이 글에서는 인공지능기본법의 제정 배경, 핵심 의무사항, 고영향 AI 규제 체계, 기업의 실무 대응 방안을 상세히 분석한다.

과학기술정보통신부는 2025년 11월 12일 시행령 제정안을 입법예고했으며, 총 7종의 고시와 가이드라인 초안을 공개해 사업자들의 준비를 돕고 있다. EU가 고위험 AI 규제 적용을 2027년 12월까지 연기한 상황에서, 한국이 실질적으로 AI 규제를 가장 먼저 전면 적용하는 국가가 될 전망이다.

유상임 과학기술정보통신부 장관은 “AI 기술의 급속한 확산 속에서 법적 공백을 해소하고, 동시에 신뢰 가능한 AI 활용 기반을 마련하겠다”고 밝혔다.

한국의 인공지능기본법은 4년간의 논의 끝에 탄생한 결과물이다. 2021년 7월 최초 법안 발의 이후, 제22대 국회에서 여야 합의로 19개 법안을 병합하여 2024년 12월 최종 통과시켰다.

인공지능기본법의 제정 배경을 살펴보면, 전 세계적으로 AI 규제 논의가 가속화되는 가운데 한국도 선제적 대응이 필요했다. EU는 2024년 8월 AI Act를 발효했고, 미국은 2023년 10월 바이든 행정부의 AI 행정명령을 통해 규제 프레임워크를 구축했다. 중국 역시 2023년부터 생성형 AI 관리잠행방법을 시행 중이다.

한국법제연구원의 분석에 따르면, AI 기본법은 “규제보다 진흥에 무게를 두고 필요 최소한의 규제 체계를 도입”하는 방향으로 설계되었다. 이는 EU AI Act의 엄격한 규제 중심 접근과 차별화되는 지점이다.

법의 핵심 목적은 명확하다. 제1조(목적)에서 “인공지능의 건전한 발전과 신뢰 기반 조성에 필요한 기본적인 사항을 규정함으로써 국민의 권익과 존엄성을 보호하고 국민의 삶의 질 향상과 국가경쟁력을 강화”한다고 명시했다.

정리하면, 인공지능기본법은 AI 산업 육성과 위험 관리라는 두 축을 동시에 추구하는 균형잡힌 접근을 택했다. 이는 글로벌 AI 패권 경쟁에서 한국의 전략적 포지셔닝을 반영한다.

인공지능기본법의 규제 핵심은 “고영향 인공지능”과 “생성형 인공지능” 두 가지 범주에 집중된다. 사업자가 자사 서비스가 어느 범주에 해당하는지 정확히 판단하는 것이 컴플라이언스의 출발점이다.

EU AI Act가 “고위험(High-Risk)”이라는 용어를 사용하는 반면, 한국법은 “고영향(High-Impact)”이라는 가치중립적 표현을 채택했다. 이는 위험성 판단에 대한 유연한 해석 여지를 남기려는 의도로 분석된다.

생성형 인공지능은 제2조 제5호에서 “입력한 데이터의 구조와 특성을 모방하여 글, 소리, 그림, 영상, 그 밖의 다양한 결과물을 생성하는 인공지능시스템”으로 정의된다.

OpenAI의 ChatGPT, Google의 Gemini, Anthropic의 Claude, Meta의 Llama 등 대표적인 LLM(Large Language Model) 서비스와 Midjourney, DALL-E, Stable Diffusion 같은 이미지 생성 AI, 그리고 Suno, Udio 같은 음악 생성 AI가 모두 이 범주에 포함된다.

정리하면, 기업은 자사가 운영하거나 도입하려는 AI 시스템이 고영향 AI 11개 영역에 해당하는지, 생성형 AI에 해당하는지를 사전에 검토해야 한다. 이 분류에 따라 적용되는 의무사항이 달라진다.

인공지능기본법은 AI 사업자에게 5가지 핵심 의무를 부과한다. 각 의무의 구체적 내용과 이행 방법을 상세히 살펴본다.

투명성 확보 의무는 모든 고영향 AI와 생성형 AI 사업자에게 적용되는 기본 의무다.

사전 고지 의무 (제31조 제1항): 고영향 AI나 생성형 AI를 이용한 제품·서비스 제공 시, 해당 AI에 기반하여 운용된다는 사실을 이용자에게 사전에 고지해야 한다.

AI 생성물 표시 의무 (제31조 제2항): 생성형 AI 또는 이를 이용한 제품·서비스의 결과물이 AI에 의해 생성되었다는 사실을 표시해야 한다. 실무적으로는 워터마크, 메타데이터 삽입, 화면 표시 등의 방법이 활용된다.

딥페이크 고지 의무 (제31조 제3항): 실제와 구분하기 어려운 가상의 음향, 이미지, 영상 등을 제공할 경우, 이용자가 명확하게 인식할 수 있는 방식으로 AI 생성 사실을 고지·표시해야 한다. 단, 예술적·창의적 표현물의 경우 전시나 향유를 저해하지 않는 방식으로 표시할 수 있다.

안전성 확보 의무는 대규모 AI 시스템 개발사업자에게 적용된다. “학습에 사용된 누적 연산량이 대통령령으로 정하는 기준 이상”인 AI 시스템이 대상이다.

위험 식별·평가·완화 (제32조 제1항 제1호): AI 수명주기 전반에 걸쳐 위험을 식별하고 평가하며 완화 조치를 취해야 한다.

위험관리체계 구축 (제32조 제1항 제2호): AI 관련 안전사고를 모니터링하고 대응하는 체계를 구축해야 한다.

결과 제출 (제32조 제2항): 이행 결과를 과학기술정보통신부장관에게 제출해야 한다.

고영향 AI 또는 이를 이용한 제품·서비스를 제공하는 사업자는 안전성·신뢰성 확보를 위해 6가지 조치를 이행해야 한다:

• 위험관리방안 수립·운영: 잠재적 위험을 사전에 식별하고 관리하는 체계
• 설명 방안 수립·시행: AI 최종결과, 주요 판단 기준, 학습용데이터 개요 등에 대한 설명 제공
• 이용자 보호 방안 수립·운영: 이용자 권익 보호를 위한 구체적 조치
• 인간 관리·감독: 고영향 AI에 대한 사람의 개입과 통제 체계
• 문서 작성·보관: 안전성·신뢰성 확보 조치 내용을 확인할 수 있는 문서화
• 위원회 심의사항 이행: 국가인공지능위원회에서 심의·의결된 추가 사항

• 고영향 AI를 이용한 제품·서비스 제공 시, 사전에 사람의 기본권에 미치는 영향을 평가하기 위해 “노력”해야 한다. 강제 의무가 아닌 노력 의무로 규정되었으나, 국가기관등이 고영향 AI 제품·서비스를 이용할 때는 영향평가를 실시한 것을 우선 고려해야 한다.

국내에 주소나 영업소가 없는 해외 AI 사업자로서 이용자 수, 매출액 등이 대통령령 기준에 해당하는 경우, 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 한다.

이 조항은 OpenAI, Google, Meta 등 해외 빅테크 기업에 직접 적용되며, 국내 시장에서 서비스를 제공하는 한 한국법의 적용을 받게 된다.

정리하면, 투명성 확보 의무는 모든 고영향·생성형 AI 사업자에게, 안전성 확보 의무는 대규모 AI 개발사에게, 고영향 AI 책무는 해당 영역 사업자에게, 영향평가는 노력 의무로, 국내대리인 지정은 해외 사업자에게 각각 적용된다.