정보관리기술사 학습 노트
← 목록으로
AI·데이터
#AI 기본법#인공지능 규제#고영향 인공지능#생성형 AI#AI 거버넌스
최종 업데이트 · 2026-10-23

AI 기본법(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법)

1. 개요

가. 정의

AI 기본법은 인공지능 산업의 진흥과 기반 조성을 지원하는 동시에, 고영향·생성형 인공지능에 대한 투명성·안전성·이용자 보호 의무를 부과하여 신뢰 기반을 조성하려는 대한민국의 기본법이다. 정식 명칭은 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」이며, 2025년 1월 공포되어 2026년 1월부터 시행되었다.

AI 기본법의 핵심은 "규제만의 법"도 "진흥만의 법"도 아니라는 점에 있다. 국가 차원의 인공지능 기본계획과 전담 거버넌스로 투자·인재·데이터·컴퓨팅 기반을 넓히는 진흥 조항과, 국민의 생명·신체·기본권에 큰 영향을 미치는 인공지능에 책임을 지우는 신뢰 조항을 하나의 법에 결합한 통합형 입법이다. 따라서 정보관리기술사는 조문을 암기하기보다, 조직의 인공지능 사용 사례를 목록화하고 각 사례가 진흥 지원의 대상인지, 고영향·생성형 의무의 대상인지, 역외적용 대상인지를 판정하는 틀로 이 법을 이해해야 한다.

이 법은 국내 사업자만의 문제가 아니다. 국외에서 이루어진 행위라도 국내 시장과 이용자에게 영향을 미치면 적용될 수 있도록 역외적용 조항을 두었고, 일정 규모 이상의 해외 사업자에게는 국내대리인 지정 의무를 부과하는 방향으로 하위법령이 설계되었다. 다만 구체적 기준(매출·이용자 수)과 과태료 수준은 시행령·고시 단계에서 확정되므로, 실제 적용 여부는 국가법령정보센터의 현행 조문과 과학기술정보통신부 고시로 확인해야 한다.

나. 등장 배경과 필요성

생성형 인공지능이 급속히 확산되면서, 모델의 정확도만으로는 사회적 위험을 설명하기 어려워졌다. 같은 분류 모델이라도 사진 정리에 쓰이면 영향이 작지만, 채용 심사나 대출 심사, 의료 보조에 쓰이면 차별과 안전 문제가 커진다. 이처럼 위험은 알고리즘의 이름이 아니라 사용 목적·대상·맥락에서 발생하며, 기존 개인정보 보호법이나 정보통신망법만으로는 인공지능 특유의 설명가능성·편향·오남용 문제를 포괄하기 어려웠다.

한편 한국은 반도체·통신·제조 경쟁력을 바탕으로 인공지능 선도국을 지향하고 있어, 규제만으로는 산업 경쟁력을 잃을 수 있다는 우려도 컸다. 유럽연합이 2024년 EU AI Act를 확정하고 미국·일본이 각자의 접근을 취하는 가운데, 한국은 "진흥을 우선하되 최소한의 신뢰 장치를 둔다"는 절충 모델을 택했다. AI 기본법은 이러한 배경에서 국가 인공지능 정책의 법적 근거를 마련하고, 동시에 고영향·생성형 영역에 한정된 의무로 신뢰를 보완하려는 입법으로 등장했다.

다. 적용 관점

실무에서는 먼저 "우리 조직의 인공지능 사용 사례가 고영향에 해당하는가"를 묻고, 다음으로 "생성형 결과물을 외부에 제공하는가"를 판정한 뒤, 역할별 의무를 요구사항·아키텍처·운영 절차에 배치하는 순서가 효과적이다. 법무 문서만 만들고 시스템 설계에 반영하지 않으면, 모델 교체나 기능 변경 시 의무 이행이 끊기게 된다. 특히 외부 파운데이션 모델을 API로 사용하는 경우, 공급자의 정책과 표시 기능을 함께 검토해 의무가 서비스 흐름 전체에서 충족되도록 해야 한다.

2. 법 체계와 거버넌스 구조

AI 기본법은 "진흥–기반조성–신뢰"의 세 축으로 이해하면 전체 구조가 선명해진다. 진흥 축은 기본계획·연구개발·표준화·인재양성·데이터센터 지원을, 기반조성 축은 데이터·컴퓨팅 자원과 산업 생태계 지원을, 신뢰 축은 고영향·생성형 의무와 안전성 확보를 담당한다. 세 축을 총괄하는 거버넌스로 대통령 소속 국가인공지능위원회를 두고, 과학기술정보통신부가 3년마다 인공지능 기본계획을 수립하도록 한 점이 특징이다.

flowchart TB
  Law["AI 기본법(기본법)"] --> Gov["국가인공지능위원회(대통령 소속)"]
  Law --> Plan["인공지능 기본계획(3년 주기)"]
  Gov --> Plan
  Plan --> Promote["진흥·기반조성 축"]
  Plan --> Trust["신뢰·규제 축"]
  Promote --> P1["R&D·표준화·인재양성"]
  Promote --> P2["데이터·컴퓨팅 기반 지원"]
  Trust --> T1["고영향 인공지능 의무"]
  Trust --> T2["생성형 인공지능 투명성"]
  Trust --> T3["안전성 확보(초거대 모델)"]
  MSIT["과학기술정보통신부"] --> Safety["인공지능안전연구소"]
  MSIT --> Center["인공지능정책센터"]
  Safety --> Trust

이 구조는 "규제가 없으면 아무 지원도 없다"는 뜻이 아니다. 대다수 저위험 인공지능은 진흥·지원의 대상일 뿐 별도 의무가 없고, 신뢰 축의 의무는 고영향·생성형이라는 한정된 범주에만 부과된다. 즉 AI 기본법은 위험에 비례한 차등 규제를 지향하되, EU AI Act보다 의무 범위를 좁게 설정해 산업 부담을 줄이려 한 것으로 평가된다.

가. 진흥·기반조성 축

진흥 축의 출발점은 인공지능 기본계획이다. 과학기술정보통신부 장관이 국가인공지능위원회의 심의·의결을 거쳐 3년마다 기본계획을 세우고, 연구개발 지원·국제협력·표준화·전문인력 양성·창업 지원 등의 시책을 담는다. 이는 과거 개별 사업 단위로 흩어져 있던 인공지능 정책에 법적 근거와 중기 로드맵을 부여한다는 점에서 의미가 크다.

기반조성 축은 데이터와 컴퓨팅이라는 두 병목을 겨냥한다. 학습용 데이터의 생산·수집·활용을 촉진하고, 국가 차원의 인공지능 데이터센터와 고성능 컴퓨팅 자원 확충을 지원하는 근거를 두었다. 예를 들어 중소·스타트업이 자체적으로 확보하기 어려운 대규모 GPU 자원과 공공 데이터를 공유형 인프라로 제공하면, 초기 투자 장벽을 낮추어 생태계 저변을 넓힐 수 있다.

또한 이 법은 인공지능정책센터 지정과 인공지능안전연구소 운영의 근거를 둔다. 정책센터는 정책 연구·실태조사·국제동향 분석을, 안전연구소는 안전성 평가 기법과 기준 연구를 담당하도록 설계되어, 진흥과 신뢰가 분리되지 않고 연결되도록 한 점이 특징이다. 이는 안전연구소를 통해 "배포 전·후 평가 역량"을 국가가 축적하려는 흐름과도 맞닿아 있다.

나. 거버넌스와 기본계획

국가인공지능위원회는 대통령 소속으로, 부처 간 정책을 조정하고 기본계획과 주요 시책을 심의한다. 인공지능은 산업·과학기술·교육·노동·안보에 걸치는 융합 이슈이므로, 특정 부처 단독으로는 정책 추진이 어렵다는 현실을 반영한 것이다. 위원회에 민간 전문가를 포함해 산업 현장의 목소리를 반영하도록 한 점도 거버넌스 설계의 핵심이다.

다만 위원회가 실질적 조정력을 가지려면 예산·권한·전문 사무국이 뒷받침되어야 한다는 점은 과제로 남는다. 자문기구에 그치면 부처별 사업이 중복되거나 책임 소재가 모호해질 수 있으므로, 기본계획의 이행 점검과 성과 평가 체계가 함께 작동해야 한다. 정보관리기술사 관점에서는 이러한 거버넌스가 조직 내 AI 관리체계(예: ISO/IEC 42001 [[iso-42001-ai-management-system]])와 어떻게 연계되는지를 설계 과제로 보아야 한다.

3. 핵심 의무와 적용 절차

신뢰 축의 의무는 크게 고영향 인공지능 의무, 생성형 인공지능 투명성 의무, 안전성 확보 의무, 역외적용·국내대리인으로 나뉜다. 사업자는 자신의 인공지능이 고영향에 해당하는지 사전 검토할 의무가 있고, 과학기술정보통신부에 해당 여부 확인을 요청하는 것은 임의 사항으로 설계되었다. 고영향으로 판정되면 위험관리·설명가능성·이용자 보호 등 복수의 조치를 이행해야 한다.

flowchart TB
  Start["인공지능 제품·서비스 기획"] --> Q1{"고영향 영역에 해당?"}
  Q1 -->|"예"| High["고영향 인공지능 의무 이행"]
  Q1 -->|"아니오"| Q2{"생성형 결과물 제공?"}
  High --> HR["위험관리방안 수립·운영"]
  High --> HE["결과 설명방안 마련"]
  High --> HU["이용자 보호방안 수립"]
  High --> HA["영향평가 노력(공공조달 우대)"]
  Q2 -->|"예"| Gen["생성형 투명성 의무"]
  Q2 -->|"아니오"| Low["진흥·일반 통제 대상"]
  Gen --> G1["AI 기반 운용 사전 고지"]
  Gen --> G2["생성 결과물에 AI 표시"]
  High --> Gen
  HR --> Done["운영·사후 모니터링"]
  G1 --> Done

위 흐름은 의무가 "전부 아니면 전무"가 아님을 보여준다. 하나의 서비스가 고영향이면서 동시에 생성형일 수 있고, 이 경우 두 축의 의무를 중첩 적용한다. 반대로 저위험 자동화는 신뢰 축 의무 없이 진흥·일반 통제의 대상이 되므로, 가장 먼저 정확한 분류가 선행되어야 한다.

가. 고영향 인공지능

고영향 인공지능은 사람의 생명·신체의 안전과 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 영역의 인공지능을 말한다. 법과 하위법령은 그 예시로 의료기기, 에너지·수도 등 국민 생활 필수 영역, 교통시설 운영, 채용·대출 심사처럼 개인의 권리관계를 평가하는 분야 등을 들고 있다. 구체적 대상과 범위는 정부가 정하도록 위임되어, 기술 변화에 따라 조정될 수 있는 유연성을 두었다.

고영향 사업자에게는 위험관리방안의 수립·운영, 이용자에 대한 설명방안 마련, 이용자 보호방안 수립, 안전·신뢰성 확보 조치, 사람에 의한 관리·감독, 문서 보관 등의 이행 의무가 부과된다. 예컨대 채용 심사에 인공지능을 쓰는 기업이라면, 어떤 특징이 평가에 반영되는지 설명할 수 있어야 하고, 지원자가 결과에 이의를 제기할 창구와 사람이 재검토하는 절차를 마련해야 한다. 이는 단순한 공지 문구가 아니라 요구사항·로그·인터페이스·운영 절차로 구현되어야 실효성을 가진다.

한편 영향평가(제35조 계열)는 법적으로 "노력 의무"로 규정된 것으로 알려져 있으나, 국가기관 등이 조달 시 영향평가를 마친 제품을 우선 고려하도록 유인을 두어 사실상 준필수에 가깝게 작동할 수 있다. 따라서 공공시장을 겨냥하는 사업자라면 영향평가를 조기에 수행하는 것이 조달 경쟁력 확보에 유리하다. 다만 조문별 의무 수준과 시행령의 세부 기준은 개정 가능성이 있으므로 단정하지 않고 최신 원문을 확인해야 한다.

나. 생성형 인공지능과 투명성

생성형 인공지능 또는 고영향 인공지능을 이용한 제품·서비스를 제공하려는 사업자는, 해당 제품·서비스가 인공지능에 기반해 운용된다는 사실을 이용자에게 사전에 고지해야 한다. 또한 생성형 인공지능이 만든 결과물(텍스트·이미지·영상·음성 등)에는 그것이 인공지능에 의해 생성되었다는 사실을 표시해야 한다. 이는 딥페이크 등 합성 콘텐츠의 오인·악용을 줄이고 이용자의 판단권을 보장하려는 취지이다.

표시 의무의 구현은 화면 문구 하나에 그치지 않는다. 실무에서는 API 응답 메타데이터, 워터마크나 기계 판독 가능한 표식(예: C2PA 계열 콘텐츠 출처 표준), 생성 이력 로그, 수정 여부 기록까지 함께 설계해야 반복적·자동적으로 의무를 충족할 수 있다. 예를 들어 뉴스·광고 영상에 생성형 결과물을 사용하는 사업자라면, 편집 단계에서 자동으로 표식을 삽입하는 파이프라인을 두는 편이 수작업 고지보다 안정적이다.

투명성은 모델 내부를 전부 공개하라는 의미가 아니다. 이용자가 "지금 인공지능과 상호작용하는지", "이 콘텐츠가 생성된 것인지"를 이해할 수 있도록 정보를 제공하는 것이 핵심이다. 따라서 다국어 안내, 접근성, 신고 채널, 로그 보존까지 서비스 요구사항에 포함해야 한다.

다. 안전성 확보와 초거대 모델

안전성 확보 의무는 고영향 인공지능과 일정 규모 이상의 대규모 모델을 겨냥한다. 하위법령 초안 논의에서는 학습에 사용된 누적 연산량이 10의 26승 플롭스(FLOPs)를 초과하는 초거대 모델을 별도의 안전 확보 대상으로 보고, 위험 식별·평가·완화 조치를 요구하는 방향이 제시되었다. 이는 EU AI Act의 범용 AI 모델 체계적 위험 기준과 유사한 발상으로, 연산량을 위험의 대리지표로 삼은 것이다.

연산량 임계치를 기준으로 삼는 방식은 측정의 객관성이라는 장점이 있지만, 기술 발전으로 적은 연산으로도 강력한 모델이 나오면 기준이 빠르게 낡을 수 있다는 한계도 있다. 따라서 안전성 기준은 연산량 외에 능력 평가·레드팀·사고 보고 같은 다면적 지표로 보완될 필요가 있다. 인공지능안전연구소가 평가 기법과 기준을 연구·축적하도록 한 것도 이러한 보완을 염두에 둔 설계로 볼 수 있다.

라. 역외적용과 국내대리인

AI 기본법은 국외에서 이루어진 행위라도 국내 시장·이용자에 영향을 미치면 적용할 수 있도록 역외적용 조항을 두었다. 이는 해외 서버에 기반한 글로벌 빅테크 서비스가 국내 이용자에게 미치는 영향을 규율하기 위한 장치이다. 다만 집행 역량과 제재 수단이 충분한지에 대해서는 실효성 논란이 있어, 국내대리인 제도로 이를 보완한다.

국내대리인 지정 의무는 일정 규모 이상의 해외 사업자를 대상으로 하며, 하위법령 초안에서는 본사 매출, 국내 인공지능 관련 매출, 국내 일평균 이용자 수 등을 기준으로 논의되었다. 국내대리인은 투명성·안전성 의무 이행, 자료 보관, 당국과의 소통 창구 역할을 맡는다. 구체적 기준 수치와 미지정 시 과태료 수준은 시행령·고시로 확정되는 사항이므로, 본 노트에서는 단정하지 않고 최신 원문 확인을 전제로 한다.

4. 비교 및 적용 사례

AI 기본법은 흔히 EU AI Act [[eu-ai-act-compliance]]와 비교된다. 두 법 모두 위험에 비례한 차등 의무를 지향하지만, EU는 금지–고위험–제한적–최소 위험의 촘촘한 분류와 높은 과징금(전 세계 매출 비례)으로 "규제 우선"에 가깝고, 한국은 고영향·생성형이라는 좁은 범주에 의무를 집중하고 진흥 조항을 결합한 "진흥 우선"에 가깝다.

구분 AI 기본법(한국) EU AI Act
기본 성격 진흥+신뢰 결합 기본법 위험기반 규제 중심
위험 분류 고영향·생성형 중심(좁음) 금지·고위험·제한·최소(촘촘)
생성형 표시 사전 고지 + 결과물 표시 투명성 의무(합성물 표시)
대규모 모델 연산량 기준 안전성 논의 GPAI 체계적 위험(10^25 FLOPs 계열)
제재 과태료 중심(상대적 경미) 고액 과징금(매출 비례)
역외 역외적용+국내대리인 역외적용+EU대리인

이 비교의 실무적 함의는, 유럽과 국내 시장을 동시에 공략하는 사업자는 더 엄격한 EU 기준에 맞추면 국내 기준도 대체로 충족할 수 있다는 점이다. 따라서 글로벌 기업은 EU AI Act를 기준선으로 삼아 공통 통제를 설계하고, 한국의 사전 고지·결과물 표시 같은 세부 요구를 지역별로 보강하는 전략이 효율적이다.

구체 사례로, 국내 핀테크 기업이 생성형 인공지능 챗봇으로 대출 상담을 제공한다고 하자. 이 서비스는 대출 심사(고영향)와 생성형(투명성)이 결합되므로, (1) 챗봇 시작 시 "인공지능 기반 상담"임을 고지하고, (2) 생성 답변에 AI 표시를 하며, (3) 심사 결과에 대한 설명과 사람 재검토 창구를 두고, (4) 공공·금융 조달을 노린다면 영향평가를 선제적으로 수행하는 설계가 필요하다. 또 다른 사례로, 해외에 본사를 둔 영상 생성 서비스가 국내 월 이용자 수가 큰 경우 국내대리인 지정 대상이 될 수 있어, 진출 초기부터 대리인·자료보관 체계를 준비해야 한다.

5. 심화: 최신 동향과 예상 출제 방향

시행 이후의 핵심 변수는 하위법령과 계도기간이다. 정부는 시행 초기 혼란을 줄이기 위해 최소 1년 이상의 계도·유예 기간을 운영하고, 전문가 지원 창구를 통해 기업 맞춤형 자문을 제공하는 방향을 밝혔다. 2026년 중 시행령 개정과 투명성 확보 가이드라인(안) 등 세부 기준이 순차적으로 정비되고 있어, 조문뿐 아니라 고시·가이드라인을 함께 추적하는 것이 중요하다.

기술사 관점의 예상 출제 방향으로는 ① 고영향 인공지능 판정 절차와 사업자 의무를 사례와 함께 서술하는 문제, ② 생성형 결과물 표시(워터마크·C2PA)와 딥페이크 대응을 연계한 문제, ③ EU AI Act와의 비교, ④ AI 기본법–ISO/IEC 42001 [[iso-42001-ai-management-system]]–AI TRiSM [[ai-trism]]을 엮은 통합 거버넌스 설계 문제 등을 상정할 수 있다. 답안 구성 전략으로는 "진흥–기반조성–신뢰" 3축으로 전체 구조를 먼저 제시한 뒤, 고영향·생성형 의무를 절차도와 함께 전개하고, 마지막에 기술사 관점의 적용 전략·트레이드오프로 마무리하는 흐름이 효과적이다.

또한 AI 기본법은 단독으로 작동하지 않고 개인정보 보호법, 저작권법, 전자정부법, 정보통신망법 등과 교차한다. 예컨대 학습 데이터의 개인정보 처리는 개인정보 보호법의 적용을 함께 받고, 생성 결과물의 저작권 귀속은 저작권법 쟁점과 맞물린다. 따라서 규제 지도를 그려 "어느 법이 어디에서 걸리는지"를 분별하는 역량이 점점 중요해지고 있다.

6. 고려사항 및 시사점

첫째, 적용 전략 측면에서 조직은 법 시행에 앞서 인공지능 사용 사례 목록(AI Inventory)을 만들고 고영향·생성형 여부를 선분류해야 한다. 분류가 선행되어야 의무를 요구사항·아키텍처·운영 절차에 정확히 배치할 수 있으며, 외부 모델을 쓰는 경우 공급자 책임과 자사 책임의 경계를 계약으로 명확히 해야 한다.

둘째, 트레이드오프 측면에서 AI 기본법은 산업 부담을 줄이려 의무 범위를 좁혔으나, 이는 신뢰 보호의 공백을 낳을 수 있다는 양면성을 가진다. 의무가 고영향·생성형에 한정되므로, 저위험으로 분류되지만 실제로는 사회적 영향이 큰 사각지대가 생길 수 있어, 조직은 법적 최소선을 넘어 자체 윤리·품질 통제를 병행하는 편이 안전하다.

셋째, 전망 측면에서 연산량 임계치 기준은 기술 발전에 따라 빠르게 낡을 수 있어, 능력 기반 평가·레드팀·사고 보고 같은 다면 지표로 진화할 가능성이 크다. 인공지능안전연구소의 평가 역량 축적과 국제 표준(ISO/IEC 42001, NIST AI RMF) 정합이 향후 규제의 실효성을 좌우할 전망이다.

넷째, 연계 기술 측면에서 투명성 의무는 C2PA 등 콘텐츠 출처·워터마크 표준, 설명가능성 의무는 XAI [[explainable-ai]] 기법, 안전성 의무는 AI 레드팀 [[ai-red-teaming]]·가드레일과 직접 연결된다. 따라서 법 준수는 별도 문서 작업이 아니라, 데이터 계보·모델 버전·평가 결과·사고 기록을 하나로 연결하는 MLOps·거버넌스 체계로 구현되어야 규제 대응과 운영 품질을 동시에 얻을 수 있다.

참고자료

한 줄 요약: AI 기본법은 진흥·기반조성과 신뢰(고영향·생성형 의무, 안전성 확보, 역외적용)를 결합한 한국의 통합형 인공지능 기본법으로, 조직은 사용 사례 분류를 선행해 투명성·설명가능성·안전성 의무를 MLOps·거버넌스 체계로 구현해야 한다.