「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 2026년 1월 22일 시행됐다. 그해 7월 21일에는 개정법의 남은 조항과 개정 시행령이 함께 시행되면서 공공조달 쪽 제도가 얹혔는데, 두 날짜는 서로 다른 사건이다 — 이 글이 다루는 ‘우리가 대상인가’ 판단은 1월 22일부터 이미 적용되고 있다. 시행 이후 받은 질문의 8할은 같은 문장으로 시작한다. “우리도 해당되나요?”
이 질문에 조문을 펴서 답하면 대개 실패한다. 조문은 규율 대상을 기준으로 쓰여 있고, 조직은 자기가 무엇을 하고 있는지를 그 언어로 정리해 본 적이 없기 때문이다. 그래서 이 글은 순서를 바꿔서, 조직이 실제로 밟게 되는 순서로 정리했다.
먼저 분명히 해 둘 것: 이 글은 법률 자문이 아니다. 나는 변호사가 아니고 여기 적은 건 AX 도입을 설계하는 쪽에서 본 실무 순서다. 개별 사안의 적용 여부는 반드시 조문·시행령과 전문가 검토로 확인해야 한다.
2026-08-26 갱신 — 본법 시행일 표기를 2026년 7월 21일에서 2026년 1월 22일로 정정했다. 7월 21일 시행분(개정법 잔여 조항·개정 시행령)은 근거 절에 별도 항목으로 분리하고, 과태료 계도기간 항목을 함께 추가했다.
0단계 — 우리가 무엇을 하고 있는지부터 적는다
법 대응을 시작하는 조직이 가장 먼저 부딪히는 벽은 조문이 아니라 현황 파악이다. “우리 회사에서 AI 를 어디에 쓰고 있나”를 물으면, 대부분 정확한 답이 없다.
이유는 단순하다. 정식 도입 절차를 밟은 시스템은 목록이 있지만, 실무자가 각자 붙여 쓰는 것들은 목록이 없다. 채용 서류를 정리하는 데 쓰는 도구, 고객 문의를 분류하는 스크립트, 견적을 초안 잡는 시트 — 이런 것들이 법이 말하는 대상에 들어갈 수도 있다.
그래서 0단계는 조문을 읽는 게 아니라 목록을 만드는 것이다. 항목마다 네 가지만 적으면 된다. 무엇에 쓰는가, 누가 쓰는가, 무엇을 입력하는가, 그 결과가 누구에게 영향을 주는가. 마지막 항목이 나중에 판단의 핵심이 된다.
목록을 만들 때 실무자에게 “AI 쓰는 거 있으면 알려 주세요”라고 물으면 잘 안 나온다. 본인이 쓰는 게 AI 인지 인식을 못 하거나, 허가 안 받고 쓴 게 걸릴까 봐 말을 아낀다. 그래서 나는 질문을 바꾼다 — “요즘 어떤 일이 예전보다 빨라졌나요”. 이렇게 물으면 목록이 나온다.
그리고 이 단계에서는 판정을 하지 않는다. 위험해 보이는 항목이 나와도 그 자리에서 “그건 쓰면 안 됩니다”라고 하면 그 순간부터 목록이 안 나온다. 적는 단계와 판단하는 단계를 분리하는 게 실무에서 꽤 중요하다.
이 목록은 한 번 만들면 계속 쓴다. 법 대응만이 아니라 도구를 선정하고 관리하는 절차 전체의 출발점이기도 하다.
1단계 — ‘고영향’인지를 가르는 실제 지점
이 법의 핵심 구조는 모든 AI 를 똑같이 규율하지 않는다는 데 있다. 사람의 생명·신체나 기본권에 중대한 영향을 줄 수 있는 영역에 쓰이는 인공지능을 따로 묶고(고영향 인공지능), 거기에 더 무거운 의무를 얹는 방식이다.
실무에서 판단이 갈리는 건 영역 자체가 아니라 그 영역에서 AI 가 무엇을 하고 있는가다. 같은 채용 업무라도 서류를 요약해 주는 것과 순위를 매겨 주는 것은 다르다. 같은 의료 영역이라도 예약을 배정하는 것과 판독을 보조하는 것은 다르다.
그래서 0단계 목록의 네 번째 칸이 중요해진다. “그 결과가 누구에게 영향을 주는가”에 사람 이름이 들어가면 — 지원자, 환자, 대출 신청인, 학생 — 그 항목은 반드시 따로 검토해야 한다. 결과가 내부 보고서까지만 간다면 우선순위를 낮춰도 된다.
다만 이 구분을 스스로 내리고 끝내면 안 된다. 여기까지는 검토 대상을 좁히는 작업이지 판정이 아니다. 좁힌 목록을 들고 법률 검토를 받는 것이 0단계 목록의 진짜 용도다.
2단계 — 대상이라면 준비하는 것
고영향으로 분류될 가능성이 있는 항목이 나왔다면, 준비할 것은 크게 세 덩어리다. 문서, 절차, 사람.
문서 — 설명할 수 있는 상태로 만든다
핵심은 “이 시스템이 무엇을 근거로 그런 결과를 냈는지 설명할 수 있는가”다. 완벽한 기술 문서를 뜻하는 게 아니라, 나중에 물어봤을 때 답이 나오는 상태를 뜻한다.
실무적으로는 세 가지를 남긴다. 어떤 데이터로 만들었는지(또는 어떤 외부 모델을 쓰는지), 어떤 기준으로 결과를 내는지, 결과가 틀렸을 때 어떻게 걸러지는지. 외부 모델을 그대로 쓰는 경우가 많은데, 그때는 “우리가 어떤 조건으로 호출하고 무엇을 덧붙였는가”가 우리 몫의 문서다.
여기서 흔한 오해가 “외부 서비스를 쓰니까 우리 책임이 아니다”인데, 그렇지 않다. 그 결과를 우리 이름으로 고객에게 내보내는 순간 설명 책임은 우리에게 온다. 공급사 문서를 받아 두는 건 필요조건이지 충분조건이 아니다.
절차 — 사람이 개입하는 지점을 명시한다
가장 자주 빠지는 게 이 부분이다. AI 가 낸 결과를 사람이 검토한다고 말은 하는데, 그 검토가 실제로 무엇을 보는 것인지 정의돼 있지 않다. 정의가 없으면 검토는 형식이 되고, 형식이 된 검토는 있으나 마나다.
그래서 나는 검토 지점마다 세 가지를 못 박게 한다 — 무엇을 볼 것인가, 어떤 경우에 뒤집을 것인가, 뒤집은 기록을 어디에 남길 것인가. 세 번째가 특히 중요하다. 뒤집은 기록이 없으면 그 검토가 작동했는지 아무도 증명할 수 없다.
실제로 검토 기록을 보면 조직의 상태가 그대로 보인다. 뒤집은 기록이 하나도 없으면 둘 중 하나다 — 시스템이 정말 완벽하거나, 검토가 형식이거나. 경험상 후자가 압도적으로 많다. 그래서 나는 “몇 건을 검토했나”가 아니라 “몇 건을 뒤집었나”를 먼저 묻는다.
사람 — 책임지는 자리를 하나로 모은다
여러 부서가 조금씩 걸쳐 있는 상태가 가장 위험하다. 정보보안팀은 데이터를, 현업은 결과를, IT 는 시스템을 보는데 전체를 보는 사람이 없다. 거버넌스에서 반복되는 사고 패턴을 정리하면서도 같은 결론에 닿았다 — 사고는 아무도 안 보는 경계에서 난다.
책임자를 정할 때 실무에서 자주 하는 선택이 “정보보안팀장”인데, 이건 절반만 맞다. 데이터가 나가는 문제는 보안팀이 볼 수 있지만 “이 결과가 사람에게 어떤 영향을 주는가”는 현업만 안다. 그래서 책임자는 현업 쪽에 두고 보안·법무가 붙는 형태가 대체로 잘 굴러갔다.
규모가 작아서 그런 자리를 못 만드는 조직도 많다. 그럴 때는 최소한 문서에 이름 한 명을 적는 것부터 한다. 겸직이어도 되고 시간이 적어도 되는데, 비어 있으면 안 된다. 비어 있는 칸은 문제가 생겼을 때 가장 먼저 지적받는 자리다.
3단계 — 대상이 아니어도 남는 것
검토 결과 고영향에 해당하지 않는다고 나와도 준비가 0이 되지는 않는다. 이 법은 고영향이 아닌 영역에도 투명성 성격의 요구를 두고 있고, 무엇보다 이용자에게 AI 가 관여했음을 알리는 것은 별개의 흐름으로 이미 상식이 되어 가고 있다.
실무에서 지금 당장 손볼 만한 건 두 가지다. 첫째, 고객이 받는 결과물 중 AI 가 생성한 부분이 있으면 그 사실을 어디에 어떻게 알릴지 정한다. 둘째, 내부 규정에 “어떤 데이터를 외부 모델에 넣을 수 있는가”를 한 줄이라도 명시한다.
고지 방법은 생각보다 까다롭다. 모든 문장 끝에 ‘AI 생성’을 붙이면 아무도 안 읽고, 약관 깊숙이 한 줄 넣으면 고지한 것으로 보기 어렵다. 실무에서 무난했던 건 결과물 단위로 한 번, 눈에 띄는 자리에 짧게 적는 방식이었다 — “이 요약은 AI 가 작성했고 담당자가 확인했습니다” 정도다. 확인했다는 말을 넣으려면 실제로 확인 절차가 있어야 하니, 2단계의 절차 정비와 붙어 있는 문제이기도 하다.
두 번째는 법 때문이 아니라 사고 예방 때문에도 필요하다. 규정이 없으면 판단이 개인에게 내려가고, 개인은 대체로 관대하게 판단한다.
덧붙여 지금 시점에 해 두면 나중에 값을 하는 게 하나 더 있다. 변경 이력을 남기기 시작하는 것. 어떤 모델을 언제부터 언제까지 썼고 프롬프트를 언제 바꿨는지가 남아 있으면, 나중에 “그 시점에 우리가 어떻게 동작하고 있었나”를 답할 수 있다. 이건 규정이 요구하기 전에도 사고 대응에서 쓸모가 있고, 나중에 요구받았을 때 소급해서 만들 수 없는 종류의 자료다.
4단계 — 우리 조직에 맞춰 쓰는 점검 순서
위 내용을 실제 착수 순서로 압축하면 다음과 같다. 이 순서대로 하면 첫 두 주 안에 “우리가 어디쯤 있는지”까지는 나온다.
여섯 단계 중 조직이 가장 오래 붙잡는 건 첫 번째다. 목록이 완벽해야 다음으로 넘어갈 수 있다고 생각하기 때문인데, 그럴 필요 없다. 빠진 게 나중에 나오는 건 정상이고, 목록은 한 번 만들고 끝내는 문서가 아니라 계속 고쳐 쓰는 문서다. 웬만큼 채워졌다 싶으면 다음 단계로 넘어가는 편이 전체적으로 빠르다. 남은 항목은 2단계를 돌리면서 채워도 늦지 않다.
여기서 자주 하는 실수 하나만 짚으면, 법률 검토를 가장 먼저 받으려는 것이다. 현황 자료 없이 검토를 요청하면 “경우에 따라 다르다”는 답이 돌아오고, 그 답은 아무 데도 못 쓴다. 검토는 재료를 들고 가야 값이 나온다.
규모에 따라 착수 방식도 갈린다. 사용처가 열 개 안쪽인 조직은 위 순서를 그대로 밟으면 2주 안에 끝난다. 반대로 부서가 여럿이고 사용처가 수십 개면, 전수 조사를 하려다 6개월이 지나가는 경우를 여러 번 봤다. 그럴 땐 고객·지원자·환자처럼 외부의 사람에게 결과가 닿는 업무부터 잘라서 먼저 하는 편이 낫다. 전부 훑고 나서 시작하겠다는 계획은 대체로 시작을 미루는 계획이 된다.
이 글이 다루지 않는 것
몇 가지는 의도적으로 뺐다.
개별 조문의 해석. 어떤 조항이 어떤 사업자에게 어떻게 적용되는지는 시행령·고시와 함께 봐야 하고, 그건 법률 전문가의 영역이다. 이 글에서 조문 번호를 거의 쓰지 않은 것도 그 때문이다 — 반쯤 아는 조문 인용이 가장 위험하다.
과징금·제재 수준. 이 부분은 시행령과 실제 집행 사례가 쌓여야 윤곽이 잡힌다. 지금 시점에서 숫자를 말하는 건 추측이다.
해외 규제와의 비교. EU 쪽 규정과 구조가 비슷해 보이는 대목이 있지만, 비슷해 보이는 것과 같은 것은 다르다. 한쪽 자료로 다른 쪽을 판단하면 틀린다.
업종별 개별 규제와의 관계. 금융·의료·교육처럼 이미 자기 규제 체계가 있는 영역은 기본법과 개별법을 같이 봐야 한다. 어느 쪽이 우선하는지는 사안마다 다르고, 이건 일반론으로 정리할 수 있는 문제가 아니다.
대신 이 글이 하려던 건 하나다. 법을 몰라도 지금 당장 시작할 수 있는 부분이 있다는 것. 사용처 목록을 만들고 영향받는 사람을 적는 일은 변호사 없이 할 수 있고, 그 자료가 있어야 그다음이 진행된다. 대응이 늦는 조직은 대체로 법을 몰라서가 아니라 자기 현황을 몰라서 늦는다. 조문은 전문가에게 물으면 되지만 현황은 아무도 대신 알려 주지 않는다.
이 글에 쓴 근거
- 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(법률 제20676호, 2025. 1. 21. 공포 / 2026. 1. 22. 시행) — 법령 원문은 국가법령정보센터에서 확인할 수 있다.
- 2026. 7. 21. 은 개정법의 남은 조항과 개정 시행령이 함께 시행된 날이다(공공조달 AI 제품·서비스 확인 제도 신설, AI 취약계층 범위 확대 등). 본법 시행일과 구분해서 봐야 한다.
- 과태료는 시행 초기 계도기간이 운영되고 있다 — 최소 1년 이상 운영 방침이 밝혀져 있어 본격적인 부과는 2027년 이후로 전망된다.
- 착수 순서·점검 항목·문서/절차/사람 구분은 저자의 AX 도입 및 거버넌스 설계 경험에 따른 실무 정리이며, 법령의 요구사항을 그대로 옮긴 것이 아니다.
- 이 글은 법률 자문이 아니다. 개별 사안의 적용 여부는 조문·시행령과 전문가 검토로 확인해야 한다.
필자는 AI 솔루션 공급사에 재직 중이다. 이 글은 개인 견해이며 소속사 입장과 무관하다. 필자는 변호사가 아니며 이 글은 법률 자문을 대체하지 않는다.
관련 글
실무에서 검증한 AI 활용 기록, 계속 받아보기
이 글에서 다룬 판단 기준과 실패담을 카테고리별로 더 모아뒀습니다.
댓글
0