계약·거래

고영향 인공지능 공급사가 위험관리를 했다고 하면 이용 회사는 기록을 남기지 않아도 되나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.18 갱신

공급사가 책무를 이행한 고영향 인공지능을 주요 기능 변경 없이 이용하는 경우 일부 조치의 이행이 인정될 수 있습니다. 하지만 모든 의무와 기록 보존이 사라지는 것은 아닙니다. 공급사 자료로 무엇이 확인되고, 자사 운영에서 무엇을 추가로 해야 하는지를 나누는 것이 핵심입니다.

공급사가 책무를 이행한 고영향 인공지능을 주요 기능 변경 없이 이용하는 경우 일부 조치의 이행이 인정될 수 있습니다. 하지만 모든 의무와 기록 보존이 사라지는 것은 아닙니다. 공급사 자료로 무엇이 확인되고, 자사 운영에서 무엇을 추가로 해야 하는지를 나누는 것이 핵심입니다.

이런 상담이 많습니다

A씨 회사는 2026. 8. 3. 대출 심사를 보조하는 고영향 인공지능을 월 900만원에 이용하는 계약을 공급사와 맺었습니다. 공급사는 위험관리와 설명 방안을 모두 마쳤다는 확인서를 보내며 이용 회사는 따로 기록할 것이 없다고 안내했습니다. 회사는 2026. 9. 21. 입력 항목에 자체 거래내역을 추가하고 승인 기준 점수도 조정했습니다. 담당 부서는 확인서 한 장만 보관했고 관리·감독 담당자는 아직 정하지 않았습니다. 확인서에는 공급사가 시행한 조치의 목록만 있고 이용 회사가 게시할 담당자 연락처는 빠져 있었습니다. A씨는 공급사 확인서만으로 책무를 다한 것인지, 5년간 보관할 문서를 회사가 따로 만들어야 하는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

고영향 인공지능의 책무에는 어떤 내용이 포함되나요?

인공지능기본법 제34조는 위험관리, 기술적으로 가능한 범위에서의 주요 판단 기준 등에 대한 설명 방안, 이용자 보호, 사람의 관리·감독, 안전성·신뢰성 조치에 관한 문서 작성·보관 등을 정합니다. 모델 정확도 점수 하나만 높은 것으로 모든 항목을 대신할 수 없습니다.

각 조치는 실제 사용 환경과 연결되어야 합니다. 이용자가 이의를 제기할 방법이 있는지, 사람인 관리자가 어떤 단계에서 개입하는지, 오류를 누가 발견하고 대응하는지 확인해야 합니다. 공급사의 일반 설명서와 실제 고객 서비스의 절차가 서로 다를 수 있습니다.

공급사의 이행이 인정되는 범위는 어디까지인가요?

시행령 제27조는 이미 법정 조치를 이행한 고영향 인공지능을 이용사업자가 주요 기능 변경 없이 이용하는 경우 법 제34조 제1항 제1호부터 제3호까지의 전부 또는 일부를 이행한 것으로 볼 수 있는 규정을 둡니다. 위험관리·설명·이용자 보호에 관한 해당 범위를 확인해야 합니다.

이 규정을 사람의 관리·감독과 문서 보관까지 모두 면제하는 조항으로 읽어서는 안 됩니다. 주요 기능을 바꿨는지, 공급사의 조치가 자사 서비스에서 작동하는지, 인정되는 부분이 어느 항목인지 확인해야 합니다. 법령은 관련 자료 요청과 개발사업자의 협력에 관한 규정도 두고 있으므로 자료를 받을 경로를 계약에 마련하는 것이 좋습니다.

영업비밀이면 이용자에게 아무것도 공개하지 않아도 되나요?

시행령은 주요 위험관리 정책·조직, 설명 방안, 이용자 보호 방안, 사람인 관리·감독 담당자의 성명·연락처 등 정해진 사항을 홈페이지 등에 게시하도록 정합니다. 영업비밀에 해당하는 사항의 제외 가능성과 공개해야 하는 나머지 사항을 구분해야 합니다.

설명 의무를 이유로 모든 소스코드를 공개해야 한다고 과장해서도 안 됩니다. 법은 기술적으로 가능한 범위 등 요건을 두고 있습니다. 반대로 영업비밀이라는 표지만 붙여 담당자와 이의제기 경로까지 모두 감추는 방식도 적정성을 확인해야 합니다.

대출 심사에 쓰는 회사가 신용정보법이 정한 신용정보제공·이용자에 해당하면 그 법의 설명 의무도 함께 적용됩니다. 개인 고객은 금융거래 설정 여부 등에 자동화평가를 하는지, 그 결과와 주요 기준, 기초정보의 개요를 설명해 달라고 요구할 수 있습니다. 기초정보가 정확하지 않으면 정정·삭제나 결과의 재산출도 요구할 수 있습니다. 영업비밀로 게시에서 제외하는 범위와 이 요구에 답할 범위를 따로 정해 두어야 합니다.

인공지능 대응 순서

시행령은 책무 이행을 입증할 수 있는 문서를 5년간 보관하는 규정을 둡니다. 홍보용 준법 확인서 한 장보다 실제로 실시한 조치와 그 시점을 확인할 수 있는 기록이 필요합니다. 모델 버전, 기능 변경, 위험평가와 대응, 이용자 보호·설명 절차 및 담당자의 변경을 연결해 두는 것이 좋습니다.

공급사가 일방적으로 서비스를 종료하거나 모델을 바꿀 때에도 회사가 필요한 자료를 확보할 수 있는지 확인하십시오. 계약의 자료 제공·변경 통지·사고 협조 조항과 자사 기록 보존 절차를 함께 검토해야 공급사의 이행을 주장할 근거도 남길 수 있습니다.

공급사의 문서에 위험관리 체계가 있다고 적혀 있더라도 이용회사의 환경에서 같은 조치가 작동하는지 확인해야 합니다. 모델을 그대로 쓰면서도 입력 자료, 이용 대상이나 결과의 사용 방식이 달라질 수 있습니다. 인정 규정의 전제가 되는 주요 기능 변경 여부를 실제 변경 내역과 함께 검토하고, 어떤 조치의 이행을 인정받으려는지 항목별로 특정해야 합니다.

설명 방안과 이용자 보호도 서로 다른 작업입니다. 결과에 영향을 미친 주요 기준을 기술적으로 가능한 범위에서 설명할 방법이 있어야 하는 문제와, 이용자가 오류를 알리고 도움을 요청할 경로가 있는 문제를 구분하십시오. 일반 고객센터 안내가 있다는 사실만으로 각 항목이 모두 충족됐다고 보기 어렵습니다. 실제로 어떤 문의를 누구에게 전달하고 어떤 답변·조치를 제공할지 정리해야 합니다.

사람의 관리·감독은 담당자 이름을 한 번 적는 것만으로 이루어지지 않습니다. 관리자가 시스템에 관한 필요한 정보를 받을 수 있는지, 위험을 발견했을 때 서비스를 중단하거나 결과를 수정할 권한이 있는지 등 실제 운영 범위를 확인하는 것이 좋습니다. 다만 모든 고영향 인공지능에 동일한 직급이나 인원수가 법정되어 있다고 지어내서는 안 됩니다. 서비스와 위험에 맞는 방식을 법정 책무에 비추어 검토해야 합니다.

문서에는 실제 시행한 조치와 검토 중인 계획을 구분하여 남겨야 합니다. 이사회나 담당자가 승인한 계획이 있어도 교육·설정 변경이나 보호 절차가 아직 실행되지 않았다면 완료로 표시할 수 없습니다. 기록 보존기간을 맞추는 것과 기록 내용이 사실을 설명하는 것은 별도 문제이므로 공급사의 확인서를 복사해 두는 데 그치지 않고 자사의 시행 자료를 연결하는 편이 적절합니다.

공개할 정보와 내부 증빙자료를 나누어 관리하면 영업비밀을 보호하면서도 필요한 법정 공개를 검토하기 쉽습니다. 공개 대상에서 제외하려는 부분은 왜 영업비밀인지와 남은 사항을 어떻게 안내할지를 구분하십시오. 회사가 비밀로 취급한다는 사정만으로 모든 공개 항목이 자동으로 제외되는 것은 아니므로, 담당자는 게시 화면과 내부 보관자료에 서로 다른 범위를 적용했다는 사실을 설명할 수 있어야 합니다.

고영향 여부가 애매할 때의 확인 요청 절차는 「채용·대출 인공지능이 고영향인지 애매하면 정부 확인을 받은 뒤 출시해야 하나요?」에서 자세히 설명했습니다.

이 상황에서 자주 묻는 것

• 외부 솔루션을 그대로 쓰면 회사는 면책되나요?
  아닙니다. 공급사가 이행한 위험관리·설명·이용자 보호 조치는 주요 기능 변경이 없을 때 이용 회사도 이행한 것으로 볼 수 있지만, 사람의 관리·감독과 문서 보관까지 모든 책임이 면제되는 것은 아닙니다.
• 주요 기능을 바꾸었는지 누가 판단하나요?
  계약서의 명칭보다 실제 변경 내용으로 판단합니다. 입력 자료, 이용 대상, 결과의 사용 방식이 바뀌었는지 변경 내역을 남기고, 어떤 조치의 이행을 인정받으려는지 항목별로 특정해 두어야 합니다.
• 공급사의 인증서가 있으면 5년 보관 자료도 필요 없나요?
  인증서만으로 대신하기 어렵습니다. 시행령은 책무 이행의 근거를 문서로 5년간 보관하도록 하므로, 인증의 내용과 범위를 확인하고 자사에서 실제 시행한 조치와 그 시점을 보여 주는 기록을 함께 남겨야 합니다.
• 영업비밀인 문서는 보관하지 않아도 되나요?
  보관 의무는 따로 검토해야 합니다. 시행령의 영업비밀 제외는 홈페이지 등에 게시하는 사항에 관한 것이고, 책무 이행 근거를 5년간 보관하는 의무와는 다른 문제입니다. 공개 정보와 내부 증빙을 나누어 관리하십시오.
• 담당자 연락처 대신 회사 대표번호만 적어도 되나요?
  대표번호만으로는 부족할 수 있습니다. 시행령은 고영향 인공지능을 관리·감독하는 사람의 성명과 연락처를 게시하도록 정하므로, 법령이 요구하는 공개 범위와 실제 연락 경로를 대조해 검토해야 합니다.
• 공급사의 조치와 이용사업자의 남은 의무를 확인하려면 무엇이 필요한가요?
  공급사의 이행자료, 변경 내역과 계약서를 준비하면 인정 가능한 조치와 회사의 잔여 의무를 정리할 수 있습니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 개인정보 처리방침에 빠진 항목이 있으면 과태료가 나오나요? 꼭 적을 항목은요?
• 인공지능이 자동으로 채용 탈락을 정했는데 지원자가 설명을 요구하면 회사는 어떻게 하나요?
• 영업비밀 침해금지 청구, 보호기간이 지나면 더는 막을 수 없나요?
• 인공지능으로 만든 그림도 저작권 등록이 되나요? 남의 그림으로 학습시키면 침해인가요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기