AI기본법 제31조의 주어는 "인공지능사업자"입니다.
저는 이 글을 정반대로 쓰기 시작했습니다. EU AI법이 8월 2일부터 벌칙 조항을 적용한다는 소식을 보고 우리 법을 열었는데, 제31조에 표시 의무가 세 항이나 있길래 재무팀도 뭔가 챙겨야겠다고 생각했습니다. 초안을 절반쯤 썼을 때 제2조를 폈고, 방향을 바꿨습니다.
조문 마흔여섯 개 중 의무를 지우는 것은 여섯 개입니다. 나머지는 진흥과 지원입니다.
AI기본법의 취지와 적용범위 — 제1조와 제4조
▍규제법보다 진흥법에 가깝습니다
제1조가 목적을 이렇게 적습니다. 인공지능의 건전한 발전과 신뢰 기반 조성에 필요한 기본적인 사항을 규정해 국민의 권익과 존엄성을 보호하고, 삶의 질 향상과 국가경쟁력 강화에 이바지한다.
발전이 먼저 나오고 신뢰가 뒤에 붙습니다. 조문 구성도 그렇습니다. 마흔여섯 개 조문 가운데 기본계획, 국가인공지능전략위원회, 학습용데이터 지원, 집적단지, 창업 지원, 인공지능안전연구소가 대부분을 차지하고, 사업자에게 의무를 지우는 것은 제31조부터 제36조까지입니다. 시행령도 서른아홉 개 조문 중 의무 관련은 제23조에서 제29조까지고요.
적용범위는 제4조 두 항이 전부입니다. 국외에서 이루어진 행위라도 국내 시장이나 이용자에게 영향을 미치면 적용하고, 국방이나 국가안보 목적으로만 개발·이용되는 인공지능은 적용하지 않습니다. 후자는 시행령 제2조가 국방부장관·국가정보원장·경찰청장이 지정하는 업무로 한정해뒀습니다. 민간 기업이 여기 들어갈 일은 없습니다.
그래서 실무에서 볼 것은 의무 조항 여섯 개이고, 그중에서도 우리가 AI기본법 수범자인지를 먼저 가려야 합니다.
AI기본법 수범자는 누구인가 — 제2조 6호와 7호
▍조문의 주어부터 봤습니다
세법 검토를 시작할 때 저는 세율이 아니라 납세의무자부터 봅니다. 의무 조항은 무엇을 하라고 말하고, 정의 조항은 그게 누구 얘기인지 말하거든요.
제2조 6호가 인공지능산업을 정의합니다. 인공지능 또는 인공지능기술을 활용한 제품을 개발·제조·생산 또는 유통하거나, 이와 관련한 서비스를 제공하는 산업. 앞의 것이 인공지능제품, 뒤의 것이 인공지능서비스입니다.
7호가 수범자입니다. 인공지능사업자란 인공지능산업과 관련된 사업을 하는 자로서 둘 중 하나입니다.
① 인공지능개발사업자 — 인공지능을 개발하여 제공하는 자 ② 인공지능이용사업자 — 개발사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자
두 번째가 헷갈리는 자리입니다. "이용"이라는 말 때문에 AI를 업무에 쓰기만 해도 여기 들어가는 것처럼 읽힙니다. 그런데 문장 끝에 조건이 하나 더 붙어 있습니다. 이용해서 인공지능제품 또는 인공지능서비스를 제공하는 자입니다. 이용했다는 사실보다 그 결과로 무엇을 파느냐가 기준입니다.
여기서 갈래가 셋으로 나뉩니다.
케이스 1 — AI를 붙인 재무 서비스를 파는 경우
▍상품 이름에 AI가 들어간다면
기장업체가 "AI 기장"을, 회계법인이 "AI 세무 리포트"를, 솔루션 회사가 재무 AI 에이전트를 상품으로 판매하는 경우입니다. 고객이 구매한 대상 자체가 AI 기반 서비스이므로 인공지능이용사업자로 볼 여지가 큽니다. 검토할 것은 셋입니다.
① 제31조 1항 사전 고지. 제품이 해당 인공지능에 기반해 운용된다는 사실을 이용자에게 미리 알려야 합니다. 시행령 제23조 1항이 방법을 정해뒀는데 계약서·사용설명서·이용약관에 기재하거나, 이용자 화면에 표시하거나, 제공 장소에 게시하는 것 중 하나면 됩니다. 약관 한 줄입니다.
② 다만 시행령 제23조 4항 1호를 같이 보십시오. 제품·서비스명이나 화면 문구를 볼 때 생성형 인공지능을 활용한 사실이 명백하면 적용 예외입니다. "AI 기장"이라고 이름을 박으면 수범자가 될 여지는 커지는데 고지 의무는 오히려 면제될 수 있습니다. 감추면 고지해야 하고 드러내면 안 해도 되는 구조입니다.
③ 제31조 2항 생성물 표시. 시행령 제23조 2항이 사람이 인식할 수 있는 방법과 기계가 판독할 수 있는 방법을 모두 인정하되, 후자를 쓸 때는 안내 문구나 음성으로 1회 이상 알리라고 정했습니다.
케이스 2 — 고객 업무에 쓰되 사람이 검토해 내보내는 경우
▍파는 것은 회계 자문입니다
회계사가 재무 AI로 세무 검토 의견서 초안을 만들고, 검토해서 자기 이름으로 고객에게 보내는 경우입니다. 고객이 산 것은 회계 자문 서비스이지 인공지능서비스가 아닙니다. 제조사가 CAD로 도면을 그렸다고 CAD 서비스를 파는 게 아닌 것과 같습니다. 도구는 안쪽에 있고 파는 것은 바깥에 있습니다.
수범자 판정을 통과하더라도 문이 하나 더 있습니다. 시행령 제23조 4항 2호가 인공지능사업자의 내부 업무 용도로만 사용되는 경우를 적용 예외로 둡니다. 사람이 받아 검토해 내보내는 구조는 여기 해당합니다.
그래서 검토할 것은 둘뿐입니다.
① 산출물이 사람의 검토를 거치는가. 초안을 그대로 전달하고 있다면 구조를 다시 봐야 합니다. ② 고객이 AI와 직접 주고받는 통로가 있는가. 고객 포털에 상담창을 열어두면 내부 업무 용도가 아니고 이용자 화면에 AI가 닿습니다. 그 순간 케이스 1로 넘어갑니다.
실무 조언을 하나 붙이자면, 이 경우에도 용역계약서에 AI 활용 사실을 한 줄 넣어두는 편이 낫습니다. 법적 의무여서는 아니고, 나중에 다툴 일을 없애는 비용이 0에 가깝기 때문입니다.
케이스 3 — 사내 효율화로만 도입한 경우
▍AI기본법에서 볼 것이 없습니다
재무팀이 결산 대사, 계정 분류, 자금일보 작성, 예산 대비 실적 분석에 AI를 쓰는 경우입니다. 밖으로 나가는 제품도 서비스도 없습니다. 제2조 7호 어느 목에도 해당하지 않으므로 인공지능사업자가 아니고, AI기본법 표시 의무도 제43조 과태료도 적용되지 않습니다. 시행령 제23조 4항의 예외까지 갈 것도 없이 앞 단계에서 끝납니다.
AI기본법 때문에 손볼 것이 없다는 뜻이지 아무 의무가 없다는 뜻은 아닙니다. 이 경우 실제로 문제가 되는 것은 다른 법입니다. 개인정보보호법상 처리 근거와 위탁, 신용정보법, 고객사와 맺은 비밀유지 약정, 그리고 외부 API에 회사 데이터를 보내는 구조라면 계약상 재위탁 조항입니다. 실무에서 사고가 나는 자리는 거의 이쪽입니다.
재무팀이 회사 차원에서 점검할 것
▍회사가 밖에 무엇을 판다고 말하는지를 봅니다
여기까지가 "AI를 쓰는 우리 부서"의 관점이라면, 재무팀에는 일이 하나 더 있습니다. 회사 전체에 AI기본법 리스크가 있는지 보는 일입니다. 결산 자동화 도구만 들여다보면 답이 안 나옵니다. 회사가 밖에 대고 무엇을 판다고 말하고 있는지를 봐야 합니다. 점검할 것은 다섯입니다.
① 홈페이지·제안서·약관에 "AI 기반"으로 표방한 제품이나 서비스가 있는가. 재무팀이 모르는 사이에 마케팅이 만든 문구 하나가 회사를 인공지능이용사업자로 만들 수 있습니다. 반대로 그 문구 덕에 시행령 제23조 4항 1호의 적용 예외에 들어갈 수도 있고요. 어느 쪽이든 판정의 출발점이 계약서와 홍보물에 있습니다.
② 채용이나 여신 심사에 AI가 들어가 있는가. 제2조 4호 사목이 "채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"를 고영향 인공지능으로 지정합니다. HR이 도입한 서류 스크리닝 도구, 영업이 쓰는 여신 한도 산정 모형이 여기 닿습니다. 고영향 인공지능에 해당하면 제33조 사전 검토, 제34조 책무, 제35조 영향평가가 따라오고, 시행령 제27조에 따라 위험관리 방안과 관리·감독자의 성명·연락처를 홈페이지에 게시하고 이행 근거를 5년간 보관해야 합니다.
③ 나머지 고영향 인공지능 영역에 걸리는 사업이 있는가. 각 목은 에너지 공급, 먹는물 생산 공정, 보건의료, 의료기기·디지털의료기기, 핵물질과 원자력시설, 수사·체포를 위한 생체인식정보 분석, 채용·대출 심사, 교통수단·시설·체계의 작동, 공공기관의 자격 확인과 비용징수 결정, 유아·초등·중등 학생 평가입니다. 열 개이고, 마지막 카목이 대통령령에 열려 있는데 시행령은 아직 영역을 추가하지 않았습니다. 재무나 회계라는 말은 어디에도 없습니다.
④ EU 매출이 있는가. EU AI법 제50조는 수범자를 우리보다 넓게 잡습니다. 사람과 직접 상호작용하는 AI, 합성 콘텐츠, 감정인식, 딥페이크 네 갈래이고 고위험이 아니어도 걸립니다. 제재 상한이 1,500만 유로 또는 전 세계 매출의 3% 중 큰 금액이라 국내법과 자릿수가 다릅니다.
⑤ AI 벤더 계약에 근거 자료를 받을 조항이 있는가. 시행령 제27조 3항은 개발사업자가 위험관리 방안과 설명 방안, 이용자 보호 방안을 이행했고 이용사업자가 본래 목적이나 용도를 현저히 바꾸지 않았다면 이용사업자도 이행한 것으로 봅니다. 같은 조 4항은 이용사업자가 개발사업자에게 필요한 자료를 요청할 수 있게 했고요. 남의 모델을 쓰면서 이 자료를 못 받으면 면제를 주장할 근거가 없습니다. 계약 검토 단계에서 넣을 조항입니다.
▍재무제표로는 어떻게 오나
과태료는 뒤에서 보겠지만 500만원에서 3,000만원 사이입니다. 웬만한 회사에서 중요성 기준에 미달하므로 우발부채로 인식하거나 주석에 적을 사안이 아닙니다. 여기까지만 보고 리스크가 없다고 결론 내리면 절반만 본 것입니다.
실질적인 재무 영향은 제40조 3항에 있습니다. 과기정통부장관이 위반행위의 중지나 시정을 명할 수 있고, 그 대상에는 표시 의무와 고영향 책무가 들어갑니다. 명령이 나오면 해당 서비스를 멈추거나 고쳐야 합니다. AI를 전면에 내건 상품이 매출의 한 축이라면 그 기간의 매출이 흔들립니다. 금액으로 치면 과태료와 비교가 안 됩니다.
그래서 CFO 조직이 볼 숫자는 과태료 표가 아닙니다. 우리 매출 가운데 AI 기반 서비스로 표방한 것이 얼마인지, 그게 멈추면 몇 달치 현금흐름이 흔들리는지입니다.
제재는 두 갈래로 흐릅니다 — 제40조와 제43조, 별표 2
▍조사 대상과 과태료 대상이 다릅니다
제43조 1항의 과태료 대상은 셋입니다. 제31조 1항 사전 고지 위반, 제36조 1항 국내대리인 미지정, 제40조 3항 중지·시정명령 불이행. 상한은 3천만원인데 실제 금액은 시행령 별표 2에 차수별로 정해져 있습니다.
고지를 이행하지 않으면 1차 500만원, 2차 1,000만원, 3차 이상 1,500만원입니다. 국내대리인 미지정은 차수와 무관하게 2,000만원, 중지·시정명령 불이행은 1차 1,000만원에서 3차 이상 3,000만원으로 올라갑니다. 법에 적힌 3천만원은 상한이지 출발점이 아닙니다. 중소기업·벤처기업·소상공인이면 2분의 1 범위에서 감경될 수 있고, 위반 상태가 6개월 이상 이어지면 같은 폭으로 가중됩니다.
그런데 제40조를 보면 조사 대상이 다릅니다. 과기정통부장관이 자료 제출을 요구하거나 사실조사를 할 수 있는 경우로 제31조 2항·3항, 제32조 1항·2항, 제34조 1항 위반을 듭니다. 제31조 1항이 여기 없습니다.
흐름이 둘로 갈립니다. 사전 고지를 어기면 조사 단계 없이 과태료로 갑니다. 생성물 표시나 딥페이크 표시를 어기면 과태료 조항에는 없지만 사실조사 대상이고, 중지·시정명령이 나온 뒤 이행하지 않으면 그때 과태료가 붙습니다. AI기본법 표시 의무에 벌칙이 없다고 읽으면 안 되는 이유가 여기 있습니다.
나머지 두 의무는 문턱이 아주 높습니다. 제32조 안전성 확보는 시행령 제24조가 학습 누적 연산량 10의 26승 부동소수점연산 이상, 최첨단 기술, 광범위·중대한 위험을 모두 요구하고, 국내대리인 지정은 시행령 제29조가 전년 매출 1조원 이상이나 일평균 국내 이용자 100만명 이상 등으로 잡았습니다. 프런티어 모델을 만드는 회사의 기준입니다.
그래도 남는 한계
▍제가 확인하지 못한 것
제2조 7호 나목의 "제공"을 어디까지 볼지는 해석의 여지가 있습니다. 저는 고객이 구매한 대상이 무엇이냐로 갈린다고 읽었는데 감독기관이 더 넓게 볼 수도 있습니다. 시행령 제23조 4항 3호가 과기정통부장관 고시로 예외를 더 붙일 수 있게 열어둔 자리도 남아 있습니다. 유권해석은 아니고 조문을 읽은 결과라는 점을 분명히 해둡니다.
▍해설보다 조문이 빠릅니다
앞으로 몇 년간 AI 관련 법령은 계속 늘어납니다. 그때마다 해설을 기다리는 것보다 목적 조항과 정의 조항, 제재 조항과 시행령 예외를 같이 여는 습관이 오래 갑니다. 조문 예닐곱 개면 끝나고, 해설 열 개를 읽는 것보다 빠릅니다.
AI를 쓴다고 홈페이지에 적어둔 서비스가 있습니까. 그 문장이 수범자 판정선에 가장 가깝습니다.
자주 받는 질문
Q. 재무 AI를 사내 효율화로만 도입했는데 AI기본법을 챙겨야 하나요?
A. 아닙니다. AI기본법 수범자를 정한 제2조 7호는 이를 인공지능을 개발해 제공하는 자와 그것을 이용해 인공지능제품·인공지능서비스를 제공하는 자로 한정합니다. 밖으로 나가는 제품이나 서비스가 없다면 수범자가 아닙니다. 다만 개인정보보호법상 처리 근거와 위탁, 고객사와의 비밀유지 약정은 별개로 살아 있고 실무에서는 그쪽이 훨씬 자주 문제가 됩니다.
Q. 회계법인이 AI를 활용해 고객에게 답변하면 어떻게 되나요?
A. 구조에 따라 갈립니다. 회계사가 AI로 초안을 만들고 검토해 자기 이름으로 자문서를 내보내면 파는 것이 회계 자문이라 대상이 아니고, 시행령 제23조 4항 2호의 내부 업무 용도에도 해당합니다. 고객 포털에 상담창을 열어 고객이 AI와 직접 주고받게 하면 내부 용도가 아니고 이용자 화면에 AI가 닿으므로 제31조 1항 고지 대상이 됩니다. 판정선은 AI 사용 여부에 있지 않습니다. AI가 고객에게 직접 닿는지를 봅니다.
Q. "AI 기장" 같은 이름을 붙이면 불리한가요?
A. 양쪽이 다 움직입니다. 상품 자체가 AI 기반 서비스라고 표방한 셈이라 인공지능이용사업자로 볼 여지는 커집니다. 반면 시행령 제23조 4항 1호가 제품·서비스명이나 화면 문구를 볼 때 생성형 인공지능 활용 사실이 명백한 경우를 고지 의무 적용 예외로 두고 있어, 고지는 오히려 면제될 수 있습니다. 이름을 감추는 것이 컴플라이언스에 유리하지는 않습니다.
Q. 위반하면 과태료가 얼마인가요?
A. 시행령 별표 2 기준으로 사전 고지 미이행은 1차 500만원, 2차 1,000만원, 3차 이상 1,500만원입니다. 국내대리인 미지정은 차수와 무관하게 2,000만원이고 중지·시정명령 불이행은 1차 1,000만원에서 3차 이상 3,000만원입니다. 중소기업·벤처기업·소상공인은 2분의 1 범위에서 감경될 수 있으나 과태료를 체납 중이면 감경되지 않습니다.
Q. 남의 AI 모델을 가져다 쓰는 경우에도 고영향 책무를 다 이행해야 하나요?
A. 시행령 제27조 3항이 이 경우를 다룹니다. 개발사업자가 위험관리 방안과 설명 방안, 이용자 보호 방안을 이행했고 이용사업자가 본래 목적이나 용도를 현저히 변경하지 않았다면 이용사업자도 해당 조치를 이행한 것으로 봅니다. 다만 관리·감독자 지정과 홈페이지 게시, 이행 근거 5년 보관은 별도로 남습니다.