AI 기본법 계도기간, 내부감사가 지금 확인할 세 가지

과학기술정보통신부는 2025년 11월 시행령 입법예고 당시 과태료 계도기간을 최소 1년 이상 운영할 계획이라고 밝혔습니다. 구체적 운영 방식과 기간은 의견을 수렴해 확정하겠다는 단서가 붙어 있었습니다.

보도자료가 쓴 표현은 "과태료 계도기간"입니다. 법과 시행령의 시행일은 2026년 1월 22일입니다. 실무에서는 계도기간을 의무 이행이나 문서 작성을 미루는 근거로 읽지 않는 편이 안전합니다.

과태료가 걸린 조항

법 제43조제1항은 3천만원 이하의 과태료 대상을 세 가지로 한정합니다. 제31조제1항 사전 고지를 이행하지 않은 자, 제36조제1항 국내대리인을 지정하지 않은 자, 제40조제3항에 따른 중지명령이나 시정명령을 이행하지 않은 자입니다.

고영향 인공지능 사업자의 책무(제34조)나 영향평가(제35조)는 이 목록에 없습니다. 대신 제40조가 연결됩니다. 과기정통부장관은 제34조제1항 위반 혐의를 알게 되거나 신고를 받으면 자료 제출을 요구하거나 사업장을 조사할 수 있고, 위반이 인정되면 중지·시정을 명할 수 있습니다. 그 명령을 이행하지 않을 때 과태료가 붙습니다.

제40조가 조사 대상으로 드는 조항에는 제32조 안전성 확보 의무도 있습니다. 이 의무는 시행령 제24조제1항이 세 요건을 모두 충족하는 인공지능시스템으로 한정합니다. 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산 이상일 것, 최첨단 인공지능기술을 적용해 구성·운영될 것, 사람의 생명·신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것입니다. 세 요건을 모두 충족해야 하므로, 실무에서는 하나라도 해당하지 않는 시스템을 이 의무의 대상이 아니라고 봅니다.

공급자의 조치가 우리에게 넘어오는 범위

법 제2조제7호는 인공지능사업자를 인공지능개발사업자와 인공지능이용사업자로 나눕니다. 나목의 인공지능이용사업자는 "가목의 사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자"입니다.

시행령 제27조제3항은 이행 간주 경로를 둡니다. 법 제34조제1항제1호부터 제3호까지의 조치(위험관리방안, 설명 방안, 이용자 보호 방안)를 모두 또는 일부 이행한 인공지능사업자로부터 인공지능시스템을 제공받은 인공지능이용사업자가 해당 시스템의 본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경을 하지 않은 경우, 그 이용사업자도 제1호부터 제3호까지의 조치를 모두 또는 일부 이행한 것으로 봅니다. 간주되는 범위는 공급자가 이행한 범위까지입니다. 이 항의 주어는 인공지능개발사업자가 아니라 인공지능사업자이고, 같은 조 제4항은 인공지능개발사업자를 따로 씁니다.

실무에서 내부감사가 확인할 것은 세 가지입니다. 공급자가 제1호부터 제3호까지 중 어느 호를 이행했는지 호 단위로 적힌 자료를 우리가 받아 두었는지, 간주되지 않는 호를 우리가 직접 이행했는지, 그리고 우리가 가한 변경이 중대한 기능 변경인지에 대한 회사의 판단이 문서로 남아 있는지입니다. 같은 조 제4항은 이용사업자가 개발사업자에게 필요한 자료를 요청할 수 있다고 하면서, 개발사업자에게는 협력하도록 노력할 의무만 지웁니다. 요청에 응할 의무가 아니므로, 실무에서는 도입 계약에 자료 제공 조항을 두는 편이 안전합니다.

사전 고지와 5년 보관

법 제31조제1항은 고영향 인공지능이나 생성형 인공지능을 이용한 제품·서비스를 제공하려는 경우 해당 인공지능에 기반해 운용된다는 사실을 이용자에게 사전에 고지하도록 합니다. 시행령 제23조제1항이 방법 네 가지를 제시합니다. 제품에 직접 기재하거나 계약서·사용설명서·이용약관에 기재, 화면이나 단말기 표시, 제공 장소 게시, 장관이 인정하는 방법입니다. 제4항은 예외를 둡니다. 활용 사실이 명백한 경우와 사업자의 내부 업무 용도로만 사용되는 경우가 여기 해당하고, 그 밖의 예외는 장관이 고시로 정합니다.

시행령 제27조제2항은 인공지능사업자에게 법 제34조제1항 각 호의 조치를 이행하고 그 근거를 5년간 문서로 보관하도록 합니다. 같은 조 제1항은 위험관리방안의 주요 내용, 설명 방안의 주요 내용, 이용자 보호 방안, 그리고 해당 고영향 인공지능을 관리·감독하는 사람의 성명과 연락처를 사무소나 홈페이지에 게시하도록 합니다. 영업비밀에 해당하는 사항은 뺄 수 있습니다.

담당자의 이름과 연락처가 대외 게시 항목입니다. 우리 회사 홈페이지에 그 이름이 올라가 있는지, 올라가 있다면 지금도 그 업무를 하는 사람인지가 첫 점검 항목이 됩니다.

이 글의 근거

확인일 2026년 9월 23일 · 법령은 개정될 수 있습니다.

시행일은 조문별로 갈립니다. 법률 제21311호 부칙은 2026년 1월 22일 시행을 원칙으로 하되, 제3조제5항, 제6조제2항제7호·제8호, 제16조제3항부터 제5항까지의 일부, 제17조의2, 제18조, 제22조의3, 제35조제1항 후단의 개정규정은 공포 후 6개월이 경과한 날부터 시행하도록 했습니다. 국가법령정보센터는 그 날을 2026년 7월 21일로 표기합니다. 이 글이 인용한 조항 가운데 그 목록에 있는 것은 제35조제1항 후단 하나이고, 본문에서 제35조는 과태료 대상 목록에 없다는 사실로만 나옵니다. 시행령 제23조·제24조·제27조는 제정 당시(대통령령 제36053호, 2026년 1월 22일 시행) 문언 그대로입니다.

이 글은 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(법률 제21311호)과 같은 법 시행령 원문을 2026년 9월 23일 기준으로 정리한 것입니다. 개별 사안에 대한 법률자문이 아니며, 적용 여부는 소관 부처 고시·가이드라인과 함께 확인하시기 바랍니다.