AI기본법 내년 1월 시행 앞두고 '엉거주춤' 자세로 일관하는 기업들, 왜?

핵심 요약

- 2026년 초 제정된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI기본법)」이 2027년 1월 시행을 앞두고 있으나, 기업들이 준비에 소극적인 모습 - 시행령 세부 내용 확정 전까지 본격 대응을 미루는 '엉거주춤' 자세가 산업계 전반에 만연 - AI 시스템 보안·개인정보보호 측면에서 선제적 거버넌스 체계 구축이 필요한 시점

주요 내용

2026년 6월 30일 중국 선전에서 유비테크(UBTECH)의 소비자 브랜드 유월드(UWORLD)가 U1 시리즈 휴머노이드 로봇을 공개하며 글로벌 AI 기술 경쟁이 가속화되고 있다. 이러한 국제 환경 속에서 국내에서는 올해 초 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」이 제정되어 2027년 1월 시행을 앞두고 있다.

그러나 법 시행을 약 6개월 앞둔 현 시점에서 국내 기업들은 본격적인 준비보다는 '엉거주춤'한 자세로 일관하고 있다. 시행령 세부 내용이 확정되지 않았다는 점, 규제 범위와 의무사항의 불명확성, 그리고 준비 비용 부담 등이 주된 이유로 꼽힌다. 특히 중소기업의 경우 AI 거버넌스 체계 구축을 위한 인력과 예산 확보에 어려움을 겪고 있다.

AI기본법은 고위험 AI 시스템에 대한 사전 영향평가, AI 윤리원칙 준수, 설명 가능성 확보 등을 요구하고 있으며, 개인정보보호법·정보통신망법과의 연계성도 강조하고 있다. 특히 AI 학습 데이터의 개인정보 처리, 자동화된 의사결정에 대한 정보주체 권리 보장, AI 생성 콘텐츠의 투명성 확보 등은 ISMS-P 인증 기준과도 밀접하게 연관된다.

문제는 이러한 '엉거주춤'한 준비 태도가 법 시행 직전 '벼락치기' 대응으로 이어질 가능성이 크다는 점이다. GDPR 시행 전 유럽 기업들이 겪었던 혼란이 재현될 우려가 있으며, 특히 AI 시스템의 보안 취약점과 개인정보 유출 위험에 대한 선제적 대응이 부족할 경우 법 시행 초기 대규모 제재 사례가 발생할 수 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, AI기본법 대응은 단순한 법률 준수를 넘어 조직의 AI 보안 거버넌스 체계를 근본적으로 재정비하는 기회로 접근해야 한다. 특히 LLM 기반 코드 자동 생성 도구를 활용하는 '바이브 코딩(Vibe Coding)' 환경에서는 AI가 생성한 코드에 인젝션 취약점, 인증·인가 미비, 하드코딩된 인증정보 등 보안 결함이 포함될 위험이 높다. AI기본법 시행 전에 개발 단계에서 AI 생성 코드에 대한 보안 검증 프로세스를 확립하고, SAST/DAST 도구를 통한 자동화된 취약점 스캔 체계를 구축해야 한다.

기업들이 '무릎을 펴지 않는' 현 상황은 결국 더 큰 비용과 리스크로 돌아올 것이다. 시행령 확정을 기다리기보다는 현재 공개된 법률 조항을 기반으로 ① AI 시스템 인벤토리 구축 ② 위험도 분류 및 평가 ③ 개인정보 영향평가(PIA) 프로세스 통합 ④ AI 거버넌스 정책 및 내부 통제 체계 수립 등 선제적 준비를 시작해야 한다. 특히 ISMS-P 인증을 보유한 기업의 경우 기존 정보보호 관리체계에 AI 특화 통제항목을 추가하는 방식으로 효율적인 대응이 가능하다.

CPPG·ISMS-P 연계 포인트

AI 시스템 위험 기반 접근법(Risk-Based Approach): AI기본법은 AI 시스템의 위험도에 따라 차등화된 규제를 적용한다. 고위험 AI(의료·금융·고용 등 분야)는 엄격한 사전 영향평가와 지속적 모니터링이 필요하며, 이는 ISMS-P의 위험관리 프로세스(1.2.1 정보보호 위험관리 체계 구축)와 직접 연계된다. 정보보호 담당자는 AI 시스템별 위험 수준을 평가하고 적절한 보호대책을 수립해야 한다.

자동화된 의사결정에 대한 정보주체 권리: AI기본법과 개인정보보호법은 자동화된 의사결정(Automated Decision Making)에 대한 정보주체의 설명 요구권과 거부권을 명시한다. ISMS-P 2.9.1(개인정보 처리 단계별 보호대책) 통제항목 수행 시, AI 기반 프로파일링이나 자동 심사 시스템에 대해서는 알고리즘 투명성 확보, 설명 가능성(Explainability) 구현, 그리고 인간 개입 절차(Human-in-the-loop)를 포함한 보호대책이 필수적이다.