2026년 AI 기본법 시행, 새 AI 서비스 발주사가 설계 첫날부터 넣어야 하는 것들

"우리는 모델을 안 만드는데요"라는 착각부터 짚겠습니다

「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(이하 AI 기본법)이 2026년 1월 22일부터 본격 시행되었습니다(법률신문·SK AX 인사이트). 많은 발주사가 "우리는 AI를 직접 개발하는 회사가 아니니 해당 없다"고 생각합니다. 그런데 이 법의 적용 범위는 그렇게 좁지 않습니다.

규제 대상에는 AI를 직접 개발하는 기업뿐 아니라 외부 AI 모델을 가져와 자사 서비스에 활용·제공하는 기업까지 포함됩니다(클로브·상상력집단 가이드). 즉 외부 LLM API를 챗봇·상담·심사·추천 기능에 붙여 서비스를 출시하는 순간, 발주사도 이 법의 의무 주체가 됩니다. 모델을 학습시켰는지 여부가 아니라, 그 결과물을 사용자에게 서비스로 내놓았는지가 기준입니다. 요즘 신규 서비스에 AI 기능 하나쯤 넣는 것이 기본값이 되고 있는 만큼, 사실상 상당수의 신규 프로젝트가 적용 범위 안에 들어옵니다.

이 요건들은 '나중에 붙이는 기능'이 아니라 '초기 아키텍처'입니다

AI 기본법이 기업에 요구하는 핵심 의무는 크게 세 가지로 정리됩니다(다수 매체 공통).

• 투명성 확보 — 생성형 AI 결과물임을 알 수 있도록 워터마크·고지 표시
• 안전성 확보·위험관리 — 서비스가 야기할 수 있는 위험을 사전에 관리하는 체계
• 설명 의무 및 기록 보관 — AI가 어떤 근거로 그런 결과를 냈는지 설명하고, 그 이력을 남기는 것

문제는 이 세 가지가 UI 문구 몇 줄로 끝나는 일이 아니라는 점입니다. 예를 들어 기록 보관과 설명 의무는 "어떤 입력에 대해, 어떤 모델·버전이, 어떤 프롬프트로, 어떤 출력을 냈는가"를 추적할 수 있어야 합니다. 이를 나중에 붙이려면 이미 흘러가 버린 요청·응답 로그를 소급해 남길 방법이 없어, 로깅 계층과 데이터 스키마 자체를 다시 짜야 합니다. 워터마크 역시 이미지·텍스트·음성 등 출력 형식마다 삽입 지점이 달라, 응답을 사용자에게 내보내는 파이프라인 설계 단계에서 정해두지 않으면 전 구간을 손봐야 합니다.

정리하면, 세 의무는 모두 '화면단 기능'이 아니라 데이터가 흐르는 경로 위에 얹히는 구조적 요건입니다. 아키텍처를 확정한 뒤에 요구사항으로 추가되면, 개선이 아니라 재설계가 됩니다.

먼저 '고영향 AI'인지부터 판별하세요

의무의 강도는 서비스 성격에 따라 달라집니다. 채용·대출 심사·의료·교육·교통 등 국민의 권익과 안전에 큰 영향을 주는 10개 영역의 '고영향 AI'는 더 엄격한 관리 의무를 받습니다(피카부랩스·SK AX). 같은 챗봇이라도 단순 안내용이냐, 대출 가부나 채용 선별에 관여하느냐에 따라 요구 수준이 크게 벌어집니다. 그래서 기획 초기에 "이 기능이 고영향 영역에 해당하는가"를 먼저 판별해야, 필요한 로깅·설명·검증 수준을 아키텍처에 정확히 반영할 수 있습니다. 이 판별을 건너뛰면 과하게 만들거나, 반대로 필수 요건을 빠뜨리게 됩니다.

"계도기간 있으니 나중에"가 왜 재개발 리스크인가

정부는 시행 초기 혼란을 줄이기 위해 최소 1년 이상 과태료 계도기간을 운영하며, 실질적 과태료 부과는 빨라도 2027년 이후로 전망됩니다(법률신문·가이드 매체). 그런데 여기서 한국 IT 현장의 흔한 오해가 생깁니다. 계도기간을 '설계 반영을 미뤄도 되는 유예'로 읽는 것입니다.

계도기간이 미뤄 주는 것은 '과태료'이지 '설계 요건'이 아닙니다. 오히려 계도기간의 취지는 지금 준비할 시간을 준 것에 가깝습니다. AI 기능 없이 서비스를 먼저 출시하고 나중에 컴플라이언스를 얹으려 하면, 이미 운영 중인 데이터 흐름·로그 스키마·응답 파이프라인을 뜯어야 합니다. 계도기간이 끝나갈 무렵 이 작업을 한꺼번에 몰아서 하는 것이야말로, 재개발 비용과 서비스 중단 리스크를 동시에 떠안는 길입니다. AI 기능 탑재가 빠르게 보편화되는 흐름(Gartner는 2026년 말까지 엔터프라이즈 앱의 40%가 특정 업무형 AI 에이전트를 탑재할 것으로 전망)을 감안하면, '나중에'는 곧 '모두가 몰릴 때 급하게'와 같은 말이 됩니다.

발주사가 개발 파트너와 점검할 체크포인트

구축을 맡기는 발주사 입장에서, 계약·기획 단계에서 파트너와 반드시 맞춰야 할 항목을 정리하면 다음과 같습니다.

• 적용 범위 확인 — 우리가 붙이는 AI 기능이 규제 대상인지, 그중 고영향 영역에 해당하는지를 기획서에 명시했는가
• 로깅·기록 설계 — 입력·모델 버전·프롬프트·출력·사용자 고지 여부를 추적 가능한 형태로 남기는 구조가 초기 데이터 설계에 들어갔는가
• 표시·고지 방식 — 생성물임을 알리는 표시가 출력 파이프라인의 어느 지점에서, 어떤 형식으로 삽입되는지 정의됐는가
• 설명 가능성 — 사용자가 결과의 근거를 요청했을 때 제공할 정보를 어디까지, 어떻게 확보할지 합의했는가
• 모델 교체 대응 — 외부 API·모델을 바꿔도 위 요건이 유지되도록 추상화 계층을 두었는가

핵심은 이 항목들을 '추가 기능'이 아니라 초기 요구사항으로 다루는 것입니다. 컴플라이언스를 내장한 채로 설계하면 추가 비용이 크지 않지만, 완성된 서비스에 사후에 이식하면 구조를 다시 짜야 합니다.

AI 기본법은 이미 시행 중인 현실입니다. 계도기간은 벌금을 미뤄 줄 뿐, 잘못 잡힌 아키텍처를 되돌려 주지는 않습니다. 새 AI 서비스를 준비하신다면, 지금 설계 테이블 위에서 이 요건들을 함께 올려두고 시작하시길 권합니다. 그것이 나중의 재개발을 피하는 가장 현실적인 방법입니다.