AI BASIC ACT · 기업 실무 가이드
AI 기본법
2026년 1월 22일 시행된 인공지능기본법 — 우리 회사는 대상인지, 무엇을 해야 하는지 법률 원문 기준으로 정리했습니다
🔎 우리 회사도 해당되나
개발사업자·이용사업자 구분과 5문항 빠른 점검
📋 해야 할 일
사전 고지, 생성물 표시, 고영향 AI 책무, 국내대리인 — 과태료와 계도기간
❓ 자주 묻는 질문
Copilot 데이터 학습, 직원 사용 표시, 채용 AI, 개인정보 보호법과의 관계
OVERVIEW · 📊 한눈에 보기
법이 기업에 요구하는 것
진흥 조항이 대부분이고, 기업 의무는 몇 개 조문에 모여 있습니다
| 구분 | 내용 | 근거 |
|---|---|---|
| 법 이름 | 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 (인공지능기본법) | 법률 제20676호 |
| 시행 | 2025년 1월 21일 공포, 2026년 1월 22일 시행 — 시행령도 같은 날 시행 | 부칙 제1조 |
| 누가 | AI를 개발해 제공하거나, 개발된 AI로 제품·서비스를 제공하는 인공지능사업자 | 제2조 제7호 |
| 무엇을 | 생성형·고영향 AI 사전 고지, AI 생성물 표시, 고영향 AI 사전 검토와 책무, 일부 해외 사업자의 국내대리인 지정 | 제31조~제36조 |
| 어디까지 | 국외에서 이루어진 행위라도 국내 시장이나 이용자에게 영향을 미치면 적용 · 국방·국가안보 전용 AI는 제외 | 제4조 |
WHO · 🔎 우리 회사도 해당되나
개발사업자 · 이용사업자 · 업무 도구 사용
같은 Copilot을 써도 어떻게 쓰느냐에 따라 위치가 달라집니다
| 위치 | 뜻 | 예 |
|---|---|---|
| 개발사업자 | AI를 개발해 제공하는 자 (제2조 제7호 가목) | 자체 AI 모델이나 AI 솔루션을 만들어 다른 회사에 판매 |
| 이용사업자 | 개발사업자가 제공한 AI로 AI 제품·서비스를 제공하는 자 (나목) | Copilot Studio로 만든 고객 상담 챗봇을 홈페이지에 운영 |
| 업무 도구로 사용 | AI를 직원 업무 도구로만 사용 — 투명성 의무의 주체가 아닐 수 있음 (과기정통부 투명성 가이드라인 보도 기준) | 직원이 Microsoft 365 Copilot으로 문서 초안 작성 |
5문항 빠른 점검 — 하나라도 해당하면 아래 의무를 확인하세요
- 고객이나 외부 이용자가 쓰는 챗봇·상담 에이전트 같은 생성형 AI 서비스를 제공한다→ 사전 고지 (제31조 제1항)
- AI로 만든 글·이미지·영상을 고객이나 외부에 제공하거나 게시한다→ 생성물 표시 (제31조 제2항·제3항)
- 채용·대출 심사처럼 사람의 권리·의무에 중대한 영향을 줄 수 있는 판단에 AI를 쓴다→ 고영향 AI 검토 (제33조·제34조)
- 사람의 실질적인 검토 없이 AI 결과만으로 사람에 대한 결정을 내리는 절차가 있다→ 개인정보 보호법 자동화된 결정 (제37조의2)
- 국내에 주소·영업소가 없는 해외 AI 사업자다→ 국내대리인 (제36조, 기준은 시행령)
DUTIES · 📋 사업자 의무
인공지능사업자가 해야 할 일
의무마다 대상과 집행 방식이 다릅니다
| 의무 | 내용 | 대상 | 성격 |
|---|---|---|---|
| 사전 고지 제31조 제1항 | 고영향 AI나 생성형 AI를 이용한 제품·서비스를 제공하려면, AI에 기반해 운용된다는 사실을 이용자에게 미리 알린다 | 인공지능사업자 | 위반 시 과태료 |
| 생성물 표시 제31조 제2항 | 생성형 AI 결과물이 생성형 AI로 만들어졌다는 사실을 표시한다 — 방법은 시행령(보도 기준: 서비스 밖으로 나가는 결과물은 사람이 알아볼 수 있는 표시나 기계가 읽는 표시) | 인공지능사업자 | 사실조사·시정명령 |
| 실제와 구분하기 어려운 결과물 제31조 제3항 | 실제와 구분하기 어려운 가상의 음향·이미지·영상은 이용자가 명확히 알 수 있게 고지·표시한다. 예술적·창의적 표현물은 감상을 해치지 않는 방식도 가능 | 인공지능사업자 | 사실조사·시정명령 |
| 안전성 확보 제32조 | 학습 누적 연산량이 시행령 기준 이상인 AI(보도 기준 10의 26승 FLOPs 등)는 위험관리체계를 갖추고 결과를 제출한다 — 대부분 기업은 해당 없음 | 초대형 AI 사업자 | 사실조사·시정명령 |
| 고영향 AI 사전 검토 제33조 | 제공하는 AI가 고영향 AI인지 미리 검토하고, 필요하면 과기정통부장관에게 확인을 요청할 수 있다 | 인공지능사업자 | 의무 |
| 고영향 AI 책무 제34조 | 위험관리방안, 설명 방안(결과·주요 기준·학습용데이터 개요), 이용자 보호 방안, 사람의 관리·감독, 조치 문서 작성·보관, 위원회 의결 사항 이행 — 다른 법령에 따라 준하는 조치를 하면 이행한 것으로 봄 | 고영향 AI 제공 사업자 | 사실조사·시정명령 |
| 영향평가 제35조 | 고영향 AI 제품·서비스가 사람의 기본권에 미치는 영향을 미리 평가하도록 노력한다. 국가기관등은 영향평가를 거친 제품을 우선 고려 | 고영향 AI 제공 사업자 | 노력 의무 |
| 국내대리인 제36조 | 국내 주소·영업소가 없는 사업자 중 시행령 기준(보도 기준: 매출·국내 이용자 수)에 해당하면 국내대리인을 서면으로 지정하고 신고한다 | 일정 규모 이상 해외 사업자 | 위반 시 과태료 |
문서 보관 기간(보도 기준 5년)과 고지·표시의 구체적 방법은 시행령과 과기정통부 가이드라인(투명성 확보, 안전성 확보, 고영향 AI 판단, 고영향 AI 사업자 책무, 영향평가)에서 정합니다.
HIGH-IMPACT AI · ⚠️ 고영향 AI
고영향 AI가 되는 영역
아래 영역에서 쓰이면서 사람의 생명·신체 안전·기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 AI (제2조 제4호)
ENFORCEMENT · ⚖️ 과태료 · 계도기간
위반하면 어떻게 되나
사실조사 → 중지·시정명령 → 과태료 순서이고, 사업자 의무 위반에 형벌은 없습니다
| 과태료 대상 (3천만원 이하) | 근거 |
|---|---|
| 생성형·고영향 AI 서비스의 사전 고지를 하지 않은 경우 | 제43조 제1항 제1호 (제31조 제1항) |
| 국내대리인을 지정하지 않은 경우 | 제43조 제1항 제2호 (제36조 제1항) |
| 사실조사 후 중지명령이나 시정명령을 이행하지 않은 경우 | 제43조 제1항 제3호 (제40조 제3항) |
- 생성물 표시(제31조 제2항·제3항), 고영향 AI 책무(제34조 제1항) 등은 위반 혐의·신고가 있으면 과기정통부장관이 자료 제출을 요구하거나 조사하고, 위반이면 중지·시정을 명할 수 있습니다 (제40조)
- 과기정통부는 시행일부터 최소 1년 과태료 계도기간을 운영한다고 발표했습니다. 법령상 유예가 아닌 행정 방침이고, 연장 여부는 발표를 확인해야 합니다 (보도 기준)
- 계도기간은 과태료를 미루는 것이지 의무를 미루는 것이 아닙니다. 사전 고지처럼 비용이 적게 드는 일부터 지금 정비하는 편이 좋습니다
FAQ · ❓ 자주 묻는 질문
Microsoft 365 Copilot을 쓰는 회사가 자주 묻는 질문
직원들이 Copilot으로 문서를 만드는데, AI로 만들었다고 표시해야 하나요?
직원이 업무 도구로만 쓰면 투명성 의무의 주체가 아닐 수 있다는 것이 과기정통부 투명성 가이드라인의 취지로 보도됐습니다. 다만 AI로 만든 이미지·영상을 고객이나 외부에 그대로 내보낸다면 표시 정책을 두는 편이 안전합니다.
우리 회사 데이터가 Copilot 학습에 쓰이나요?
Microsoft 공식 문서는 Microsoft 365 Copilot의 프롬프트·응답과 Microsoft Graph로 접근한 데이터를 파운데이션 모델 학습에 쓰지 않는다고 밝히고 있습니다. 또 사용자가 최소한 볼 권한이 있는 조직 데이터만 보여 줍니다. 그래서 도입 전 파일 공유 권한 정리가 중요합니다.
고객 상담 챗봇을 만들었습니다. 무엇부터 해야 하나요?
생성형 AI 기반으로 운용된다는 사실을 이용자에게 미리 알려야 합니다(제31조 제1항). 이 의무는 어기면 바로 과태료 대상입니다. 챗봇 첫 화면이나 이용약관에 고지 문구를 넣고, 상담원 연결 경로도 함께 두는 것을 권합니다. 구체적인 고지 방법은 시행령과 가이드라인에서 확인합니다.
AI 기본법과 개인정보 보호법은 어떻게 다른가요?
개인정보 처리 문제는 개인정보 보호법이, AI 투명성과 고영향 AI 책무는 인공지능기본법이 다룬다고 나눠 보면 이해하기 쉽습니다(강사 정리, 공식 해석 아님). 인공지능기본법도 다른 법률에 특별한 규정이 있으면 그 법을 따르도록 정하고 있습니다(제5조). 채용 AI처럼 두 법이 함께 걸리는 경우가 많습니다.
ISO/IEC 42001 인증을 받아야 하나요?
법적 의무는 아닙니다. AI 경영시스템 국제 표준으로, 고객사나 공공기관 납품에서 신뢰 근거가 필요할 때 선택하는 자율 인증입니다. Microsoft가 일부 서비스로 받은 ISO/IEC 42001 인증은 Microsoft 서비스에 대한 것이고, 우리 회사의 관리체계는 별개입니다.
EU에도 진출했는데, 국내법만 보면 되나요?
아닙니다. EU AI Act는 별도로 적용되며 벌금 상한이 훨씬 큽니다. 2026년 7월 확정된 개정(Digital Omnibus)으로 채용 같은 고위험 AI 의무의 적용 시점이 2027년 12월 2일로 늦춰졌습니다. 현지 법무와 함께 확인하세요.
STANDARDS · 🌐 함께 보는 기준
국내법 · 국제 표준 · 해외 규제
법은 "무엇을 해야 하는가", 표준은 "어떤 체계로 관리하는가"를 알려 줍니다
| 기준 | 성격 | 언제 쓰나 |
|---|---|---|
| 인공지능기본법 | 국내 법률 (의무·과태료) | 국내에서 AI 제품·서비스를 제공할 때 |
| 개인정보 보호법 | 국내 법률 | AI에 개인정보를 쓰거나 자동화된 결정을 할 때 |
| NIST AI RMF 1.0 | 미국 NIST 자율 프레임워크 | AI 위험을 점검하는 공통 질문이 필요할 때 (GOVERN·MAP·MEASURE·MANAGE) |
| ISO/IEC 42001:2023 | 국제 표준 (인증 가능) | AI 관리체계를 갖추고 대외 신뢰 근거가 필요할 때 |
| EU AI Act | EU 규정 | EU 시장에 AI를 제공하거나 EU 안에서 쓸 때 |
REFERENCES · 🔗 출처
출처
2026년 11월 2일 확인 기준