AI 기본법 고지, 역할 구분부터 위치를 정해야 한다

AI 기본법상 고지 의무는 화면마다 같은 문구를 붙이는 방식으로 판단할 수 없다. 인공지능기본법 제31조는 고영향·생성형 AI 기반 제품이나 서비스를 제공할 때 이용자에게 그 사실을 사전에 고지하도록 하고, 생성형 AI 결과물의 생성 사실을 표시하도록 별도로 규정한다. 먼저 누가 AI를 개발해 제공하고, 누가 이를 이용한 서비스를 제공하며, 누가 서비스를 받는지 나눠야 각 의무의 담당자와 접점을 정할 수 있다.

실무 순서는 제품 흐름도에 모델 공급자, 자사 서비스 제공자, 이용자와 결과물 수령자를 표시하는 데서 시작한다. 이어 기능별로 생성형 AI인지, 고영향 AI인지, 기존 AI 산출물을 단순히 활용하는 경우인지 구분한다. 그 결과를 이용 전 안내 지점, 산출물 전달 경로, 위험관리 절차와 공개 항목에 연결하면 된다.

회사 이름보다 제품별 역할을 먼저 표시한다

생성형 AI 이미지가 이용자에게 제공되기까지 개발사업자와 서비스 제공자의 역할이 나뉘는 흐름

법 제2조의 정의는 인공지능개발사업자를 AI를 개발해 제공하는 자, 인공지능이용사업자를 개발사업자가 제공한 AI로 AI 제품이나 서비스를 제공하는 자로 구분한다. 이용자는 그 제품이나 서비스를 제공받는 자다. 한 회사가 자체 모델을 외부에 제공하면서 다른 회사의 모델로 별도 서비스를 운영한다면, 회사 전체에 역할 하나를 붙이지 말고 제품과 기능별로 적어야 한다.

흐름도에는 AI 기능을 구성·운영하는 주체와 이용자가 실제로 만나는 서비스의 제공자를 따로 표시한다. 예를 들어 외부 생성형 모델을 연결해 고객에게 초안 작성 기능을 제공한다면, 모델 공급 관계와 고객 대상 서비스 제공 관계가 함께 드러나야 한다. 이는 역할을 설명하기 위한 가정이며, 실제 판단에는 계약상 명칭뿐 아니라 기능이 어떻게 제공되는지도 필요하다.

AI 도구로 만든 초안을 사람이 검토해 일반 콘텐츠로 활용했다는 사실만으로 자사가 AI 서비스를 제공한다고 단정할 수는 없다. 반면 고객이 자사 서비스에서 AI 기능을 직접 사용하거나 자사가 구성한 AI 기능의 결과를 서비스로 받는다면 이용사업자 해당 여부를 살펴야 한다. 경계 사례에는 사용한 도구 이름보다 기능의 운영 주체, 제공 대상, 이용자가 받는 결과를 기록하는 편이 유용하다.

생성형 기능과 고영향 여부는 각각 판정한다

생성형 AI 판단에는 입력을 받아 글·소리·그림·영상 등의 결과물을 만드는 기능인지가 핵심이다. 고영향 AI는 법에 열거된 활용 영역에 해당하는지와 사람의 생명·신체 안전 또는 기본권에 중대한 영향이나 위험을 미칠 우려가 있는지를 함께 살핀다. 채용이나 대출 심사와 관련된 기능이라도 분야명만 적을 것이 아니라 추천·평가·결정 중 어디에 쓰이고 사람의 판단에 어떻게 반영되는지 밝혀야 한다.

기능별 기록에는 사용 목적, 입력과 출력, 결과를 받는 사람, 영향을 받는 사람, 담당자의 개입 지점을 넣는다. 한국지능정보사회진흥원(NIA)의 가이드라인 게시 목록에는 투명성, 안전성, 고영향 AI 판단, 사업자 책무와 영향평가 자료가 각각 올라와 있다. 고영향 AI 판단 자료는 수정본이 게시돼 있으므로 내부 기록에는 참고한 판본도 함께 남긴다.

분류 근거는 기능 설명과 실제 사용 방식에 붙여 보관한다. 예컨대 사람이 검토할 후보를 정렬하는 기능과 지원자를 자동 평가하는 기능은 같은 채용 서비스 안에 있어도 결과가 결정에 쓰이는 방식이 다르다. 기능의 목적이나 사람의 개입 단계가 바뀌면 앞서 정한 고지 대상과 관리 범위에도 영향이 있을 수 있으므로 변경 내용을 분류 기록에 반영해야 한다.

사전 고지는 이용 전에, 결과물 표시는 산출물 경로에

생성형 AI 서비스 이용 전 안내와 완성된 결과물의 생성 사실 표시가 서로 다른 위치에 놓인 모습

사전 고지는 이용자가 고영향·생성형 AI 기반 제품이나 서비스를 제공받기 전에 AI 활용 사실을 알 수 있도록 하는 조치다. 시행령 제23조는 제품·계약서·사용 설명서·이용약관에 기재하거나 이용자 화면·단말기에 표시하고, 제공 장소에 알아보기 쉽게 게시하는 등의 방법을 정한다. 따라서 서비스마다 이용자가 실제로 접하는 방법과 시점을 정해야 하며, 모든 화면에 같은 배너를 반복할 필요는 없다.

서비스 흐름도에서는 계약, 가입, 기능 진입, 첫 사용 중 어느 단계에서 이용자에게 안내가 제시되는지 확인한다. 약관을 고지 수단으로 택했다면 AI 기능을 쓰기 전에 이용자가 그 내용을 접하는지 살펴야 한다. 이용 화면을 택했다면 사용이 끝난 뒤에야 보이는 안내를 사전 고지로 취급해서는 안 된다. AI 활용 사실이 명백하거나 사업자 내부 업무에만 쓰이는 경우 등 시행령상 적용 예외를 검토할 때도 해당 제품과 이용 범위를 특정해야 한다.

결과물 표시는 생성형 AI가 만든 산출물을 따라간다. 결과가 화면에서만 보이는지, 파일로 저장되는지, 다른 채널로 전달되는지 구분하고 각 경로에서 생성 사실을 어떻게 알릴지 정한다. 시행령은 사람이 인식할 수 있는 방법과 기계가 판독할 수 있는 방법을 허용한다. 기계 판독 방식을 쓰는 경우에는 생성형 AI가 만든 결과물이라는 사실을 안내 문구나 음성 등으로 한 번 이상 알려야 한다.

실제와 구분하기 어려운 가상의 음향·이미지·영상에는 이용자가 생성 사실을 명확히 인식할 수 있는 고지 또는 표시 요건도 적용된다. 전시나 창작물의 일부라면 감상을 저해하지 않는 방식으로 알릴 수 있다는 법의 단서도 함께 살펴야 한다. 산출물별로 더 세분화한 확인 항목은 AI 결과물 표시 점검 항목과 대조할 수 있다.

고영향 AI는 운영 조치와 공개 항목까지 연결한다

고영향 AI에 해당하면 안내 문구와 별개로 위험관리, 설명 방안, 이용자 보호, 사람의 관리·감독을 운영 절차에 배정해야 한다. 위험관리 기록에는 어떤 위해 가능성을 살피고 어떻게 대응하는지, 설명 방안에는 기술적으로 가능한 범위에서 최종결과와 주요 기준 등을 어떻게 설명하는지 적는다. 사람의 감독은 담당자 이름만 지정하는 데 그치지 않고 어느 단계에서 검토하거나 개입하는지 제품 흐름에 표시하는 편이 명확하다.

외부 시스템을 도입했다면 공급자가 수행한 조치와 자사가 변경한 기능을 구분한다. 시행령 제27조에 따르면 공급자로부터 시스템을 받은 이용사업자가 본래 목적·용도를 현저하게 바꾸는 등 중대한 기능 변경을 하지 않은 경우, 공급자가 이행한 위험관리·설명·이용자 보호 조치의 전부 또는 일부를 이행한 것으로 본다. 이용사업자는 책무 이행에 필요한 자료를 개발사업자에게 요청할 수 있다. 공급자의 조치를 활용하더라도 자사 서비스에서 누가 사람의 관리·감독을 맡는지는 별도로 정리해야 한다.

같은 조항은 위험관리방안과 설명·이용자 보호 방안의 주요 내용, 관리·감독하는 사람의 성명과 연락처 등을 사업장이나 홈페이지 등에 게시하도록 정한다. 영업비밀에 해당하는 사항은 제외할 수 있다. 조치의 이행 근거는 전자적 방법을 포함해 5년간 문서로 보관해야 하므로, 공개용 내용과 내부 증빙을 구분하되 둘 사이의 내용이 어긋나지 않게 관리한다.

출시 점검표는 화면·산출물·운영 기록을 잇는다

한 기능의 의무를 확인할 때는 역할 분류에서 시작해 이용자 접점과 산출물 경로까지 같은 흐름에서 살피는 것이 편하다. 화면 안내만 확인하면 내려받은 결과물이나 외부 공급자의 조치 자료가 빠질 수 있고, 내부 정책만 확인하면 이용자가 실제로 무엇을 언제 보는지 알기 어렵다. 다음 항목을 기능별로 묶어 두면 담당자가 서로 다른 문서를 보고 판단하는 일을 줄일 수 있다.

역할: 모델 공급자, AI 기능의 운영 주체, 제품·서비스 제공자, 이용자와 결과물 수령자를 흐름도에 표시하고 공급 관계를 기록한다.
분류: 생성형 AI 기능과 고영향 AI 해당 여부의 근거, 사용 목적, 결과가 실제 판단에 쓰이는 방식, 사람의 개입 지점을 남긴다.
고지와 표시: 이용 전 안내가 제시되는 접점과 시점, 산출물 유형별 표시 방법, 저장·공유 경로를 함께 적는다.
고영향 AI 운영: 위험관리·설명·이용자 보호 절차와 감독 담당자, 공개 내용, 공급자에게 받은 자료, 기능 변경 이력을 연결한다.

이 점검표의 단위는 회사 전체가 아니라 이용자에게 제공되는 기능이다. 같은 서비스라도 기능에 따라 제공 주체와 산출물 경로가 다를 수 있다. 새 기능을 추가하거나 외부 모델의 용도를 바꾸면 해당 기능의 역할과 분류를 다시 적고, 그 판단에 맞춰 안내 접점과 운영 기록을 갱신한다.

함께 읽기: