계약·거래

공공기관에 고영향 인공지능을 납품하려면 영향평가가 법정 허가처럼 꼭 필요한가요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.18 갱신

인공지능기본법은 고영향 인공지능의 기본권 영향평가에 관한 노력 의무와 공공기관의 우선 고려 규정을 두고 있습니다. 모든 고영향 인공지능에 일률적인 사전 허가나 특정 민간 인증을 받으라는 제도와는 구별해야 합니다. 다만 개별 조달·입찰 조건에서 평가자료를 요구한다면 별도로 충족해야 할 계약상 문제가 될 수 있습니다.

인공지능기본법은 고영향 인공지능의 기본권 영향평가에 관한 노력 의무와 공공기관의 우선 고려 규정을 두고 있습니다. 모든 고영향 인공지능에 일률적인 사전 허가나 특정 민간 인증을 받으라는 제도와는 구별해야 합니다. 다만 개별 조달·입찰 조건에서 평가자료를 요구한다면 별도로 충족해야 할 계약상 문제가 될 수 있습니다.

이런 상담이 많습니다

A씨 회사는 2026. 9. 7. 공고된 공공기관의 직원 채용 서류 검토 시스템 입찰에 참여하려고 합니다. 사업 예산은 4억 8,000만원이고, 제안요청서에는 기본권 영향평가 결과를 내면 가점을 준다는 항목이 있었습니다. 경쟁사는 특정 민간 인증을 받지 않으면 납품 자체가 불가능하다고 주장했습니다. 회사가 가진 자료는 2025. 11. 다른 버전으로 만든 내부 평가 보고서뿐이었습니다. 납품 예정일이 2026. 12. 1.이어서 새로 평가를 한다면 직접 할지 외부 업체에 맡길지도 서둘러 정해야 했습니다. A씨는 영향평가가 법정 허가처럼 꼭 받아야 하는 것인지, 자체 평가로도 되는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

위험관리와 기본권 영향평가는 같은 서류인가요?

법 제34조의 사업자 책무와 제35조의 영향평가는 관련되지만 동일하지 않습니다. 위험관리 체계를 마련하고 기록하는 의무가 있다고 해서 기본권에 미치는 영향을 평가하는 절차까지 자동으로 끝나는 것은 아닙니다.

영향평가는 실제 서비스를 이용하거나 결과의 영향을 받는 집단, 그 권리에 미치는 영향과 위험, 예방·완화 방안 등을 살피는 과정입니다. 단순한 모델 성능 시험이나 일반적인 정보보호 점검만으로 사람에 대한 영향을 충분히 평가했다고 볼 수 있는지 확인해야 합니다.

반드시 외부기관에 맡겨야 하나요?

시행령 제28조는 영향평가를 직접 실시하거나 제3자에게 의뢰할 수 있는 구조를 정합니다. 어느 민간업체의 인증서 하나만이 유일한 법정 통과증이라는 설명은 경계해야 합니다.

평가에는 영향을 받는 집단, 기본권과 사회·경제적 영향, 활용 방식, 정량·정성적 지표, 위험의 예방·완화와 회복, 개선계획 등을 확인하는 내용이 포함됩니다. 특히 취약계층에 미치는 영향을 고려하는 법의 요구도 살펴야 합니다. 2026년 법 개정의 이 부분은 일반 시행일과 별도 시행시기를 둔 조항이므로 최초 시행 당시 자료만으로 현재 요건을 판단하지 않는 것이 좋습니다.

공공기관은 평가 없는 제품을 살 수 없나요?

법은 국가기관 등이 고영향 인공지능을 이용한 제품·서비스를 이용하려는 경우 영향평가를 실시한 제품·서비스를 우선적으로 고려하도록 정합니다. 이 문구를 모든 미평가 제품의 법률상 판매 금지나 납품 무효로 확대해서는 안 됩니다.

다만 실제 입찰 공고와 제안요청서에서 평가 실시·보고서 제출을 요구하거나 평가항목으로 반영했다면 그 조건은 구체적으로 확인해야 합니다. 법률상 의무의 성격, 발주기관의 선정 기준과 계약 이행 요건을 나눠 검토해야 합니다. 예전에 다른 버전으로 만든 보고서가 이번 납품 범위에도 적용되는지도 살펴야 합니다.

입찰 서류에 하지 않은 평가를 완료로 적으면 계약 문제에 그치지 않을 수 있습니다. 국가기관 입찰에서 허위서류를 제출한 자는 부정당업자로서 1개월 이상 2년 이하의 입찰참가자격 제한 대상이 됩니다. 지방자치단체나 공공기관 발주라면 각 근거 법령을 따로 확인해야 합니다. 제한 처분을 받았을 때의 대응은 「입찰참가자격 제한 처분을 받았는데 막을 수 있나요?」에서 자세히 설명했습니다.

인공지능 대응 순서

납품할 기능과 버전, 대상 이용자 및 영향을 받는 집단, 실제 업무 흐름, 위험 시나리오와 대응책을 준비하십시오. 어떤 자료로 영향이 작다고 판단했는지, 평가 후 무엇을 고쳤는지를 연결해 두는 것이 좋습니다. 모델 공급사의 일반 보고서가 현장 운용을 모두 평가한 것으로 가정하지 않아야 합니다.

공공기관 제출용이라면 평가 범위와 제출할 부분, 영업비밀·개인정보의 처리, 유지보수나 기능 변경 때의 재검토를 계약에서 정리할 필요가 있습니다. 납품 일정이 급해도 서로 다른 법정 평가·인증을 같은 것으로 적거나 실시하지 않은 평가를 완료로 표시해서는 안 됩니다.

영향을 받는 집단은 서비스를 직접 조작하는 이용자만을 뜻한다고 좁혀 생각하지 않는 것이 좋습니다. 공공기관 담당자가 인공지능 결과를 이용하여 사람에 관한 결정을 한다면 그 결정의 대상자가 어떤 영향을 받는지도 평가 범위에서 검토할 수 있습니다. 이용자 명단만 제시하고 불리한 결과를 받는 집단을 빠뜨리지 않도록 실제 업무 과정을 확인해야 합니다.

평가에 정량 지표를 넣었다면 숫자의 의미와 한계를 설명해야 합니다. 평균적인 정확도가 높아도 특정 집단에서 어떤 오류가 집중되는지, 불리한 결과를 수정할 기회가 있는지는 별도 판단일 수 있습니다. 정성적인 검토 역시 담당자의 소감만 나열하기보다 실제 위험 시나리오와 보호방안에 연결하는 편이 필요합니다. 평가의 결론과 그것을 뒷받침하는 자료를 구별하여 남겨야 합니다.

개선계획은 장래의 약속과 현재 완료한 조치를 나누어 적어야 합니다. 발주기관에 제출할 보고서에서 아직 마련하지 않은 이의제기 절차나 담당자 권한을 이미 시행한 것처럼 적으면 실제 운영에서 차이가 드러날 수 있습니다. 납품 일정과 개선조치의 완료일을 맞추고, 계약에서 요구한 평가 범위에 미달한 부분은 협의·보완이 필요한 항목으로 표시해야 합니다.

특정 평가업체를 선택할 때에는 그 업체의 이름보다 실제 평가 범위와 제공 결과물이 중요합니다. 법이 자체 평가도 예정한다는 사실과 개별 입찰에서 외부 검토를 요구할 수 있다는 사실은 양립합니다. 입찰조건이 법률보다 상세한 자료를 요구하는 경우에는 그 조건의 취지와 충족 방법을 확인하되 이를 모든 기업에 적용되는 법정 인증으로 홍보하지 않아야 합니다.

유지보수 계약에서는 모델 교체나 활용 목적 변경 때 누가 기존 평가의 유효 범위를 점검할지도 정리하는 것이 좋습니다. 평가가 제품의 모든 미래 사용을 포괄하는 서류는 아니므로, 대상 집단과 업무가 달라진 때에는 이전 결론의 전제를 다시 보아야 합니다. 발주기관과 공급사가 서로 평가 책임을 상대방에게만 있다고 생각하지 않도록 자료 제공과 변경 통지, 개선 이행의 역할을 나누어 두는 편이 필요합니다.

평가 결과를 반영한 조치에는 담당자와 적용 버전을 붙여 두십시오. 개선계획이 실제 납품본에 반영됐는지 확인하는 데 필요한 자료입니다.

영향평가와 별개인 사업자 책무와 문서 보관은 「고영향 인공지능 공급사가 위험관리를 했다고 하면 이용 회사는 기록을 남기지 않아도 되나요?」에서 자세히 설명했습니다.

이 상황에서 자주 묻는 것

• 영향평가를 하지 않으면 출시가 전부 금지되나요?
  아닙니다. 법은 사업자에게 영향평가를 위한 노력 의무를 두고 국가기관등이 평가한 제품을 우선 고려하도록 정할 뿐, 평가하지 않은 제품의 출시를 일률적으로 금지하지 않습니다. 개별 규제와 계약 조건은 따로 확인해야 합니다.
• 외부 평가업체를 써야만 유효한가요?
  그렇지 않습니다. 시행령 제28조는 사업자가 영향평가를 직접 실시하거나 제3자에게 의뢰할 수 있도록 정합니다. 다만 개별 입찰에서 외부 검토를 요구한다면 그 조건은 별도로 충족해야 합니다.
• 성능 정확도 보고서로 대체할 수 있나요?
  대체하기 어렵습니다. 영향평가는 영향을 받는 개인·집단, 기본권 유형과 사회·경제적 영향, 위험의 예방·완화 방안 등을 다루므로, 정확도 보고서가 이 범위를 담고 있는지 확인해야 합니다.
• 개인정보 영향평가와 같은 것인가요?
  같은 제도가 아닙니다. 개인정보 영향평가와 인공지능기본법의 기본권 영향평가는 근거 법률과 대상·내용이 다르므로, 한쪽을 마쳤다고 다른 쪽이 자동으로 대체된다고 보지 않아야 합니다.
• 납품 후 용도를 바꾸면 기존 평가만으로 충분한가요?
  충분하다고 보기 어렵습니다. 평가는 제품의 모든 미래 사용을 포괄하지 않으므로 기능, 대상 집단, 업무가 달라지면 이전 결론의 전제를 다시 검토해야 합니다. 유지보수 계약에 재검토 담당을 정해 두는 것이 좋습니다.
• 공공기관 납품 전 법률상 의무와 입찰 조건을 어떻게 대조하나요?
  제안요청서의 평가 항목, 납품할 기능과 버전, 보유한 평가자료를 나란히 놓고 대조합니다. 법률상 노력 의무, 발주기관의 선정 기준, 계약 이행 요건을 나누어 보면 추가로 준비할 자료를 정리할 수 있습니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 개인정보 처리방침에 빠진 항목이 있으면 과태료가 나오나요? 꼭 적을 항목은요?
• 인공지능이 자동으로 채용 탈락을 정했는데 지원자가 설명을 요구하면 회사는 어떻게 하나요?
• 인공지능으로 만든 그림도 저작권 등록이 되나요? 남의 그림으로 학습시키면 침해인가요?
• 회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기