계약·거래

외부 인공지능 API를 연결한 서비스도 인공지능기본법의 사업자 의무를 부담하나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.18 갱신

자체 모델을 학습하지 않았다는 이유만으로 인공지능기본법 적용에서 제외되지는 않습니다. 다른 사업자가 만든 인공지능을 이용하여 자기의 제품·서비스를 제공하는 사업자도 법의 ‘인공지능이용사업자’에 해당할 수 있습니다. API 공급사가 있다는 사실과 고객에게 서비스를 제공하는 회사의 지위는 나누어 살펴야 합니다.

자체 모델을 학습하지 않았다는 이유만으로 인공지능기본법 적용에서 제외되지는 않습니다. 다른 사업자가 만든 인공지능을 이용하여 자기의 제품·서비스를 제공하는 사업자도 법의 ‘인공지능이용사업자’에 해당할 수 있습니다. API 공급사가 있다는 사실과 고객에게 서비스를 제공하는 회사의 지위는 나누어 살펴야 합니다.

이런 상담이 많습니다

A씨 회사는 2026. 2. 외부 공급사의 생성형 모델 API를 연결해 보험 상품 문의에 답하는 고객 상담 서비스를 출시했습니다. 회사가 직접 모델을 학습하지는 않았고, 공급사와 월 800만원의 이용계약을 맺으면서 '법령 준수 책임은 공급사가 진다'는 조항을 넣었습니다. 2026. 9.에는 상담 답변에 자사 상품 자료를 붙이고 고객별 상품 추천 기능도 더했습니다. 화면에는 회사 이름만 표시됩니다. 공급사는 모델을 바꿀 때에도 회사에 미리 알리지 않고 사후에만 통지합니다. A씨는 모델을 만들지 않은 회사도 인공지능기본법상 사업자 의무를 지는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

모델을 만들지 않은 회사는 왜 대상이 될 수 있나요?

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조는 인공지능사업자를 개발사업자와 이용사업자로 구분합니다. 다른 회사의 모델을 사용하더라도 이를 자기 서비스에 넣어 고객에게 제공한다면 이용사업자 여부를 검토해야 합니다.

예컨대 회사가 외부 생성형 모델과 업무자료를 연결해 자기 이름으로 고객 응답 서비스를 제공하는 경우에는 모델 공급 관계와 최종 서비스 관계가 다릅니다. 반면 임직원이 외부 도구를 내부 업무에 쓰는 경우까지 같은 사실관계로 다룰 수는 없습니다. 누구에게 무엇을 제공하고 어떤 기능을 추가했는지 확인해야 합니다.

이용사업자이면 모든 인공지능 의무가 똑같이 적용되나요?

아닙니다. 사업자에 해당하는지와 개별 의무의 적용 요건은 별도입니다. 생성형 인공지능인지, 사람의 생명·안전·기본권에 중대한 영향을 미치는 고영향 인공지능인지, 초거대 모델의 안전성 의무 대상인지에 따라 검토가 달라집니다.

단순한 업무 보조 기능에 고영향 의무를 무조건 적용할 수도 없고, 생성형 결과물을 고객에게 제공하면서 ‘우리는 모델을 만들지 않았다’는 이유로 고지·표시를 생략할 수도 없습니다. 채용·대출·의료 등에서 실제로 어떤 판단에 쓰이는지 기능별로 분류해야 합니다. 법은 2026년 1월 22일부터 시행된 제도이므로 도입 예정의 선언에 그치는 것이 아닙니다.

공급사 계약에 준법 책임을 모두 넘기면 충분한가요?

공급사의 자료와 기능은 중요하지만 계약 문구만으로 회사의 법정 지위가 바뀌지는 않습니다. 이용자에게 보이는 화면, 적용 분야, 자체 추가한 기능과 운영 방식은 최종 서비스를 제공하는 회사가 정하는 경우가 많습니다.

특히 고영향 인공지능에 관한 일부 조치를 공급사가 이미 이행했다면 일정 요건 아래 이용사업자의 일부 이행이 인정되는 규정이 있습니다. 그러나 주요 기능의 변경 여부 등을 확인해야 하며 모든 의무가 일괄 면제되는 것은 아닙니다. 계약서에 ‘공급사 책임’ 한 줄을 넣는 방식보다 자료 제공 범위, 모델 변경 통지, 사고 협조와 기록 인계를 구체화해야 합니다.

인공지능 대응 순서

모델 공급계약, 실제 기능 설명, 이용자 범위, 입력·출력 흐름과 화면을 모으십시오. 회사가 추가한 검색·분류·평가 기능, 사람이 최종 검토하는 단계, 공급사의 고지·위험관리 자료가 실제 서비스에 그대로 적용되는지도 확인해야 합니다.

사업자 지위와 적용 의무를 기능별로 정리한 뒤 화면 고지, 위험관리, 이용자 문의와 사고 대응의 담당을 정하는 편이 좋습니다. 개인정보나 금융·의료 등 다른 법률의 특별규정이 적용될 수 있으므로 인공지능기본법만 검토하고 도입을 확정하지 않아야 합니다. 법 제5조도 다른 법률에 특별한 규정이 있는 경우를 구별합니다.

외부 모델을 연결한 뒤 회사가 고객에게 보여 주는 답변을 자체 지식자료로 보강하는 경우에는 공급 모델과 자사 기능을 구분해야 합니다. 공급사가 일반적인 문장 생성만 설명했다면 회사가 추가한 분류·평가나 고객별 자동 권고까지 같은 설명에 포함된다고 단정할 수 없습니다. 입력 자료, 후처리 규칙과 최종 결과의 사용처를 한 흐름도로 나타내면 어느 단계에서 새로운 의무가 문제 되는지 확인할 수 있습니다.

개발사업자와 이용사업자를 구분할 때에도 계약서 제목만 따라가서는 안 됩니다. 계약에서는 단순 이용자로 적었더라도 실제로 다른 사업자가 사용하는 인공지능 제품을 개발해 제공하는 부분이 있는지 살펴야 합니다. 한 회사 안에서 여러 제품을 운영한다면 모든 제품의 역할을 하나로 확정하는 것보다 실제 개발·제공 기능에 따라 검토 범위를 정하는 것이 필요합니다.

공급사의 책임 보증은 계약상 구상이나 배상 문제에 영향을 줄 수 있지만 규제기관이나 이용자에 대한 회사의 법정 지위를 임의로 없애지는 못합니다. 계약이 어떤 위험을 분담하는지와 법률이 누구에게 의무를 정하는지를 나누어 읽어야 합니다. 공급사가 특정 의무를 이행한다는 약정이 있다면 실제 이행 결과를 받을 수 있는지, 회사가 자체 조치를 하려 할 때 기술적 협조를 받을 수 있는지 확인하십시오.

내부에서만 쓰던 도구를 고객에게 개방하는 변경도 별도 검토 대상입니다. 처음 도입할 때 내부 업무라는 이유로 생략했던 고지·표시 항목이 외부 제공 과정에서는 달라질 수 있습니다. 반대로 내부 도구에도 다른 법률상 개인정보나 비밀유지 문제가 남을 수 있으므로 내부용이라는 단어를 모든 법률 검토의 면제로 사용해서는 안 됩니다. 어느 예외를 어떤 기능에 적용했는지 범위를 적어 두는 편이 좋습니다.

도입 담당자가 공급사의 모델 교체 통지를 받으면 같은 상품명인지뿐 아니라 기능과 출력, 위험관리 문서가 달라졌는지 확인해야 합니다. 회사의 제품 설명과 약관·화면에 남은 문구를 대조하고, 그 변경이 고객의 판단이나 권리에 영향을 주는지 살펴보십시오. 규제 적용 검토를 계약 체결 때 한 번만 하는 절차로 두지 말고 회사가 실제로 통제하는 변경 단계와 연결해야 서비스 설명과 운영의 차이를 줄일 수 있습니다.

생성형 인공지능 서비스의 사전 고지 방법은 「고객 응답에 생성형 인공지능을 쓰면서 이용약관에만 적어 두어도 되나요?」에서 자세히 설명했습니다. 공급사의 위험관리와 이용 회사의 기록 문제는 「고영향 인공지능 공급사가 위험관리를 했다고 하면 이용 회사는 기록을 남기지 않아도 되나요?」에서 자세히 설명했습니다.

이 상황에서 자주 묻는 것

• 해외 모델을 쓰면 한국 회사는 책임이 없나요?
  아니요, 해외 공급 여부만으로 국내 이용사업자의 의무가 없어지지는 않습니다. 다른 사업자가 제공한 인공지능을 이용해 자기 제품·서비스를 제공한다면 인공지능이용사업자에 해당할 수 있습니다.
• API 요금을 내는 고객이면 모두 이용사업자인가요?
  그렇지는 않습니다. 계약상 고객이라는 명칭보다 그 인공지능을 이용해 자신의 제품·서비스를 제공하는지를 확인해야 합니다. 임직원이 내부 업무에만 쓰는 경우는 고객 서비스와 같은 사실관계로 다루지 않습니다.
• 오픈소스 모델을 쓰면 법이 적용되지 않나요?
  아니요, 오픈소스라는 공급 방식만으로 적용이 배제되지는 않습니다. 그 모델로 어떤 서비스를 누구에게 제공하는지, 회사가 어떤 기능을 추가했는지에 따라 사업자의 역할을 살펴야 합니다.
• 회사 내부 문서 요약도 고객용 서비스와 같은가요?
  사용 범위가 다르므로 같게 보지 않습니다. 내부 업무 용도로만 쓰는 경우의 고지·표시 예외가 있지만 고객에게 개방하면 달라질 수 있고, 개인정보·비밀유지 같은 다른 법률 검토는 남습니다.
• 공급사의 준법 확인서를 받으면 검토가 끝나나요?
  아니요, 확인서만으로 검토가 끝나지는 않습니다. 회사가 추가한 기능과 변경 사항, 실제 화면과 운영에 그 내용이 적용되는지 대조해야 하며, 계약 문구만으로 회사의 법정 지위가 바뀌지도 않습니다.
• 외부 인공지능 API 이용자의 지위를 판단하려면 무엇을 확인하나요?
  공급계약, 실제 기능 설명, 이용자 범위와 화면, 입력·출력 흐름을 확인합니다. 회사가 추가한 검색·분류·평가 기능과 사람의 최종 검토 단계까지 정리하면 사업자 지위와 적용 의무를 기능별로 나눌 수 있습니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 개인정보 처리방침에 빠진 항목이 있으면 과태료가 나오나요? 꼭 적을 항목은요?
• 인공지능으로 만든 그림도 저작권 등록이 되나요? 남의 그림으로 학습시키면 침해인가요?
• 개인정보 유출 피해자들이 모여 포털을 상대로 단체소송을 낼 수 있나요?
• 장비 임대업체가 위약금은 합의한 조건이라며 못 깎는다면 다 내야 하나요?
• 회원가입 약관에 숨어 있던 수수료 조항, 설명을 못 들었어도 내야 하나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기