HyperTeams규제와 컴플라이언스
이 장에서 배우는 것 우리 과제가 법의 어느 층에 걸리는지, 무엇을 언제까지 해야 하는지, 그리고 "계도기간"을 잘못 이해하면 무엇을 놓치는지.
기준 시점 2026년 8월. 시행일·금액·기준은 개정될 수 있습니다. 최신 조문은 국가법령정보센터에서 확인하세요.
이 장은 실무 판단을 돕기 위한 개요이지 법률 자문이 아닙니다. 고영향 AI에 해당할 가능성이 있으면 법무 검토를 붙이세요.
이미 시행 중입니다
Phase 2에서 "거버넌스 & 보안 요구사항"을 한 항목으로 확인했습니다. 이 장은 그 항목을 펼친 것입니다. 그리고 여기서 확인해야 할 첫 사실은 이것입니다.
인공지능기본법은 2026년 1월 22일부터 시행되었습니다.
앞으로 준비할 것이 아니라 이미 의무가 발생한 상태입니다. 우리나라는 EU에 이어 세계 두 번째로 포괄적 AI 법을 시행한 나라입니다.
우리가 대상인가
가장 흔한 오해가 "우리는 AI를 만드는 회사가 아니니 상관없다"입니다. 법은 두 유형을 나눕니다.
| 유형 | 누구 | 예 |
|---|---|---|
| AI개발사업자 | AI를 직접 개발해 제공 | 모델을 만드는 회사 |
| AI이용사업자 | 타사 AI로 제품·서비스를 제공 | API를 붙여 서비스하는 대부분의 회사 |
아래쪽이 압도적으로 많습니다. 챗봇을 붙인 쇼핑몰, AI 요약을 넣은 SaaS, 상담 자동화를 도입한 콜센터 모두 여기입니다. 해외 사업자도 국내 이용자에게 영향을 주면 적용됩니다.
세 개의 층
의무는 층으로 쌓입니다. 아래 층일수록 무겁습니다.
graph TD
A["1층 — 모든 AI 사업자<br/>기본 의무"] --> B["2층 — 생성형 AI를 쓴다면<br/>고지 · 표시 의무"]
B --> C["3층 — 고영향 AI라면<br/>위험관리 · 설명 · 감독 · 5년 보관"]3층 — 고영향 AI인가
여기가 판단의 핵심입니다. "사람의 생명·신체 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려"가 있는 영역에서 쓰이면 고영향 AI입니다. 법이 명시한 분야는 이렇습니다.
| 분야 | 실무에서 걸리는 예 |
|---|---|
| 의료기기·디지털의료기기 개발·이용 | 진단 보조 |
| 보건의료 제공·이용체계 | 환자 분류 |
| 에너지 공급, 먹는물 생산 | 설비 제어 |
| 원자력 | 안전 관련 판단 |
| 생체인식정보를 활용한 범죄수사 | 얼굴 인식 대조 |
| 채용·대출심사 등 권리·의무 판단 | 서류 선별, 신용 평가 |
| 교통수단의 주요 작동·운영 | 자율주행, 관제 |
| 공공서비스 결정 | 수급 자격 판정 |
| 학생 평가 | 채점, 배치 |
굵게 표시한 두 줄이 일반 기업에서 실제로 자주 걸립니다. 채용 서류를 AI가 1차 선별하면 고영향 AI입니다.
고영향 AI로 판정되면 다섯 가지가 따라옵니다.
마지막 줄이 실무에서 제일 자주 빠집니다. 조치를 했다는 사실이 아니라 했다는 것을 확인한 문서를, 5년간 보관해야 합니다. 이건 감사 기록의 문제로 이어집니다.
2층 — 생성형 AI 세 가지 의무
생성형 AI를 쓴다면 고영향이 아니어도 이 세 가지는 걸립니다.
| 의무 | 무엇을 | 어디에 |
|---|---|---|
| 사전 고지 | AI 기반으로 운용된다는 사실을 제공 전에 알림 | 이용약관, 화면 안내 |
| 결과물 표시 | AI가 만든 것임을 표시 | 로고·문구(가시적) 또는 워터마크·메타데이터(비가시적) |
| 딥페이크 표시 | 실제와 구분 어려운 음향·이미지·영상은 명확히 인식 가능하게 | 화면상 명시 |
표시 의무에는 예외가 있습니다.
두 번째가 중요합니다. 사내 업무 자동화는 표시 의무 대상이 아닙니다. 반면 채팅 위젯이나 이메일 에이전트처럼 외부 이용자에게 닿는 순간 1층과 2층이 함께 걸립니다.
"계도기간이니까 괜찮다"가 가장 위험합니다
정부는 최소 1년 이상의 계도기간을 운영합니다. 그런데 여기서 오해가 생깁니다.
계도기간은 과태료 부과가 유예되는 기간이지, 법적 의무가 유예되는 기간이 아닙니다.
의무는 2026년 1월 22일부터 발생해 있습니다. 계도기간에도 인명사고나 인권 훼손 같은 중대한 문제가 생기면 사실조사가 들어갑니다. 그리고 고지의무를 이행하지 않은 경우 3천만원 이하의 과태료가 규정되어 있습니다.
실무적으로 더 큰 위험은 과태료가 아닙니다. 계도기간을 믿고 미뤘다가 나중에 소급해서 문서를 만들어야 하는 상황이 훨씬 비쌉니다. 5년 보관 문서는 사후에 만들 수 없습니다.
개인정보는 별개의 축입니다
AI 기본법을 지켜도 개인정보보호법은 따로 지켜야 합니다. 개인정보보호위원회가 2025년 8월에 낸 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」가 실무 기준입니다.
안내서는 생성형 AI 생명주기를 네 단계로 나누고 단계별 기준을 제시합니다.
| 단계 | 이 단계에서 정할 것 |
|---|---|
| 1. 목적 설정 | 무엇을 위해 개인정보를 쓰는지 |
| 2. 전략 수립 | 어떤 데이터를 어떤 근거로 |
| 3. AI 학습·개발 | 학습 데이터 처리와 안전조치 |
| 4. 시스템 적용·관리 | 운영 중 통제와 이용자 권리 |
또 모델개발자와 모델이용자의 역할을 구분합니다. 남의 모델을 쓰는 회사와 모델을 만드는 회사의 책임이 다르다는 뜻이고, 대부분의 기업은 모델이용자 쪽 기준을 보면 됩니다.
해외 이용자가 있다면
| 프레임워크 | 성격 | 쓰는 자리 |
|---|---|---|
| EU AI Act (Reg 2024/1689) | 법적 의무 | EU 이용자가 있으면 필수. 과징금 최대 €35M |
| NIST AI RMF | 자율 | 내부 위험관리 운영 모델로 |
| ISO/IEC 42001 | 인증 가능 | 고객·규제기관에 보여줄 대외 증빙 |
2026년 현재 기업이 가장 흔히 쓰는 조합은 내부 운영은 NIST, 대외 증빙은 ISO 42001, 법적 의무는 각 관할 법입니다. 세 가지를 한꺼번에 갖추는 데는 보통 8~12개월이 걸립니다.
Phase별로 언제 하나
| 시점 | 할 일 |
|---|---|
| Phase 1 — 문제 정의 | 이 과제가 고영향 영역에 닿는지 1차 판단 |
| Phase 2 — 진단 | 고영향 여부 확정, 개인정보 처리 근거 정리, 법무 검토 착수 |
| Phase 3 — POC | 고지·표시 방식 설계, 사람 감독 지점 배치 |
| Phase 4 — 배포 | 문서 작성 및 5년 보관 체계 가동 |
Phase 2에 몰려 있는 이유는 Phase 2에서 본 것과 같습니다. 승인과 검토는 기술 작업보다 오래 걸립니다.
자주 하는 오해
"우리는 모델을 안 만드는데요"
AI이용사업자로 대상입니다. 타사 AI로 제품·서비스를 제공하면 적용되고, 실제로는 이쪽이 훨씬 많습니다. "우리가 만든 게 아니다"는 면책이 아닙니다.
"사내에서만 쓰면 아무것도 안 해도 되나요?"
생성형 AI 표시 의무는 면제되지만 나머지는 남습니다. 특히 채용 서류 선별 같은 고영향 영역은 사내 업무여도 그대로 걸립니다. 그리고 개인정보보호법은 사내·사외를 가리지 않습니다.
확인
1. 우리 회사가 모델을 만들지 않는데도 AI 기본법 대상이 되는 이유는?
답
AI이용사업자로 분류되기 때문입니다. 법은 AI개발사업자와 AI이용사업자를 나누는데, 타사 AI로 제품·서비스를 제공하면 후자로 적용됩니다. 실제 대상 기업은 이쪽이 압도적으로 많습니다.
2. "계도기간이니 나중에 준비해도 된다"가 왜 틀립니까?
답
계도기간은 과태료 유예이지 의무 유예가 아니기 때문입니다. 의무는 2026년 1월 22일부터 발생해 있고, 중대한 문제가 생기면 사실조사가 들어갑니다. 특히 5년 보관 대상 문서는 사후에 만들 수 없습니다.
3. 채용 서류를 AI가 1차 선별하면 무엇이 추가로 필요합니까?
답
고영향 AI에 해당하므로 다섯 가지가 따라옵니다 — 위험관리방안, 설명 방안, 이용자 보호 방안, 사람의 관리·감독, 그리고 이를 확인한 문서의 5년 보관입니다.
법적 요건을 확인했으니 이제 만들어서 효과를 봅니다 → Phase 3 — POC 설계와 실행