Executive Summary

주요 수치

법이 시행된 뒤 기업들이 무엇을 가장 많이 물었는지는 정부가 직접 집계해 뒀다. 이번 건의가 들고 온 질문도 그 집계에 이미 올라 있다.

출처: 이투데이 · 뉴스핌 (과기정통부 지원데스크 집계) · 전자신문 (시행령 입법예고)

한경협은 회원사 의견을 수렴해 AI 기본법 개선과제 19건을 과기정통부에 건의했다고 10월 29일 밝혔다. 대상 법률은 올해 1월 22일부터 시행돼 아홉 달째 돌아가고 있는 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법'이다.

19건은 다섯 분야로 묶였다.

• AI 규제 대상과 적용 범위 명확화
• AI 사용 사실 고지·표시 의무 합리화
• 고성능·고영향 AI 규제 구체화
• 학습 데이터 활용 기준 정비
• AI 규제 확대의 예측가능성 확보

한경협이 보도자료에 함께 붙여 놓은 건의서 목차를 펴면 19건이 분야마다 몇 건씩 걸려 있는지가 보인다. 사업자 지위와 적용 범위에 4건, 생성형 AI 투명성 의무에 7건, 고성능·고영향 AI에 5건, 학습 데이터에 2건, 규제 확대의 예측가능성에 1건이다.

건수로 보면 둘째 분야가 가장 두툼하지만, 보도마다 앞에 실린 것은 첫 항목이다. 기업이 자체 개발한 AI를 사내 업무에 쓰거나 계열사와 함께 쓰는 사례가 늘었는데, 그렇게 돌아가는 AI가 법에서 어느 자리에 놓이는지는 정해지지 않았다.

권혁민 한경협 성장전략실장은 "AI의 실제 위험과 기업의 역할에 맞게 의무를 구체화해 기업이 안전한 AI 활용과 혁신에 집중할 수 있도록 해야 한다"고 말했다. "AI 기본법의 성과는 기업 현장에서 AI를 믿고 활용하는 사례가 얼마나 늘어나는지에 달려 있다"는 말도 함께 내놨다. 규제를 없애라는 말이 아니라 선을 그어 달라는 요구에 무게가 실려 있다.

같은 질문이 쌓여 있었다는 근거는 정부 집계에 있다. 과기정통부와 한국인공지능·소프트웨어산업협회가 운영한 AI 기본법 지원데스크에는 시행일인 1월 22일부터 3월 30일까지 552건의 상담이 접수됐다. 전화가 262건, 온라인이 290건이다. 온라인 상담을 주제별로 나누면 투명성 표시 의무가 51%로 가장 많았고, 고영향 AI 해당 여부가 19.6%로 뒤를 이었다. 접수자의 약 68.9%가 기업이었고 그중 중소·벤처기업이 36.2%, 대기업이 32.7%였다.

무엇이 애매한지는 조문을 펴면 금방 보인다. AI 기본법 제2조 제7호는 인공지능사업자를 두 갈래로 나눈다. "인공지능을 개발하여 제공하는 자"가 개발사업자이고, 그 AI를 "이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자"가 이용사업자다. 제8호의 이용자는 그 제품이나 서비스를 "제공받는 자"다. 투명성 확보 의무를 정한 제31조 제1항은 "고영향 인공지능이나 생성형 인공지능을 이용한 제품 또는 서비스를 제공하려는 경우" 그 사실을 "이용자에게 사전에 고지하여야 한다"고 적는다.

의무를 걸고 푸는 돌쩌귀가 '제공'과 '이용자'다. 그런데 두 낱말 어디에도 바깥이라는 한정이 붙어 있지 않다. 회사가 만든 AI를 사내 포털에 올려 임직원 3천 명이 쓰게 했을 때, 그 3천 명은 제품을 제공받은 이용자인가 아니면 그냥 회사 사람인가. 조문만 읽어서는 어느 쪽으로도 읽힌다.

법령이 사내 AI를 아예 모르는 척하는 것은 아니다. 시행령 제23조 제4항 제2호는 "인공지능사업자의 내부 업무 용도로만 사용되는 경우" 사전고지와 표시 의무를 전부 또는 일부 적용하지 않을 수 있도록 해 둔다. 앞서 나온 지원데스크 사례집도 바깥에서 사 온 AI를 내부 업무에만 쓰면 이용자에 해당해 투명성 의무 대상이 아니고, 자체 개발한 AI를 직원 업무용으로만 쓰면 이 예외를 적용할 수 있다고 안내한다.

다만 그 예외는 문장 첫머리가 "인공지능사업자의"다. 사업자인 것을 전제하고 고지 의무만 덜어 주는 조항이지, 사업자인지 아닌지를 가려 주지는 않는다. 건의서가 짚는 지점이 거기다. 예외가 있어도 기업은 자기 지위와 거기 따라붙는 다른 의무를 따로 검토해야 한다. 사례집도 제3자에게 넘기면 유상이든 무상이든 투명성 의무가 걸릴 수 있고, 고영향 AI면 내부 전용인지와 무관하게 책무가 붙는다고 적어 두었다.

한경협이 19건 가운데 첫 항목으로 올린 것이 이 '제공'의 경계다. 고영향 AI가 아닌 일반 사내 업무용 AI는 외부 제공 서비스와 구분해 달라는 요구다. 고영향 AI는 제2조 제4호가 따로 정의한다. 사람의 생명과 신체의 안전, 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 AI 가운데 에너지·보건의료·채용심사·대출심사·교통 같은 법이 정한 영역에서 쓰이는 경우다. 사내 업무용 AI라도 여기에 들어가면 이야기가 달라진다는 전제를 한경협도 깔고 있다.

문제는 거기에 들지 않는 나머지다. 회의록을 요약하고 사내 규정을 찾아 주고 코드 리뷰를 거드는 AI는 고영향 AI 목록 어디에도 없다. 그런데 사업자 의무는 고영향 AI에만 걸리는 것이 아니다. 생성형 AI를 쓴 제품·서비스에는 제31조의 고지와 표시가 따라붙는다. 그리고 제2조 제5호의 생성형 인공지능 정의는 "입력한 데이터의 구조와 특성을 모방하여" 결과물을 만드는 시스템이라, 글이나 그림을 만들려고 쓴 것이 아닌 AI까지 폭넓게 걸릴 수 있다. 한경협이 생성형 AI의 정의를 글·그림·영상 등을 만드는 목적의 AI로 좁히자고 제안한 까닭이다.

한경협은 선이 필요하다고만 하지 않고 어디에 그을지도 같이 적어 냈다. 일정한 요건을 갖춘 계열사 간 공동 활용은 내부 업무로 보자는 것인데, 그 요건이 셋이다. 외부에 제공하지 않을 것, 내부 사용자로 한정할 것, 접근권한과 보안 관리 요건을 갖출 것.

셋 다 데이터가 어디까지 닿느냐를 묻는 조건이다. 모델의 크기나 성능은 하나도 들어 있지 않다. 한경협이 그은 선은 AI가 얼마나 똑똑한지를 묻지 않는다. 그 AI와 그것이 먹은 데이터가 어느 울타리 안에 있느냐만 묻는다.

그 경계가 간단하지 않다는 점도 건의서에 들어 있다. 지주사와 계열사가 AI를 함께 구축해 쓰는 경우는 계열사가 각각 별개 법인이어서 판단이 더 어렵다고 한경협은 설명했다. 한 건물에서 같은 사번 체계를 쓰더라도 법인격은 따로다. A사가 만든 모델을 B사 직원이 쓰면, 조문 그대로 읽을 때 A사는 자기 AI를 다른 법인에 '제공'한 쪽이 된다.

건의서는 바꿀 조문까지 써서 붙였다. 법 제2조 제7호에 뒷문장을 붙여, 고영향 AI가 아닌 AI를 "동일 법인 내부의 업무 수행을 위하여" 개발하거나 임직원이 이용하게 하는 행위는 '제공'으로 보지 않도록 하자는 것이다. 계열사는 그다음 문장에 따로 들어간다. 대통령령으로 정하는 지배·종속 관계에 있는 국내외 법인 사이의 공동 업무도 같은 예외에 넣었다. 건의서가 쓰는 범주는 계열사가 아니라 지배·종속 관계이고, 국내로 한정되지도 않는다. 건의서의 네 번째 항목은 그 연장선에서, 기업집단 안의 기술 이전이나 공동 개발만으로는 역외적용 대상으로 보지 말자고 덧붙인다.

한경협이 제안한 셋이 그대로 인정된다고 해도, 그다음 일은 회사 몫이다. 요건은 선언으로 충족되지 않는다. 외부에 제공하지 않았다는 것, 쓴 사람이 내부 사용자뿐이었다는 것, 접근권한이 실제로 관리됐다는 것을 각각 보여야 한다. 셋 다 과거형 사실이라 지금 만들 수 없고, 평소에 남겨 둔 기록에서만 나온다.

건의의 두 번째 축은 책임 배분이다. 현행법은 고지·표시와 위험관리 같은 의무를 개발기업과 이용기업 양쪽에 지운다. 한경협은 이를 갈라 놓자고 요구했다. 개발 과정과 기술적 특성에서 오는 위험은 개발기업이, 실제 활용과 운영 과정에서 생기는 위험은 이용기업이 관리하자는 것이다.

갈림길이 또렷해지는 자리는 용도가 바뀌는 순간이다. 일반 업무용으로 개발된 AI를 다른 기업이 고영향 AI로 바꿔 서비스한다면 위험관리 책임은 용도를 변경한 기업이 지는 것이 타당하다는 설명이다. 한경협은 유럽연합 AI법 제25조도 기존 AI를 고위험 AI로 바꾼 자를 그 AI의 제공자로 보아 의무를 지운다는 점을 근거로 들었다. 그 경우 원래 제공자는 제공자 지위에서 벗어난다. 의무가 하나 더 생기는 것이 아니라 자리를 옮기는 구조다.

이 원칙은 사내 AI를 운영하는 회사에도 그대로 돌아온다. 사내용으로 만든 모델이 계열사로 건너가고, 그 계열사가 채용이나 대출 심사 같은 업무에 붙이면, 처음 만든 회사는 아무것도 바꾸지 않았는데 그 모델은 고영향 AI 쪽으로 넘어간다. 용도를 바꾼 쪽이 책임진다는 원칙이 작동하려면 누가 언제 무엇을 바꿨는지가 남아 있어야 한다.

정보가 오가는 길에 대한 요구도 있다. 현행법은 고영향 AI의 책무 이행 내용을 홈페이지 등에 공개하도록 하는데, 공개할 내용 상당수가 핵심 기술 정보여서 실제로 알릴 수 있는 범위가 좁다고 한경협은 지적했다. 반대편도 아쉽기는 마찬가지다. AI를 가져다 쓰는 이용기업은 개발기업의 자료 제공이 '노력 의무'에 그쳐 필요한 정보를 받기 어렵다. 그래서 일반 공개 의무는 지우고, 개발기업이 위험관리방안과 설명 방안의 주요 내용, 이용자 보호 방안, 그리고 그 AI를 관리·감독하는 사람의 이름과 연락처를 이용기업에 넘기도록 법에 적자고 제안했다.

고영향 AI 제외 요청에는 구체적인 용도까지 붙었다. 건의서가 비해당 사례로 꼽아 가이드라인에 명시하자고 든 것은 전임상 단계 연구지원 AI, 문헌·특허 검색과 요약, 연구 데이터 분석, 범용 코딩 AI 넷이다. 보도자료가 제약·바이오의 AI 활용을 설명하며 앞세운 신약 후보물질 탐색은 정작 그 목록에 이름이 없다. 과기정통부가 4월에 낸 고영향 AI 판단 가이드라인은 연구개발 단계에서 도구로 쓰는 AI를 의무 대상으로 보지 않는다고 안내하지만, 그 설명만으로는 갈래가 많은 연구지원 AI를 판단하기 어렵다는 것이 한경협의 말이다. 보건복지부와 식약처 같은 관계 기관의 의견을 한곳에서 빠르게 확인할 원스톱 창구도 같은 항목에 들어 있다.

남은 두 분야도 분야 이름에서 멈추지 않는다. 학습 데이터는 열아홉 건 가운데 두 건뿐인데, 데이터를 다루는 쪽에서 보면 가장 낯익은 대목이다. 하나의 AI에 사 온 데이터, 공공·오픈 데이터, 사내 업무 데이터, 해외 데이터, 가명정보, 라이선스 DB가 함께 들어가는데 적법성을 가릴 기준은 개인정보 보호법과 저작권법과 계약 조건에 흩어져 있다. 학습이냐 미세조정이냐 검색증강생성이냐 임베딩이냐에 따라 허용 범위도 달라진다. 그래서 과기정통부가 관계 부처 안내서를 데이터 유형과 활용 방식별로 엮은 통합 가이드라인을 만들고, 표준 체크리스트와 데이터 출처 기록항목까지 기업에 함께 내려 달라고 적었다. 나머지 한 건은 AI의 개발·검증·성능개선 연구를 개인정보 보호법이 말하는 과학적 연구로 AI 기본법에 직접 못 박는 일이다.

마지막 분야는 한 건으로, 고영향 AI 영역을 대통령령으로 넓힐 때 예고와 이행유예 원칙을 먼저 세우라고 했다. 세부 이행 기준을 정할 고시는 둘인데, 고영향 AI 사업자 책무 고시가 3월 12일, 안전성 확보 의무의 이행방법 고시가 7월 8일에 행정예고된 뒤로 멈춰 서 있다.

입법과 고시가 어느 쪽으로 가든, 회사가 '우리는 내부'라고 말하는 순간 뒤따르는 질문은 같다. 무엇으로 그것을 보이겠느냐는 질문이다. 한경협이 든 세 요건도, 용도를 바꾼 쪽이 책임진다는 원칙도, 개발기업이 이용기업에 자료를 넘기라는 요구도 전부 기록을 전제한다. 기준이 확정되는 날 회사가 쥐고 있어야 하는 것은 해석이 아니라 그 기록이다.

기록을 요구하는 쪽이 이 글만은 아니다. 법 제34조 제1항은 고영향 AI 사업자의 책무 가운데 하나로 안전성·신뢰성 확보 조치의 내용을 확인할 수 있는 문서를 작성하고 보관할 것을 들었고, 시행령 제27조 제2항은 그 근거 문서를 5년간 두도록 정했다. 건의서가 정부에 요구한 것 중에도 데이터 출처 기록항목이 들어 있다. 무엇을 어느 칸에 적어 둘지, 그 서식을 정부가 만들어야 한다는 주문이다. 다만 서식이 나오는 날까지 기다려도, 그 칸을 채울 내용은 그동안 남겨 둔 것에서만 나온다.

사내 AI를 운영하고 있다면 네 가지를 확인해 볼 만하다.

• 이 모델이 무엇을 먹고 자랐는지 적혀 있는가. 사내 문서인지, 계열사에서 받은 데이터인지, 바깥에서 사 온 것인지가 갈리지 않으면 '내부에서만 돈다'는 주장의 앞쪽 절반이 빈다
• 쓰는 사람이 법인 단위로 구분되는가. 계열사가 별개 법인이라 판단이 어렵다는 것이 건의서의 지적인데, 접속 기록이 사번만 남기면 자사 직원과 계열사 직원이 한 줄에 섞인다
• 접근권한이 바뀐 이력이 남는가. 질문의 대상은 지난 분기에 누가 열람할 수 있었는지다. 지금 설정만 보여 주는 화면으로는 답이 나오지 않는다
• 모델의 용도가 바뀐 날이 기록되는가. 요약 도구로 만든 모델이 어느 날 심사 업무에 붙었다면 그날이 책임이 옮겨 간 날이다

네 가지 모두 모델 성능과 상관이 없다. 더 좋은 모델로 갈아 끼워도 답이 그대로일 항목들이고, 지금 급히 만들 수도 없다. 학습 데이터의 출처와 접근 범위를 평소에 적어 두지 않은 회사는 선이 어디에 그어지든 자기가 어느 쪽인지 말할 재료가 없다. 한경협의 건의가 통과돼 사내 업무용 AI가 외부 서비스와 구분되더라도, 구분의 혜택은 구분됐음을 보일 수 있는 회사에만 돌아간다.

과태료 계도기간이 최소 1년이라는 점은 유예처럼 읽힌다. 다만 미뤄 준 것은 과태료이고, 기록은 소급해서 만들 수 없다. 기준이 정해진 뒤에 남는 것은 그 전까지 쌓아 둔 기록뿐이다.

여기까지 읽어 주셔서 감사하다. 건의 내용은 한경협이 10월 29일 보도자료에 첨부해 공개한 건의서 원문을 펴서 옮겼고, 조문은 그 건의서가 현행과 개정안을 나란히 놓은 대비표와 AI 기본법 조문을 맞춰 확인했다. 19건을 다 옮기지는 않았다. 생성형 AI 결과물의 표시 위치나 딥페이크 판단 기준처럼 사내 AI와 거리가 있는 항목은 뺐다. 사내 AI를 굴리고 계신다면, 그 모델에 무엇이 들어갔고 누가 쓰는지를 지금 문서 한 장으로 적을 수 있는지 한 번 확인해 보시면 좋겠다.

(주)페블러스 데이터 커뮤니케이션팀
2026년 10월 30일

공식 문서·법령

• 1.한국경제인협회. (2026). "AI기본법 시행 원년, 개선과제 점검." 보도자료.
• 2.한국경제인협회. (2026). "인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 개선 과제 건의." 건의서 원문(보도자료 첨부).
• 3.국가법령정보센터. (2026). "인공지능 발전과 신뢰 기반 조성 등에 관한 기본법." 법제처.
• 4.European Union. (2024). "Regulation (EU) 2024/1689 (Artificial Intelligence Act)." Official Journal of the European Union.

보도

• 5.아시아경제. (2026). "한경협, 과기정통부에 AI 기본법 개선과제 19건 건의."
• 6.뉴스핌. (2026). "한경협, AI 기본법 개선과제 19건 과기정통부에 건의."
• 7.이투데이. (2026). "한경협, AI 기본법 개선과제 19건 건의."
• 8.이투데이. (2026). "AI 기본법 지원데스크, 시행 두 달 552건 상담."
• 9.뉴스핌. (2026). "AI 기본법 지원데스크 운영 두 달, 상담 552건."
• 10.전자신문. (2025). "AI 기본법 시행령 입법예고."