한국 AI 기본법 전면 시행, 고영향 AI 데이터 거버넌스 가이드

Executive Summary

2026년 7월 21일, 한국 AI 기본법이 위임 사항을 담은 시행령과 함께 본격 시행에 들어갔다. 같은 시기 EU는 방향을 반대로 틀었다. 6월에 통과시킨 '디지털 옴니버스' 개정으로 고위험 AI 의무의 적용 시점을 2027년 12월까지 미룬 것이다. 실질적인 전면 시행을 기준으로 보면, 사람의 신용·건강·일자리를 판단하는 AI에 안전 의무를 먼저 채운 나라는 한국이다.

핵심은 규제가 요구하는 것의 성격이다. 사업자는 안전성·신뢰성 확보 조치를 '안전신뢰문서'로 남겨 5년간 보관해야 하고, 그 안에는 AI와 학습용 데이터에 대한 설명가능성 확보가 들어간다. 서명 한 장으로 끝나는 정책 선언이 아니라, 이 판단이 어떤 데이터로 학습됐고 그 출처와 품질을 어떻게 증빙하는가에 대한 지속적인 증적을 뜻한다.

그래서 조문 자체보다, 그 조문이 데이터 담당자에게 무엇을 요구하는지가 중요하다. 컴플라이언스의 실체는 문서가 아니라 데이터의 출처·품질·감사 가능성이며, AI 기본법은 데이터 거버넌스를 비용 항목이 아니라 사업의 전제 조건으로 바꿔 놓는다.

2026.7.21

한국 AI 기본법 전면 시행

고영향 AI 규제를 실제로 가동한 세계 첫 사례

2027.12

EU 고위험 AI 의무 적용

2026.8에서 16개월 연기 (디지털 옴니버스)

5년

안전신뢰문서 보관 의무

학습 데이터 설명가능성 확보 포함

10개

고영향 AI 지정 영역

신용평가·의료·채용 등 사람을 판단하는 분야

1

세계에서 가장 먼저 스위치를 올린 나라

한국의 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 2024년 12월 국회를 통과해 2026년 1월 22일 본법이 시행됐다. 다만 '전면 시행'이라는 말이 실제로 가리키는 시점은 조금 뒤다. 사업자 의무를 구체화한 개정법과 시행령이 2026년 7월 14일 국무회의를 거쳐 7월 21일부터 발효되면서, 고영향 AI에 대한 규율이 비로소 현실의 의무로 작동하기 시작했다.

대한민국 국회의사당 — AI 기본법이 통과된 곳 — ▲ 대한민국 국회의사당 — AI 기본법이 2024년 12월 통과된 곳 | Source: Wikimedia Commons

같은 시기 EU는 반대로 움직였다. 유럽의회가 6월 16일 승인한 '디지털 옴니버스' 개정은 채용·신용평가·교육·필수서비스 접근 같은 사용 기반 고위험 AI(Annex III)의 의무 적용을 2026년 8월 2일에서 2027년 12월 2일로 16개월 미뤘다. 딥페이크 표시 같은 일부 투명성 의무만 원래 일정에 가깝게 유지됐을 뿐이다. 두 지역의 시간표가 정반대로 벌어진 결과, 사람을 직접 판단하는 AI에 안전 의무를 먼저 채운 쪽은 한국이 됐다.

2026.1.22 · 한국

AI 기본법 본법 시행. 정의·진흥 기반 등 골격이 발효된다.

2026.8.2 → 2027.12.2 · EU

고위험 AI(Annex III) 의무 적용을 16개월 연기. 옴니버스 개정으로 시행 시점이 뒤로 밀렸다.

2026.7.21 · 한국

개정법·시행령 발효. 고영향 AI 사업자 의무가 실제로 작동하는 '전면 시행'의 기준점이다.

연기의 무게는 시점에만 있지 않다. EU 개정법은 소급 적용되지 않기 때문에, 2027년 12월 이전에 시장에 나온 고위험 시스템은 새 의무를 영구히 피해 갈 수 있다는 우려가 함께 제기됐다. 규제가 1년 늦게 켜지는 데서 그치는 것이 아니라, 그사이 배치된 시스템 상당수가 규제 그물 밖에 남는다는 뜻이다.

'세계 최초'라는 수사에는 늘 조심할 필요가 있지만, 적어도 사람의 신용·건강·일자리를 판단하는 AI에 대해 강행 규범을 먼저 가동했다는 점에서는 과장이 아니다. 그리고 그 규범이 정확히 무엇을 요구하는지가, 데이터를 다루는 사람에게는 훨씬 더 중요한 질문이다.

2

'고영향 AI'는 무엇을 가리키나

법이 규율을 집중하는 대상은 '고영향 AI'다. 법 제2조제4호는 10개 영역을 열거하고, 그 영역에서 사람의 생명·신체 안전이나 기본권에 중대한 영향을 미칠 우려가 있는 AI를 고영향으로 분류한다. 열거된 영역은 에너지, 먹는 물, 보건의료·의료기기, 원자력, 생체인식, 채용, 대출심사 등 개인의 권리관계 평가, 교통, 공공서비스, 학생평가다.

이 목록을 데이터 담당자의 눈으로 다시 읽으면 공통점이 보인다. 신용평가, 대출심사, 의료 판독, 채용 심사는 모두 데이터로 사람을 판단하는 일이다. 판단의 근거가 되는 것은 모델의 구조보다 학습에 쓰인 데이터의 구성이다. 편향된 이력서 데이터로 학습한 채용 모델, 특정 집단이 과소 대표된 신용 데이터로 학습한 평가 모델은 그 자체로 기본권 침해의 통로가 된다. 법이 이 네 영역을 겨냥한 이유가 여기에 있다.

우리 서비스가 고영향 AI인지 판단하는 기준은 두 단계다. 먼저 10개 영역 중 하나에 해당하는가, 그다음 그 판단이 사람의 권리·안전에 중대한 영향을 미칠 우려가 있는가. 두 조건이 겹치는 순간, 규제는 모델의 성능이 아니라 그 판단이 딛고 선 데이터를 향해 질문을 던지기 시작한다.

3

의무의 실체는 문서가 아니라 데이터

고영향 AI 사업자에게 부과되는 의무는 크게 영향평가와 안전성·신뢰성 확보다. 둘의 성격은 다르다. 영향평가는 강행 의무가 아니라 노력 의무에 가깝다. 대신 국가기관 등이 조달할 때 영향평가를 마친 제품·서비스를 우선 고려하도록 설계돼 있어, 실질적으로는 시장에 들어가기 위한 자격에 가깝게 작동한다.

3.1안전신뢰문서와 5년 보관

더 구체적인 부담은 안전성·신뢰성 확보 쪽에 있다. 책무 고시안 제8조에 따라 사업자는 자신이 취한 조치를 '안전신뢰문서'로 작성해 5년간 보관하고, 주기적으로 점검·최신화해야 한다. 그리고 이 문서에는 AI와 학습용 데이터에 대한 설명가능성 확보가 명시적으로 포함된다.

여기서 법이 요구하는 것은 서명된 정책 선언 한 장이 아니다. 이 판단이 어떤 데이터로 학습됐고, 그 출처와 품질을 5년 뒤에도 설명할 수 있는가에 대한 증적이다. 모델을 재학습하고 데이터셋을 교체하는 동안에도 그 기록이 이어져야 한다는 뜻이기도 하다.

3.2중복 인정의 전제

디지털의료제품법, 신용정보법, 금융소비자보호법 같은 다른 법에서 동등한 조치를 이미 이행하고 있다면 AI 기본법 의무를 이행한 것으로 인정된다. 얼핏 부담을 덜어 주는 조항처럼 보이지만, 인정의 전제가 관건이다. 그 인정은 위험관리·설명가능성·데이터 거버넌스를 이미 갖추고 있었는지를 묻는다. 결국 어느 법을 경유하든 도착지는 같다.

영향평가: 노력 의무. 단 공공조달 우선 고려로 사실상의 시장 유인.
안전신뢰문서: 5년 보관·주기적 최신화. 학습 데이터 설명가능성 포함.
중복 인정: 타법 이행 시 인정하되, 데이터 거버넌스 이행을 전제.
위반 시: 시정명령 또는 3천만원 이하 과태료.

4

컴플라이언스의 실체는 데이터 거버넌스

법이 던지는 질문은 결국 데이터에 관한 세 가지로 좁혀진다. 학습 데이터의 출처를 추적할 수 있는가, 그 품질이 기준을 충족하는지 검증할 수 있는가, 그 검증을 5년 뒤에도 재현하고 감사할 수 있는가. 순서대로 계보(lineage), 품질(quality), 감사 가능성(auditability)이다.

4.1출처 · 품질 · 감사 가능성

데이터 계보는 각 학습 데이터가 어디서 왔고 어떤 가공을 거쳤는지를 끊김 없이 잇는 기록이다. 품질은 라벨 정확도나 대표성처럼 측정 가능한 지표로 관리되며, ISO/IEC 5259 같은 데이터 품질 표준이 그 언어를 제공한다. 감사 가능성은 이 두 가지를 시간이 지난 뒤에도 다시 꺼내 볼 수 있게 만드는 저장·버전 관리의 문제다. 안전신뢰문서가 요구하는 '설명가능성'은 사실상 이 세 층을 관통하는 요구다.

그래서 안전신뢰문서는 이름은 문서지만 실체는 데이터 계보 기록이다. 규제가 온 뒤에 문서를 급조하는 기업과, 처음부터 파이프라인에 계보·품질·감사 기능을 심어 둔 기업의 격차는 여기서 갈린다. 앞의 기업은 5년 치 증적을 사후에 복원해야 하고, 뒤의 기업은 이미 쌓인 로그를 정리해 제출하면 된다.

5

계도기간에 무엇을 시작할까

전면 시행이라고 해서 오늘 당장 과태료가 날아오는 것은 아니다. 사업자 의무 전반에는 최소 1년 이상의 계도기간이 주어진다. 다만 딥페이크 등 생성물 표시 의무는 유예 없이 즉시 적용되니, 생성형 서비스라면 이 부분은 미룰 수 없다.

계도기간의 진짜 용도는 문서를 사후에 채워 넣을 시간을 버는 것이 아니다. 데이터 거버넌스 체계를 파이프라인에 심을 유예로 쓰는 편이 낫다. 지금 학습에 들어가는 데이터의 출처를 기록하기 시작하면 1년 뒤 그것이 곧 안전신뢰문서가 된다. 기록을 미루면 1년 뒤 이미 흘러간 데이터의 출처를 거슬러 복원해야 한다.

AI 기본법이 바꾼 것은 데이터 거버넌스의 위치다. 예전에는 하면 좋은 관리 비용이었다면, 이제는 고영향 AI를 시장에 내놓기 위한 전제 조건이 됐다. 규제 준수의 실체가 문서가 아니라 데이터의 출처·품질·감사 가능성이라면, 준비의 시작점도 문서 양식이 아니라 데이터 파이프라인이어야 한다.

R

참고문헌