AI 기본법 · 시행 2026
AI 기본법 시대, 무엇을 준비할까
2026년부터 AI 기본법 체계가 본격 작동하면서 기업의 준비 항목이 구체화됐습니다. 설명가능성, 감사 가능성, 보안이 제품 선택과 운영 설계의 기준으로 올라왔습니다.
규제가 바꾸는 것은 결과가 아니라 판단의 기록입니다
규제의 핵심은 결과뿐 아니라 판단 근거를 남기라는 요구입니다. 고위험 업무로 분류될 수 있는 영역에서는 설명가능성과 감사 추적이 필수가 됩니다. 도입 이후에 대응하면 재작업 비용이 커집니다. 설계 단계에서 로그와 책임 소재를 정해야 합니다.
실무에서 자주 어긋나는 지점은 순서입니다. 모델을 먼저 고르고 규제 검토를 뒤로 미루면, 이미 정해진 아키텍처 위에 로그와 승인 절차를 덧대야 합니다. 반대로 업무 분류와 데이터 흐름을 먼저 문서로 정리하면 어떤 솔루션을 골라도 대응 범위가 좁아집니다.
설명가능성이란 무엇인가
모델이 왜 그런 결과를 냈는지 사람이 이해하고 추적할 수 있어야 한다는 요구입니다. 금융 심사, 의료 진단 지원, 공공 판단처럼 결과가 개인에게 영향을 주는 영역에서 특히 중요합니다. 로그 형식과 보존 기간을 미리 정해두면 감사 대응이 쉬워집니다.
설명가능성은 모델을 교체해도 남는 문서와 로그에서 완성됩니다. 어떤 입력이 어떤 경로로 판단에 도달했는지, 그 판단을 누가 검토했는지를 한 흐름으로 재구성할 수 있어야 감사 시점에 다시 만들 필요가 없습니다.
감사 추적과 로그 설계
누가, 언제, 어떤 입력으로, 어떤 결과를 받았는지 남기는 체계입니다. 사내망 전용인지 외부 API 호출인지에 따라 로그 위치와 접근 권한이 달라집니다. 소버린 AI 요구가 있는 조직은 로그의 국외 이전 여부도 확인해야 합니다. 아래 항목은 도입 검토 회의에서 그대로 확인할 수 있는 기준입니다.
무엇을 남기는가
입력값, 모델 버전, 출력, 판단에 개입한 사람과 시각. 최소 단위는 이 다섯 가지이며, 재구성 가능성이 기준입니다.
어디에 두는가
사내망 전용 구성이면 로그도 내부 저장소에 남습니다. 외부 API를 호출하는 구성이면 호출 기록의 보관 위치를 별도로 확인해야 합니다.
얼마나 보관하는가
보존 기간은 업무 위험도와 내부 감사 주기에 맞춰 정합니다. 기간이 정해지지 않으면 감사 요청 때마다 원본을 다시 찾아야 합니다.
누가 열람하는가
로그 열람 권한은 운영 담당자와 감사 담당자로 나눠 관리합니다. 접근 기록 자체도 남겨야 감사 대응이 완결됩니다.
보안과 데이터 위치
데이터가 어디에 저장되고 어디로 흐르는지가 규제 대응의 출발점입니다. 하이브리드 구성에서는 경계가 모호해지기 쉬우니 구성을 문서화해두세요. 엣지 AI가 필요한 현장인지도 이 단계에서 판단합니다.
- 학습 데이터와 추론 데이터의 저장 위치
- 하이브리드 구간의 데이터 이동 경로
- 현장 엣지 처리가 필요한 업무 여부
소버린 AI를 어떻게 볼까
데이터와 모델 운영을 자국 또는 자사 통제 아래 두려는 요구입니다. 공공과 금융에서 특히 강하게 나타납니다. 국산 모델군이 주목받는 배경이기도 합니다. 다만 소버린 구성이 항상 정답은 아니며, 요구 수준을 먼저 정해야 합니다. 규제 대응 범위가 넓어지면 비용과 운영 부담도 함께 커지기 때문에, 어디까지 자체 통제가 필요한지부터 합의하는 편이 낫습니다.
판단 기준은 세 가지로 좁혀집니다. 데이터가 국외로 나갈 수 있는지, 모델 가중치와 운영 주체가 누구인지, 그리고 장애나 정책 변경 때 대체 경로가 있는지입니다. 이 세 가지에 답할 수 있으면 소버린 요구 수준을 문서로 설명할 수 있습니다.
요구 수준을 나누는 기준
- 데이터 국외 이전이 허용되는가
- 모델 운영 주체가 자사인가, 외부인가
- 공급 중단 시 대체 경로가 있는가
신뢰 가능한 AI의 실무 조건
표방이 아니라 실제로 로그가 남고, 판단 근거를 재구성할 수 있어야 합니다. 모델 오케스트레이션을 어떻게 가져가는지도 여기에 영향을 줍니다. 여러 모델을 섞어 쓰면 추적 복잡도가 올라갑니다. 신뢰 가능한 AI는 발표문이 아니라 운영 문서에서 증명됩니다.
모델을 하나로 고정하면 추적은 단순해지지만 업무별 최적화가 어려워집니다. 여러 모델을 조합하면 성능은 올라가지만, 어떤 요청이 어느 모델로 갔는지 기록하지 않으면 감사 시점에 근거를 재구성할 수 없습니다. 라우팅 규칙 자체를 문서로 남기는 것이 실무 조건입니다.
도입 이후 운영 거버넌스
모델은 시간이 지나면 성능과 분포가 바뀝니다. 정기 점검과 재평가 절차를 정해두세요. 담당자와 승인 흐름을 문서화하면 규제 변화에도 대응이 빨라집니다. 아래는 도입 이후 첫 1년 동안 실제로 반복되는 운영 주기입니다.
정기 점검
분기별 성능 재평가
동일한 평가셋으로 결과가 어떻게 달라졌는지 비교합니다. 변화가 감지되면 재학습 또는 프롬프트 조정 여부를 판단합니다.
승인 흐름
모델·프롬프트 변경 승인
운영 중 모델이나 프롬프트를 바꿀 때 누가 승인하는지 정합니다. 승인 기록은 감사 추적의 일부로 남깁니다.
책임 소재
운영 담당자 지정
업무별 운영 담당자와 감사 담당자를 나눠 지정합니다. 담당자가 바뀌면 인수인계 기록을 남깁니다.
규제 변화
해석 변경 시 재검토
고위험 업무 분류나 해석이 바뀌면 해당 업무의 로그와 승인 절차를 다시 확인합니다.
지금 점검할 체크리스트
데이터 위치와 이전 경로, 로그 보존 기간, 판단 근거 재구성 가능성, 고위험 업무 분류, 책임 소재와 승인 흐름입니다. 이 다섯 가지를 문서로 정리해두면 도입 검토가 훨씬 빨라집니다. 각 항목은 회의 자료에 그대로 옮겨 적을 수 있는 문장으로 정리했습니다.
데이터 위치와 이전 경로
저장 위치와 국외 이전 여부를 한 장으로 정리합니다. 하이브리드 구간이 있다면 그 경계도 함께 표시합니다.
로그 보존 기간
업무 위험도에 맞춰 기간을 정하고, 기간이 지난 로그의 폐기 절차도 함께 적어둡니다.
판단 근거 재구성 가능성
특정 결과 하나를 골라 입력부터 검토까지 역순으로 따라가 봅니다. 끊기는 지점이 있으면 로그 형식을 손봅니다.
고위험 업무 분류
개인에게 영향을 주는 업무를 먼저 표시합니다. 분류가 바뀌면 로그와 승인 절차도 다시 확인합니다.
책임 소재와 승인 흐름
업무별 운영 담당자, 변경 승인자, 감사 대응 담당자를 나눠 적습니다. 이름과 절차가 문서에 있으면 규제 해석이 바뀌어도 재정비 범위가 좁아집니다.
자주 묻는 질문
AI 기본법 이후 가장 먼저 점검할 항목은 무엇인가요?
소버린 AI가 항상 필요한가요?
설명가능성 요구는 어떤 업무에 먼저 적용되나요?
여러 모델을 함께 쓰면 감사 대응이 어려워지나요?
도입 검토는 어디서부터 시작하면 좋을까요?
다음 단계는 기준을 문서로 옮기는 일입니다
데이터 위치, 로그 보존 기간, 판단 근거 재구성 가능성, 고위험 업무 분류, 책임 소재. 이 다섯 항목을 한 장으로 정리하면 이후 비교와 검토가 같은 기준 위에서 진행됩니다. 도입 가이드에서 업무 분류부터 솔루션 비교까지 순서를 확인하고, 솔루션 비교에서 실제 후보군을 같은 기준으로 나란히 볼 수 있습니다.
서울특별시 강남구 테헤란로 152, 06236
[email protected] · +82 2 534 9734
주말 및 공휴일은 휴무입니다. 문의를 남겨주시면 확인 후 순차적으로 답변드립니다.