2026 고영향 AI 사업자 의무 체크리스트｜공개 4항목·문서 5년·개발·이용사업자

 

AI기본법 실무 후속편

고영향 AI로 판단됐다면 ‘모델 성능’보다 먼저 운영 책임을 문서로 고정해야 합니다.

핵심은 위험관리, 설명, 이용자 보호, 사람의 관리·감독, 문서화입니다. 여기에 주요 내용 4가지를 사무소·사업장 또는 홈페이지에 공개하고, 이행 근거를 5년간 보관해야 합니다.

2026년 8월 27일 기준 · 법률 제34조·시행령 제27조 확인

법정 조치

5가지

위험·설명·보호·사람의 감독·문서

대외 공개

4항목

영업비밀은 공개 대상에서 제외 가능

근거 보관

5년

전자적 방법으로 보관해도 인정

먼저 결론: ‘조치·공개·보관’을 따로 관리하세요

고영향 AI 의무는 정책 문서 한 장으로 끝나지 않습니다. 실제로 조치를 운영하고, 외부에 공개할 내용과 내부에 남길 증빙을 분리해 관리해야 누락을 줄일 수 있습니다.

• 내부 운영: 위험관리부터 사람의 감독까지 5대 조치가 실제 업무 흐름에서 작동해야 합니다.
• 외부 공개: 위험관리·설명·이용자 보호의 주요 내용과 관리·감독자 정보를 게시해야 합니다.
• 내부 증빙: 회의록, 점검표, 변경 이력, 사고 대응 기록 등 이행 근거를 5년간 보관합니다.

중요

고영향 AI 여부를 아직 판단하지 않았다면 의무 체크리스트보다 먼저 자체 검토를 해야 합니다. 판단이 애매할 때만 과학기술정보통신부 확인 요청 절차를 이용하는 순서가 안전합니다.

법이 요구하는 5대 조치

고영향 AI 사업자가 이행할 5대 조치와 대표 증빙

구분	해야 할 일	남겨둘 대표 증빙
1. 위험관리	예상 위험을 식별·평가하고 허용 기준, 완화 조치, 재점검 조건을 운영합니다.	위험등록부, 평가표, 완화 조치 승인 기록
2. 설명 방안	기술적으로 가능한 범위에서 최종결과, 주요 판단 기준, 학습용데이터 개요 등을 설명할 절차를 둡니다.	설명 템플릿, 데이터 개요서, 문의 처리 이력
3. 이용자 보호	오류 신고, 이의 제기, 정정·재검토, 피해 대응이 가능한 창구와 절차를 마련합니다.	이용자 안내문, 접수대장, 처리기한·결과 기록
4. 사람의 감독	AI 결과를 검토·중지·변경·복구할 권한이 있는 담당자와 개입 조건을 정합니다.	책임자 지정서, 권한표, 개입·승인 로그
5. 문서화	안전성·신뢰성 조치의 내용을 확인할 수 있도록 문서를 작성하고 보관합니다.	버전 이력, 시험 결과, 회의록, 감사 로그

‘설명’은 영업비밀 전체를 공개하라는 뜻이 아니라, 기술적으로 가능한 범위에서 결과와 주요 기준 등을 설명할 방안을 마련하라는 취지입니다.

홈페이지 등에 공개할 4항목

시행령은 아래 내용을 사무소·사업장 또는 인터넷 홈페이지 등에 게시하도록 정합니다. 영업비밀에 해당하는 사항은 제외할 수 있지만, 모든 내용을 비공개로 돌리는 근거로 쓰면 안 됩니다.

위험관리 주요 내용

위험관리 정책, 담당 조직과 운영 체계

설명·보호 방안

설명 제공 방식과 이용자 보호 절차

관리·감독자

담당자의 성명과 연락처

게시 전에 확인

공개문서에는 버전·적용 서비스·시행일·담당 연락처를 함께 적어 두면 변경 이력을 추적하기 쉽습니다. 공개용 요약본과 내부 상세 문서는 같은 관리번호로 연결해 두세요.

실무 적용 6단계

1. 서비스와 사업자 역할을 한 장에 정리누가 개발하고 누가 제공·이용하는지, 어떤 의사결정에 AI 결과가 쓰이는지, 영향을 받는 사람이 누구인지부터 확정합니다.
2. 위험등록부를 만들고 책임자를 배정오판, 차별, 개인정보 침해, 보안, 과도한 자동화 의존 등 예상 위험별로 발생 가능성·영향·완화 조치·잔여 위험을 기록합니다.
3. 설명 가능한 자료 묶음을 준비결과의 의미, 주요 판단 기준, 데이터 개요, 제한사항, 사람이 다시 검토받는 방법을 이용자 수준에 맞춰 정리합니다.
4. 이용자 보호와 이의 제기 흐름을 연결신고 접수부터 임시 조치, 사람의 재검토, 결과 안내, 재발 방지까지 책임자와 처리기한을 명확히 둡니다.
5. 사람이 개입할 조건과 권한을 시험고위험 결과, 신뢰도 저하, 데이터 이상, 민원 급증 때 자동 처리를 중지하거나 되돌릴 수 있는지 모의훈련합니다.
6. 4항목을 공개하고 근거를 5년 보관게시 화면과 변경 이력을 캡처하고, 정책·평가·승인·운영 로그를 전자문서로 묶어 보관기간과 폐기 책임자를 설정합니다.

개발사업자와 이용사업자의 역할은 어떻게 나뉠까

고영향 AI 개발사업자와 이용사업자의 역할 비교

상황	개발사업자	이용사업자
기본 역할	모델·데이터·성능·제한사항 등 의무 이행에 필요한 자료를 준비합니다.	실제 사용 맥락의 위험, 이용자 보호, 사람의 개입과 공개를 운영합니다.
자료 요청	이용사업자의 필요한 자료 제공 요청에 협력하도록 노력해야 합니다.	필요 자료를 구체적으로 요청하고 받은 자료를 실제 운영 통제에 연결합니다.
중대한 기능 변경 없음	이미 이행한 위험관리·설명·이용자 보호 조치와 근거를 전달합니다.	본래 목적·용도를 현저히 바꾸지 않았다면 해당 조치의 전부 또는 일부를 이행한 것으로 볼 수 있습니다.
목적·용도 대폭 변경	변경 영향 분석에 필요한 기술 자료를 제공합니다.	기존 조치를 그대로 인정받는다고 단정하지 말고 새 사용 맥락에서 다시 평가합니다.

다른 법률의 인증·의무가 있으면 전부 면제될까

전부 면제라고 단정하면 안 됩니다. 시행령 별표 1은 디지털의료기기, 대출 심사, 자율주행자동차, 자율운항선박 등에서 다른 법률상 조치를 이행한 경우 어떤 항목을 이행한 것으로 볼지 세부적으로 나눕니다. 개인정보 보호법이나 지능정보화 기본법에 따른 조치도 대응되는 범위에서 인정될 수 있습니다.

실무 판단법

보유 인증이나 기존 법정 절차를 5대 조치 표의 각 행에 하나씩 매핑하세요. 빈칸이 남으면 그 부분은 AI기본법 체계에서 별도로 보완하는 방식이 안전합니다.

영향평가는 의무 체크리스트와 별개입니다

법 제35조는 고영향 AI 제품·서비스를 제공하기 전에 기본권 영향을 평가하도록 노력할 것을 정합니다. 국가기관 등은 영향평가를 실시한 제품·서비스를 우선 고려해야 하므로, 공공 조달을 염두에 둔다면 조치 문서와 영향평가 자료를 함께 준비하는 편이 유리합니다.

• 영향받을 가능성이 있는 개인·집단과 기본권 유형을 식별합니다.
• 사회적·경제적 영향의 내용과 범위를 정리합니다.
• 장애인·고령자 등 인공지능취약계층의 특성을 서비스 성격에 맞게 반영합니다.

자주 묻는 질문

제34조 의무를 놓치면 바로 3천만원 과태료인가요?

제34조 위반 자체가 제43조의 독립 과태료 항목으로 적혀 있지는 않습니다. 다만 신고·민원 등으로 위반이 확인되면 중지·시정명령을 받을 수 있고, 그 명령을 이행하지 않으면 3천만원 이하 과태료 대상이 될 수 있습니다. 투명성 고지 의무 등 다른 조항의 과태료 요건도 별도로 확인해야 합니다.

관리·감독자의 개인 휴대전화까지 공개해야 하나요?

시행령은 관리·감독하는 사람의 성명과 연락처 게시를 요구합니다. 실제 게시 형식은 내부 개인정보·업무 연속성을 함께 고려해 담당자 이름과 업무용 전화·이메일 등으로 설계하고, 담당자 변경 시 즉시 갱신하는 방식이 실무적입니다.

개발사가 자료를 주지 않으면 이용사업자는 면책되나요?

자동 면책으로 볼 수 없습니다. 이용사업자는 필요한 자료를 구체적으로 요청하고 그 기록을 남기며, 부족한 정보 때문에 평가할 수 없는 위험은 별도 제한·사람의 검토·사용 중단 기준으로 보완해야 합니다.

5년 보관은 무엇을 기준으로 세나요?

시행령은 이행 근거를 5년간 보관하도록 정하지만 모든 문서의 기산점을 한 문장으로 일괄 제시하지 않습니다. 서비스·모델 버전별 시행일과 폐기일을 함께 기록하고, 변경·종료 후에도 해당 버전의 근거가 5년 동안 추적되도록 보존 정책을 잡는 편이 안전합니다.

공식 확인 링크

• 국가법령정보센터 · AI기본법 제34조
• 국가법령정보센터 · 시행령 제27조
• 시행령 별표 1 · 다른 법률상 이행조치 인정 기준
• 과학기술정보통신부 · 고영향 AI 확인 요청
• 국가법령정보센터 · 과태료 규정

이 글은 2026년 8월 27일 확인한 법령을 바탕으로 일반적인 실무 점검 순서를 정리한 정보입니다. 개별 서비스의 법적 판단은 적용 분야, 사업자 역할, 기능 변경 정도와 다른 법률상 의무에 따라 달라질 수 있습니다.

함께 보면 좋은 글

• 2026 고영향 AI 판단 기준｜10개 적용 영역·비해당 사례·확인 요청해당 여부부터 확인하기 →
• 2026 AI 생성물 표시 의무, 누가 해야 하나｜AI기본법·가상인물 광고·과태료투명성 의무 이어보기 →
• 생성형 AI 개인정보 보호 완벽 정리｜입력 전 확인·사내 문서·설정 체크리스트데이터 보호 점검하기 →