인공지능기본법 가이드라인 5종: 뭐가 나왔고 뭘 봐야 하나

2026년 1월 인공지능기본법이 시행되면서, 과기정통부와 KOSA가 운영하는 '인공지능기본법 지원데스크'에서 가이드라인 5종이 공개됐다. ISMS-P 컨설팅을 하다 보면 요즘 AI 관련 질문이 부쩍 느는데, 마침 나온 김에 정리해둔다.

공개된 건 이 다섯이다.

• 투명성 확보 가이드라인 (2026.01.26)
• 인공지능 안전성 확보 가이드라인 (2026.01.22)
• 고영향 인공지능 판단 가이드라인 (2026.01.29)
• 고영향 인공지능 사업자 책무 가이드라인 (2026.01.22)
• 인공지능 영향평가 가이드라인 (2026.01.22)

다섯을 다 똑같은 무게로 볼 필요는 없다. 실무에 당장 영향을 줄 건 투명성, 고영향 AI 판단, 영향평가 이 셋이라고 본다.

현장에서 제일 많이 물어볼 것

그중에서도 고영향 AI 판단 가이드라인이 제일 자주 나올 것 같다. 컨설팅 가면 "우리 서비스가 고영향 AI인가요?"라는 질문부터 나오는데, 지금까진 답을 주기가 애매했다. 이제 생명·신체, 기본권, 안전에 중대한 영향을 미칠 수 있는 AI가 대상이라는 것과, 판단 절차·고려 요소가 구체화돼서 그나마 짚어줄 근거가 생겼다.

고영향 AI로 판단되면 그다음은 사업자 책무 가이드라인이 따라붙는다. 위험 관리 체계, 인적 감독, 기록 보존 같은 의무가 걸린다. 판단과 책무는 사실상 한 세트로 봐야 한다.

투명성 확보 가이드라인은 "이건 AI가 만든 겁니다"를 이용자에게 알리라는 내용이다. AI 생성 콘텐츠 표시, 의사결정 과정 설명 같은 게 들어가는데, 개인정보 처리방침 고지와 맥락이 비슷해서 개인정보 실무자한텐 오히려 익숙한 구조다.

영향평가 가이드라인은 AI 도입 전에 사회적 영향을 미리 평가하는 절차와 방법론이다. 개인정보 영향평가(PIA)를 해본 사람이면 프레임이 꽤 익숙할 거다. 공공기관뿐 아니라 민간도 참고할 수 있다.

나머지 안전성 확보 가이드라인은 AI 개발·운영 전 과정의 기술적·관리적 조치를 다룬다. 오작동 방지, 보안 취약점 관리, 사후 모니터링 같은 내용이라 기존 보안 관리체계와 크게 다르지 않다. 보안 하던 사람이면 새로 놀랄 건 별로 없다.

개인정보보호 실무와의 접점

개인정보보호 실무와 겹치는 부분이 생각보다 많다.

개인정보를 대량으로 처리하거나 프로파일링에 활용하는 AI라면 고영향 AI에 해당할 가능성이 높고, 그러면 사업자 책무까지 따라온다. AI 기능을 쓰는 서비스가 갈수록 늘어나니까, "우리는 AI 사업자가 아닌데요"로 넘기기 어려운 기업이 점점 많아질 거다.

ISMS-P 인증 심사에서도 AI 관련 질문이 슬슬 나오기 시작했다. 아직 공식적으로 인증기준에 반영된 건 아니지만, 심사원들이 AI 활용 현황을 물어보기 시작했다는 얘기를 여러 루트에서 듣는다. 가이드라인 5종이 나온 이상, 이 흐름은 빨라질 것 같다.

출처: 인공지능기본법 지원데스크