AI/IT

AI는 ‘Artificial Intelligence’의 약자로 컴퓨터가 사람처럼 사고하고 학습할 수 있도록 하는 인공지능 기술을 의미합니다.

머신러닝, 자연어 처리, 음성 인식, 이미지 인식 등 다양한 기술들이 포함되며 점차 많은 산업에 영향을 미치고 있습니다.

AI는 데이터를 기반으로 스스로 학습하고 예측하며 의사 결정을 내릴 수 있습니다.

IT는 ‘Information Technology’의 약자로 컴퓨터, 소프트웨어, 네트워크와 관련된 기술 전반을 아우르는 개념으로 정보의 수집, 저장, 전송, 처리 등을 지원하는 정보기술을 의미합니다.

IT는 기업의 운영 효율성을 높이고 고객 경험을 개선하며 다양한 산업 분야에 혁신을 일으키는 핵심 요소로 자리 잡고 있습니다.

AI를 다루는 기업이라면 국내 AI 기본법부터 확인해야 합니다. 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」이 시행령과 함께 2026년 1월 22일부터 시행되면서, 그동안 자율규범이나 가이드라인 수준에서 다루어지던 사항들이 법적 의무가 되었습니다.

의무를 지는 주체가 넓다는 점부터 유의해야 합니다.

이 법의 인공지능사업자에는 모델을 직접 개발하는 기업뿐 아니라 다른 회사가 만든 AI를 이용해 제품이나 서비스를 제공하는 기업도 포함됩니다.

외부 AI를 가져다 쓰는 회사라면 우리는 해당이 없다고 보기 어렵습니다.

정부가 시행 초기 계도기간을 운영하고 있으나, 의무 자체는 시행일부터 이미 발생해 있습니다.

계도기간 중에 위반 상태를 그대로 두면 기간이 끝난 뒤 시정명령의 대상이 되므로, 우리 서비스가 고영향 인공지능에 해당하는지, 생성형 AI 결과물에 대한 표시가 이루어지고 있는지를 지금 점검해 두어야 합니다.

AI 기반 서비스나 시스템을 개발·운영하는 기업은 AI 윤리원칙, 설명가능성, 차별금지, 투명성을 확보해야 합니다.

국내 AI 기본법이 2026년 1월 22일부터 시행되어 투명성 확보와 고영향 인공지능에 관한 책무를 법적 의무로 정하고 있고, EU AI Act는 2024년 발효 이후 금지되는 관행, 범용 AI 모델, 고위험 AI의 순서로 단계적으로 적용되고 있습니다.

미국 NIST의 AI 리스크관리 프레임워크도 실무 기준으로 널리 참조됩니다.

따라서 AI 모델 개발 시 ① 데이터셋 편향성 사전 점검, ② AI 설명가능성 확보 문서 작성, ③ AI 윤리검증 프로세스 도입, ④ AI 책임자 지정 및 윤리위원회 운영이 필요합니다.

AI 개발·운영 시 개인정보를 수집·분석·활용하는 경우 개인정보 보호법, 정보통신망법 등을 반드시 준수해야 합니다.

특히 AI 학습용 데이터로 개인식별정보, 영상, 위치정보 등을 수집하는 경우 동의 요건과 비식별 조치 요건을 충족하지 않으면 과징금, 형사처벌 대상이 됩니다.

따라서 ① AI 학습용 데이터셋에 대한 개인정보 영향평가 수행, ② 개인정보 수집 및 활용 동의서 구체화, ③ 데이터 비식별화 조치 및 적정성 검토, ④ AI 시스템 개인정보 보호설계(Privacy by Design) 도입이 필요합니다.

개인정보 영향평가는 일정 규모 이상의 개인정보파일을 운용하는 공공기관에 법적 의무로 부과되어 있고 민간은 자율입니다.

다만 대규모 학습 데이터를 다루는 기업이라면 영향평가에 준하는 사전 검토를 거쳐 두는 편이 이후 사고가 발생했을 때 안전조치 의무를 다했다는 근거가 됩니다.

AI 서비스에서 의도하지 않은 인종, 성별, 나이, 출신지 등의 알고리즘 차별이 발생할 경우 기업은 사회적 비난과 법적 제재를 받게 됩니다.

따라서 ① AI 의사결정 결과 분석과 편향성 검토 프로세스 운영, ② 알고리즘 공정성 점검 기준 수립, ③ 편향 리스크 완화 데이터셋 구축, ④ 정기적인 AI 윤리감사 실시가 필요합니다.

여기에 개인정보 보호법상 권리도 함께 살펴야 합니다.

정보주체는 완전히 자동화된 시스템으로 이루어진 결정이 자신의 권리나 의무에 중대한 영향을 미치는 경우 그 결정을 거부하거나 설명을 요구할 수 있습니다(제37조의2).

채용, 심사, 등급 부여처럼 사람이 개입하지 않고 결과가 나오는 구조라면 거부와 설명 요구에 응할 수 있는 절차를 갖추고 그 기준을 처리방침에 공개해야 합니다.

AI 학습용 데이터 및 생성형 AI 콘텐츠의 저작권 귀속, 권리침해 문제가 빈번히 발생하고 있습니다.

AI가 만든 콘텐츠의 저작권 보호 여부, 타인의 저작물 무단 학습 가능 여부, AI 결과물의 권리 귀속 문제가 주요 쟁점입니다.

이 리스크 방지를 위해 ① AI 학습용 데이터 수집 시 권리검토 및 라이선스 관리, ② AI 생성물 권리 귀속 계약 체결, ③ AI 학습데이터 저작권 침해 여부 사전검토, ④ AI 콘텐츠 이용약관 내 권리 귀속 조항 명확화가 필요합니다.

AI 시스템 및 IT 서비스의 해킹, 랜섬웨어, 개인정보 유출 사고 발생 시 정보통신망법, 개인정보 보호법에 따라 형사처벌, 손해배상 책임이 발생합니다.

특히 AI 기반 SaaS 서비스, 클라우드 인프라, 스마트팩토리 운영기업의 사이버 보안 대응은 필수입니다.

이를 위해 ① 정보보호 관리체계(ISMS) 인증 획득, ② AI 시스템 대상 취약점 점검, ③ AI 보안 위협 대응 매뉴얼 수립, ④ 유출사고 대비 개인정보 유출 대응 시나리오 구축이 필요합니다.

사고가 발생하면 기한이 촉박하다는 점을 함께 알아 두어야 합니다.

개인정보 유출 사실을 알게 되면 정당한 사유가 없는 한 72시간 이내에 정보주체에게 통지해야 하고, 1천명 이상 유출, 민감정보나 고유식별정보 유출, 외부의 불법적인 접근에 의한 유출에 해당하면 같은 기간 안에 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다.

조사가 끝날 때까지 기다렸다가 통지하는 대응은 위험합니다.

플랫폼·IT 기업은 입점업체·콘텐츠 공급자에 대한 거래상 우월적 지위 남용, 광고수수료·검색순위 조작, 거래조건 일방변경 등이 발생하면 공정거래법상 과징금, 시정명령 대상이 됩니다.

특히 AI 알고리즘 기반 추천·광고·가격설정 시스템의 공정성 확보가 이슈입니다.

이를 해결하기 위해 ① 알고리즘 투명성 확보, ② 입점사와 표준계약서 활용, ③ 플랫폼거래 불공정행위 사전점검, ④ 플랫폼 공정거래 자율준수 프로그램 운영이 필요합니다.

검색순위나 노출 기준을 조정하면서 이를 이용자에게 알리지 않은 경우, 공정거래법상 위계에 의한 고객유인이나 표시광고법상 기만적 표시·광고로 문제된 사례가 있습니다.

알고리즘을 손보는 일은 기술 결정인 동시에 표시 의무의 문제이므로, 변경 이력과 그 사유를 기록으로 남겨 두어야 합니다.

인공지능(AI)을 활용하는 서비스는 ‘AI 생성물’의 법적 귀속 문제, 그리고 ‘AI 윤리’ 규범 위반 등 다양한 법적 리스크를 동반합니다.

특히 AI가 사용자에게 자동으로 의사결정을 제공하거나, 계약 체결, 대출 심사, 보험 요율 산정, 인사 평가 등에 활용되는 경우 잘못된 결정으로 소비자 피해가 발생했을 때 그 법적 책임이 누구에게 귀속되는지가 중요합니다.

국내에는 AI 기본법이 제정되어 2026년 1월 22일부터 시행되고 있으며, 여기에 「개인정보 보호법」, 「공정거래법」, 「저작권법」, 「표시광고법」 등 현행법이 함께 적용되어 AI 서비스의 책임 소재를 판단하게 됩니다.

특히 위에서 든 대출 심사나 인사 평가는 AI 기본법상 고영향 인공지능에 해당할 수 있는 영역이므로, 해당 여부에 대한 사전 검토가 출발점이 됩니다.

기업은 AI 알고리즘의 의사결정 구조, 데이터 편향성 여부, 오·남용 가능성 등을 점검하고 AI 서비스 제공 약관 및 고지 절차를 마련해 법적 책임 소재를 최소화해야 합니다.

또한 AI 윤리위원회, AI 영향평가보고서 제도를 도입하는 것도 법적 분쟁 예방에 유효한 방법입니다.

AI 서비스의 성능을 높이기 위해 개인정보 및 비식별화 데이터를 수집·이용하는 과정에서 「개인정보 보호법」, 「정보통신망법」을 반드시 준수해야 합니다.

특히 AI 학습 데이터로 개인정보를 활용하는 경우 정보주체의 동의 절차, 수집·이용 목적 명확화, 목적 외 이용 금지, 처리위탁 계약서 체결 의무 등이 발생합니다.

기업은 AI 학습 데이터 및 서비스 운영 데이터에 대한 ‘개인정보 영향평가’ 실시, ‘데이터 가명화 가이드라인’ 준수, ‘AI 데이터 처리 방침’ 공개 등 체계적인 데이터 거버넌스를 구축해야 법적 분쟁을 예방할 수 있습니다.

가명정보를 활용하는 경우에는 별도의 규율이 적용된다는 점도 확인해야 합니다.

통계작성, 과학적 연구, 공익적 기록보존 등의 목적이라면 정보주체의 동의 없이 처리할 수 있지만, 서로 다른 처리자가 보유한 가명정보를 결합하려면 지정된 전문기관을 통해야 하고, 특정 개인을 알아보기 위한 목적으로 처리하는 것은 금지됩니다.

학습 데이터 구축 방식이 이 요건에 맞는지 설계 단계에서 확인해야 합니다

AI 기반 추천서비스, 자동결정 시스템, 데이터 기반 분석서비스 등 IT서비스는 소비자에게 중요한 영향을 미칠 수 있어 서비스 약관, 이용자 동의 절차, 서비스 한계 고지 의무를 갖습니다.

특히 AI의 추천·결정이 단순 참고정보인지 법적·경제적 의무를 수반하는 결정인지 명확히 고지하고 AI 서비스 오작동이나 오류 가능성을 안내하는 것이 필수적입니다.

이를 소홀히 할 경우 「전자상거래법」이나 「표시광고법」 위반으로 소비자 피해 보상, 손해배상 책임이 발생할 수 있고, AI 기반 서비스라는 사실을 알리지 않은 경우에는 AI 기본법상 투명성 확보 의무 위반이 별도로 문제될 수 있습니다.

따라서 기업은 AI/IT서비스의 이용약관을 정비하고 법적 면책조항 및 서비스 한계사항을 명확히 포함시키는 것이 바람직합니다.

다만 면책조항이 언제나 효력을 갖는 것은 아닙니다.

약관규제법은 사업자의 고의나 중대한 과실로 인한 책임을 배제하는 조항, 상당한 이유 없이 손해배상 범위를 제한하는 조항을 무효로 정하고 있습니다.

면책 문구를 너무 포괄적으로 작성하면 자칫 조항 전체의 효력 자체가 인정을 받지 못할 수 있습니다.

법적 리스크를 줄이기 위해서는 면책 범위를 타당하고 합리적으로 설정하는 것이 중요합니다.

AI가 생성한 텍스트, 이미지, 음원, 영상 등은 창작성 요건, 저작자 귀속 문제, 저작권 보호 여부가 법적 쟁점입니다.

국내법상 AI는 자연인이 아니므로 창작자로 인정되지 않으며 생성물의 권리는 AI를 운영한 사람 또는 법인에게 귀속될 가능성이 큽니다.

다만 사람의 창작적 관여가 없는 산출물은 저작물로 보호받지 못할 수 있다는 점도 함께 고려해야 합니다.

단순히 지시어를 입력해 얻은 결과물이라면 권리를 주장하기 어려울 수 있으므로, 어느 부분에 사람의 선택과 수정이 개입했는지를 기록해 두는 것이 유용합니다.

AI가 제3자의 저작물을 학습해 이를 변형·재가공하거나 유사하게 재현하는 경우 저작권 침해가 발생할 수 있습니다.

기업은 AI 학습 데이터 적법성 검토, 생성물의 저작권 등록 가능성, 제3자 권리 침해 여부 점검, 라이선스 검토 절차를 반드시 마련해야 합니다.

AI 생성 콘텐츠에 대한 면책 약관과 콘텐츠 삭제·수정 요청 절차도 사전에 설정하는 것이 필요합니다.

여기에 AI 기본법상 생성형 AI 결과물에 대한 표시 의무가 더해지므로, 표시 방식과 삭제 요청 처리 절차를 함께 설계하는 것이 효율적입니다.

AI/IT 서비스의 글로벌화로 인해 개인정보를 해외 클라우드 서버에 저장하거나 외국 서비스 사업자와 데이터를 공유하는 경우가 늘고 있습니다.

이 경우 「개인정보 보호법」에 따라 정보주체의 동의, 국외이전 목적 및 수탁자 정보 고지, 적정성 평가, 보호조치계획 수립 등 까다로운 절차를 이행해야 합니다.

이전 근거는 동의 외에도 법률이나 조약에 근거가 있는 경우, 계약의 이행을 위해 필요한 처리위탁·보관으로서 일정한 사항을 공개하거나 알린 경우, 보호위원회가 인정한 국가나 기업으로 이전하는 경우 등으로 정해져 있습니다.

보호 수준이 충분하지 않다고 판단되면 국외이전 중지명령이 내려질 수 있으므로, 해외 클라우드나 글로벌 본사 시스템을 이용하는 구조라면 계약 체결 전에 이전 근거부터 확정해야 합니다.

기업은 국외이전 대상 데이터 식별, 이전 계약서 체결, 국외이전 영향평가, 데이터 보호 조치계획 수립을 통해 리스크를 통제하고 해외 클라우드 사업자의 보호조치 수준도 정기 점검해야 합니다.

AI 추천서비스, AI 쇼핑몰, 앱 서비스 등은 온라인상 광고·표시 규정을 반드시 준수해야 합니다.

허위·과장·기만광고, 개인정보 오남용광고, AI 자동추천 서비스의 사실상 광고성 콘텐츠 표시 위반은 「표시광고의 공정화에 관한 법률」 위반으로 과징금과 형사처벌 대상이 됩니다.

특히 AI 기반 광고 솔루션은 자동 타게팅, 개인 맞춤형 광고를 진행하기 때문에 소비자 오해를 초래할 가능성이 높아, 광고임을 명확하게 고지하고 이용자 동의를 받아야 합니다.

기업은 광고 문구, 표시방법, AI 추천 프로세스 투명성, 광고대상 소비자 범위, AI 알고리즘 설명자료를 정리해 위반 리스크를 사전 차단해야 합니다.

1. AI 서비스 개발·운영 관련 법적 준수사항

□AI 서비스 이용약관, 개인정보 처리방침 내 AI 자동결정 기능 및 한계 고지 여부

□AI 윤리규범, AI 인권 영향평가 절차 도입 여부

□AI 알고리즘 개발·운영 과정에서 차별, 편향, 왜곡 여부 점검 및 리스크 관리 체계 마련 여부
□ AI 기본법상 인공지능사업자에 해당하는지, 고영향 인공지능 영역에 해당하는지 사전 검토 여부

□ 생성형 AI 결과물에 대한 표시 및 AI 기반 서비스라는 사실의 사전 고지 이행 여부

2. 개인정보 보호 및 데이터 관리
□AI 학습용 데이터에 개인정보 포함 여부 확인 및 동의서 확보 여부

□비식별조치, 가명처리, 목적 외 이용 금지 절차 준수 여부

□개인정보 처리 위탁계약서 및 수탁자 관리 체계 구축 여부
□ 자동화된 결정에 대한 거부·설명 요구에 응할 수 있는 절차 및 기준 공개 여부

□ 개인정보 국외이전의 근거 확정 및 고지 사항 이행 여부

3. AI 생성물 법적 보호 및 저작권 리스크
□AI 생성 콘텐츠의 저작권 귀속 관계 정리 및 사내 가이드라인 마련 여부

□AI가 학습하는 원저작물의 적법한 라이선스 확보 여부

□AI 콘텐츠에 대한 이용자 삭제 요청, 수정 요청 대응 절차 수립 여부

□AI 생성물 관련 법적 면책조항을 서비스 약관에 명시했는지 여부

4. AI/IT 서비스 광고·표시 준수
□AI 기반 추천, 자동결정, 광고 서비스의 광고성 표시 및 고지 여부

□허위·과장·기만광고 여부 및 이용자 오인 우려 있는 광고 문구 사전 점검 여부

□맞춤형 타게팅 광고의 개인정보 수집·이용 동의서 확보 여부

5. AI/IT 윤리경영 체계 구축
□AI 윤리규범 및 사내 AI 윤리위원회 운영 여부

□AI 서비스의 사회적 영향, 인권·차별 리스크에 대한 정기 리스크 진단 여부

□AI 윤리성 검토 보고서 작성 및 대외 공개 여부

6. 정보보호 및 보안관리

□AI·IT 시스템 정기 보안취약점 점검 및 리스크 대응 체계 운영 여부

□정보유출 사고 발생 시 대응 매뉴얼 및 비상대응팀 구성 여부

□ 유출 시 72시간 내 통지·신고 절차와 담당자 지정 여부

AI/IT 사건의 특징은 하나의 서비스가 성격이 다른 여러 규제의 적용을 동시에 받는다는 점입니다.

같은 추천 알고리즘을 두고 AI 기본법상 투명성 의무, 개인정보 보호법상 자동화된 결정에 관한 권리, 공정거래법상 불공정거래, 표시광고법상 표시 의무가 각각 문제될 수 있고, 사고가 나면 형사 절차와 손해배상 청구가 더해집니다.

어느 하나만 보고 대응하면 다른 쪽에서 문제가 생깁니다.

법무법인(유한) 대륜(SJKP대륜) 기업법무그룹은 기업법무를 중심으로 지식재산권, 공정거래, 형사, 국제거래 등 관련 분야 구성원이 함께 사건을 검토할 수 있는 조직을 갖추고 있습니다.

기업 의뢰인의 관점에서 이러한 조력은 다음과 같은 이점으로 이어집니다.

· 서비스를 출시하기 전에 AI 기본법상 의무 해당 여부를 확인해, 뒤늦은 구조 변경으로 일정이 밀리는 상황을 줄일 수 있습니다.

· 학습 데이터의 권리 관계와 개인정보 처리 근거를 함께 검토해 사업 모델의 기반을 다질 수 있습니다.

· 약관과 고지 문구를 규제별로 나누어 점검해, 면책 조항이 무효로 평가되는 위험을 줄일 수 있습니다.

· 규제기관의 조사나 분쟁이 시작된 경우 제출 자료가 다른 절차에 미칠 영향을 미리 감안할 수 있습니다.

· 제도가 바뀔 때마다 서비스 구조와 내부 절차를 이어서 점검할 수 있습니다.

AI/IT 사업과 관련한 법적 검토가 필요하다면 기업변호사 법률상담예약을 통해 구체적인 대응 방안을 확인하시기 바랍니다.