AI 기본법상 고영향 AI 확인 절차는 사업자가 자사 인공지능 또는 인공지능 이용 제품·서비스가 고영향 인공지능에 해당하는지 사전에 검토하고, 필요한 경우 과학기술정보통신부장관에게 확인을 요청하는 절차입니다. 법 제33조는 사전 검토와 확인 요청의 근거를 두고 있습니다.
이 절차는 단순 민원 확인이 아닙니다. 확인 결과는 제34조 사업자 책무, 제35조 기본권 영향평가 노력의무, 투명성 확보, 안전성·신뢰성 확보 문서로 이어집니다. 그래서 고영향 가능성이 있는 서비스는 출시 직전이 아니라 기획·개발·실증 단계에서부터 확인 자료를 정리해 두는 편이 안전합니다.
먼저 사업자가 사전 검토를 해야 합니다
AI 기본법은 고영향 여부 판단을 전부 행정청에 맡기는 방식이 아닙니다. 인공지능사업자가 먼저 자사 AI가 고영향 인공지능에 해당하는지 사전에 검토해야 합니다.
검토할 부분은 크게 세 가지입니다. 첫째, 서비스가 법에서 정한 고영향 영역에 들어가는지입니다. 에너지, 먹는물, 의료, 의료기기·디지털의료기기, 원자력, 범죄수사·체포 목적 생체인식, 채용·대출 등 권리관계 평가, 교통, 공공서비스, 교육 영역이 대표적으로 문제 됩니다.
둘째, AI가 실제 의사결정에서 어떤 역할을 하는지입니다. 단순 보조인지, 점수 산정인지, 자동 추천인지, 최종 판단인지에 따라 위험 수준이 달라집니다.
셋째, 사람의 개입과 통제가 실질적으로 가능한지입니다. 최종 의사결정 과정에 사람이 개입해 통제 가능한 경우에는 고영향 대상에서 제외될 수 있다는 설명이 있지만, 형식적인 승인만으로 충분하다고 단정해서는 안 됩니다.
확인 요청은 불명확성을 줄이기 위한 절차입니다
제33조의 확인 요청은 필요한 경우 활용할 수 있는 절차입니다. 모든 AI 사업자가 반드시 확인 요청을 해야 하는 것은 아닙니다. 그러나 고영향 여부가 모호한데 내부 판단만으로 운영을 시작하면 나중에 의무 이행 누락이 문제 될 수 있습니다.
특히 채용, 대출심사, 공공서비스 자격 확인, 학생평가, 의료 판단 보조처럼 사람의 기본권이나 권리관계에 가까운 서비스는 확인 요청을 검토할 실익이 큽니다. "우리는 단순 추천 서비스"라고 보았지만 실제 운영에서는 이용자에게 사실상 결정 효과를 발생시키는 경우가 있기 때문입니다.
확인 요청 자료는 서비스 작동 방식을 설명할 수 있어야 합니다
시행령 제25조는 고영향 인공지능 확인 절차를 구체화합니다. 확인 요청 단계에서는 제품 또는 서비스 개요, 학습용데이터 개요, 인공지능시스템 활용 과정과 결과를 확인할 수 있는 자료처럼 판단에 필요한 자료를 정리해야 합니다. 확인 요청을 받은 경우 30일 이내 회신, 회신 결과에 대한 재확인 요청 절차도 시행령에서 설명됩니다.
실무에서는 서비스 목적, 대상 이용자, AI 입력값과 출력값, AI 결과가 최종 판단인지 보조 자료인지, 담당자의 검토·승인·수정 권한, 오류·편향·차별 가능성과 대응 방안, 이용자 고지와 문의·이의제기 경로를 함께 정리해야 합니다.
중요한 것은 제품 소개 문구가 아니라 실제 서비스 흐름입니다. 행정청이 판단할 수 있도록 AI가 어떤 자료를 받아 어떤 결과를 내고, 그 결과가 사람에게 어떤 영향을 주는지 설명할 수 있어야 합니다.
처리기간은 30일 기준으로 보되 연장과 재확인도 고려해야 합니다
시행령 제25조 관련 자료에 따르면 과기정통부장관은 고영향 인공지능 해당 여부에 대한 확인 요청을 받은 경우 30일 이내에 결과를 회신해야 합니다. 제품 등의 복잡성 및 중요성 등을 고려하여 30일 이내 회신이 어려운 경우에는 30일의 범위에서 한 차례 연장할 수 있고, 회신 결과에 이의가 있는 인공지능사업자는 회신을 받은 날부터 10일 이내에 재확인을 요청할 수 있습니다.
실무상 이 기간은 제품 출시 일정과 연결됩니다. 확인 요청을 늦게 하면 출시, 제휴, 공공기관 납품, 투자심사, 보안·컴플라이언스 심사 일정이 밀릴 수 있습니다. 특히 공공기관이나 대기업 고객에게 제공되는 AI라면 고영향 여부 검토 결과 자체가 계약 전 체크리스트가 될 수 있습니다.
확인 결과 이후에는 제34조와 제35조를 함께 봐야 합니다
확인 결과 고영향 인공지능에 해당할 가능성이 높다면, 그 다음은 제34조 사업자 책무입니다. 위험관리방안, 설명 방안, 이용자 보호 방안, 사람의 관리·감독, 문서 작성·보관을 준비해야 합니다. 제34조는 고영향 AI 또는 이를 이용한 제품·서비스 제공 시 안전성·신뢰성 확보 조치를 이행하도록 정하고 있습니다.
또한 제35조 기본권 영향평가도 검토해야 합니다. 제35조는 사업자가 고영향 인공지능을 이용한 제품 또는 서비스를 제공하는 경우 사전에 사람의 기본권에 미치는 영향을 평가하기 위하여 노력하여야 한다고 규정합니다. 국가기관 등이 고영향 AI 제품·서비스를 이용하려는 경우에는 영향평가를 실시한 제품 또는 서비스를 우선 고려해야 하므로, 공공 조달이나 공공서비스 연계 사업에서는 영향평가 준비가 실무상 중요해질 수 있습니다.
확인 미요청 운영의 위험
확인 요청은 선택적 절차이지만, 고영향 가능성이 큰 서비스에서 아무런 검토 기록 없이 운영하는 것은 위험합니다. 나중에 문제가 발생하면 "왜 고영향이 아니라고 판단했는지", "어떤 자료로 검토했는지", "사람의 통제는 실제로 어떻게 작동했는지"를 설명해야 합니다.
따라서 확인 요청을 하지 않더라도 내부 자가진단표, 회의록, 위험검토서, 사람 개입 방식, 이용자 보호 방안은 남겨두는 것이 좋습니다. 확인 요청을 하는 경우에도 이 자료가 기본이 됩니다.
자주 묻는 질문
고영향 AI 확인 요청은 의무인가요?
모든 사업자에게 일률적으로 의무인 것은 아닙니다. 다만 법 제33조상 사전 검토는 필요하고, 해당 여부가 불명확하면 확인 요청을 검토할 수 있습니다.
확인 요청은 언제 하는 것이 좋나요?
출시 직전보다 기획·개발·실증 단계에서 하는 것이 안전합니다. 확인 결과에 따라 설계, 고지, 위험관리, 기록보존 방식이 달라질 수 있기 때문입니다.
처리기간은 어느 정도로 보아야 하나요?
시행령상 30일 회신 절차가 설명되어 있고, 복잡성·중요성에 따라 30일 범위에서 한 차례 연장될 수 있습니다. 회신 결과에 이의가 있으면 10일 이내 재확인 요청을 검토할 수 있습니다.
확인 결과를 받으면 모든 의무가 끝나나요?
아닙니다. 고영향으로 판단되면 제34조 책무와 제35조 영향평가 준비, 투명성 확보, 문서화 체계로 이어집니다.
영업비밀이 포함된 자료도 제출해야 하나요?
확인 요청 자료에는 서비스 작동 방식과 위험 판단에 필요한 내용이 들어갈 수 있습니다. 영업비밀 보호가 필요한 경우 제출 범위와 비공개 관리 방안을 함께 검토해야 합니다.
작성: 조국환 변호사팀 | AUCTORITAS LAB