AI기본법 제32조, 사실은 우리 회사 얘기가 아니었다?
지난 글들에서 워터마크와 고영향 AI 확인 신청까지 다뤘는데, 정작 법 이름에 '안전성'이 딱 들어간 제32조는 아직 안 짚었더라고요. 그런데 막상 파보니 이 조항, 이름값을 못 해요. 모든 사업자가 지는 의무처럼 들리지만 실제로는 아주 소수만 겨냥하고 있거든요. 오늘은 그 이유를 정리해볼게요. 🤔
세 가지 조건을 '모두' 충족해야 해요 🧮
시행령 제24조 제1항은 안전성 확보 의무 대상을 다음 세 요건을 모두 충족하는 인공지능시스템으로 한정하고 있어요(datalaw, 2026.8 / 법무법인 세종, 2026.2).
- 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산(10²⁶ FLOP) 이상일 것
- 현재 AI 시스템에 활용되는 기술 중 최첨단 인공지능기술을 적용해 구성·운영되고 있을 것
- 위험도가 사람의 생명·신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것
여기서 핵심은 '누적'이라는 표현이에요. 연산량 기준 하나만 넘겼다고 바로 대상이 되는 게 아니라 세 가지를 동시에 만족해야 해요. 법무법인 태평양의 해설에 따르면 이 시스템에 대해 인공지능사업자는 수명주기 전반에 걸친 위험의 식별·평가·완화와, 안전사고를 모니터링하고 대응하는 위험관리체계 구축을 이행해야 하고(법 제32조 제1항), 그 결과를 과기정통부장관에게 제출해야 해요(법 제32조 제2항, Lexology, 2025.9).
사고가 실제로 발생하면 24시간 이내에 최초 보고를, 15일 이내에 결과 보고를 해야 하는 의무도 함께 부과돼요(헬프미 법률사무소, 2026.2).
그래서 우리 회사는 해당될까요 👩💼
결론부터 말하면, 국내 스타트업이나 대부분의 일반 기업은 통상 해당하지 않아요. 국내에서 이 기준을 넘기는 학습을 직접 수행하는 사업자는 극히 제한적이고, 외부 모델을 API로 가져다 쓰는 이용사업자는 대상이 아니에요(datalaw, 2026.8). 실제로 현재 한국에서 개발된 AI 중 이 기준을 충족하는 모델은 아직 없다는 게 업계 설명이에요(헬프미 법률사무소, 2026.2).
그럼 대체 누가 대상일까요? 업계에서는 GPT-4급 이상의 초거대 모델을 직접 학습시키는 소수의 글로벌 사업자를 사실상 겨냥한 조항이라고 봐요(플래텀, 2025.12). 다만 그런 회사들이 국내에 별도 법인 없이 서비스만 제공한다면, 국내대리인이 이 안전성 확보조치 결과 제출을 대리하도록 되어 있어요(법무법인 세종, 2026.2).
제32조 vs 고영향 AI, 헷갈리기 쉬운 두 개념
| 구분 | 안전성 확보 의무 (제32조) | 고영향 AI 책무 (제33·34조) |
|---|---|---|
| 판단 기준 | 연산량·기술 수준·위험도(3요건 누적) | 채용·대출 등 11개 활용 분야 |
| 대상 기업 | 초거대 모델 직접 학습 사업자(극소수) | 해당 서비스를 제공하는 폭넓은 사업자 |
| 국내 스타트업 | 통상 해당 없음 | 서비스 분야에 따라 해당 가능 |
※ datalaw, "AI기본법 시행 6개월" 정리 참고, 2026.8
"우리는 대규모 모델을 안 만드니 완전히 자유롭다"고 오해하면 안 돼요. 안전성 확보 의무(제32조)만 비껴갈 뿐, 대부분의 회사는 투명성 확보 의무(제31조)나 고영향 AI 책무(제33·34조)에서는 여전히 자유롭지 않아요(datalaw, 2026.8).
연산량 기준을 둘러싼 논쟁도 있어요 📊
사실 이 '연산량 기준'이 완벽한 잣대는 아니라는 지적도 나와요. 이글루코퍼레이션은 AI 시스템의 위험 수준이 연산량만이 아니라 활용 목적, 서비스 환경, 모델 구조, 학습 데이터 품질 등 다양한 요소로 결정된다고 지적했어요. 연산량이 상대적으로 적은 모델이라도 특정 환경에서는 더 큰 위험을 가질 수 있다는 거예요(이글루코퍼레이션, 2026.1).
정보기술혁신재단(ITIF)도 AI 기본법이 전략·진흥·규제를 하나로 통합한 세계 최초 시도라고 평가하면서도, 규제 부문의 구조적 결함이 법의 다른 강점을 저해할 수 있다고 짚었어요(이글루코퍼레이션 재인용, 2026.1). 물론 이런 지적이 법의 방향 자체를 부정하는 건 아니고, 시행 초기 제도를 다듬어가는 과정에서 나오는 자연스러운 목소리로 봐도 될 것 같아요.
안전성 확보 의무 한눈에
자주 묻는 질문 ❓
정리하고 보니 제32조는 '모든 AI 사업자용 조항'이 아니라 극소수의 초거대 모델 개발사를 위한 조항이더라고요. 다만 연산량 기준의 한계에 대한 지적도 있는 만큼, 앞으로 시행 과정에서 어떻게 다듬어질지는 계속 지켜볼 만한 부분이에요.
참고 자료
- datalaw, "AI기본법 시행 6개월 — 계도기간이 끝나기 전에 우리 회사가 확인할 의무들", 2026.8
- 법무법인(유) 세종, "AI 기본법 시행과 그 시사점", 2026.2
- 법무법인 태평양, "AI기본법 가이드라인 해설 시리즈 (2): 안전성 확보 의무 관련 고시 및 가이드라인", Lexology, 2025.9
- 헬프미 법률사무소, "AI 기본법, 우리 회사도 적용될까?", 2026.2
- 플래텀, "AI 기본법, '편향'은 직접 안 다뤘다…EU는 의무화, 한국은 공백", 2025.12
- 이글루코퍼레이션, "[보안 101] 세계 최초 전면 시행 앞둔 「AI기본법」, 핵심 쟁점은?", 2026.1
