AI 기본법 적용 대상은 누구인가?

AI 기본법이 시행되면서 가장 많이 나오는 질문 중 하나가 있습니다.

“우리 회사도 AI 기본법 적용 대상인가요?”

이 질문이 중요한 이유는 간단합니다. AI를 조금이라도 쓴다고 해서 모든 회사가 같은 의무를 지는 것은 아니지만, AI를 제품이나 서비스로 제공하고 있다면 이야기가 달라질 수 있기 때문입니다.

AI 기본법의 정식 명칭은 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법입니다. 국가법령정보센터 기준으로 2026년 1월 22일부터 시행된 법이며, AI 산업의 발전과 함께 신뢰할 수 있는 AI 활용 기반을 만들기 위한 법입니다.

먼저 볼 개념은 인공지능사업자

그렇다면 이 법은 정확히 누구에게 적용될까요? 먼저 봐야 할 개념은 인공지능사업자입니다. AI 기본법은 AI를 개발하거나, 제공하거나, 이용하는 사업자에게 일정한 기준과 의무를 부여합니다. 즉 단순히 “AI를 안다”가 아니라, 사업 활동 안에서 AI를 어떻게 쓰고 제공하느냐가 중요합니다.

---

첫째, AI 제품이나 서비스를 직접 제공하는 회사

가장 먼저 적용 대상이 될 가능성이 높은 곳은 AI 제품이나 서비스를 직접 제공하는 회사입니다. 예를 들어 AI 챗봇 서비스, AI 채용 평가 서비스, AI 대출 심사 솔루션, AI 의료 판독 보조 서비스, 생성형 AI 콘텐츠 제작 도구를 운영하는 회사가 여기에 해당할 수 있습니다.

둘째, 기존 서비스에 AI 기능을 붙인 회사

두 번째는 기존 서비스에 AI 기능을 붙인 회사입니다. 회사가 원래 SaaS, 커머스, 교육, 금융, 헬스케어, HR 서비스를 운영하고 있었더라도, 그 안에 AI 추천, AI 평가, AI 상담, AI 자동 생성 기능이 들어갔다면 AI 기본법 검토가 필요할 수 있습니다.

셋째, 생성형 AI 결과물을 제공하는 회사

세 번째는 생성형 AI를 이용해 결과물을 제공하는 회사입니다. 생성형 AI는 입력 데이터를 바탕으로 텍스트, 이미지, 음성, 영상 등 결과물을 만들어내는 AI를 말합니다. 고객에게 AI가 만든 문서, 답변, 이미지, 요약문, 추천 문구 등을 제공한다면 이용자 고지나 결과물 표시 문제를 확인해야 합니다.

넷째, 고영향 AI 가능성이 있는 회사

네 번째는 고영향 AI 가능성이 있는 제품이나 서비스를 제공하는 회사입니다. 고영향 AI는 사람의 생명, 신체의 안전 또는 기본권에 중대한 영향을 미칠 수 있는 AI를 말합니다. 채용, 대출, 의료, 교육 평가, 교통, 에너지, 공공서비스 같은 영역에서 쓰이는 AI라면 특히 주의가 필요합니다.

---

사내에서 ChatGPT를 쓰는 것도 대상일까

여기서 많은 분들이 헷갈리는 부분이 있습니다. “회사에서 ChatGPT를 쓰고 있는데, 우리도 AI 기본법 대상인가요?”라는 질문입니다.

단순히 직원이 내부 업무 보조로 ChatGPT나 Claude 같은 도구를 쓰는 것만으로, 바로 고영향 AI 사업자 의무가 생긴다고 보기는 어렵습니다. 예를 들어 회의록 요약, 이메일 초안 작성, 자료 조사, 코드 보조처럼 내부 생산성 도구로 쓰는 경우와 고객에게 AI 서비스를 제공하는 경우는 구분해서 봐야 합니다.

내부 사용도 안전하지는 않다

하지만 내부 사용이라고 해서 항상 안전하다는 뜻은 아닙니다. 직원이 고객 개인정보, 영업비밀, 민감한 내부 자료를 외부 AI 도구에 입력한다면 AI 기본법뿐 아니라 개인정보보호, 정보보안, 내부통제 관점에서 문제가 될 수 있습니다. 따라서 내부 AI 사용도 최소한 목록화와 사용 기준은 필요합니다.

반대로 고객이 직접 사용하는 서비스에 AI 기능이 들어가 있다면 더 신중해야 합니다. 고객이 AI와 대화하거나, AI가 추천 결과를 보여주거나, AI가 평가 점수를 만들거나, AI가 문서를 생성해주는 구조라면 이용자에게 AI 사용 사실을 알려야 하는지 검토해야 합니다.

---

판단할 때 핵심 질문 세 가지

AI 기본법 적용 여부를 판단할 때 핵심 질문은 세 가지입니다.

첫째, 우리 회사가 AI를 단순히 내부에서 쓰는가, 아니면 고객에게 제공하는 제품, 서비스에 포함하고 있는가?

둘째, AI 결과가 이용자에게 영향을 주는가? 특히 채용, 대출, 의료, 교육, 공공서비스처럼 사람의 권리나 기회에 영향을 줄 수 있는 영역인가?

셋째, 이용자가 AI가 사용된다는 사실을 알 수 있는가? AI가 만든 결과물이라는 점을 표시하거나 설명하고 있는가?

이 세 가지 질문에 “그렇다”가 많을수록 AI 기본법 적용 여부를 더 진지하게 검토해야 합니다. 특히 AI가 단순 보조가 아니라 의사결정에 영향을 주는 구조라면 고영향 AI 해당 여부까지 확인해야 합니다.

요약과 평가는 다르다

예를 들어 HR SaaS가 지원자의 이력서를 요약만 해주는 경우와, 지원자 점수를 매기고 합격 가능성을 추천하는 경우는 다릅니다. 전자는 내부 업무 보조에 가까울 수 있지만, 후자는 채용 의사결정에 영향을 줄 수 있어 고영향 AI 검토 대상이 될 가능성이 있습니다.

금융 서비스도 마찬가지입니다. AI가 고객 상담 내용을 요약하는 정도라면 리스크가 비교적 낮을 수 있지만, 대출 승인 가능성이나 보험 심사 결과에 영향을 준다면 훨씬 신중하게 봐야 합니다.

의료나 교육 분야도 주의가 필요합니다. AI가 단순 안내를 하는지, 의료 판단이나 학생 평가에 실질적으로 영향을 주는지에 따라 적용되는 의무가 달라질 수 있습니다.

AI 회사가 아니라고 안심하기 어렵다

따라서 “우리는 AI 회사가 아니다”라고 생각하는 기업도 안심하기는 어렵습니다. 요즘은 거의 모든 서비스에 AI 기능이 붙고 있기 때문입니다. SaaS, 플랫폼, 커머스, 교육, 금융, 헬스케어, HR, 고객센터 솔루션 모두 AI 기능을 어떻게 제공하느냐에 따라 적용 대상 검토가 필요할 수 있습니다.

또 하나의 축, 투명성 확보 의무

AI 기본법에서 중요한 또 하나의 축은 투명성 확보 의무입니다. AI 기본법 제31조는 고영향 AI 또는 생성형 AI를 이용한 제품, 서비스를 제공하는 경우, 해당 제품이나 서비스가 AI에 기반해 운용된다는 사실을 이용자에게 사전에 고지하도록 정하고 있습니다.

즉 AI 기본법 적용 대상인지 볼 때는 “고영향 AI인가?”만 보면 부족합니다. 생성형 AI 기반 서비스인지, 이용자에게 AI 결과물을 제공하는지, AI 사용 사실을 고지해야 하는지도 함께 봐야 합니다.

고영향 AI 가능성이 있다면 AI 기본법 제33조의 사전 검토 의무와 제34조의 사업자 책무도 중요해집니다. 여기에는 위험관리 방안, 설명 방안, 이용자 보호 방안, 사람의 관리, 감독, 안전성, 신뢰성 확보 조치에 관한 문서 작성과 보관 등이 연결됩니다.

---

확인 순서 여덟 가지

간단히 정리하면, AI 기본법 적용 대상 여부는 아래 순서로 확인하는 것이 좋습니다.

우리 회사가 AI 기능을 제품이나 서비스에 포함하고 있는가?

그 AI 기능을 고객이나 이용자가 직접 사용하는가?

AI가 만든 결과물이나 판단이 이용자에게 제공되는가?

생성형 AI를 활용해 텍스트, 이미지, 음성, 영상 등을 만들어 제공하는가?

채용, 대출, 의료, 교육, 공공서비스 등 민감한 영역에 쓰이는가?

AI 결과가 사람의 권리, 의무, 기회, 안전에 영향을 줄 수 있는가?

사람이 최종 검토하거나 개입하는 절차가 있는가?

관련 문서와 판단 근거를 남기고 있는가?

이 중 여러 항목에 해당한다면 AI 기본법 적용 여부를 검토하는 것이 좋습니다. 특히 외부 고객에게 제공되는 AI 서비스라면 단순히 “우리는 OpenAI API만 붙였다”는 이유로 책임이 사라지는 것은 아닙니다.

가장 먼저 할 일

실무적으로 가장 먼저 할 일은 어렵지 않습니다. 회사 안의 AI 사용 현황을 정리하는 것입니다. 어떤 AI를 쓰는지, 누가 쓰는지, 고객에게 제공되는지, 어떤 결과를 만드는지, 개인정보가 들어가는지, 의사결정에 영향을 주는지를 목록으로 만들면 됩니다.

그 다음에는 각 AI를 세 가지로 나눠볼 수 있습니다. 내부 업무 보조용 AI, 고객 제공형 생성형 AI, 고영향 AI 가능성이 있는 AI입니다. 이렇게 나누면 어떤 서비스부터 고지 문구와 문서 관리를 준비해야 하는지 보이기 시작합니다.

AI 기본법은 모든 기업에게 같은 수준의 의무를 부과하는 법이 아닙니다. 하지만 AI를 제품과 서비스에 넣는 기업이라면 이제 “우리도 대상인가?”라는 질문을 피하기 어렵습니다. 특히 고객에게 AI 결과를 제공하거나, 사람의 권리와 안전에 영향을 줄 수 있는 영역이라면 더 그렇습니다.

정리하면

결국 핵심은 단순합니다. AI를 내부에서 참고용으로 쓰는지, 아니면 고객에게 제공하는 서비스의 일부로 운영하는지. 그리고 그 AI가 이용자에게 어떤 영향을 주는지입니다. 이 두 가지를 기준으로 보면 AI 기본법 적용 대상 여부를 훨씬 현실적으로 판단할 수 있습니다.