AI 개발사와 서비스 운영사, AI 기본법 책임은 어떻게 나뉠까?

외부 AI 모델을 API로 연결해 서비스를 만들었다면 이용자 고지는 누가 해야 할까요? 모델 개발사가 해야 할까요, 아니면 실제 앱과 서비스를 운영하는 회사가 해야 할까요?

먼저 결론부터 정리하면 현재 공개된 투명성 확보 가이드라인은 최종 이용자에게 AI 제품과 서비스를 제공하는 사업자를 중심으로 의무를 설명하고 있습니다. 반면 2026년 7월 발의된 AI 기본법 개정안은 생성형 AI 결과물 표시 책임을 모델 개발사와 서비스 운영사의 기술적 역할에 따라 더 구체적으로 나누는 방향을 제시했습니다.

따라서 이번 논의는 AI 기본법 의무가 새로 확정됐다는 소식이 아닙니다. 현행 법률과 가이드라인은 그대로 적용되고 있으며, 개정안은 국회 심사를 거쳐야 하는 제안 단계입니다. 다만 AI 공급망에 참여하는 기업이라면 개정 결과와 무관하게 지금부터 책임과 증빙 구조를 정리할 필요가 있습니다.

이번 개정 논의가 나온 이유

디지털투데이는 2026년 7월 30일 기사에서 현행 AI 기본법의 개발사업자와 이용사업자 구분이 실제 AI 공급망의 복잡성을 충분히 반영하지 못한다는 업계와 법조계의 의견을 전했습니다.

현실의 AI 서비스는 모델 개발사와 서비스 운영사만으로 만들어지지 않는 경우가 많습니다. 파운데이션 모델 개발사, API 공급사, 클라우드 사업자, 시스템통합 사업자, 서비스 운영사, 유통 플랫폼이 하나의 결과물에 함께 관여할 수 있습니다.

어떤 오류가 모델의 한계에서 발생했는지, API 연결 과정에서 생겼는지, 운영사가 부여한 권한이나 업무 규칙 때문인지에 따라 실제 통제 주체도 달라집니다. 하나의 서비스라고 해서 모든 참여 기업이 같은 부분을 통제할 수 있는 것은 아닙니다.

AI 개발사업자와 이용사업자의 차이

AI 기본법은 인공지능사업자를 인공지능개발사업자와 인공지능이용사업자로 구분합니다.

인공지능개발사업자는 인공지능을 개발해 제공하는 자입니다. AI 또는 AI 기술을 직접 개발하거나 성능에 중대한 영향을 줄 정도로 수정, 변경, 개량해 제공하는 경우가 여기에 포함될 수 있습니다.

인공지능이용사업자는 개발사업자가 제공한 인공지능을 이용해 인공지능제품이나 인공지능서비스를 제공하는 자입니다. 외부 LLM API를 활용해 고객 상담 챗봇, 검색 서비스, 교육 서비스 또는 업무 자동화 제품을 제공하는 회사가 대표적인 예입니다.

반면 ChatGPT 같은 AI 서비스를 사내 문서 작성이나 콘텐츠 제작에 단순히 사용하는 회사는 일반적으로 AI 서비스의 이용자에 가깝습니다. 외부 이용자에게 AI 제품이나 서비스를 제공하는지 여부가 중요한 구분 기준입니다.

현재 투명성 의무는 누구에게 적용되는가

과학기술정보통신부의 「인공지능 투명성 확보 가이드라인」은 투명성 확보 의무가 이용자에게 최종적으로 AI 제품이나 서비스를 제공하는 인공지능사업자에게 부과된다고 설명합니다.

예를 들어 A사가 파운데이션 모델 API를 제공하고 B사가 이를 활용해 최종 이용자에게 AI 서비스를 제공한다면, 가이드라인상 투명성 의무는 B사를 중심으로 판단합니다. 파운데이션 모델 개발사가 직접 이용자에게 AI 제품과 서비스를 제공한다면 개발사에도 직접적인 의무가 발생할 수 있습니다.

생성형 AI를 활용한 제품과 서비스를 제공하는 사업자는 결과물이 생성형 AI로 만들어졌다는 사실을 표시해야 합니다. 현행 시행령과 가이드라인은 사람이 인식할 수 있는 표시와 기계가 판독할 수 있는 표시를 허용하고 있습니다. 기계판독 방식을 사용할 때에는 안내 문구나 음성 등을 최소 한 차례 제공해야 한다는 기준도 있습니다.

개정안이 제안한 역할 분리

기사에 따르면 안철수 의원이 대표발의한 개정안은 생성형 AI 결과물 표시 책임을 다음과 같이 나누는 방향을 담고 있습니다.

• 인공지능개발사업자: 결과물에 기계가 판독할 수 있고 국제 기술표준과 상호 운용되는 방식으로 표시

• 인공지능이용사업자: 앱이나 플랫폼 화면에서 최종 이용자가 AI 생성 사실을 명확하게 인식할 수 있도록 표시

모델 개발사는 결과물의 메타데이터나 기술적 출처 정보를 구현할 수 있지만 개별 서비스의 화면까지 통제하기 어렵습니다. 반대로 서비스 운영사는 이용자 화면과 안내 흐름을 설계할 수 있지만 외부 모델 내부에 기술표준 기반 정보를 삽입할 권한은 없을 수 있습니다.

개정안은 이런 통제 범위의 차이를 법률상 표시 책임에 반영하자는 접근입니다. 개정안이 원안대로 통과된다면 개발사는 기술적 표시, 운영사는 사람이 알아볼 수 있는 고지를 중심으로 역할이 구체화될 수 있습니다.

여기서 주의할 점이 있습니다. 개정안은 2026년 8월 5일 기준 확정된 법률이 아닙니다. 현행 의무를 개정안 기준으로 미리 축소해서는 안 되며, 법률안의 심사, 수정, 의결 과정을 계속 확인해야 합니다.

개발사만 책임지면 안 되는 이유

외부 모델을 사용했다는 이유만으로 최종 서비스 운영사가 책임에서 빠지는 것은 아닙니다. 서비스 운영사는 AI를 어떤 목적으로 사용할지, 어떤 데이터와 연결할지, 이용자에게 어떤 기능으로 제공할지 결정합니다.

운영사가 시스템 프롬프트, 검색 데이터, 외부 도구, 실행 권한, 필터링 규칙을 설정하면 같은 모델을 사용해도 결과와 위험이 크게 달라질 수 있습니다. 이용자에게 결과를 보여주는 화면과 이의제기 절차, 사람의 검토 방식도 운영사가 통제하는 영역입니다.

따라서 모델 개발사가 기술적 표시를 제공하더라도 서비스 운영사는 그 정보가 최종 이용자에게 실제로 전달되는지 확인해야 합니다. 다운로드, 복사, 변환, 재가공 과정에서 메타데이터가 사라지는 경우도 고려해야 합니다.

서비스 운영사만 책임지면 안 되는 이유

서비스 운영사가 모든 기술적 정보를 스스로 만들 수도 없습니다. 모델 버전, 학습 방식의 개요, 알려진 제한사항, 안전장치, 기술적 출처 표시는 모델 개발사나 API 공급사가 더 잘 통제하는 정보입니다.

개발사가 필요한 정보를 제공하지 않으면 운영사는 이용자에게 정확한 설명을 하기 어렵고, 위험 평가와 장애 원인 분석도 제한됩니다. 모델이 업데이트됐는데 변경 내용을 전달받지 못한다면 기존 시험과 고지 문구가 계속 유효한지도 판단하기 어렵습니다.

이 때문에 책임 분담은 단순히 “문제가 생기면 개발사가 책임진다”는 계약 문구로 해결되지 않습니다. 각 주체가 통제할 수 있는 정보와 기능, 전달해야 할 자료, 변경 통지 기준을 구체적으로 정해야 합니다.

유통 플랫폼도 논의에서 빠지기 어려운 이유

AI 생성물은 생성 서비스 안에서만 머물지 않습니다. 이미지나 영상이 다운로드된 뒤 SNS, 동영상 플랫폼, 커뮤니티, 광고 플랫폼으로 유통될 수 있습니다.

서비스에서 정상적으로 표시한 정보가 업로드나 압축 과정에서 제거될 수도 있고, 이용자가 표시를 고의로 훼손할 가능성도 있습니다. 생성 단계의 표시만 규정해서는 최종 이용자가 콘텐츠를 만나는 시점까지 정보가 유지되지 않을 수 있는 이유입니다.

기사에서도 개발사업자와 이용사업자뿐 아니라 유통 플랫폼의 역할을 함께 검토하거나 별도의 배포자 개념을 도입하는 방안이 언급됐습니다. 아직 확정된 규율은 아니지만, 향후 투명성 제도에서 생성 단계와 서비스 단계, 유통 단계의 연결성이 중요한 쟁점이 될 가능성이 있습니다.

계약서에 반드시 연결할 항목

법적 지위는 계약서에 적힌 명칭만으로 결정되지 않습니다. 실제 수행 기능과 통제 범위를 기준으로 판단해야 합니다. 다만 확인한 역할을 계약과 운영 문서에 반영하지 않으면 사고가 발생했을 때 책임 공방이 커질 수 있습니다.

외부 모델이나 API를 도입하는 계약에는 다음 항목을 구체적으로 정리하는 편이 좋습니다.

• 공급자가 제공하는 기계판독 정보와 기술표준

• 서비스 화면에서 사람이 확인할 수 있는 표시의 구현 주체

• 모델명, 버전, 제한사항 및 안전조치에 관한 자료 제공 범위

• 모델 업데이트와 표시 방식 변경의 사전 통지 기준

• 메타데이터 누락이나 표시 오류가 발생했을 때의 대응 절차

• 이용자 문의, 신고, 이의제기의 전달 및 처리 주체

• 로그, 시험 결과, 변경 이력의 작성과 보관 책임

• 재위탁, 클라우드, 외부 도구 사용 시 책임의 연쇄 구조

지금 기업이 해야 할 준비

개정안의 통과 여부를 기다리기 전에 우리 서비스의 AI 공급망부터 그려야 합니다. 어떤 모델을 사용하고 있는지, 누구에게 API를 공급받는지, 중간 구축사가 무엇을 변경했는지, 최종 이용자 접점은 누가 운영하는지를 확인하는 작업입니다.

그다음 생성물 표시가 어느 단계에서 만들어지고 어느 과정에서 유지되거나 제거되는지 살펴야 합니다. 기계판독 정보가 제공되는지, 화면 고지는 구현돼 있는지, 다운로드 후에도 정보가 남는지 각각 따로 시험할 필요가 있습니다.

마지막으로 법령 변경을 추적해야 합니다. 이번 개정안이 심사 과정에서 수정될 수 있고, 다른 사업자 유형이나 유통 플랫폼 관련 논의가 추가될 가능성도 있기 때문입니다.

자주 묻는 질문

개정안이 이미 시행된 것인가요?

아닙니다. 기사에서 다룬 내용은 국회에 발의된 일부개정법률안입니다. 2026년 8월 5일 현재 현행 법률, 시행령과 투명성 확보 가이드라인을 기준으로 대응해야 합니다.

외부 LLM API를 쓰면 무조건 인공지능이용사업자인가요?

API를 내부 업무에만 사용하는지, 이를 이용한 AI 제품이나 서비스를 외부 이용자에게 제공하는지에 따라 달라질 수 있습니다. 이용자에 대한 제공 행위가 중요한 판단 요소입니다.

모델 개발사가 메타데이터를 넣으면 서비스 화면 고지는 필요 없나요?

현행 기준에서는 기계판독 방식을 사용하는 경우에도 안내 문구나 음성 등을 최소 한 차례 제공해야 할 수 있습니다. 딥페이크 결과물은 이용자가 명확하게 인식할 수 있는 방식의 고지 또는 표시가 요구됩니다.

계약서에 책임을 개발사로 정하면 운영사는 의무가 없어지나요?

계약은 당사자 사이의 책임 분담 근거가 될 수 있지만 법률상 지위와 의무를 임의로 없애지는 못합니다. 실제 기능, 제공 행위와 통제 범위를 기준으로 별도로 판단해야 합니다.

핵심 정리

이번 AI 기본법 개정 논의의 핵심은 표시 의무를 없애는 것이 아닙니다. 모델 개발사는 기술적으로 통제할 수 있는 표시를 맡고, 서비스 운영사는 최종 이용자 접점에서 고지를 맡도록 책임을 구체화하자는 것입니다.

그러나 실제 공급망에는 API 공급사, 구축사, 클라우드와 유통 플랫폼도 참여합니다. 기업이 준비해야 할 것은 단순한 사업자 명칭이 아니라 AI 자산별 공급 구조, 통제 범위, 자료 전달, 표시 구현과 변경 이력을 연결하는 일입니다.

함께 보면 좋은 글

AI 투명성 확보 의무란? 고지 문구는 화면 어디에 넣어야 할까

생성형 AI 결과물 표시 방법 쉽게 보기

AI 외주 개발 계약에서 규제 책임을 어떻게 나눠야 할까?

AI 모델 제공사를 바꾸면 다시 진단해야 할까?