실무 가이드라인 정비에도 관여할 것으로 예상됩니다.
사내 챗봇처럼 내부용으로만 쓰는 AI도 규제 대상인가요?
이용자에게 직접 제공되는 제품·서비스가 아니라 순수 내부 업무용으로만 쓰이는 경우 적용 범위가 달라질 수 있습니다. 다만 내부용이라도 고영향 분야(예: 인사 평가)에 해당하면 검토가 필요합니다.
워터마킹을 기술적으로 적용하기 어려운 경우는 어떻게 하나요?
시행령은 가시적 워터마크 외에도 문구·음성 안내, 메타데이터 삽입 등 기술적·현실적 여건을 고려한 대안적 방식을 허용하고 있습니다. 서비스 형태에 맞는 방식을 선택해 문서화해두는 것이 중요합니다.
위험관리방안은 어떤 내용을 담아야 하나요?
일반적으로 위험 식별·평가 절차, 결과 도출 기준과 학습데이터에 대한 설명자료, 이용자 보호 방안, 사람에 의한 관리·감독 체계, 안전성·신뢰성 확보 조치의 근거 문서 등이 포함되는 것으로 안내되고 있습니다. 세부 양식은 하위 고시·가이드라인을 확인해야 합니다.
이 법의 소관 부처는 어디인가요?
과학기술정보통신부가 주무 부처로서 시행령 제정과 AI안전연구소 운영 등을 담당하고 있습니다.
이 글은 법률 자문인가요?
아닙니다. 이 글은 일반 정보 제공을 목적으로 하며, 개별 사안에 대한 판단은 반드시 변호사 상담을 통해 확인해야 합니다. 조문 해석과 적용 여부는 사안마다 달라질 수 있습니다.
계도기간이 끝나면 무엇이 달라지나요?
계도기간 종료 이후에는 사실조사와 과태료 부과가 본격화될 가능성이 높습니다. 그 전에 위험관리방안과 표시 체계를 갖춰두는 것이 안전한 접근입니다.
결론
한국 AI기본법은 2026년 1월 22일 시행되었지만, 실질적인 제재는 최소 1년 이상의 계도기간 이후로 미뤄져 있다. 이 말은 지금이 "법이 아직 안 왔다"가 아니라 "법은 왔고 준비할 시간이 주어졌다"는 뜻이다. 고영향 AI 해당 여부 판단, 생성형 AI 표시 체계 구축, 위험관리방안 문서화는 계도기간이 끝나기 전에 갖춰야 할 세 가지 축이다. 세부 기준은 앞으로도 시행령·고시·가이드라인을 통해 계속 구체화될 것이므로, 로펌과 기업 법무팀 모두 이 흐름을 주기적으로 점검할 필요가 있다.