왜 알아야 하나
2026년 1월 22일, 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI 기본법)」이 시행되면서 한국은 AI 규제를 전면 시행한 초기 국가 중 하나가 됐다. 보안팀 입장에서는 “우리 서비스에 AI가 들어가는 순간 법적 의무가 같이 따라온다”는 걸 의미한다. 개인정보보호법이 그랬듯, AI 기본법도 결국 보안팀이 컴플라이언스 요건을 기술적으로 구현하는 창구가 된다.
핵심 개념: 고영향 AI
법의 무게중심은 고영향 AI(High-Impact AI) 개념이다. 국민의 생명·안전·기본권에 중대한 영향을 미칠 수 있는 아래 10개 영역의 AI를 더 엄격하게 관리한다.
| 영역 | 예시 |
|---|---|
| 에너지 | 전력 수요 예측·제어 |
| 먹는 물 | 상수도 관리 |
| 의료 | 진단 보조, 처방 추천 |
| 원자력 | 안전 제어 시스템 |
| 범죄 수사 | 프로파일링, 안면인식 |
| 채용 | 서류·면접 평가 |
| 대출 심사 | 신용평가, 여신 심사 |
| 교통 | 자율주행, 관제 |
| 공공서비스 | 행정 자동화 |
| 교육 | 평가·배치 알고리즘 |
사업자 의무
- 설명 방안 수립·시행 — 이용자가 AI 판단 결과에 대해 설명을 요구할 수 있도록 절차 마련
- 이용자 보호 방안 — 오작동·편향에 대한 이의제기·구제 채널
- 인간의 관리·감독 — 완전 자동화 의사결정 배제, 사람의 최종 검토 지점 확보
- 문서화·보관 — 설계·학습·테스트 이력 기록 (모델 카드류)
- 생성형 AI 표시 의무 — 텍스트·이미지·영상 등 AI 생성물에 워터마크 등으로 인지 가능하게 표시
위반 후 시정명령까지 불이행하면 최대 3천만 원의 과태료가 부과된다. 처벌 수위 자체는 GDPR·EU AI Act에 비해 낮지만, 핵심은 “탐지되면 시정명령 → 미이행 시 과태료”라는 구조라서 보안팀에게는 곧 로그·이력 관리 체계가 있는지를 묻는 법이다.
실무에서 부딪히는 지점
“어떤 서비스가 고영향 AI에 해당하는가”, “생성형 AI 표시 의무의 적용 범위가 어디까지인가”에 대한 해석이 시행 초기 시점까지도 불명확하다는 지적이 많다. 면접에서 이 부분을 물으면 “시행령·가이드라인이 계속 구체화되는 단계이고, 그래서 보수적으로 넓게 잡아 대응 체계부터 갖추는 게 실무 접근”이라고 답하는 게 자연스럽다.
기업이 실제로 고민하는 것
- 우리 제품이 고영향 AI에 해당하는가 — 자체 판단이 어려워 법무·컴플라이언스와 합동 스크리닝 프로세스를 만드는 추세
- AI 생성물 표시를 어느 레이어에서 구현할 것인가 — 프론트엔드 워터마크 vs 메타데이터 삽입 vs API 응답 헤더
- 모델 학습·운영 이력을 어떻게 남길 것인가 — MLOps 파이프라인에 로깅을 얹는 비용
- 해외 법(EU AI Act, 각국 규제)과 중복 대응을 어떻게 효율화할 것인가
보안팀이 준비할 것
- 사내 AI 서비스/기능 인벤토리화 (어디에 AI가 쓰이는지 목록화 — 의외로 이게 안 되어 있는 조직이 많다)
- 고영향 AI 해당 여부 체크리스트를 법무와 공동 작성
- 모델·데이터 변경 이력을 남기는 감사 로그 체계
- AI 생성 콘텐츠 표시 여부를 QA 프로세스에 포함
면접에서 나올 법한 질문
- AI 기본법에서 말하는 고영향 AI가 뭔지 설명해보라
- 우리 회사(가상의 회사) 서비스가 AI 기본법 대상인지 어떻게 판단할 것인가
- 법적 의무 이행을 기술적으로 어떻게 증빙할 것인가 (로그/문서화 관점)
Sources: