[PEDIEN] 인공지능기본법 하위 고시가 확정 국면에 접어들면서, 고영향·생성형 AI 사업자가 실제로 떠안게 될 고지의무와 안전성 확보 부담의 윤곽이 드러났다. 본지가 과학기술정보통신부의 시행령과 두 건의 고시, 다섯 건의 가이드라인 초안, 그리고 지난 7월 21일 함께 발효된 후속 법령 체계를 교차 분석한 결과, 규제의 무게중심은 '금지'가 아니라 '설명하고 기록하라'는 쪽에 놓였다. 문제는 그 설명과 기록의 경계선이 정작 사업자에게는 여전히 흐릿하게 남아 있다는 점이다. 어느 정도 생성형 AI를 써야 표시 의무가 생기는지, 우리 서비스가 고영향에 해당하는지, 무엇을 어디까지 남겨야 과태료를 면하는지가 현장의 첫 질문이다.
법의 시간표부터 정리할 필요가 있다.
'인공지능 발전과 신뢰 기반 조성 등에 관한 기본법', 이른바 인공지능기본법은 지난 1월 22일 본법이 시행됐고, 실제 의무의 살을 붙이는 시행령과 하위 고시·가이드라인은 반년의 준비기를 거쳐 7월 21일부터 현장에서 돌아가기 시작했다.
정부는 앞서 지난해 9월 두 건의 고시와 다섯 건의 가이드라인 초안을 공개하고 업계 의견수렴을 거쳤다.
초안과 확정본 사이에서 몇 가지 기준은 눈에 띄게 바뀌었다.
옛 초안 문구를 지금의 확정 기준인 양 읽으면 오독하기 쉽다는 뜻이다.
인공지능기본법 하위 고시, 무엇이 확정됐나
확정 체계의 뼈대는 두 개의 고시와 다섯 개의 가이드라인이다.
고시는 안전성 확보 의무의 적용 대상을 가르는 기준선과 사업자 책무의 이행 방식을 규정하고, 가이드라인은 투명성 확보, 안전성 확보, 고영향 인공지능 판단, 고영향 인공지능 사업자 책무, 인공지능 영향평가의 다섯 갈래로 세부 해설을 붙였다.
규제의 문법은 단순하다.
이용자에게 알리고, 위험을 관리하고, 그 과정을 문서로 남기라는 것이다.
테크42가 정리한 표현을 빌리면 기업은 '고지·표시·판단·문서'라는 네 개의 동사로 답해야 한다.
가장 논쟁적인 대목은 안전성 확보 의무의 문턱이다.
확정 고시는 학습에 투입된 누적 연산량이 10의 26제곱 부동소수점 연산(FLOPs) 이상인 시스템을 그 대상으로 못박았다.
여기서 변화를 짚어야 한다.
초안 검토 단계에서는 유럽연합(EU)의 기준선인 10의 25제곱과의 정렬 여부가 쟁점이었지만, 확정본은 그보다 한 자릿수 높은 10의 26제곱으로 문턱을 올렸다.
누적 연산량은 학습 로그 등 객관적 지표로 산출하되 데이터 전처리와 미세조정까지 포괄해 계산한다.
대상이 되면 수명주기 전반의 위험을 식별·평가·완화하고, 안전사고를 모니터링·대응하는 위험관리체계를 세운 뒤 그 이행 결과를 과기정통부 장관에게 제출해야 한다.
사실상 국내 초거대 모델 소수만이 이 그물에 걸리는 구조다.
고영향 AI·생성형 AI 고지의무란 무엇인가
대다수 사업자에게 실질적 부담은 안전성 문턱보다 '투명성'에서 온다.
확정된 투명성 확보 가이드라인은 고영향 AI 또는 생성형 AI를 이용한 제품·서비스를 제공할 때, 그것이 인공지능에 기반해 작동한다는 사실을 이용자에게 사전에 고지하도록 했다.
사람인 줄 알았는데 기계였다는 사후의 배신감을 없애자는 취지다.
여기에 생성형 AI가 만든 결과물에는 그 사실을 표시하도록 하는 의무가 더해진다.
표시 방식에서도 초안 대비 조정이 있었다.
딥페이크처럼 사람을 오인하게 만드는 결과물에는 이용자가 명확히 알아볼 수 있는 표시를 요구하되, 딥페이크가 아닌 일반 생성물에는 눈에 보이지 않는 디지털 워터마크 방식도 허용하는 쪽으로 정리됐다.
콘텐츠 산업의 표현 자유와 표시 실무 사이에서 접점을 찾은 결과다.
고영향 여부는 자가 판단으로만 끝나지 않는다.
확정 절차상 고영향 인공지능에 해당하는지는 인공지능이 쓰이는 영역과 그로 인한 위험 수준을 함께 따져 판단하며, 사업자는 과기정통부에 확인을 신청할 수 있다.
정부의 확인 절차는 기본 30일이 걸리고, 한 차례에 한해 30일을 연장할 수 있다.
채용·대출 심사, 의료, 교통, 공공서비스처럼 사람의 기본권과 안전에 무겁게 닿는 영역이 우선 지목된다.
결국 한 서비스가 고영향에 걸리면 사전 고지, 영향평가, 이용자 보호 조치, 문서화가 한꺼번에 따라붙는다.
본지 분석의 첫 번째 결론은 이렇다.
이 법의 규제 강도는 조문의 문구보다 '해석의 불확실성'에서 나온다.
생성형 AI를 부분적으로 거든 콘텐츠, 사람이 최종 손질한 결과물, 사내용 보조도구가 만든 산출물이 각각 표시 대상인지에 관한 판단이 사업자에게 상당 부분 위임돼 있기 때문이다.
명확한 금지선이 그어진 규제보다, 모호한 의무선을 스스로 그어야 하는 규제가 실무에서 더 무겁다.
과태료 3천만원 리스크와 계도기간, 지금 상황은
제재의 수위도 오해가 잦은 지점이다.
의무를 어기면 최대 3천만원 이하의 과태료가 부과될 수 있다.
다만 정부는 시행 즉시 제재의 칼을 빼는 대신, 사실조사와 과태료 부과를 최소 1년 이상 유예하는 계도기간을 뒀다.
여기서 핵심은 '처벌 유예이지 법 적용 유예가 아니다'라는 점이다.
의무는 7월 21일부터 이미 살아 있고, 미뤄진 것은 벌칙의 집행일 뿐이다.
정부는 인명사고나 심각한 인권 침해 같은 예외적 상황이 아니면 계도기간 중 사실조사를 자제하겠다고 밝혔지만, 뒤집어 말하면 중대한 사고가 나면 계도기간이라도 조사의 문은 열린다.
본지의 두 번째 결론은 계도기간의 성격에 관한 것이다.
이 1년은 '유예'가 아니라 '내부 정비의 마감시한'으로 읽어야 한다.
계도기간이 끝난 뒤 첫 사실조사에서 요구되는 것은 완벽한 무결점이 아니라, 위험을 인지하고 관리하려 노력한 흔적, 곧 문서다.
지금 아무 기록도 남기지 않은 기업과, 미흡하더라도 위험관리 체계와 영향평가 이력을 축적한 기업은 1년 뒤 전혀 다른 위치에 서게 된다.
해외와 비교하면 — EU·미국·중국의 AI 규제
한국의 좌표를 읽으려면 바깥을 봐야 한다.
가장 앞선 비교 대상은 EU다.
유럽연합의 인공지능법(AI Act)은 위험을 금지·고위험·제한적 위험·최소 위험의 네 층으로 나누는 이른바 리스크 기반 접근을 택했고, 2026년 8월 2일부터 범용 AI(GPAI)에 대한 집행이 본격 가동됐다.
과징금 상한은 우리와 자릿수가 다��다.
범용 AI 의무 위반은 최대 1,500만 유로 또는 전 세계 매출의 3%, 금지된 AI 관행은 최대 3,500만 유로 또는 매출의 7%에 이른다.
시스템적 위험을 지닌 기반모델의 판단선은 누적 연산량 10의 25제곱 FLOPs로, 한국의 10의 26제곱보다 한 단계 낮게 그어져 있다.
다만 EU도 속도 조절에 나서, 이른바 디지털 옴니버스 규정으로 고위험 AI의 적합성 평가 의무 시한을 2027년 12월까지 미뤘다.
미국은 결이 다르다.
연방 차원의 포괄적 AI법은 아직 없고, 규율은 행정명령과 주(州) 단위 입법, 자율규제의 조합으로 굴러간다.
정권 교체에 따라 이전 행정명령이 폐기되는 등 연방의 방향은 요동쳤고, 그 공백을 콜로라도·캘리포니아 등 개별 주의 AI 규제가 메우는 모양새다.
예측 가능성은 낮지만 혁신 억제는 덜하다는 평가와, 이용자 보호가 주별로 갈린다는 비판이 공존한다.
반면 중국은 생성형 AI 서비스 관리 규정을 일찍이 시행했고, AI 생성 콘텐츠에 대한 명시적·암묵적 라벨링 의무를 별도 규정으로 강제하는 등 표시 규제에서는 오히려 촘촘한 편이다.
진흥과 통제가 한 몸으로 움직인다.
일본은 규제보다 진흥에 무게를 실은 사례로 꼽힌다.
사업자 가이드라인 중심의 연성 규범을 택해, 강한 벌칙보다 자율과 협력에 기댄다.
이렇게 놓고 보면 한국의 자리는 분명해진다.
EU의 강한 사전규제와 미국·일본의 연성 접근 사이, 그 중간 어딘가다.
벌칙은 두되 상한은 EU보다 낮고, 안전성 문턱은 EU보다 높게 잡아 소수 초거대 모델만 겨눈다.
본지의 세 번째 결론은 여기서 나온다.
한국형 모델은 '넓은 고지 의무, 좁은 안전성 의무, 낮은 벌칙, 긴 계도'의 조합이며, 그 설계 의도는 산업을 위축시키지 않으면서 신뢰의 최소선을 까는 데 있다.
규제의 실효성은 조문이 아니라 계도기간 이후 첫 집행의 강도에서 판가름날 것이다.
사업자는 지금 무엇을 해야 하나 — 세 갈래 대응
진단이 이렇다면 처방은 실행의 문제로 넘어간다.
본지가 제안하는 대응은 세 갈래다.
첫째, 자사 서비스를 세 개의 체로 거르는 '삼중 스크리닝'부터 하라.
하나는 안전성 의무 대상인지를 가르는 연산량의 체다.
자체 개발 대규모 모델을 학습시키는 소수 기업이 아니라면 대부분 이 체는 통과한다.
둘째 체는 고영향 여부다.
채용·금융·의료·공공 같은 민감 영역에서 사람에 관한 판단을 자동화하고 있다면 확인 신청과 영향평가를 준비해야 한다.
셋째 체는 생성형·고지 대상 여부다.
이용자와 직접 대면하는 인터페이스에 AI가 관여하거나 결과물을 생성한다면 사전 고지와 표시 설계가 필요하다.
이 세 체를 통과한 뒤라야 남은 의무의 실제 크기가 보인다.
둘째, 고지와 표시를 '법무의 숙제'가 아니라 '제품의 기능'으로 내재화하라.
실무에서 가장 흔한 실패는 약관 구석에 한 줄 넣고 의무를 다했다고 여기는 것이다.
확정 가이드라인의 취지는 이용자가 상호작용의 초입에서 AI임을 인지하도록 하는 데 있다.
대화형 서비스라면 첫 화면과 첫 응답에서, 생성물이라면 콘텐츠 자체에 표시가 붙어야 한다.
딥페이크성 결과물은 눈에 보이는 표시로, 일반 생성물은 비가시 워터마크로 나누는 이원 설계를 UX 단계에서 미리 심어두는 편이 사후 수정보다 싸다.
위험관리체계와 영향평가 역시 별도 문서를 위한 문서가 아니라, 위험 식별·데이터 관리·사람의 개입 절차를 실제 개발 파이프라인에 이력으로 남기는 방식이어야 지속가능하다.
셋째, 계도기간이라는 1년을 '대비의 창'으로 쓰라.
지금 갖춰야 할 것은 세 가지다.
사실조사가 왔을 때 곧바로 제출할 수 있는 안전신뢰 문서철, 사고와 민원을 포착하는 모니터링 창구, 그리고 해외 사업자라면 국내 대리인 지정 여부의 점검이다.
이 법은 일정 규모 이상의 해외 사업자에게도 국내 대리인을 통한 의무 이행을 요구하기 때문에, 국경 밖에서 서비스한다고 안심할 일이 아니다.
계도기간의 종료 시점은 유예의 끝이 아니라 첫 시험의 시작이다.
준비된 기업에는 규제가 진입장벽이 아니라 신뢰의 인증이 되고, 준비하지 못한 기업에는 3천만원의 과태료가 아니라 이용자 이탈이라는 더 큰 청구서가 날아든다.
규제의 문법이 '설명하고 기록하라'로 요약되는 이상, 승부는 결국 얼마나 성실하게 남겼는가에서 갈린다.
검증 노트
본 기사는 2026년 8월 26일 기준으로 작성됐다.
인공지능기본법 본법의 1월 22일 시행과 시행령·고시·가이드라인의 7월 21일 발효, 안전성 확보 의무의 누적 연산량 10의 26제곱 FLOPs 기준, 고영향 확인 절차 30일(1회 30일 연장), 최대 3천만원 과태료와 최소 1년 계도기간, 생성형 AI 표시·딥페이크 구분 등은 과학기술정보통신부 정책브리핑, 대한민국 정책브리핑(korea.kr), 경향신문 보도, 국가법령정보센터 법령 원문, 국내 로펌 뉴스레터의 고시·가이드라인 해설을 교차 확인했다.
EU 인공지능법의 과징금 상한(최대 3,500만 유로 또는 매출 7%)과 10의 25제곱 FLOPs 기준, 2026년 8월 집행 개시 및 고위험 시한 연기는 EU 집행 관련 공개 자료로 대조했다.
일부 세부 수치는 초안·해설 기준으로 확정 관보와 차이가 있을 수 있어 '기준'으로 표기했다.
기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국