한국 AI 기본법 통과: 개발자와 기업이 알아야 할 핵심 의무

- 2026년 초 국회에서 「인공지능 발전 및 신뢰 기반 조성 등에 관한 법률」(AI 기본법)이 본회의를 통과
- 세계적으로 EU AI Act에 이어 주요국 중 두 번째로 포괄적인 AI 규제 법안
- 개발자·스타트업·대기업 모두 영향받는 조항들 정리

### AI 기본법의 핵심 구조

**위험 등급 분류 체계**

| 등급 | 기준 | 예시 |
|------|------|------|
| 고위험 AI | 생명·안전·기본권 직결 | 의료진단 AI, 신용평가 AI, 채용 심사 AI |
| 중위험 AI | 사회적 영향 중간 | 콘텐츠 추천 AI, 법률 자문 AI |
| 저위험 AI | 영향 제한적 | 챗봇, 번역, 이미지 필터 |

- EU AI Act와 유사한 구조이지만 **한국 고위험 AI 범위가 더 넓게 정의**됨
- 채용·대출·보험에서 AI를 활용할 경우 고위험으로 분류 → 엄격한 의무 적용

### 고위험 AI 사업자 의무

1. **적합성 평가**: 서비스 출시 전 과학기술정보통신부 지정 기관의 심사 통과 필요
2. **설명 가능성**: 사용자가 AI 결정에 이의를 제기할 경우 결정 근거 설명 의무
3. **데이터 거버넌스**: 학습 데이터의 출처·품질 문서화, 편향 검사 결과 보관(최소 3년)
4. **인간 감독**: 고위험 자동화 결정에 반드시 인간 검토 단계 포함
5. **사고 보고**: AI로 인한 사고 발생 시 72시간 내 정부에 보고

### 개발자·스타트업 관점 핵심 변화

**시행 시기**
- 공포 후 1년 내 시행(2027년 초 예정) — 지금부터 준비 필요
- 스타트업은 매출 50억 미만 시 일부 의무 유예 가능(세부 시행령 확인 필요)

**일반 사업자 의무 (저·중위험 포함)**
- AI 이용 사실 고지: "이 응답은 AI가 생성했습니다" 명시
- AI 생성 콘텐츠에 워터마크 또는 메타데이터 삽입(딥페이크 대응)
- 개인정보 처리 시 기존 PIPA(개인정보보호법)과 AI 기본법 동시 준수

**위반 시 제재**
- 고위험 AI 미신고: 매출액의 최대 3% 과징금
- 설명 의무 위반: 최대 1억 원 과태료
- 딥페이크 콘텐츠 미표시: 형사처벌 대상(최대 징역 2년)

### 실무적으로 무엇을 해야 하나

**즉시 해야 할 것**
- 자사 AI 서비스가 고위험에 해당하는지 법안 별표 기준으로 자체 판단
- 고위험 해당 시: 법무팀 또는 전문 로펌과 컴플라이언스 로드맵 수립
- 학습 데이터 출처 문서화 시작 — 나중에 소급 정리는 거의 불가능

**앱/서비스 개발 시 반영 사항**
- 사용자 인터페이스에 "AI 생성" 라벨 표시 UI 설계
- 이의신청 기능: 고위험 AI 결정에 이의를 제기할 수 있는 흐름 설계
- 로그 보관: API 호출 기록, 결정 근거 데이터 최소 3년 보관 인프라

### 업계 반응

- **네이버·카카오·LG CNS**: 이미 내부 AI 거버넌스 팀 운영 중 → 추가 대응 비용 낮음
- **스타트업 커뮤니티**: "규정이 너무 포괄적", "고위험 기준이 모호" 비판 다수
- **학계**: EU AI Act 대비 공개 설명 의무가 약하다는 지적
- **해외 기업**: AWS, Microsoft, Google 등 클라우드 AI 서비스 제공사도 국내 사용자 있으면 적용 대상

### 체크포인트 요약

| 항목 | 확인 내용 |
|------|-----------|
| 서비스 분류 | 고위험/중위험/저위험 해당 여부 |
| AI 고지 | 사용자에게 AI 이용 사실 표시 여부 |
| 데이터 문서화 | 학습 데이터 출처·품질 기록 여부 |
| 이의신청 | 고위험 결정에 이의 제기 채널 여부 |
| 로그 보관 | 3년 보관 인프라 여부 |

한국 AI 기본법 통과: 개발자와 기업이 알아야 할 핵심 의무

// COMMENTS

ON THIS PAGE