AI기본법 첫 시행 약 9개월, 우리 회사가 지금 만들어야 할 AI 운영대장

핵심 답변: 전사 규정부터 길게 쓰지 마세요. 지금 회사가 쓰거나 고객에게 제공하는 AI를 업무 단위로 한 줄씩 등록하고, 사람 책임자·사업자 역할·고영향 여부 검토·고지와 표시·사용 데이터·변경 이력·중지 조건을 함께 남기세요. 이 AI 운영대장은 법에서 정한 별도 서식이 아니라, 법적 검토와 실제 운영 사이의 빈틈을 줄이기 위한 LeanX의 실무 제안입니다.

인공지능기본법이 처음 시행된 2026년 1월 22일부터 약 9개월이 지났습니다. 2026년 10월 13일 현재 국가법령정보센터의 현행 화면은 2026년 7월 21일 시행 일부개정본입니다. 정부는 초기 현장 안착을 위해 사실조사와 과태료 부과를 최소 1년 이상 유예하겠다는 방침을 밝혔습니다. 그러나 계도기간은 법 적용이나 의무가 사라지는 면제기간이 아닙니다. KOSA 지원데스크 사례집도 시행 전부터 제공하던 서비스라 해도 시행 이후 제공 구간에는 의무가 적용되며, 준비 경과를 문서화하라고 안내합니다.

이 글은 2026년 10월 13일 확인한 공식 자료를 바탕으로 한 운영 참고자료이며 법률 자문이 아닙니다. 회사의 서비스 구조와 역할, 분야별 법령에 따라 결론이 달라질 수 있으므로 구체적인 적용은 사내·외 법률 전문가와 인공지능기본법 지원데스크에 확인해야 합니다.

1. 계도기간에는 ‘결론’보다 준비 과정을 남깁니다

대한민국 정책브리핑은 법 시행 당시 투명성 확보, 안전성 확보, 고영향 AI 판단과 사업자 책무 등을 시행령 주요 내용으로 소개하고, 최소 1년 이상 규제를 유예하면서 지원데스크를 운영한다고 밝혔습니다. KOSA 사례집은 이를 더 구체적으로 설명합니다. 유예되는 것은 사실조사와 과태료 부과에 관한 집행이며, 법적 의무 자체가 소멸하는 것은 아닙니다. 인명사고나 심각한 인권 침해처럼 사회적으로 중대한 문제가 생기면 유예기간에도 예외적으로 사실조사가 이루어질 수 있다고 안내합니다.

따라서 지금 해야 할 일은 “우리 회사는 대상이 아니다”라는 한 줄 결론을 서둘러 적는 것이 아닙니다. 다음 네 가지를 날짜와 근거와 함께 남기는 일입니다.

• 어떤 AI를 어디에 쓰거나 제공하는가
• 회사는 그 흐름에서 개발사업자·이용사업자·이용자 중 어떤 역할인가
• 생성형 AI 또는 고영향 AI 관련 검토를 어떻게 했는가
• 기능·모델·데이터·권한이 바뀌면 누가 다시 판단하는가

국가법령정보센터의 현행 법령은 특정 위반에 대한 사실조사·시정명령과 과태료 체계를 두고 있습니다. 집행 시점만 보고 준비를 미루기보다, 현재 판단과 이행 계획을 재현할 기록을 만드는 편이 안전합니다.

2. 도구 목록이 아니라 ‘업무에 배치된 AI’를 셉니다

“우리 회사는 ChatGPT 30계정을 씁니다”만으로는 운영 범위를 알 수 없습니다. 같은 도구라도 한 팀은 내부 회의 요약에 쓰고, 다른 팀은 고객에게 답변을 제공하며, 또 다른 팀은 사람의 채용·대출·교육 기회에 영향을 주는 판단에 연결할 수 있습니다. 법적 검토와 운영 위험은 제품명이 아니라 누구에게 어떤 기능을 어떤 권한으로 제공하는지에 따라 달라집니다.

운영대장의 한 행은 계정이나 모델이 아니라 다음 문장으로 식별합니다.

[업무 또는 서비스]에서 [누구]에게 [어떤 결과 또는 행동]을 제공하는 AI 사용 단위

한 시스템이 서로 다른 기능을 제공하면 행을 나눕니다. 고객 상담 초안과 자동 환불 승인은 같은 챗봇 안에 있어도 영향과 권한이 다릅니다. 반대로 모델 공급사가 달라도 목적·데이터·결정 권한이 완전히 같고 함께 변경된다면 하나의 사용 단위로 관리할 수 있습니다.

처음부터 사내의 모든 실험을 완벽히 찾으려 하지 말고, 다음 순서로 조사합니다.

1. 고객·임직원에게 결과를 직접 보여주는 AI
2. 채용·대출·의료·교육평가 등 권리와 기회에 영향을 줄 수 있는 AI
3. 개인정보·영업비밀·회사 문서를 외부 모델로 보내는 AI
4. 승인·전송·결제·계정 변경처럼 외부 행동을 실행하는 AI
5. 나머지 내부 초안·검색·요약 도구

3. 아홉 칸이면 첫 AI 운영대장을 시작할 수 있습니다

아래 표는 법정 서식이 아닙니다. 법률·보안·개인정보·업무 운영 담당자가 같은 사용 단위를 보고 대화하기 위한 최소 내부 양식입니다. 그대로 복사해 스프레드시트의 첫 시트로 사용할 수 있습니다.

번호	운영대장 필드	반드시 적을 내용	다시 검토할 때
1	시스템 ID·업무명	고유 ID, 실제 업무 또는 서비스, 운영 상태	신규 도입·종료·업무 범위 변경
2	사람 책임자·사업자 역할	최종 책임자 1명, 운영 부서, 개발사업자·이용사업자·이용자 검토와 근거	계약·공급 구조·제공 주체 변경
3	목적·대상·결정 영향	누구에게 무엇을 제공하고 어떤 결정·권리·안전에 영향을 주는지	대상 사용자·출력·실행 권한 변경
4	모델·공급자·버전	모델명, 공급자, 배포 방식, 현재 버전과 연결 도구	모델·API·프롬프트·도구 변경
5	입력 데이터·권한·보존	데이터 출처, 개인정보·민감정보 여부, 접근권한, 외부 전송, 보존·삭제 기준	새 데이터 연결·권한·보존정책 변경
6	법적 분류 검토	생성형 AI 여부, 고영향 AI 자체 검토 결과, 검토 근거·일자·검토자, 추가 확인 필요 여부	기능·분야·인간 개입·영향 수준 변경
7	고지·표시·설명	이용 전 고지 위치, AI 생성 결과 표시, 이용자에게 설명할 내용과 담당 채널	화면·결과 형식·이용자 접점 변경
8	사람 감독·중지 조건	승인자, 사람이 개입할 지점, AI가 멈출 조건, 수동 전환·복구 방법	오류·민원·평가 실패·권한 확대
9	변경·검증·사고 로그	변경일·내용·승인자, 평가 결과, 오류·민원·사고, 조치, 다음 검토일	모든 배포와 사고 발생 시

대장에는 “법무팀”이나 “IT팀” 대신 이름 또는 직책으로 식별되는 책임자를 둡니다. 공급사의 약관 링크만 붙이는 것도 부족합니다. 우리 회사가 실제로 어떤 데이터와 권한을 붙였는지, 어디서 사람이 최종 승인하는지를 함께 적어야 합니다.

4. 분류는 한 번의 체크박스가 아니라 변경 때 다시 여는 결정입니다

첫 분류는 세 질문으로 시작할 수 있습니다.

1. 우리 회사는 AI를 단순히 제공받는 이용자인가, 아니면 AI를 이용한 제품·서비스를 다시 이용자에게 제공하는 사업자인가?
2. 생성형 AI 또는 이를 이용한 제품·서비스를 제공하는가? 그렇다면 사전 고지와 결과물 표시를 어디에서 어떻게 이행할 것인가?
3. 법령이 정한 분야에서 생명·신체 안전이나 기본권에 중대한 영향을 주거나 위험을 초래할 수 있는가? 그렇다면 고영향 AI 체크리스트를 어떻게 검토했는가?

KOSA 사례집은 타사 AI를 쓴다는 사실만으로 역할이 자동 결정되지 않으며, 제공 방식과 이용자 상호작용, 기능 변경 수준 등을 함께 보라고 설명합니다. 또한 고영향 여부는 법정 영역과 중대한 영향·위험 요건 등을 검토하고 그 과정을 문서화하도록 안내합니다.

과학기술정보통신부의 고영향 인공지능 확인 포털도 같은 순서를 요구합니다. 사업자가 가이드라인으로 자체 판단을 먼저 진행하고, 그 판단을 전제로 추가 확인이 필요할 때 확인을 요청하도록 안내합니다. 포털이나 지원데스크 상담은 회사 내부의 사실관계 정리와 자체 검토를 대신하는 인증 절차가 아닙니다.

분류 결과가 해당 없음이어도 근거와 검토일을 남깁니다. 이후 자동 추천이 자동 결정으로 바뀌거나, 사람이 실질적으로 검토하지 않게 되거나, 교육 콘텐츠 안내가 학생 평가로 확장되는 등 기능이 달라지면 기존 결론을 닫고 새 버전으로 다시 검토합니다.

5. 책임자·변경 이력·중지 조건을 한 세트로 운영합니다

운영대장이 자산 목록으로 끝나지 않으려면 세 가지 통제점이 필요합니다.

첫째, 사람 책임자입니다. 책임자는 AI의 모든 답을 직접 만드는 사람이 아니라, 사용 범위와 허용 권한, 검토 주기, 중지와 재개를 승인할 사람입니다. 법무·보안·개인정보 담당자는 전문 검토를 제공할 수 있지만 업무 결과의 최종 소유자는 현업에 있어야 합니다.

둘째, 변경 이력입니다. 모델 버전, 시스템 프롬프트, 검색 자료, 연결 도구, 화면의 고지, 자동 실행 권한 중 하나라도 바뀌면 날짜·변경자·승인자·검증 결과를 기록합니다. KOSA 사례집은 고영향 AI의 경우 입력·출력·근거를 타임스탬프와 함께 저장하고 변경 이력을 관리하는 체계를 권장합니다. 모든 사내 AI에 같은 수준의 법적 의무가 있다는 뜻은 아니지만, 영향이 큰 시스템일수록 같은 운영 습관이 유용합니다.

단, 로그 자체에 개인정보·민감정보·영업비밀을 무조건 원문 보관하지 말고, 목적에 필요한 최소 항목·접근권한·보존기간·삭제 기준을 함께 적용해야 합니다.

셋째, 중지 조건입니다. “문제가 생기면 중지”가 아니라 관찰 가능한 사건으로 적습니다.

• 승인되지 않은 데이터가 입력되거나 외부로 전송됨
• 필요한 사전 고지·표시가 화면이나 결과에서 사라짐
• 운영 로그가 누락되어 누가 무엇을 실행했는지 재현할 수 없음
• 모델·기능 변경으로 기존 고영향 여부 검토의 전제가 달라짐
• 이용자의 안전·권리와 관련된 오류 또는 중대한 민원이 발생함
• 사전에 정한 평가 기준을 통과하지 못함

중지 뒤에는 수동 처리 담당자, 이용자 안내, 데이터·로그 보존, 원인 검토, 재개 승인자를 연결합니다. 중지 버튼만 있고 대체 업무가 없으면 현장에서 우회 사용이 생기기 쉽습니다.

6. 가상 사례: 교육 Q&A 챗봇 한 건을 대장에 올려봅니다

아래는 설명을 위해 만든 가상의 온라인 교육회사 사례이며, 실제 고객 구축 사례나 법적 판정이 아닙니다.

이 회사는 수강생에게 교재 내용을 찾아 답하는 생성형 AI 챗봇을 제공합니다. 성적·입학·선발·수료 여부는 판단하지 않습니다.

• 1 시스템 ID·업무명: EDU-CHAT-01 / 교재 Q&A 챗봇, 제한 공개 운영
• 2 사람 책임자·역할: 교육서비스 운영책임자 김OO. 타사 모델을 이용해 수강생에게 챗봇 서비스를 제공하므로 이용사업자 해당 가능성을 검토 중
• 3 목적·영향: 교재 탐색과 질문 답변. 평가·선발·수료 결정에는 사용 금지
• 4 모델·버전: 외부 LLM API와 사내 검색 모듈. 모델 또는 검색 설정 변경 시 재검증
• 5 데이터: 승인된 교재와 공개 FAQ만 검색. 수강생 개인정보 입력 금지, 대화 로그 30일 후 삭제
• 6 분류 검토: 생성형 AI 사용은 확인. 교육 분야지만 평가 기능은 없다는 전제로 고영향 여부를 자체 검토하고 근거 문서 보관. 평가 기능 추가 시 즉시 재검토
• 7 고지·표시: 채팅 시작 전 AI 기반 서비스임을 고지하고, 답변 화면에 AI 생성 답변임을 표시
• 8 감독·중지: 환불·징계·성적·안전 질문은 사람에게 이관. 승인되지 않은 자료 노출, 고지 누락, 20개 검증 질문 중 3개 이상 실패 시 자동 답변 중지
• 9 변경 로그: 모델·프롬프트·교재 버전·평가 결과·민원·승인자를 기록하고 매월 검토

이 기록의 핵심은 “고영향이 아니다”라는 결론이 아닙니다. 평가 기능이 없다는 전제, 사람이 확인한 근거, 기능이 바뀌면 다시 열 조건을 남겼다는 점입니다. 실제 서비스는 법령과 가이드라인, 구체적 사실관계에 따라 별도 검토해야 합니다.

7. 30일 안에 대장을 살아 있는 운영 도구로 만듭니다

첫 달에는 거대한 거버넌스 시스템이 필요하지 않습니다.

1주차 — 발견: 각 부서에 제품명이 아니라 업무 단위로 AI 사용을 신고하게 합니다. 고객 노출, 권리·안전 영향, 외부 전송, 자동 실행이 있는 항목부터 우선순위를 매깁니다.

2주차 — 분류: 현업 책임자와 법무·보안·개인정보 담당자가 아홉 필드를 함께 채웁니다. 모르는 칸은 추정으로 메우지 않고 미확인 / 확인 담당자 / 확인 기한으로 남깁니다.

3주차 — 통제: 고지·표시, 최소 권한, 사람 승인, 중지 조건과 수동 대체 절차를 실제 화면과 업무 흐름에서 확인합니다. 문서만 있고 제품·업무에 반영되지 않은 항목을 표시합니다.

4주차 — 검증: 정상 사례와 예외·정보 부족·권한 밖 사례로 중지와 이관이 작동하는지 시험합니다. 변경 한 건을 일부러 적용해 변경 로그와 재승인 절차도 연습합니다.

대장은 매월 회의자료가 아니라 시스템 변경의 통과 조건이 되어야 합니다. 신규 AI는 등록 전 외부 공개를 막고, 중대한 변경은 6~9번 필드의 재검토 없이는 운영 반영을 보류하는 식입니다. AI의 승인·오류·복구 흐름을 합성 사례로 먼저 확인하려면 LeanX 자동화·AI 판단 실험실을 활용할 수 있습니다.

8. 애매한 항목은 숨기지 말고 공식 채널에 질문합니다

고영향 여부가 애매하다면 먼저 회사의 기능·이용자·결정 영향·사람 개입·데이터 흐름을 운영대장에 정리합니다. 이후 공식 가이드라인으로 자체 검토하고, 추가 확인이 필요하면 과학기술정보통신부 확인 포털과 인공지능기본법 지원데스크를 이용합니다. 질문할 사실관계가 구체적일수록 답변을 실제 운영에 연결하기 쉽습니다.

LeanX와 함께 시작한다면 법률 판정을 대신하는 것이 아니라, 현재 AI 사용을 업무 단위로 발견하고 책임자·자료·권한·변경·검증·중지 흐름을 운영 가능한 형태로 정리합니다. 적용할 업무가 정해져 있다면 AX 컨설팅에서 첫 운영대장 범위 정하기로 이어갈 수 있습니다.

공식 참고 자료

• 국가법령정보센터 — 현행 인공지능기본법, 2026년 10월 13일 확인
• 국가법령정보센터 — 최초 시행 연혁, 시행 2026년 1월 22일
• 대한민국 정책브리핑·과학기술정보통신부 — 1월 22일부터 AI기본법 시행
• KOSA 인공지능기본법 지원데스크 사례집, 2026년 3월 31일
• 과학기술정보통신부 — 고영향 인공지능 해당 여부 확인 요청