# 규제와 컴플라이언스

> **이 장에서 배우는 것**
> 우리 과제가 법의 어느 층에 걸리는지, 무엇을 언제까지 해야 하는지, 그리고
> "계도기간"을 잘못 이해하면 무엇을 놓치는지.

> **기준 시점 2026년 8월.** 시행일·금액·기준은 개정될 수 있습니다. 최신 조문은
> 국가법령정보센터에서 확인하세요.

> 이 장은 실무 판단을 돕기 위한 개요이지 법률 자문이 아닙니다. 고영향 AI에
> 해당할 가능성이 있으면 법무 검토를 붙이세요.

## 이미 시행 중입니다

[Phase 2](/guide/ax-phase2-assessment)에서 "거버넌스 & 보안 요구사항"을 한 항목으로
확인했습니다. 이 장은 그 항목을 펼친 것입니다. 그리고 여기서 확인해야 할 첫
사실은 이것입니다.

> **인공지능기본법은 2026년 1월 22일부터 시행되었습니다.**

앞으로 준비할 것이 아니라 **이미 의무가 발생한 상태**입니다. 우리나라는 EU에
이어 세계 두 번째로 포괄적 AI 법을 시행한 나라입니다.

## 우리가 대상인가

가장 흔한 오해가 **"우리는 AI를 만드는 회사가 아니니 상관없다"**입니다. 법은
두 유형을 나눕니다.

| 유형 | 누구 | 예 |
|---|---|---|
| **AI개발사업자** | AI를 직접 개발해 제공 | 모델을 만드는 회사 |
| **AI이용사업자** | **타사 AI로 제품·서비스를 제공** | API를 붙여 서비스하는 대부분의 회사 |

**아래쪽이 압도적으로 많습니다.** 챗봇을 붙인 쇼핑몰, AI 요약을 넣은 SaaS,
상담 자동화를 도입한 콜센터 모두 여기입니다. 해외 사업자도 국내 이용자에게
영향을 주면 적용됩니다.

## 세 개의 층

의무는 층으로 쌓입니다. 아래 층일수록 무겁습니다.

```mermaid
graph TD
  A["1층 — 모든 AI 사업자<br/>기본 의무"] --> B["2층 — 생성형 AI를 쓴다면<br/>고지 · 표시 의무"]
  B --> C["3층 — 고영향 AI라면<br/>위험관리 · 설명 · 감독 · 5년 보관"]
```

### 3층 — 고영향 AI인가

**여기가 판단의 핵심입니다.** "사람의 생명·신체 안전 및 기본권에 중대한 영향을
미치거나 위험을 초래할 우려"가 있는 영역에서 쓰이면 고영향 AI입니다. 법이
명시한 분야는 이렇습니다.

| 분야 | 실무에서 걸리는 예 |
|---|---|
| 의료기기·디지털의료기기 개발·이용 | 진단 보조 |
| 보건의료 제공·이용체계 | 환자 분류 |
| 에너지 공급, 먹는물 생산 | 설비 제어 |
| 원자력 | 안전 관련 판단 |
| 생체인식정보를 활용한 범죄수사 | 얼굴 인식 대조 |
| **채용·대출심사 등 권리·의무 판단** | **서류 선별, 신용 평가** |
| 교통수단의 주요 작동·운영 | 자율주행, 관제 |
| 공공서비스 결정 | 수급 자격 판정 |
| **학생 평가** | **채점, 배치** |

**굵게 표시한 두 줄이 일반 기업에서 실제로 자주 걸립니다.** 채용 서류를 AI가
1차 선별하면 고영향 AI입니다.

고영향 AI로 판정되면 다섯 가지가 따라옵니다.

```
□ 위험관리방안 수립·운영
□ AI가 어떻게 판단했는지 설명하는 방안 수립·시행
□ 이용자 보호 방안 수립·운영
□ 사람의 관리·감독 체계
□ 위 조치를 확인한 문서 작성 및 5년 보관
```

**마지막 줄이 실무에서 제일 자주 빠집니다.** 조치를 했다는 사실이 아니라
**했다는 것을 확인한 문서**를, **5년간** 보관해야 합니다. 이건
[감사 기록](/guide/ax-audit-trail)의 문제로 이어집니다.

### 2층 — 생성형 AI 세 가지 의무

생성형 AI를 쓴다면 고영향이 아니어도 이 세 가지는 걸립니다.

| 의무 | 무엇을 | 어디에 |
|---|---|---|
| **사전 고지** | AI 기반으로 운용된다는 사실을 **제공 전에** 알림 | 이용약관, 화면 안내 |
| **결과물 표시** | AI가 만든 것임을 표시 | 로고·문구(가시적) 또는 워터마크·메타데이터(비가시적) |
| **딥페이크 표시** | 실제와 구분 어려운 음향·이미지·영상은 **명확히 인식 가능하게** | 화면상 명시 |

**표시 의무에는 예외가 있습니다.**

```
✓ 제품·서비스명이나 화면에 비추어 AI 결과물임이 명백한 경우
✓ 사업자의 내부 업무 용도로만 쓰이는 경우
```

두 번째가 중요합니다. **사내 업무 자동화는 표시 의무 대상이 아닙니다.** 반면
[채팅 위젯](/guide/cn-chat-widget)이나 [이메일 에이전트](/guide/cn-email-agents)처럼
**외부 이용자에게 닿는 순간** 1층과 2층이 함께 걸립니다.

## "계도기간이니까 괜찮다"가 가장 위험합니다

정부는 최소 1년 이상의 계도기간을 운영합니다. 그런데 여기서 오해가 생깁니다.

> **계도기간은 과태료 부과가 유예되는 기간이지, 법적 의무가 유예되는 기간이
> 아닙니다.**

의무는 2026년 1월 22일부터 발생해 있습니다. 계도기간에도 인명사고나 인권 훼손
같은 중대한 문제가 생기면 사실조사가 들어갑니다. 그리고 고지의무를 이행하지
않은 경우 **3천만원 이하의 과태료**가 규정되어 있습니다.

**실무적으로 더 큰 위험은 과태료가 아닙니다.** 계도기간을 믿고 미뤘다가 나중에
소급해서 문서를 만들어야 하는 상황이 훨씬 비쌉니다. 5년 보관 문서는 사후에
만들 수 없습니다.

## 개인정보는 별개의 축입니다

AI 기본법을 지켜도 개인정보보호법은 따로 지켜야 합니다. 개인정보보호위원회가
2025년 8월에 낸 **「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리
안내서」**가 실무 기준입니다.

안내서는 생성형 AI 생명주기를 네 단계로 나누고 단계별 기준을 제시합니다.

| 단계 | 이 단계에서 정할 것 |
|---|---|
| 1. 목적 설정 | 무엇을 위해 개인정보를 쓰는지 |
| 2. 전략 수립 | 어떤 데이터를 어떤 근거로 |
| 3. AI 학습·개발 | 학습 데이터 처리와 안전조치 |
| 4. 시스템 적용·관리 | 운영 중 통제와 이용자 권리 |

또 **모델개발자와 모델이용자의 역할을 구분**합니다. 남의 모델을 쓰는 회사와
모델을 만드는 회사의 책임이 다르다는 뜻이고, 대부분의 기업은 **모델이용자**
쪽 기준을 보면 됩니다.

## 해외 이용자가 있다면

| 프레임워크 | 성격 | 쓰는 자리 |
|---|---|---|
| **EU AI Act** (Reg 2024/1689) | 법적 의무 | EU 이용자가 있으면 필수. 과징금 최대 €35M |
| **NIST AI RMF** | 자율 | 내부 위험관리 운영 모델로 |
| **ISO/IEC 42001** | 인증 가능 | 고객·규제기관에 보여줄 대외 증빙 |

2026년 현재 기업이 가장 흔히 쓰는 조합은 **내부 운영은 NIST, 대외 증빙은 ISO
42001, 법적 의무는 각 관할 법**입니다. 세 가지를 한꺼번에 갖추는 데는 보통
8~12개월이 걸립니다.

## Phase별로 언제 하나

| 시점 | 할 일 |
|---|---|
| Phase 1 — 문제 정의 | 이 과제가 고영향 영역에 닿는지 1차 판단 |
| **Phase 2 — 진단** | **고영향 여부 확정, 개인정보 처리 근거 정리, 법무 검토 착수** |
| Phase 3 — POC | 고지·표시 방식 설계, 사람 감독 지점 배치 |
| Phase 4 — 배포 | 문서 작성 및 5년 보관 체계 가동 |

**Phase 2에 몰려 있는 이유**는 [Phase 2](/guide/ax-phase2-assessment)에서 본
것과 같습니다. 승인과 검토는 기술 작업보다 오래 걸립니다.

## 자주 하는 오해

### "우리는 모델을 안 만드는데요"

**AI이용사업자로 대상입니다.** 타사 AI로 제품·서비스를 제공하면 적용되고,
실제로는 이쪽이 훨씬 많습니다. "우리가 만든 게 아니다"는 면책이 아닙니다.

### "사내에서만 쓰면 아무것도 안 해도 되나요?"

**생성형 AI 표시 의무는 면제되지만 나머지는 남습니다.** 특히 채용 서류 선별
같은 고영향 영역은 사내 업무여도 그대로 걸립니다. 그리고 개인정보보호법은
사내·사외를 가리지 않습니다.

---

## 확인

**1. 우리 회사가 모델을 만들지 않는데도 AI 기본법 대상이 되는 이유는?**

<details>
<summary>답</summary>

**AI이용사업자로 분류되기 때문**입니다. 법은 AI개발사업자와 AI이용사업자를
나누는데, 타사 AI로 제품·서비스를 제공하면 후자로 적용됩니다. 실제 대상
기업은 이쪽이 압도적으로 많습니다.
</details>

**2. "계도기간이니 나중에 준비해도 된다"가 왜 틀립니까?**

<details>
<summary>답</summary>

**계도기간은 과태료 유예이지 의무 유예가 아니기 때문**입니다. 의무는 2026년
1월 22일부터 발생해 있고, 중대한 문제가 생기면 사실조사가 들어갑니다. 특히
5년 보관 대상 문서는 사후에 만들 수 없습니다.
</details>

**3. 채용 서류를 AI가 1차 선별하면 무엇이 추가로 필요합니까?**

<details>
<summary>답</summary>

**고영향 AI에 해당하므로 다섯 가지가 따라옵니다** — 위험관리방안, 설명 방안,
이용자 보호 방안, 사람의 관리·감독, 그리고 이를 확인한 문서의 5년 보관입니다.
</details>

---

법적 요건을 확인했으니 이제 만들어서 효과를 봅니다 →
[Phase 3 — POC 설계와 실행](/guide/ax-phase3-poc)