우리가 제공하는 AI가 고영향 인공지능인지 판단하는 법

AI 목록을 만들고 나면 다음 질문이 옵니다. 이 중에 고영향 인공지능이 있는가. 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제33조제1항은 인공지능사업자가 인공지능 또는 이를 이용한 제품ㆍ서비스를 "제공하는 경우"에 이 판단을 먼저 하도록 정했습니다. 이 조와 책무를 정한 제34조는 2026년 1월 22일부터 시행 중입니다.

판정 단위는 시스템

법 제2조제4호는 고영향 인공지능을 "사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서 다음 각 목의 어느 하나의 영역에서 활용되는 것"이라고 정의합니다. 정의의 대상으로 적힌 말은 인공지능시스템입니다. 회사가 고영향 사업자인지를 묻는 문언은 이 호에 없습니다. 실무에서는 시스템 단위로 판정하고, 같은 모델을 여러 업무에 쓰면 활용 영역별로 나눠 적는 편이 안전합니다.

열거된 열한 개 영역

가목부터 카목까지 열한 개입니다. 마지막 카목은 "그 밖에 사람의 생명ㆍ신체의 안전 및 기본권 보호에 중대한 영향을 미치는 영역으로서 대통령령으로 정하는 영역"입니다. 시행령에는 이 위임을 받아 영역을 추가로 정한 조문이 없습니다. 아래 표는 각 목의 원문을 줄이지 않고 그대로 옮긴 것입니다.

사목은 예시와 일반 기준을 함께 둡니다. 조문은 "채용, 대출 심사 등"이라고 예시를 들고, 그 뒤에 "개인의 권리ㆍ의무 관계에 중대한 영향을 미치는 판단 또는 평가"를 둡니다. 채용과 대출 심사로 범위를 한정한 문언은 이 목에 없습니다. 실무에서는 인사ㆍ신용 밖의 평가 기능도 이 목과 한 번 대조해 두는 편이 안전합니다.

사전 검토는 의무, 확인 요청은 선택

법 제33조제1항은 인공지능사업자가 인공지능 또는 이를 이용한 제품ㆍ서비스를 제공하는 경우 그 인공지능이 고영향 인공지능에 해당하는지에 대하여 사전에 검토하여야 한다고 정합니다. 같은 항은 필요한 경우 과학기술정보통신부장관에게 확인을 요청할 수 있다고 이어집니다. 검토는 "하여야 하며", 요청은 "할 수 있다"입니다.

의무가 걸리는 자리는 "제공하는 경우"입니다. 수범자인 인공지능사업자를 법 제2조제7호는 "인공지능을 개발하여 제공하는 자"(가목)와 "가목의 사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자"(나목)로 나눕니다. 두 목 모두 제공을 요건으로 적습니다. 실무에서는 사내에서만 쓰고 제품ㆍ서비스로 내보내지 않는 AI라면, 사목에 닿아 보이더라도 이 조의 검토 의무가 걸리는 자리인지부터 확인하는 편이 안전합니다.

요청하면 시행령 제25조제1항에 따라 별지 서식과 네 가지 서류를 냅니다. 제품ㆍ서비스 개요서, 학습용데이터의 개요, 활용 과정과 결과를 확인할 수 있는 자료, 그 밖의 참고 서류입니다. 장관은 요청받은 날부터 30일 이내에 결과를 회신해야 합니다. 다만 "제품등의 복잡성 및 중요성 등을 고려하여 30일 이내에 회신할 수 없는 경우"에는 30일의 범위에서 한 차례 연장할 수 있고, 이때는 연장 사유와 연장 기간을 문서로 알려야 합니다. 회신 결과에 이의가 있을 때에는 회신을 받은 날부터 10일 이내에 별지 서식의 재확인 요청서에 기존 회신 결과와 그 밖의 참고 서류를 첨부해 제출해야 한다는 것이 시행령 제25조제4항의 문언입니다. 제33조제1항의 확인 요청이 "할 수 있다"인 것과 달리, 이 항은 "제출해야 한다"로 적혀 있습니다.

시행령 제25조제2항의 다섯 가지 고려 사항은 장관이 해당 여부를 판단할 때 고려하는 사항입니다. 사업자의 사전 검토 기준으로 적힌 조문이 아닙니다. 다만 그중 제3호가 "법 제33조제1항에 따라 인공지능사업자가 사전에 검토한 결과"이므로, 실무에서는 우리 검토 문서가 그대로 심사 자료가 된다고 보는 편이 안전합니다.

해당한다고 본 다음

법 제34조제1항은 여섯 가지 조치를 대통령령으로 정하는 바에 따라 이행하도록 합니다. 시행령 제27조제2항은 그 근거를 문서로 5년간 보관하도록 정합니다.

외부 AI를 가져다 쓰는 회사라면 시행령 제27조제3항을 봅니다. 제34조제1항제1호부터 제3호까지의 조치를 모두 또는 일부 이행한 사업자로부터 인공지능시스템을 제공받은 인공지능이용사업자가 "본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경"을 하지 않은 경우, 그 조치를 모두 또는 일부 이행한 것으로 봅니다. 같은 조 제4항은 이용사업자가 개발사업자에게 필요한 자료의 제공을 요청할 수 있다고 정합니다. 증적으로 보이려면 공급사에서 무엇을 받았는지와 우리가 무엇을 바꿨는지가 한 장에 같이 남아야 설명이 됩니다.

요청서가 이미 정해 둔 기재 항목

사업자가 내부에 남기는 판단서의 서식은 정해진 것이 없습니다. 대신 시행령 별지 서식(고영향 인공지능 확인ㆍ재확인 요청서)이 장관에게 낼 때 무엇을 적는지를 정해 두었고, 사전 검토 결과는 여기에 직접 적는 칸으로 들어가 있습니다.

"요청 인공지능" 란은 인공지능 명칭, 기본모델, 파생모델, 용도를 적게 하고, "인공지능 적용영역" 란에 에너지, 먹는물, 보건의료, 의료기기, 원자력, 범죄 수사ㆍ체포, 채용ㆍ대출 심사, 교통, 공공서비스, 교육, 기타 열한 개 선택란을 둡니다. "사전 검토결과" 란의 "검토결과"는 세 가지 중 하나를 고르게 되어 있습니다 — "고영향 인공지능에 해당", "고영향 인공지능에 해당하지 않음", "판단할 수 없음". 결론을 내리지 못한 상태도 서식 안에 자리가 있습니다. 그 아래가 "검토근거" 란이고, 작성방법 4-나는 이 항목에 "사전 검토결과에 대한 근거를 기재하고, 필요한 경우 별도의 자료를 제출할 수 있습니다"라고 적습니다.

요청서에 적는 칸과 붙여 내는 서류는 다릅니다. 시행령 제25조제1항 각 호의 첨부 서류 네 가지는 제품ㆍ서비스 개요서, 학습용데이터의 개요, 활용 과정과 결과를 확인할 수 있는 자료, 그 밖의 참고 서류입니다. 우리 사전 검토 결과와 그 근거는 이 첨부 서류가 아니라 요청서 본문에 적는 항목입니다. 실무에서는 내부 판단서를 아래 대응에 맞춰 두면 그대로 옮겨 적을 수 있습니다.

우리 회사가 이 판정과 근거를 문서로 남기면 그다음은 내부통제 점검의 문제가 됩니다. Verit Audit의 컴플라이언스 진단은 이런 판단 문서와 공급사 자료를 통제 항목에 연결해 점검 기록으로 남길 때 쓸 수 있습니다.

이 글은 내부통제 점검 관점의 실무 정리이며 법률 자문이 아닙니다. 구체적인 적용 여부는 조문과 소관 부처 해석을 확인하시기 바랍니다.

이 글의 근거

확인일 2026-09-23 · 법령은 개정될 수 있습니다. 조문과 별지 서식은 법제처 DRF Open API 원문(법 MST=282791, 시행령 MST=288781)으로 확인했습니다.