제11장. 고영향 인공지능사업자의 다섯 가지 책무

서울의 한 핀테크 회사가 AI 신용평가 모델로 소상공인 대출 신청을 심사합니다. 2026년 2월, 자영업 7년차인 식당 주인의 대출 신청을 AI가 거절했습니다. 식당 주인이 물었습니다. "왜 거절입니까." 핀테크 회사의 법무팀이 인공지능기본법을 펼쳤습니다. 제34조 제1항 제2호는 AI가 내린 결과의 주요 기준을 "기술적으로 가능한 범위에서" 설명하라고 합니다. 신경망 모델의 파라미터는 2억 개입니다. "기술적으로 가능한 범위"가 어디서 끝나는지, 법무팀에게 답이 없었습니다. 설명은 다섯 가지 책무 가운데 하나입니다. 위험관리, 이용자 보호, 사람의 감독, 문서 보관이 한꺼번에 돌아갑니다.

인공지능기본법은 고영향 인공지능을 제공하는 사업자의 책무를 제34조라는 한 조문에 담았습니다. 제34조 제1항이 다섯 가지 조치를 나란히 열거합니다. 위험관리방안의 수립과 운영(제1호). 설명방안의 수립과 시행(제2호). 이용자 보호 방안의 수립과 운영(제3호). 사람의 관리와 감독(제4호). 이행 근거 문서의 작성과 보관(제5호). 국가인공지능위원회가 심의하고 의결한 사항을 담는 제6호가 뒤에 붙어 있어 목록은 열려 있습니다. 다섯 개의 독립된 의무가 아닙니다. 하나의 순환 체계입니다. 위험을 관리하고, 그 결과를 설명하고, 이용자를 보호하고, 사람이 통제할 수 있도록 하고, 모든 과정을 기록합니다. 하나가 빠지면 나머지가 의미를 잃습니다.

1. 위험을 관리한다는 것

고영향 인공지능을 제공하는 사업자가 갖춰야 할 첫 번째 책무는 위험관리방안의 수립과 운영입니다.

법은 위험관리를 일회성 점검이 아니라 순환하는 과정으로 봅니다. 과기정통부가 배포한 사업자 책무 가이드라인은 이 과정을 다섯 단계로 풀어놓습니다. 정책 수립. 위험 식별. 분석과 평가. 처리. 개선.

정책 수립은 위험관리의 범위와 책임을 잡는 일입니다. 어떤 AI 시스템이 대상이고, 누가 관리를 총괄하며, 보고 경로가 어디인지를 문서로 확정합니다. 대출 심사 AI를 운영하는 핀테크 회사라면, 해당 시스템을 고영향으로 분류하고 위험관리 책임자를 지정하고 보고 체계를 잡는 것이 출발점입니다.

위험 식별은 해당 시스템이 이용자와 영향받는 자에게 끼칠 수 있는 위해를 찾아내는 일입니다. 대출 심사 AI라면 특정 연령대나 지역에 대한 체계적 편향이 위험 후보입니다. 의료 영상 판독 AI라면 특정 인종의 피부톤에서 정확도가 떨어지는 현상이 후보입니다. 채용 선별 AI라면 학력이나 성별에 기울어진 패턴이 후보입니다.

분석과 평가는 식별된 위험의 심각도와 발생 가능성을 따지는 일입니다. 1만 건의 대출 심사 가운데 편향으로 부당하게 거절되는 건수가 10건인지 100건인지, 그 거절이 개인의 생계에 미치는 정도가 어느 수준인지를 정량적으로 추산합니다. 정량화할 수 없는 위험에 대해서는 정성적 평가를 병행합니다.

처리는 위험을 줄이는 조치를 실행하는 일입니다. 편향이 확인되면 학습 데이터를 재구성하거나, 결정 경계를 조정하거나, 특정 변수를 모델에서 제외합니다. 위험을 완전히 제거할 수 없으면 잔여 위험이 수용 가능한 수준인지 판단합니다. 수용할 수 없다면 시스템 운영을 중단해야 합니다.

개선은 위험관리의 결과를 돌아보고 정책을 고치는 일입니다. 분기별이든 반기별이든 주기를 정하여 성과를 점검하고, 새로운 위험이 발견되면 식별 단계로 돌아갑니다. 모델이 업데이트될 때마다, 학습 데이터가 바뀔 때마다, 서비스 범위가 넓어질 때마다 이 순환은 다시 돕니다.

시행령 제27조 제1항 제1호는 위험관리정책과 조직체계의 주요 내용을 사업장이나 홈페이지에 게시하도록 합니다. 영업비밀에 해당하는 내용은 제외할 수 있지만, 위험관리방안이 존재한다는 사실과 그 골격은 공개해야 합니다. 사업자가 어떤 위험을 인식하고 있고, 누가 관리 책임을 지는지를 이용자가 확인할 수 있는 구조입니다.

유럽연합 AI법 제9조가 같은 주제를 훨씬 상세하게 다룹니다. 법문 자체에 "고위험 AI 시스템의 전체 생애주기에 걸쳐 계획되고 실행되는 지속적이고 반복적인 과정(continuous iterative process)"이라는 정의가 들어 있습니다. 네 단계를 법조문에 직접 명시합니다. 알려진 위험과 합리적으로 예견 가능한 위험의 식별 및 분석. 의도된 사용과 합리적으로 예견 가능한 오용 상황에서의 위험 추정과 평가. 시판 후 모니터링 데이터에 기반한 추가 위험의 평가. 적절하고 표적화된 위험관리 조치의 채택.

제9조 제5항은 잔여 위험을 다루는 세 가지 경로까지 제시합니다. 설계를 통한 제거 또는 감소. 제거할 수 없는 위험에 대한 완화와 통제 조치. 사용자에 대한 정보 제공과 훈련. 제9조 제9항은 18세 미만 아동과 취약 집단에 대한 영향을 별도로 고려하도록 요구합니다.

한국법과 EU법의 차이는 구속력에 있습니다. EU 제9조는 직접 적용되는 경성 규정(regulation)입니다. 위반하면 최대 1,500만 유로 또는 전 세계 매출의 3%에 달하는 행정 벌금이 부과됩니다. 한국 제34조 제1항 제1호의 위험관리 의무는 시행령과 고시에 구체적 이행 방법을 위임하고, 과기정통부 장관이 "준수하도록 권고할 수 있다"고 합니다(제34조 제2항). 이행하지 않는다고 곧바로 과태료가 부과되지도 않습니다. 사실조사를 거쳐 중지명령이나 시정명령이 내려지고, 그 명령을 이행하지 않을 때 비로소 최대 3,000만 원의 과태료가 부과됩니다(제40조, 제43조 제1항 제3호). 정부는 최소 1년의 계도기간을 운영하겠다고 밝혔습니다.

중국은 통합된 위험관리 의무를 두지 않습니다. 대신 서비스 유형별로 안전 평가(安全评估)를 요구합니다. 2023년 8월 시행된 생성형 AI 서비스 관리 잠행판법은 "여론 속성이나 사회적 동원 능력"이 있는 서비스에 사전 보안 평가 의무를 부과합니다. 위험관리라는 포괄적 틀보다 콘텐츠 안전이라는 구체적 축으로 접근하는 것입니다.

2. "왜 이런 결과가 나왔습니까"

제34조 제1항 제2호는 설명방안의 수립과 시행을 요구합니다. 법이 설명하라고 한 대상은 세 가지입니다. 인공지능이 내린 최종결과. 결과를 내는 데 쓰인 주요 기준. 개발에 사용된 학습용 데이터의 개요.

시행령 제27조 제1항은 설명방안의 주요 내용과 이용자 보호 방안을 홈페이지에 게시하도록 합니다. 관리 담당자의 성명과 연락처도 공개합니다. 영업비밀은 제외할 수 있으나, 방안 자체의 존재는 숨길 수 없습니다.

"기술적·합리적으로 가능한 범위에서 명확하고 의미 있는 설명"이라는 문구는 기본원칙 제3조 제2항에서 비롯됩니다. 영향받는 자가 명확하고 의미 있는 설명을 받을 수 있어야 한다는 원칙을 선언한 조항입니다. 이 문구 안에 쟁점 두 개가 들어 있습니다.

"기술적으로 가능한 범위"가 어디까지인가. 딥러닝 모델, 수억 개 파라미터를 품은 대규모 언어 모델의 내부 작동 원리를 완전히 설명하는 것은 현재 기술 수준에서 가능하지 않습니다. 법은 이것을 인식하고 있습니다. "가능한 범위에서"라는 단서를 단 것은 설명의 완전성을 요구하지 않겠다는 뜻입니다. 그렇다면 사업자는 최소한 무엇을 해야 합니까.

가이드라인이 방향을 잡아 줍니다. 최종결과에 대해서는 AI가 어떤 판단을 내렸는지 이용자가 이해할 수 있는 형태로 알립니다. 대출 심사라면 "귀하의 신청은 승인되지 않았습니다"가 결과입니다. 주요 기준에 대해서는 결과에 영향을 미친 상위 요인을 설명합니다. 신용등급, 소득 대비 부채 비율, 최근 6개월간 거래 내역이 부정적으로 작용했다는 정도입니다. 학습 데이터 개요에 대해서는 어떤 종류의 데이터로 학습했는지 범주와 규모를 알립니다. "5년간 축적된 100만 건의 대출 심사 기록으로 학습했습니다"라는 수준입니다.

모델의 가중치나 소스코드를 공개하라는 뜻이 아닙니다. 영업비밀은 명시적으로 보호됩니다. 사업자가 해야 하는 일은, 이용자가 자신에게 내려진 판단의 맥락을 납득할 수 있는 수준의 설명을 제공하는 것입니다.

"의미 있는 설명"이라는 기준이 남습니다. 모델이 산출하는 feature importance 점수를 나열해 놓고 "설명을 제공했습니다"라고 말하는 것은 기술적으로 가능합니다. 그러나 변수 이름과 수치만 줄줄이 적힌 보고서를 받은 대출 거절자가 그것을 이해할 수 있느냐는 별개의 질문입니다. "의미 있는"이라는 수식어는, 설명의 수준을 전문가가 아니라 영향받는 사람의 눈높이에 맞추라는 요구입니다. 기술 문서가 아니라 의사소통입니다.

이용자 보호 방안은 설명방안과 별개의 독립된 책무입니다. 제34조 제1항 제3호가 이용자 보호 방안의 수립과 운영을 따로 요구하고, 시행령은 이 방안을 설명방안과 함께 홈페이지에 게시하도록 합니다. 법과 시행령이 내용 목록을 직접 정하지는 않았지만, 이의 제기 절차, 피해 구제 경로, 담당 부서 연락처 같은 내용이 들어갑니다. AI의 판단에 이의가 있는 이용자가 어디에, 어떻게, 얼마 안에 이의를 제기할 수 있는지가 명확해야 합니다.

유럽연합 AI법 제13조는 이것을 "투명성과 배포자에 대한 정보 제공"이라는 이름으로 다룹니다. 제13조 제3항은 사용설명서에 포함할 내용을 열거합니다. 제공자의 신원과 연락처. 시스템의 특성과 능력과 성능 한계. 의도된 목적과 정확도 지표. 견고성과 사이버보안 수준. 예견 가능한 위험. 설명 가능성(explainability). 특정 집단별 성능 차이. 입력 데이터 사양. 해석 지침. 인적 감독 조치. 컴퓨팅 자원과 예상 수명. 열두 개 이상의 항목입니다.

EU는 목록을 법조문에 직접 써 넣었습니다. 사업자는 그 목록대로 하면 됩니다. 한국은 "설명방안을 수립하고 시행하라"고만 적고 나머지를 고시와 가이드라인에 맡겼습니다. EU의 접근이 사업자에게 예측 가능성을 줍니다. 어디까지 해야 합격인지 분명합니다. 한국의 접근은 유연합니다. 산업별로 맥락이 다르므로 일률적 목록을 법률로 고정하지 않겠다는 판단입니다. 반면 사업자는 "어디까지 해야 충분한가"를 스스로 결정해야 합니다.

이 부담이 2026년 7월 현재 실무의 풍경입니다. AI 기본법 지원데스크에 시행 10주 만에 접수된 552건의 상담 가운데 51%가 투명성 표시 의무 관련 질문이었습니다(과학기술정보통신부 2026년 3월 31일 발표). 사업자들이 설명의 범위와 깊이를 묻고 있습니다.

3. 사람의 손이 닿는 거리

제34조 제1항 제4호는 고영향 인공지능에 대한 사람의 관리와 감독을 요구합니다. 시행령은 관리와 감독을 맡은 사람의 성명과 연락처를 홈페이지에 공개하도록 합니다.

법이 뜻하는 바는 이것입니다. 고영향 영역에서 사람이 AI를 관리하고 감독하며, 필요하면 개입할 수 있는 체계를 갖추라는 것입니다.

이것을 실무에 옮기려면 세 가지 장치를 갖춰야 합니다.

개입 권한입니다. AI의 결과를 뒤집을 수 있는 사람이 있어야 합니다. 대출 심사 AI가 거절을 내놓았을 때 담당 직원이 그 거절을 번복할 수 있는 권한과 절차가 존재해야 합니다. AI의 판단을 사후에 확인하는 것만으로는 부족합니다. 확인한 뒤 바꿀 수 있어야 합니다. 채용 선별 AI가 지원자를 탈락시켰을 때 인사 담당자가 그 결정을 무시(override)하고 면접 대상으로 올릴 수 있어야 합니다.

비상 정지입니다. AI 시스템이 비정상적으로 작동할 때 사람이 시스템을 멈출 수 있어야 합니다. 의료 영상 판독 AI가 정상 조직을 종양으로 판독하기 시작한다면, 의사나 시스템 운영자가 즉시 해당 AI의 가동을 중단시킬 수 있는 절차가 마련되어 있어야 합니다. 자율주행 보조 시스템이라면 운전자가 수동 모드로 전환할 수 있는 물리적 인터페이스가 비상 정지에 해당합니다. 비상 정지는 소프트웨어 버튼일 수 있고, 물리적 스위치일 수 있고, 관리자 권한으로 원격 차단하는 절차일 수 있습니다. 형태는 시스템에 따라 다르지만, 사람이 AI를 즉시 멈출 수 있다는 사실은 동일해야 합니다.

개입 트리거입니다. 어떤 상황에서 사람이 개입하는지를 사전에 정해 두어야 합니다. 대출 심사 AI가 특정 기간에 거절률이 평소의 두 배를 넘으면 사람이 개입하는 규칙을 정할 수 있습니다. 채용 선별 AI가 특정 대학 출신 지원자를 90퍼센트 이상 탈락시키면 사람이 검토하는 규칙을 정할 수 있습니다. 에너지 공급 관리 AI가 예측 오차율 15퍼센트 이상을 기록하면 운영자가 수동으로 전환하는 규칙을 정할 수 있습니다. 트리거는 수치로 정의하는 것이 바람직합니다. "이상이 발견되면 개입한다"라는 모호한 기준은 사람의 개입을 사실상 방치하는 것과 같습니다.

관리와 감독을 맡은 사람의 성명과 연락처를 홈페이지에 공개하는 조항은 책임을 특정인에게 묶겠다는 뜻입니다. AI에 문제가 생기면 누가 응답하는지를 이용자와 영향받는 자가 알 수 있어야 합니다. 이 사람은 AI 시스템의 작동을 이해하고, 이상 징후를 파악하며, 시스템을 중지시킬 권한을 가져야 합니다.

유럽연합 AI법 제14조는 인적 감독(human oversight)을 더 세밀하게 규정합니다. 감독 담당 인력이 갖춰야 할 역량을 다섯 가지로 열거합니다. 시스템의 능력과 한계를 이해할 것. 자동화 편향(automation bias)의 위험을 인식할 것. 시스템의 출력을 올바르게 해석할 것. 시스템의 출력을 거부하거나 무시할 수 있을 것. 시스템에 개입하거나 안전하게 중지시킬 수 있을 것.

자동화 편향이라는 개념이 눈에 띕니다. 사람이 AI의 판단에 지나치게 의존하여 자기 판단을 포기하는 현상입니다. 감독자가 자리에 있으되 AI가 내놓는 결과를 그대로 승인만 한다면, 인적 감독은 형식에 그칩니다. EU 제14조가 자동화 편향의 위험 인식을 명시한 것은 이 형식화를 경계한 것입니다. 한국법에는 자동화 편향에 대한 언급이 없습니다.

제14조 제5항은 생체인식 시스템에 별도 기준을 둡니다. 원격 생체인식 시스템이 개인을 식별한 경우, 최소 두 명의 자연인이 별도로 검증하고 확인하지 않으면 어떤 조치나 결정도 내릴 수 없습니다. 한국법의 고영향 영역 중 "범죄수사 또는 체포를 위한 생체인식정보의 분석"(제2조 제4호 바목)은 EU의 이 규정과 같은 영역을 다루고 있으나, 두 명 이상의 교차 검증이라는 구체적 요건은 한국법에 없습니다.

중국 학계가 2024년에 내놓은 종합 인공지능법 학자 건의안(총 9장 96조)은 법적 권리에 영향을 미치는 결정에 인간 개입(human-in-the-loop) 요건을 담고 있습니다. 최대 5,000만 위안(약 90억 원)의 벌금이 거론됩니다. 이미 시행 중인 생성형 AI 잠행판법은 사전 보안 평가라는 형태로 인적 검증을 요구하지만, 개별 결정 단위의 인적 감독과는 성격이 다릅니다.

4. 기록하고 남겨두는 5년

제34조 제1항 제5호는 이행 근거 문서의 작성과 보관을 요구합니다. 시행령 제27조 제2항은 보관 기간을 5년으로 정합니다. 전자적 방법도 허용됩니다.

보관 대상은 다섯 가지 책무의 이행 과정에서 만들어진 문서 전체입니다. 위험관리방안의 수립과 변경 기록. 위험 식별과 평가 결과. 설명방안의 내용과 이용자 보호 조치. 인적 개입 체계의 운영 기록. 이 문서들은 사실조사가 이루어지거나, 이용자의 이의 제기가 있거나, 사고가 발생했을 때 사업자의 책무 이행 여부를 증명하는 근거가 됩니다.

5년이라는 기간은 고영향 인공지능의 영향이 시차를 두고 드러날 수 있다는 판단을 반영합니다. 채용 선별 AI의 편향이 현실에 나타나기까지 수년이 걸릴 수 있습니다. 대출 심사 AI의 체계적 차별이 통계로 포착되려면 충분한 데이터가 쌓여야 합니다. 공공서비스 AI의 자격심사 오류가 축적되어 사회적 문제로 인식되기까지 상당한 시간이 흐릅니다.

사업자 입장에서 5년 보관은 비용입니다. AI 시스템이 빈번하게 업데이트되는 환경에서 모든 버전의 위험관리 기록과 설명방안을 5년간 유지하려면 문서관리 체계를 별도로 갖춰야 합니다. 모델이 월 단위로 재학습되는 서비스라면, 5년 동안 축적되는 문서량은 무시할 수 없습니다.

유럽연합 AI법은 문서화와 기록을 두 개의 조문으로 나눕니다. 제11조(기술 문서)는 시장 출시 전에 기술 문서를 작성하고 최신 상태로 유지하라고 요구합니다. 최소 포함 사항은 부속서 IV에 열거되어 있고, 중소기업에게는 축약된 형태의 문서가 허용됩니다. 제12조(기록 보관)는 고위험 AI 시스템이 사건을 자동으로 기록하는 기술적 능력을 갖추도록 요구합니다. 자동 로깅(automatic recording of events)입니다. 위험을 초래하는 상황의 식별, 시판 후 모니터링, 운영 감시에 관련된 사건이 기록 대상입니다.

한국법의 문서화 의무는 사람이 만드는 문서에 초점을 맞추고 있습니다. EU의 기록 보관 의무는 시스템이 스스로 남기는 로그까지 포괄합니다. EU 제12조가 요구하는 자동 로깅은 사후 감사(audit)를 기술적으로 가능하게 만드는 장치입니다. 한국법에는 자동 로깅에 대응하는 규정이 없습니다. AI 시스템이 내린 개별 결정의 이유를 기계적으로 추적할 수 있는 체계를 법이 요구하지 않는다는 뜻입니다.

보관 기간도 차이가 납니다. 자발적 서명 방식으로 운영되는 GPAI 행동규범(2025년 8월 승인)은 서명한 범용 AI 제공자에게 기술 문서를 10년간 보존하도록 합니다. 한국의 5년에 비하면 두 배입니다. EU AI법 자체는 기술 문서의 보관 기간을 시스템의 시장 출시 후 10년으로 정합니다. 한국의 5년은 EU의 절반입니다.

5. 한 조문과 일곱 조문

한국 인공지능기본법은 고영향 인공지능사업자의 책무를 제34조라는 한 조문에 담았습니다. 제1항의 다섯 개 호가 위험관리, 설명, 이용자 보호, 사람의 관리와 감독, 문서 작성과 보관을 열거합니다. 유럽연합 AI법은 고위험 AI 시스템의 의무를 일곱 개 조항(제9조부터 제15조)에 걸쳐 규정합니다.

구조가 밀도를 만듭니다. EU AI법 제9조부터 제15조까지 합산하면 수십 개의 세부 요건이 법조문에 직접 나열됩니다. 한국은 다섯 개의 큰 책무만 법률에 적고, 세부 사항을 시행령과 고시와 가이드라인으로 내려보냅니다. EU의 규정은 사업자가 법전만 읽으면 무엇을 해야 하는지 알 수 있습니다. 한국의 기본법은 법전만으로는 부족하고, 시행령, 고시, 가이드라인, 지원데스크 상담까지 거쳐야 전체 그림이 잡힙니다.

EU에 있고 한국에 없는 의무가 두 가지 있습니다.

데이터 거버넌스입니다. EU 제10조는 학습, 검증, 테스트에 쓰이는 데이터셋의 품질 기준을 별도 조문으로 다룹니다. 데이터 수집 과정과 출처, 전처리 작업(주석, 라벨링, 정제, 보강), 편향 검토, 대표성 확인, 개인정보 보호 특례까지 여덟 개 항목을 열거합니다. 한국 인공지능기본법에는 학습 데이터의 품질이나 거버넌스를 직접 규율하는 조항이 없습니다. 학습용 데이터의 "개요"를 설명하라는 규정은 있으나, 데이터 자체의 품질 기준을 세우는 규정이 빠져 있습니다.

정확성과 견고성과 사이버보안입니다. EU 제15조는 고위험 AI 시스템이 적절한 수준의 정확도, 견고성(robustness), 사이버보안을 달성하도록 요구합니다. 오류와 결함에 대한 회복력, 데이터 오염(data poisoning)과 적대적 예시(adversarial examples)에 대한 방어, 피드백 루프에 의한 편향 확대 방지까지 법조문에 명시됩니다. 한국법에는 이에 대응하는 독립 조항이 없습니다. 위험관리의 일환으로 포섭될 수 있으나, 법률 수준에서 명시한 것과 고시 수준에서 다루는 것 사이에는 구속력의 차이가 있습니다.

한국법의 이 구조가 "유연하다"는 평가는 정확합니다. AI 기술이 빠르게 변하는 상황에서 법률에 세부 기준을 고정하면, 기술이 앞서 달릴 때마다 법을 고쳐야 합니다. 고시와 가이드라인은 법 개정 없이 바꿀 수 있습니다. 그러나 유연성이 불확실성으로 전환되는 지점이 있습니다. 법 자체가 해야 할 일을 알려주지 않으면, 지킬 의사가 있는 사업자도 무엇을 지켜야 하는지 모릅니다. 552건의 질문이 그 불확실성의 단면입니다.

6. 권고와 의무 사이

제34조 제1항의 다섯 가지 책무에는 "이행하여야 한다"라는 문언이 붙어 있습니다. 의무입니다. 그런데 과기정통부 장관이 고시로 정하는 구체적 사항에 대해서는 "준수하도록 권고할 수 있다"고 적혀 있습니다(제34조 제2항). 권고입니다.

의무와 권고 사이에 간격이 있습니다. 다섯 가지 책무를 이행해야 한다는 것은 법률상 의무이지만, 어떻게 이행하느냐에 대한 세부 기준은 권고입니다. 이 구조를 두고 "자율적 노력의무"라는 표현이 쓰입니다.

과태료는 최대 3,000만 원입니다. 그것도 책무를 어겼다고 곧바로 부과되는 것이 아니라, 사실조사를 거쳐 내려진 중지명령이나 시정명령을 이행하지 않을 때 부과됩니다(제40조 제3항, 제43조 제1항 제3호). 정부가 밝힌 계도기간은 최소 1년으로, 2027년 1월 이후까지 이어집니다. 인명 사고나 대규모 인권 침해 같은 중대 사안이 아니면 과태료 대신 행정 지도와 시정 권고가 먼저 나옵니다.

3,000만 원이라는 금액은 직원 10명의 스타트업에게는 부담입니다. 연매출 1조 원의 대기업에게는 0.003퍼센트입니다. 비교 대상이 있습니다. EU AI Act의 고위험 AI 의무 위반 벌금은 최대 1,500만 유로 또는 전 세계 매출의 3%입니다. 1,500만 유로를 원화로 바꾸면 약 230억 원, 한국의 최대 과태료와 800배 가까이 차이가 납니다. 중국 학자 건의안이 제시한 벌금은 최대 5,000만 위안(약 90억 원)입니다. 한국의 3,000만 원은 세 나라 가운데 현저히 낮습니다.

벌금의 크기가 곧 규제의 실효성은 아닙니다. 한국법은 다른 경로로 사업자의 행동을 유도합니다.

공공조달 연계입니다. 기본법 제35조 제2항은, 국가기관이 고영향 인공지능 제품이나 서비스를 쓰려면 영향평가를 실시한 것을 우선 고려하라고 합니다. 2026년 1월 개정으로 들어온 제16조 제3항은 국가기관이 업무에 필요한 제품이나 서비스를 구매할 때 인공지능제품과 인공지능서비스를 우선 고려하도록 했습니다. 이 개정 조항은 2026년 7월 21일부터 시행됩니다. 두 조항을 합치면 이런 구조가 됩니다. 정부를 고객으로 삼으려는 사업자에게 영향평가 이행과 책무 이행은 사실상 시장 진입 조건입니다. 법률이 강제하지 않는 것을 시장이 강제합니다. 정부 조달 시장이 크지 않다면 이 연계는 약합니다. 정부가 AI 도입을 적극적으로 추진할수록 이 연계는 강해집니다.

중복 규제 완화 장치는 기존 사업자에게 실질적 의미가 있습니다. 다른 법령에 따라 제34조 제1항 각 호에 준하는 조치를 이미 이행한 사업자는, 시행령 별표 1이 정한 기준에 따라 인공지능기본법의 책무를 이행한 것으로 인정받습니다(제34조 제3항). 대출 심사 AI를 운영하는 금융회사가 신용정보법 제35조의2의 설명의무를 지키고 설명 절차를 갖추고 있다면, 설명방안 의무를 이행한 것으로 봅니다. 같은 영역에서 금융소비자 보호에 관한 법률 제10조의 책무를 모두 이행하고 있다면, 이용자 보호 방안도 이행한 것으로 봅니다. 디지털의료기기 제조사가 디지털의료제품법에 따라 품질관리체계를 갖추고 소프트웨어가 품질관리기준에 적합하다는 판정까지 받았다면, 위험관리방안을 이행한 것으로 인정받고, 준용되는 의료기기법상 품질관리체계 요건까지 모두 갖추면 문서화 의무도 이행한 것으로 인정받습니다. 개인정보 보호법에 따른 조치를 이행한 경우에는 개인정보 처리와 보호에 관해서는 그에 상응하는 책무를 이행한 것으로 봅니다.

이용사업자에 대한 부담도 줄입니다. 개발사업자가 고영향 인공지능에 대한 책무를 이행했고, 이용사업자가 본래 목적과 용도를 현저히 변경하지 않았다면, 이용사업자는 위험관리방안, 설명방안, 이용자 보호 세 가지를 이행한 것으로 봅니다. 인적 감독 체계의 운영과 문서 보관 의무는 이용사업자가 스스로 이행해야 합니다. 개발사업자와 이용사업자 사이의 이런 분담은, 공급망 전체에 의무를 분배하는 EU 접근과 대조됩니다.

EU는 provider에게 적합성 평가를, deployer에게 운영과 감시 의무를 부과하고, 공공기관과 신용평가·보험 같은 일부 deployer에게는 기본권 영향평가까지 요구합니다. 양쪽 모두 상당한 의무를 집니다. 한국은 개발사업자에게 일차적 책임을 집중시키고, 이용사업자의 부담을 낮추었습니다. 이 설계는 도입 기관(병원, 학교, 금융사)의 규제 부담을 줄이겠다는 취지입니다. 반면, 이용사업자가 AI 시스템을 자기 맥락에 맞게 재구성하면서 "기능을 현저히 변경하지 않았다"고 주장할 여지가 남습니다. 이 경계가 불분명한 만큼, 앞으로 분쟁의 여지가 됩니다.

2026년 1월 22일, 다섯 가지 책무가 법적 효력을 갖고 사업자에게 적용되기 시작했습니다. 고시와 가이드라인이 함께 배포되었습니다. 계도기간이 돌아가고 있습니다. 이용사업자가 개발사업자에게 자료를 요청할 수 있는 권리, 개발사업자의 협력 노력 의무, 다른 법령에 따른 이행 인정 같은 장치가 작동하기 시작했습니다. 법이 만든 구조는 돌아가고 있으나, 그 구조가 충분히 촘촘한지는 실무가 판단해 줄 문제입니다. AI 기본법 지원데스크에 쌓이고 있는 질문들이, 아직 그 판단이 끝나지 않았음을 말해 줍니다.