생성형 AI를 쓰는 회사도 AI 기본법 대상일까?

생성형 AI를 쓰는 회사도 AI 기본법 대상일까?

요즘 회사에서 생성형 AI를 쓰는 일은 매우 흔해졌습니다. 보고서 초안을 만들고, 이메일 문구를 다듬고, 회의록을 요약하고, 광고 카피를 뽑고, 고객 문의 답변을 정리하는 데 생성형 AI를 씁니다. 이제는 “AI를 도입했다”는 말보다 이미 업무 어딘가에서 AI를 쓰고 있다는 말이 더 현실에 가깝습니다.

그렇다면 자연스럽게 이런 질문이 나옵니다. 생성형 AI를 쓰는 회사도 AI 기본법 대상일까? 결론부터 말하면, 단순히 직원이 내부 업무 보조로 생성형 AI를 쓴다는 이유만으로 모든 회사가 곧바로 같은 의무를 지는 것은 아닙니다. 하지만 생성형 AI를 고객에게 제공하는 제품이나 서비스에 넣는 순간 이야기가 달라질 수 있습니다.

내부 사용과 외부 제공을 나누기

먼저 구분해야 할 것은 내부 사용과 외부 제공입니다. 직원이 문서 초안을 작성하거나 번역, 요약, 아이디어 정리에 생성형 AI를 쓰는 것은 내부 업무 보조에 가깝습니다. 반면 회사가 고객에게 챗봇, AI 상담, AI 문서 생성, AI 이미지 생성, AI 리포트 생성 기능을 제공한다면 이는 외부 이용자에게 AI 제품이나 서비스를 제공하는 경우에 가까워집니다.

법이 말하는 생성형 인공지능

AI 기본법은 생성형 인공지능 자체를 별도로 언급합니다. 법에서는 생성형 인공지능을 입력한 데이터의 구조와 특성을 모방해 글, 소리, 그림, 영상 등 다양한 결과물을 생성하는 인공지능시스템으로 봅니다. 쉽게 말하면 텍스트, 이미지, 음성, 영상 같은 콘텐츠를 새로 만들어내는 AI가 여기에 포함될 수 있습니다.

사전고지 의무

여기서 사업자가 특히 봐야 할 조항은 투명성 관련 의무입니다. AI 기본법 제31조는 인공지능사업자가 사람과 직접 상호작용하는 AI 제품 또는 서비스를 제공하는 경우, 이용자에게 해당 제품 또는 서비스가 AI에 기반해 운용된다는 사실을 사전에 고지하도록 정하고 있습니다. 즉 고객이 사람과 대화한다고 생각할 수 있는 AI 서비스라면 고지 문제가 생길 수 있습니다.

결과물 표시 의무

또한 생성형 AI를 이용해 실제와 구분하기 어려운 가상의 음향, 이미지, 영상 등을 제공하는 경우에도 표시 의무가 문제될 수 있습니다. 흔히 말하는 딥페이크나 AI 생성 이미지, AI 생성 영상처럼 이용자가 실제 콘텐츠로 오인할 수 있는 영역에서는 이 결과물이 AI로 만들어졌다는 점을 알리는 장치가 필요할 수 있습니다.

모델을 직접 만들지 않아도

많은 회사가 헷갈리는 지점은 “우리는 자체 AI 모델을 만들지 않는다”는 부분입니다. 하지만 규제 대응에서 중요한 것은 꼭 모델을 직접 개발했는지만이 아닙니다. 외부 생성형 AI API를 붙여서 고객에게 기능을 제공하거나, 기존 서비스 안에 AI 생성 기능을 넣는 경우에도 이용자 입장에서는 그 회사의 AI 서비스로 보일 수 있습니다.

예를 들어 SaaS 회사가 고객 리포트를 자동 생성해주는 기능을 넣었다고 해보겠습니다. 내부적으로는 외부 AI 모델을 호출할 뿐이라고 해도, 고객은 그 결과물을 해당 SaaS의 기능으로 받습니다. 이 경우 회사는 “우리는 모델 개발사가 아니다”라고만 말하기 어렵습니다. 서비스 제공자 관점에서 어떤 고지와 관리가 필요한지 검토해야 합니다.

내부 업무 보조는 성격이 다르다

반대로 직원이 혼자 업무 메모를 정리하기 위해 생성형 AI를 쓰는 경우라면 이야기가 다릅니다. 이때도 개인정보, 영업비밀, 고객사 자료를 입력하지 않도록 내부 정책을 둘 필요는 있습니다. 다만 고객에게 AI 제품이나 서비스를 제공하는 것과는 의무의 성격이 다를 수 있습니다. 그래서 생성형 AI 사용 여부만 보지 말고, 사용 방식과 제공 대상을 함께 봐야 합니다.

사용이 흩어져 있을 때가 더 위험하다

특히 위험한 경우는 회사 안에서 생성형 AI 사용이 흩어져 있는 경우입니다. 마케팅팀은 광고 문구 생성에 쓰고, CS팀은 답변 초안 작성에 쓰고, 개발팀은 코드 보조에 쓰고, 기획팀은 리서치 요약에 쓸 수 있습니다. 그런데 회사 차원에서 목록이 없다면 누가 어떤 AI에 어떤 데이터를 입력하는지 알기 어렵습니다.

이런 상태에서는 AI 기본법 대응도 어려워집니다. AI 사용 현황을 모르면 고지 의무가 있는지, 생성형 AI 표시가 필요한지, 고영향 AI 가능성이 있는지 판단하기 어렵습니다. 결국 첫 단계는 법 조항을 외우는 것이 아니라, 우리 회사 안에 어떤 생성형 AI 사용이 있는지 정리하는 일입니다.

먼저 던져볼 질문들

실무적으로는 몇 가지 질문부터 던져볼 수 있습니다. 우리 회사가 생성형 AI 기능을 고객에게 제공하고 있는가. 고객이 AI와 직접 상호작용하는가. 결과물이 텍스트, 이미지, 영상, 음성처럼 외부에 노출되는가. 이용자가 그 결과물을 사람이 만든 것으로 오인할 가능성이 있는가. 개인정보나 민감한 업무 정보가 입력되는가. 이 질문에 하나라도 해당한다면 최소한 내부 점검은 필요합니다.

고지 방식

또 하나 중요한 것은 고지 방식입니다. AI를 쓴다고 해서 무조건 길고 복잡한 약관을 만들어야 한다는 뜻은 아닙니다. 하지만 이용자가 AI와 상호작용하고 있다면, 서비스 화면이나 이용 흐름 안에서 그 사실을 알 수 있어야 합니다. 고지는 숨겨진 문구가 아니라, 이용자가 실제로 인식할 수 있는 방식이어야 합니다.

결과물 표시 정책

생성형 AI 결과물도 마찬가지입니다. AI로 생성된 이미지나 영상, 음향이 실제와 혼동될 수 있다면 표시 정책이 필요합니다. 특히 마케팅 콘텐츠, 고객 제출용 자료, 미디어 콘텐츠, 프로필 이미지, 상품 이미지, 상담 기록 등 외부 이해관계자가 보는 결과물이라면 더 조심해야 합니다.

금지가 아니라 기준 세우기

회사 입장에서 생성형 AI를 금지하는 방식은 현실적이지 않을 수 있습니다. 이미 업무 효율성이 너무 크기 때문입니다. 중요한 것은 금지가 아니라 어디까지 허용하고, 어떤 데이터는 입력하지 못하게 하며, 어떤 경우에는 고지와 표시를 해야 하는지 기준을 세우는 것입니다.

무엇부터 해야 하나

가장 먼저 할 일은 생성형 AI 사용 현황 조사입니다. 부서별로 어떤 도구를 쓰는지, 무료 계정인지 유료 계정인지, 어떤 업무에 쓰는지, 어떤 데이터를 넣는지 정리해야 합니다. 그다음 고객에게 제공되는 기능인지, 내부 업무 보조인지 구분해야 합니다.

두 번째는 고지 대상 여부를 보는 것입니다. 고객이 AI와 직접 상호작용하는 서비스라면 사전 고지가 필요한지 검토해야 합니다. 세 번째는 생성형 결과물 표시 정책입니다. AI가 만든 이미지, 영상, 음향, 텍스트가 외부로 나가는 경우 표시가 필요한지 확인해야 합니다.

네 번째는 데이터 입력 기준입니다. 생성형 AI에 고객 개인정보, 계약서, 내부 기밀, 미공개 사업 자료를 넣어도 되는지 회사 기준이 있어야 합니다. 다섯 번째는 증빙 관리입니다. 나중에 문제가 생겼을 때 “우리는 어떤 기준으로 관리했다”고 설명하려면 정책, 점검 기록, 고지 문구, 화면 캡처, 사용 목록 같은 자료가 남아 있어야 합니다.

정리하면

정리하면, 생성형 AI를 쓰는 회사가 모두 같은 방식으로 AI 기본법 대상이 되는 것은 아닙니다. 하지만 생성형 AI를 고객에게 제공하거나, 이용자와 상호작용하게 하거나, 실제와 혼동될 수 있는 결과물을 제공한다면 AI 기본법 검토가 필요합니다.

그래서 사업자가 기억해야 할 핵심은 이것입니다. “생성형 AI를 쓰느냐”보다 “어떻게 쓰고, 누구에게 제공하며, 어떤 영향을 주느냐”가 더 중요합니다. 내부 업무 보조인지, 고객 제공 서비스인지, 결과물이 외부로 나가는지, 이용자가 AI 사용 사실을 알 수 있는지부터 확인해야 합니다.

Kompli는 이런 문제의식에서 출발했습니다. 기업이 보유한 AI 자산을 정리하고, 생성형 AI 사용 현황을 점검하고, 고지, 표시, 문서, 증빙 관리까지 이어질 수 있도록 돕는 AI 컴플라이언스 플랫폼을 준비하고 있습니다. AI 규제 대응은 거창한 보고서보다, 우리 회사의 AI 사용 목록을 정확히 아는 것에서 시작됩니다.