LLOYDK
사례로 배우는 AI 보안 거버넌스 전략
Session 3
사례로 배우는 AI 보안 거버넌스 전략 ·

AI 기본법과 AX 전략 — 규제를 기회로 만드는 법

대한민국 AI 기본법(안)의 핵심 내용을 이해하고, EU AI Act 등 글로벌 AI 규제 동향과의 비교를 통해 기업이 준비해야 할 컴플라이언스 체계를 학습한다. AX(AI Transformation)를 추진하는 조직이 법적 리스크를 최소화하면서 AI를 전략적으로 도입하는 방법을 구체화한다.

강의 + 토론 + 실습|AI 보안 거버넌스
AGENDA

목차

01
Session 3 표지: AI 기본법과 AX 전략 — 알면 기회, 모르면 리스크
02
Lecture 01 보안 담당자가 꼭 알아야 할 대한민국 AI 기본법 핵심 조항 10
03
Why AI기본법? AI 생성 콘텐츠 위험사례 ① — 펜타곤 폭발·美대선 딥페이크 (가짜뉴스)
04
Why AI기본법? AI 생성 콘텐츠 위험사례 ② — 딥페이크 디지털 성범죄·아동 성착취물
05
Lecture 02 AI 기본법 5대 가이드라인 개요 — 판단·책무·투명성·영향평가·안전성
06
Lecture 03 고영향 AI 판단: 정의·고려사항·확인 절차(제33조)
07
Lecture 05 표시 기본원칙 적용 흐름도 — AI 생성물 표시 4단계 (서비스 내→외부 반출)
08
Lecture 04 고영향 AI 사업자 4대 책무 — 위험관리·안전조치·이용자 보호·사람의 감독
09
Lecture 05 투명성 확보 의무(제31조) — 사전고지·표시·딥페이크
10
Lecture 06 AI 영향평가 — 사전준비·본평가·사후관리 3단계
11
Lecture 06 영향평가 수행 단계별 고려사항 — 사전준비·본평가·사후관리 9대 체크포인트 + 실습 바로가기
12
Lecture 07 최첨단(프런티어) AI 안전성 확보 의무
13
Lecture 02 EU AI Act의 4단계 위험 기반 규제 + 제재 체계 — 벌금·타임라인
14
Lecture 03 미국·중국·영국·일본 — 글로벌 4개국 AI 규제 접근법 비교
15
Case Study Clearview AI 글로벌 제재 — GDPR 위반·사업 철수·교훈
16
Framework AX 추진 시 컴플라이언스 로드맵 — 진단·설계·구축·운영 4단계
17
Lecture 05 규제를 경쟁력으로 전환하는 5가지 전략: 신뢰·시장·투자·리스크·인재
18
Best Practice LG AI연구원 — '책임있는 AI'로 AI기본법 시대를 선도
19
Lecture 06 2026년 이후 규제 전망과 지금 당장 준비해야 할 5가지
20
Wrap-up: AI 기본법, 알면 기회 모르면 위기 — AX 시대를 주도하는 법
21
세션 핵심 주제 및 AI 보안 관점 요약
22
사례 연구: 카드3사 · 현대카드 · 우리카드 · 넷마블 · Microsoft · Google — 실제 사례로 배우기
23
그룹 토론: AI 규제, 혁신의 걸림돌인가 신뢰 기반 성장의 기회인가?
Why AI기본법?
AI 생성 콘텐츠 위험사례 ①

가짜뉴스, 이제 AI가 만든다

펜타곤 폭발 가짜뉴스
💥 펜타곤 폭발 가짜뉴스
2023. 5 · p.22
2023년 5월 미국, AI가 생성한 '펜타곤 폭발' 사진이 트위터에서 언론까지 광범위하게 확산. 펜타곤 대변인은 "공격받지 않았다", 경찰·소방도 "폭발 없음"이라며 해당 사진이 AI 생성물임을 공개. 그러나 사진 유포 직후 S&P500 0.3% 하락, 미 국채·금값도 상승하며 금융시장이 출렁였다.
가짜뉴스 생성 (1) · 📄 클릭 →
美 대선 딥페이크 유포
🗳️ 美 대선 딥페이크 유포
2023 · p.23
2023년 미국 선거기간, 지지자들이 흑인 유권자 공략을 위해 '흑인이 후보를 지지하는' 사진을 AI로 생성해 공유. 또한 미드저니로 후보가 체포되는 장면, 형을 선고받아 투옥되는 장면을 제작해 SNS에 게시 — 유권자 혼란과 부정적 인식 확산, 선거에 영향력 행사.
가짜뉴스 생성 (2) · 📄 클릭 →
가짜뉴스 피해 실태
📊 가짜뉴스 피해 실태
2024 · p.22
시민 인식 조사 결과, 가짜뉴스 경험률 43.3%. '인공지능이 발달하면서 가짜뉴스 피해도 심화될 것'이라는 전망에 84.2% 동의 — 가짜뉴스는 이미 대중의 생활 곳곳에 침투했으며 대책 마련이 시급하다는 통계적 근거.
통계 조사 · 📄 클릭 →
선거 개입 인식 조사
📈 선거 개입 인식 조사
2024 · p.23
생성형 AI는 동영상·이미지·오디오 등 선거 운동 콘텐츠 제작을 가능하게 하며 선거에 영향력 행사. UNESCO·Ipsos가 16개국 8,000명 설문 — 온라인 가짜뉴스의 선거 영향과 규제 필요성 인식이 높게 나타남.
설문 조사 · 📄 클릭 →
💡 왜 법이 필요한가? — 가짜뉴스 경험률 43.3%, AI로 피해 심화 84.2% 동의 → 생성물임을 알 수 있어야(투명성) 한다
※ 참조 : 인공지능 투명성 확보 가이드라인 p.22~23 원문 보기 →
Why AI기본법?
AI 생성 콘텐츠 위험사례 ②

딥페이크, 범죄와 표절로

딥페이크 디지털 성범죄
🚨 딥페이크 디지털 성범죄
2024 · p.24
연예인·지인 얼굴을 음란물과 합성해 유포하는 디지털 성범죄 빈번. 이미지 유포·합성·소비 가능성이 무한 확장되며 피해·가해 구도가 1대 N, 생산자·소비자 경계 불분명. 2024.9 고교생 5명이 동료 여학생 10여 명 사진을 불법 합성, 2024.8 텔레그램에서 현역 군인들이 여성 동료 얼굴을 딥페이크로 합성해 성착취물 제작·공유.
디지털 성범죄 · 📄 클릭 →
아동 성착취물 제작자 기소
⚖️ 아동 성착취물 제작자 기소
2023. 4 · p.24~25
2023년 4월, 생성형 AI 서비스에 '나체'·'어린이' 텍스트를 입력하여 360개의 아동 성착취물을 생성한 제작자가 기소 — 생성형 AI 오남용이 현실의 형사처벌로 이어진 대표 사례.
아동 성착취물 · 📄 클릭 →
미드저니 쥐 이미지 논문 철회
📚 미드저니 쥐 이미지 논문 철회
2024. 11 · p.25~28
네이처(2024.11)가 소개한 논문에서 터무니없이 큰 생식기를 지닌 쥐 이미지가 생성형 이미지 모델 미드저니로 만든 것임이 밝혀져 논문 철회. 턴잇인은 '23년 이후 제출된 2억 개 논문 중 약 11%가 표절이라고 발표 — AI 논문 남용 심각.
AI 표절 · 📄 클릭 →
ChatGPT 공동저자 논문
✍️ ChatGPT 공동저자 논문
2023 · p.28
ChatGPT가 2023년 한 해 책·저널을 발표하며 저작권 보유 200여 권, 네이처 발표 기준 최소 4편 이상 연구논문 공동저자 등록. 과학계는 표절 문제를 동반한다며 윤리 지침 요구, 네이처 등은 AI를 저자로 인정 불가 선언.
학술 윤리 · 📄 클릭 →
💡 왜 법이 필요한가? — 피해·가해 1대N, 생산자·소비자 경계 불명확, 학술 윤리까지 → AI 생성물 표시·고지(투명성)로 확산 차단
※ 참조 : 인공지능 투명성 확보 가이드라인 p.24~28 원문 보기 →
Lecture 01
대한민국 AI 기본법 — 제정 배경과 구조

보안 담당자가 꼭 알아야 할 핵심 조항 10

📜 제정
2024. 12. 26
국회 본회의 통과
🚀 시행
2026. 1. 22
법률 본격 효력
⚡ 시행령
2026. 7. 21
개정 시행령 시행
📋 법의 3대 축 + 고영향 AI 정의
① 진흥 — AI 산업 육성, R&D 세액공제(최대 40%), AI 전문인재 양성, 데이터센터 인프라 확충
② 규제 — 고영향 AI 안전·신뢰성 확보, 사업자 등록·의무, 정기 영향평가, 사고 보고 의무
③ 거버넌스 — 대통령 직속 국가AI위원회, AI안전연구소, 3년 단위 AI 기본계획 수립
🎯 고영향 AI 판단 기준 (시행령):
• 인명·안전에 직접 영향 (의료진단, 자율주행, 의약품 처방 등)
• 기본권 제한 가능성 (채용심사, 신용평가, 범죄예측, 복지수급 등)
• 대규모 이용자 영향 (월간 100만명 이상 이용 서비스)
🔑 보안 담당자 필수 조항 & 상세 의무
제33조+제34조 고영향 AI 확인·사업자 책무: 위험관리체계 구축, 이용자 보호조치, 설명·인간감독·문서화 (시행: 2026.1.22)
제32조 안전성 확보 의무: 학습데이터 검증, 적대적 공격 방어, 출력 필터링, 정기 안전성 테스트
제34조 설명 의무(책무): AI 판단의 주요 근거·기준·데이터 출처를 이용자에게 서면·전자적 방법으로 고지
제35조 영향평가 실시: AI 도입 전 인권·안전·개인정보 등 7개 영역 사전평가, 3년 주기 갱신
제34조 기록 관리(책무): AI 학습데이터 목록·버전, 판단 결과·사유, 입력값을 최소 3년 보존
제34조 인간 감독(책무): 고영향 AI 출력에 대한 Human-in-the-Loop 의무화, 자동결정 배제권 보장
제34조 위험관리(책무): AI 위험 식별·평가·완화 조치 수립, 정기적 위험 재평가 의무화
제34조 이용자 보호(책무): AI 상호작용 사실 사전고지, 딥페이크 등 합성콘텐츠 표시 의무(워터마크)
제42조+제43조 벌칙·과태료: 3년 이하 징역·3천만원 벌금 (EU AI Act: 매출 7%), 과태료 3천만원 이하 별도 부과
제12조 AI안전연구소: 과기정통부 산하 전담기관, 안전기준 마련·사고조사·인증평가 총괄
⚠️ 위반 시: 시정명령 → 과징금(매출 3%) → 영업정지 → 형사처벌
📰 AI기본법 국회 본회의 통과 (2024.12.26) · AI기본법 시행령 국무회의 의결 (2026.7)
🌏 세계 2번째
EU 이어 두 번째 포괄적 AI법 제정
2026.1.22 시행
📋 500건+/년
고영향 AI 의무인증제 연간 예상
과기정통부 2026.7 업무보고
⏰ 24시간 내
중대 AI 사고 발생 시 신고 의무
AI기본법 제34조
🏛️ 500억원
AI안전연구소 2026년 예산
과기정통부 산하 전담기관
출처: 과기정통부 2026.7 업무보고, AI기본법 제정안
Lecture 02
AI 기본법 시행 가이드라인 · 5대 지침

5대 가이드라인 한눈에 보기

투명성 확보 가이드라인
📕 투명성 확보 가이드라인 2026. 1. 22
🎯 이용자에게 AI 운용 사실을 알릴 의무
제31조(사전고지·표시·딥페이크 표시)의 이행 방법 안내. 적용 대상은 이용자에게 최종 제품·서비스를 제공하는 AI 사업자.
최첨단 AI 안전성 확보
🧬 최첨단 AI 안전성 확보 2026
🎯 프런티어(초대규모) AI 안전성 확보 의무
고시 기준(10²³ FLOPs 이상) 해당 모델의 개발·제공 사업자 대상. 위험 평가, 안전 조치, 안전 거버넌스, 이행 결과 제출 요구.
고영향 AI 판단 가이드라인
⚖️ 고영향 AI 판단 가이드라인 2026. 4. 29
🎯 '고영향 AI인가?' 판단 기준과 절차
제33조 기반 — 생명·신체·기본권 중대 영향, 대규모 이용자, 기반시설 연관성 고려. 자율 판단 → 확인 요청(30일) → 전문위원회 자문.
사업자 책무 가이드라인
🛡️ 사업자 책무 가이드라인 2026. 1. 22
🎯 고영향 AI 사업자의 4대 책무
위험관리방안, 안전성·신뢰성 확보 조치(제32조), 이용자 보호 방안, 사람의 관리·감독. 등록·사고 보고 의무 포함.
AI 영향평가 가이드라인
📊 AI 영향평가 가이드라인 2026. 1. 22
🎯 AI 영향평가 수행 방법
사전 준비 → 본 평가 → 사후 관리 3단계. 작동원리 조사(데이터 수집→분석·판단→결정→피드백), 기본권 영향 분석, 3년 주기 재평가.
💡 포인트 — 법·시행령이 '무엇을' 규정한다면, 가이드라인은 '어떻게 이행할지'를 안내한다. 보안 담당자는 이 5종을 기준으로 사내 점검·대응 체계를 설계하면 된다.
Lecture 03
AI 기본법 시행 가이드라인 · 판단 기준

우리 AI는 고영향 AI일까?

📖 법 제2조 — 고영향 인공지능 정의
"사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능"
⚖️ 판단 고려사항 (시행령 제24조② — 가이드 p.10)
1.법 제2조제4호 각 목의 영역에서 활용되는지 여부 및 목적
2.생명·신체 안전·기본권 위험의 영향·중대성·빈도·영역별 특수성
3.사업자의 사전검토 결과 (법 제33조①)
4.전문위원회 자문결과 (거친 경우)
5.그 밖에 과기정통부장관이 정하는 필요 자료
구분 사용되는 영역 (법 제2조제4호 각 목)
⚡ 에너지 「에너지법」 — 에너지의 공급
💧 먹는물 「먹는물관리법」 — 먹는물의 생산 공정
🏥 보건의료 「보건의료기본법」 — 보건의료 제공·이용체계 구축·운영
🩺 의료기기 「의료기기법」·「디지털의료제품법」 — 의료기기·디지털의료기기 개발·이용
☢️ 원자력 「원자력시설 방호법」 — 핵물질·원자력시설 안전 관리·운영
🔍 범죄 수사·체포 생체인식정보(얼굴·지문·홍채·정맥) 분석·활용
💼 채용·대출 심사 등 개인 권리·의무 관계에 중대한 영향을 미치는 판단·평가
🚆 교통 「교통안전법」 — 교통수단·시설·체계의 주요한 작동·운영
🏛️ 공공서비스 국가기관등의 의사결정 — 자격확인·결정·비용징수 등
🎓 교육 「교육기본법」 — 유아·초등·중등교육 학생 평가
➡️ 2단계 조건: 위 영역에서 활용 + 생명·신체 안전·기본권에 중대한 영향·위험 → 고영향 AI
📍 고영향 AI 영역 — 법 제2조제4호 각 목 가이드 p.20 · 표
※ 위 영역에서 활용 + 생명·신체·기본권 중대 영향 → 고영향 AI (2단계)
📍 고영향 AI 영역 — 가이드 p.20
⚙️ 고영향 AI 확인 절차 (시행령 제24조 — 가이드 p.9)
1사전 검토 — 사업자가 자율 판단 (확인 요청서: 별지 제1호 서식)
2확인 요청 → 과기정통부장관
330일 이내 판단·회신 (복잡성 고려 시 30일 1회 연장 가능)
4이의 시 10일 이내 재확인 요청 (증빙 첨부)
5전문위원회 자문 → 30일 이내 재확인 회신
👥 전문위원회 — 50인 이상 전문가 풀 중 5명 회의로 의견 청취. 선택적 절차이며 법적 구속력 없는 자문 (가이드 p.10)
⚠️ 한계 인지 — 확인은 행정절차일 뿐, 민·형사상 최종 판단은 법원이 결정 (가이드 p.10)
※ 참조 : 고영향 인공지능 판단 가이드라인 p.9~10 원문 보기 →
Lecture 04
AI 기본법 시행 가이드라인 · 책무

고영향 AI 사업자의 4대 책무와 적용 범위

🛡️
① 위험관리방안 수립·운영
AI 위험 식별·평가·완화 절차, 체계 문서화, 주기적 재평가
🔐
② 안전성·신뢰성 확보 조치
사이버보안·개인정보 보호, 이상 징후 모니터링, 사고 대응·보고 (법 제32조)
👤
③ 이용자 보호 방안
AI 운용 사실 고지, 결과물 설명, 피해 구제 절차 마련
🧑‍💼
④ 사람의 관리·감독
중대 결정은 사람 최종 승인, 자동 판단 결과 감독·개입 절차
👥 인적 적용 범위 가이드 p.15
구분 🧑‍🔬 인공지능 개발사업자 🏢 인공지능 이용사업자 👤 이용자 🎯 영향받는 자
개념 AI 제품·서비스에 사용되는 AI를 개발하여 제공하는 자 ① 개발사업자에게 AI를 제공받거나 ② 자신이 개발한 AI 기반으로 제품·서비스 제공 제품·서비스를 제공받아 직접 이용하는 자 생명·신체 안전·기본권에 중대한 영향을 받는 자 (간접 포함)
특징 AI 제품·서비스에 사용되는 AI 모두 포함 AI에 대한 제어 권한이 없거나 매우 제한적 UI·기본 설정 변경 수준의 이용만 허용 중대 영향 판단: ①생명·신체 안전 ②권리·의무 주요 변경 ③과도한 책무 ④지속적 제한 ⑤회복가능성
비고 자가 개발 AI로 서비스 제공 시 개발+이용사업자 중복 지위 — 책무 모두 부담 공공·민간 모두 적용 · 영향받는 자는 이용자와 중첩 가능
🎞️ 산업별 가치사슬 예시 콘텐츠 산업 · 가이드 p.16
🧬
AI 디에이징 기술개발사
핵심 AI기술 개발·제공
개발사업자 · 투명성 의무 불필요
🎬
영화용 디에이징 서비스 제공사
AI를 영화산업에 특화해 서비스 제공
이용사업자 · 투명성 의무 이행
🏭
영화제작사 · OTT 플랫폼
AI 서비스를 활용해 콘텐츠 제작·유통
이용자 · 투명성 의무 —
📺
소비자
콘텐츠를 시청하는 최종 수요자
영향받는 자 · 투명성 의무 —
💡 포인트 — 가치사슬에서 최종 이용자에게 서비스하는 이용사업자가 투명성 의무의 핵심 주체. 개발사업자도 자체 서비스 제공 시 동일 책무 부담 (공공·민간 모두 적용)
※ 참조 : 고영향 인공지능 판단 가이드라인 p.15~16 원문 보기 →
Lecture 05
AI 기본법 시행 가이드라인 · 투명성

AI임을 알릴 의무 — 제31조 투명성

제31조 ①
📢 사전 고지 의무
고영향 AI·생성형 AI 이용 제품/서비스의 AI 기반 운용 사실을 이용자에게 사전 고지
제31조 ②
🏷️ 표시 의무
AI 생성 결과물에 AI 생성 사실 표시 (이미지·텍스트·음성 등)
제31조 ③
🎭 딥페이크 표시
실제와 구분 어려운 가상 생성물은 고지 또는 표시 의무
✅ (적용대상) 최종 제공 사업자에게 부과
투명성 확보 의무는 이용자에게 최종적으로 AI 제품·서비스를 제공하는 사업자에게 부과
A사
파운데이션 API → B사
AI 서비스 제공 → 이용자 의무 = B사
➕ 파운데이션 모델 개발자가 직접 제공 시 → 직접 의무 발생
➕ 해외 사업자라도 우리 국민에게 영향 시 → 적용 대상
🚫 (적용되지 않는 경우) 결과물 활용자
단순히 AI 결과물을 자신의 서비스·콘텐츠에 활용하는 자는 AI사업자가 아님 → 의무 대상 아님
예) AI로 CG 생성 후 영화에 삽입한 영화제작자 = 이용자
✍️ 고지 방법 (가이드라인)
이용 약관·화면 안내·팝업 등 이용 전 확인 가능한 방식, 결과물에는 워터마크·라벨·음성 안내 등 명확한 표시 수단
※ 참조 : 인공지능 투명성 확보 가이드라인 p.2~3 원문 보기 →
Lecture 05
AI 기본법 시행 가이드라인 · 투명성

AI 생성물 표시 — 기본원칙 적용 흐름도

표시 기본원칙 적용 흐름도
➊ 생성형 AI 결과물인가? — 아니면 표시 불필요
단순 편집 등 생성형 AI 본질 기능 미사용 시 제외 (예: 이미지 자르기만 한 경우). 각 결과물 유형(텍스트·이미지·음성·영상)별 표시 방법 적용
➋ 딥페이크인가? — 실제와 구분 어려운 결과물
사업자가 해당 여부 판단·통제 불가 시 딥페이크 기준 적용 — 이용자가 명확히 인식할 수 있는 방식으로 고지·표시 (법 제31조③)
➌ 서비스 내 제공? — 결과물·UI에 표시
결과물 내 또는 서비스 화면에 표출. 기계 판독 방식 사용 시 1회 이상 안내 문구·음성 제공. 중간 생성물엔 의무 없음 (최종 제공 단계)
➍ 외부 반출? — 결과물 자체에 표시 필수
다운로드·공유 기능 제공 시 결과물에 표시 (UI 표시만으로 부족) — 워터마크·라벨·메타데이터 등으로 반출 후에도 생성 사실 확인 가능해야 함
💡 핵심 — "어디에 표시?"가 아니라 "이용자가 결과물만 봐도 AI 생성물임을 알 수 있는가"가 기준. 서비스 밖으로 나가는 순간 결과물 자체 표시가 의무
※ 참조 : 인공지능 투명성 확보 가이드라인 p.10~13 (표시 기본원칙·흐름도) 원문 보기 →
Lecture 06
AI 기본법 시행 가이드라인 · 영향평가

AI 영향평가, 이렇게 수행한다

STEP 1
📋 사전 준비
평가 대상 AI 특성 파악, 이용 절차·운영 단계 이해, 평가 범위 설정
STEP 2
🔬 본 평가 수행
작동원리 조사(데이터 수집→분석·판단→결정→피드백), 기본권 영향·안전 위험 분석
STEP 3
📤 결과 활용·사후
개선 조치 반영, 결과 공개·제출, 3년 주기 재평가 및 중대 변경 시 수시 평가
⚙️ 작동원리 조사 4단계 프레임워크
① 데이터 수집
학습·입력 데이터
② 분석·판단
모델 추론·판단 로직
③ 결정
자동·반자동 결정
④ 피드백
결과 반영·재학습
🏢 평가 수행 주체
고영향 AI를 제공하는 사업자는 직접 수행하거나, 전문성 보유 제3자에 의뢰하여 수행 가능 (시행령 제28조②)
B2C: 서비스 제공 기업이 수행 — 이용자 기본권 + 운영 과정의 제3자 기본권도 함께 고려
🎓 [예시] 학생 평가 솔루션 — 수행 주체 흐름
파운데이션 모델
제공자
개발사업자 (7호 가목)
→
학생 평가 솔루션
제공 사업자
이용사업자 (7호 나목)
⭐ 영향평가 수행 주체
→
학교법인·교사
이용자 (8호)
→
학생
영향받는 자 (9호)
※ 학생(영향받는 자)의 기본권 영향이 주요 평가 대상 · 자체 개발 모델 기반 서비스 제공 시 개발+이용사업자 중복 지위 (법 제33조)
💡 보안 관점 — 영향평가는 단순 법규 이행이 아니라 AI 위험 인벤토리·데이터 흐름 파악의 기회. ISMS-P·보안 관리체계와 연계해 평가 지표를 재사용하면 효율적
※ 참조 : 인공지능 영향평가 가이드라인 p.6 원문 보기 →
Lecture 06
AI 기본법 시행 가이드라인 · 영향평가

수행 단계별 주요 고려사항

📋 STEP 1 사전 준비
① 대상 AI 특성 파악 — 학습 데이터·작동원리·이용 절차·운영 단계
② 평가 범위 설정 — 제품·서비스 차원 위험 (의료 진단·채용·신용평가 등 자동 의사결정)
③ 위험 시나리오 도출 — 단순 연상·직관에 의존하지 말고 작동원리-위험 연결 관계로 현실성 평가 (p.20~21)
🔬 STEP 2 본 평가
④ 피영향자 3분류 — 직접(영향받는 자) · 간접 · 예상치 못한 피영향자 각각 영향 분석
⑤ 기본권 영향 판단 — 영향 내용·수준·규모·기간·발생 가능성 5축 평가
⑥ 인적 감독 — HITL 지점 명시 (EU FRIA (e)항) · 위험 현실화 시 조치·이의제기 체계 (f)항
🔄 STEP 3 사후 관리
⑦ 개선 반영 — 평가 결과를 위험 관리 방안·안전 조치에 연계
⑧ 재시행 기준 — 핵심 기능·영향받는 대상(기본권) 중대 변화 시 재평가 권장 (p.6)
⑨ 주기 재평가 — 3년 주기 + 법 시행(2026.1.22) 이전 서비스는 현행 기준 자율 평가
🛠️ 실습 — "기본권 영향 평가서" 작성 예시 (환자 응급도 배분 사례)를 직접 구현해 보세요 → 실습 예시 사이트 ② AI 영향평가 작성 예시
※ 참조 : 인공지능 영향평가 가이드라인 p.19~23 (작성 예시·기본권 영향 판단) 원문 보기 →
Lecture 07
AI 기본법 시행 가이드라인 · 안전성

프런티어 AI, 안전성 확보 의무

🎯 적용 대상 — 최첨단(프런티어) AI
• 초대규모 연산 기반 기반모델 (고시 기준: 10²³ FLOPs 이상 학습 등)
• 개발·제공 또는 실질적 변경하는 사업자
• 적용 대상이 아니어도 자율 적용 권장 (모범 사례)
🛡️ 안전성 확보 의무 핵심
• 위험 평가 — 재앙적 위험(생물·화학·사이버·탈옥) 식별·평가
• 안전 조치 — 레드팀 테스트, 모델 정렬, 배포 전 검증
• 거버넌스 — 안전 책임자, 위험관리체계, 사고 대응
• 이행 결과 제출 — 안전성 확보 조치 결과 보고
🌐 해외 사례 — 주요국 프런티어 안전
• EU AI Act — GPAI(범용 AI)에 투명성·저작권 의무
• 미국 — AI 안전연구소, 자발적 안전 약속
• 영국 — AI 안전연구소(UK AISI) 프런티어 평가
• OpenAI·Anthropic 등 — 사전 배포 안전 평가 자체 시행
⚠️ 시사점 — 국내 기업이 프런티어 모델을 활용하는 경우에도 API 안전 평가·레드팀·모니터링 체계를 갖추는 것이 국제 기준 부합의 출발점
Lecture 02
EU AI Act · Regulation 2024/1689

EU AI Act의 4단계 위험 기반 규제 + 제재 체계

LEVEL 4 · 전면 금지
🔴 Unacceptable
• 사회적 신용 점수제
• 실시간 원격 생체인식
• 잠재의식 조작·기만 AI
• 취약계층 착취 AI
• 감정인식 (직장·학교)
• 무차별 안면인식 스크래핑
시행: 2025.2.2 (6개월 유예)
벌금: €35M 또는 글로벌 매출 7%
LEVEL 3 · 사전 적합성 평가
🟠 High Risk
• 의료기기·진단 AI
• 채용·인사·승진 평가
• 신용평가·보험심사
• 중요 인프라 제어
• 법집행·이민심사
• 교육·직업훈련 평가
• 선거·민주적 절차
시행: 2026.8.2
벌금: €15M 또는 매출 3%
LEVEL 2 · 투명성 의무
🟡 Limited
• 챗봇·AI 어시스턴트
• AI 생성 콘텐츠 표시
• 딥페이크 탐지·고지
• 감정인식 시스템
• 생체분류 시스템
시행: 2025.8.2 (발효 후 12개월)
벌금: €7.5M 또는 매출 1.5%
LEVEL 1 · 자율 규제
🟢 Minimal
• 스팸 필터
• AI 기반 게임
• 추천 알고리즘
• 생산성 도구 AI
• 재고관리 AI
행동강령 권고 (의무사항 없음)
패널티: 없음 (자율)
💰 벌금 체계
금지행위 위반: €35M / 글로벌 매출 7%
고위험 의무 위반: €15M / 매출 3%
정보제공 위반: €7.5M / 매출 1.5%
SME·스타트업은 고정금액 vs 매출비율 중 더 낮은 금액 적용 (보호)
🤖 GPAI 범용 AI 규제
시스템적 위험 GPAI: GPT-4급 이상 모델
• 모델 평가·적대적 테스트 의무
• 심각한 사고 보고 의무
• 사이버보안 보호 의무
시행: 2025.8 + 2027.8 (2단계)
📅 단계별 시행
2024.8.1: EU AI Act 발효
2025.2.2: 금지 AI 규정 적용
2025.8.2: GPAI 규칙·투명성 의무
2026.8.2: 고위험 AI 전면 적용
2027.8.2: GPAI 시스템적 위험 규제
📰 EU AI Act 발효 · 고위험 AI 가이드라인
2025.2
금지 관행 규제
사회적 신용·생체인식·감정인식 금지
벌금: €35M / 매출 7%
2025.8
GPAI 의무 적용
범용 AI 투명성·모델 평가·보안 의무
벌금: €7.5M / 매출 1.5%
2026.8
고위험 AI 요구사항
의료·채용·신용 등 적합성 평가 전면 적용
벌금: €15M / 매출 3%
2027.8
전면 시행 완료
GPAI 시스템적 위험 규제 + 모든 조항
위반 시 최대 €35M / 매출 7%
출처: EU AI Act (Regulation 2024/1689), European Commission
Lecture 03
Global AI Regulation Comparison

미국·중국·영국·일본 — 글로벌 4개국 AI 규제 접근법 비교

🇺🇸 미국
행정명령 기반 · 연방법 없음
핵심 법안:
• Biden EO 14110 (2023.10)
• AI Bill of Rights 청사진
• NIST AI RMF 1.0
• 州별 법안 분산 (CA SB-1047 등)
현황: 연방 AI법 부재, 자율규제 우선, 안보 중심
규제 스타일: 시장 주도 + 안보
🇨🇳 중국
중앙집권적 · 강력 규제
핵심 법안:
• 생성형 AI 관리잠행방법 (2023.8)
• 알고리즘 추천 관리규정
• 딥합성(딥페이크) 관리규정
• 사이버보안법·데이터보안법
현황: 사전허가·보안심사 의무, 콘텐츠 통제 강화
규제 스타일: 국가 통제 + 내용 검열
🇬🇧 영국
친혁신 · 원칙 기반
핵심 법안:
• AI 규제 친혁신 접근 백서 (2023)
• 기존 규제기관별 분산 감독
• AI Safety Institute 설립
• Bletchley 선언 (2023.11)
현황: 단일 AI법 없음, 분야별 규제기관에 AI 책임 분배
규제 스타일: 원칙 기반 + 분산 감독
🇯🇵 일본
소프트 로 · 가이드라인
핵심 법안:
• AI 전략 2023 (통합혁신전략)
• AI 사업자 가이드라인 (2024)
• 히로시마 AI 프로세스 (G7)
• AI·데이터 이용 촉진 법제
현황: 구속력 있는 법률 대신 가이드라인, EU와 협력
규제 스타일: 가이드라인 + 국제조화
📊 국가별 규제 강도·접근법 비교표
🇪🇺 EU★★★★★위험기반·포괄적 수평규제€35M/매출 7%
🇰🇷 한국★★★★진흥+규제 병행·고영향 AI 중심매출 3%
🇨🇳 중국★★★★★사전허가·콘텐츠 통제·보안심사서비스 중단·형사
🇺🇸 미국★★행정명령+자율규제·주별 분산FTC 권고·소송
🇬🇧 영국★★원칙기반·분야별 분산·친혁신기존 규제기관
🇯🇵 일본★★가이드라인·국제조화·자율행정지도
🎯 한국 기업을 위한 핵심 인사이트
① EU 수출 기업: EU AI Act 직접 적용 대상 — 고위험 AI 적합성 평가 필수
② 美 진출 기업: 주별 상이한 규제 주의 — CA·NY·CO 등 주법 확인
③ 中 사업: 데이터 반출 제한·보안심사 — 현지 법인 필수
④ 공통: ISO/IEC 42001 인증이 글로벌 패스포트 역할
📰 美 AI 행정명령 · 中 생성형AI 규제 · 英 AI 안전 정상회의
📊 국가별 AI 규제 수준 비교
🇪🇺 EU
최상
AI Act + 위험기반 접근
🇰🇷 한국
중상
AI기본법 + 고영향 AI 인증
🇨🇳 중국
중상
생성형AI 관리 + 알고리즘 규제
🇺🇸 미국
중
행정명령 + 주별 분산 규제
규제 강도: 바 길이 = 규제 수준 (포괄성·구속력·제재 강도 종합)
Case Study
Clearview AI — GDPR 위반 · 글로벌 제재

Case File: Clearview AI — GDPR 위반으로 유럽에서 퇴출된 AI 스타트업

🔍 ① 위반 내용
• 인터넷상 300억+ 얼굴 이미지 무단 크롤링
• SNS·뉴스·웹사이트에서 동의 없는 데이터 수집
• 수집된 이미지로 안면인식 DB 구축·판매
• GDPR '적법한 처리 근거'(Art.6) 위반
• 정보주체 접근권·삭제권 등 기본권 침해
• 투명성 의무·목적 제한 원칙 전면 위반
🌍 ② 글로벌 제재
🇫🇷 프랑스 CNIL: €20M 벌금 (2022)
🇮🇹 이탈리아 GPDP: €20M 벌금 (2022)
🇬🇷 그리스 HDPA: €20M 벌금 (2022)
🇬🇧 영국 ICO: £7.5M 벌금 (2022)
🇦🇺 호주 OAIC: 데이터 삭제 명령
총 벌금: €50M+ · EU 전역 사업 금지
📉 ③ 사업적 타격
• 유럽 시장 완전 철수 (2023)
• 글로벌 매출 90% 감소
• 추가 투자 유치 완전 실패
• 기업가치 $1B+ → 사실상 $0
• 캐나다·호주 등서도 연쇄 제재
• 美에서도 의회 청문회·집단소송
💡 ④ 교훈·시사점
① AI 규제는 국경을 넘는다: 美 기업도 EU GDPR의 직접 규제 대상
② 스타트업도 예외는 없다: '작은 회사'라는 방어 논리 통하지 않음
③ GDPR → EU AI Act로 강화: 생체인식은 AI Act에서 '금지' 등급
④ 사전 컴플라이언스가 생존: 설계 단계부터 규제 내재화 필수
⚠️ 체크: 우리 조직의 AI가 GDPR·EU AI Act 적용 대상인가? 역외 적용 가능성 점검 필수!
📰 Clearview AI GDPR 벌금 상세 · 출처: CNIL(프랑스)·ICO(영국)·OAIC(호주) 2022~2024
Framework
AX Compliance Roadmap

AX 추진 시 컴플라이언스 로드맵 — 진단·설계·구축·운영 4단계

1
진단
Diagnosis · 1-2개월
액션 아이템:
• AI 자산 전수조사 (사용 중인 모든 AI 도구·모델 목록화)
• AI 위험도 분류 (EU AI Act 4단계 + AI 기본법 고영향 기준 매핑)
• 규제 갭 분석: AI 기본법·EU AI Act·개인정보보호법 준수 현황 진단
• 섀도우 AI 탐지: 네트워크 트래픽 분석, SaaS 모니터링
산출물: AI 자산 인벤토리, 위험 평가서, 갭 분석 보고서
필요 리소스: CISO + 보안팀 2-3명 + 외부 법률자문 (약 2천만원)
2
설계
Design · 2-3개월
액션 아이템:
• AI 거버넌스 정책 수립 (AI 사용 가이드라인, 데이터 분류 기준, 승인 프로세스)
• AI 윤리 원칙 제정 (공정성·투명성·설명가능성·책임성)
• 위험관리 프레임워크 구축 (NIST AI RMF + ISO 42001 기반)
• AI 도입 심사 프로세스 설계 (구매 전 보안·개인정보·법률 검토)
산출물: AI 거버넌스 정책서, 윤리헌장, 위험관리 체계
필요 리소스: 보안·법무·컴플라이언스 합동 TF (5-7명, 3개월)
3
구축
Build · 3-6개월
액션 아이템:
• AI 보안 솔루션 도입 (DLP·CASB·AI Firewall·프롬프트 필터링)
• 사내 전용 AI 환경 구축 (온프레미스 LLM, VPC 내 API Gateway)
• AI 모니터링 시스템 구축 (입출력 로깅, 이상 탐지, 감사 추적)
• 영향평가 템플릿·프로세스 자동화
산출물: AI 보안 인프라, 모니터링 대시보드, 자동화 도구
필요 리소스: 인프라·개발팀 3-5명 + 솔루션 도입 예산 (1억~5억원)
4
운영
Operate · 지속
액션 아이템:
• 정기 AI 위험 재평가 (분기 단위) + 영향평가 갱신 (3년 주기)
• AI 사고 대응 훈련 (반기별 모의훈련, 24시간 신고 체계)
• 임직원 AI 보안 인식 교육 (연 2회, 신입사원 필수)
• 규제 변경 모니터링 및 정책 업데이트 (월간 AI 규제 브리핑)
• AI 거버넌스 성숙도 평가 (연 1회, 외부 감사)
산출물: 연간 컴플라이언스 보고서, 감사 증적, 교육 이수율
필요 리소스: AI 거버넌스 전담팀 2-3명 (상시)
⏱ 총 소요 기간: 6-12개월 | 1-2개월 진단 → 2-3개월 설계 → 3-6개월 구축 → 지속 운영 | 💡 Quick Win: AI 자산 인벤토리 + 사용 가이드라인만이라도 1개월 내 완료하라 | 📰 AI 컴플라이언스 체크리스트
2026
🚨 시행 대응
✓ AI기본법 시행 대응 체계 구축
✓ AI 사용현황 전수조사
✓ 섀도우 AI 탐지·차단
✓ AI 사용 가이드라인 수립
✓ 사고 보고 체계 마련
2027
🏗️ 체계 구축
✓ 고영향 AI 인증 취득
✓ AI 거버넌스 체계 구축
✓ 영향평가 체계 정착
✓ AI 보안 솔루션 도입
✓ 사내 전용 AI 환경 구축
2028
🏅 고도화
✓ ISO 42001 인증 취득
✓ AI 레드팀 상시 운영
✓ 글로벌 규제 상호인정
✓ 거버넌스 성숙도 평가
✓ AX 컴플라이언스 자동화
출처: ISO/IEC 42001:2023, AI기본법 제27-35조, 과기정통부 AI안전연구소 운영계획
Lecture 05
Regulation as Competitive Advantage

규제를 경쟁력으로 전환하는 5가지 전략

🏅
신뢰 자산화
규제 준수 = 고객 신뢰 확보
'안전한 AI' 브랜드 구축
B2B 영업의 차별화 포인트
🌍
시장 진출권
EU 시장 수출 필수 조건
글로벌 입찰 자격 확보
규제 선제 대응 = 진입 장벽 돌파
💰
투자 유치
ESG 평가 지표 반영
기관 투자자 Due Diligence
AI 거버넌스 = 기업가치 상승
🔒
리스크 최소화
과징금·소송 사전 방어
데이터 유출 사고 예방
평판 리스크 관리
👥
인재 확보
AI 윤리·보안 인재 유인
조직 문화 선진화
'일하고 싶은 회사' 이미지
✅ Microsoft: Responsible AI = 경쟁우위
Responsible AI Standard를 제품 개발 프로세스에 내재화 → EU AI Act 고위험 분류에도 신속 대응. AI 거버넌스 연례 보고서 발간으로 B2B 클라우드 계약 23% 증가 (FY2024). 350명의 Responsible AI 전담팀 운영.
✅ Google: AI Principles 선제 도입
2018년 AI Principles 발표 후 2024년 EU AI Act에 선제 대응. 고위험 AI 사전 심사 프로세스로 규제 리스크 40% 감소. AI 윤리 위원회가 제품 출시 최종 승인권 보유.
❌ Clearview AI: 규제 무시의 대가
안면인식 데이터 300억장 무단 수집 → EU·영국·호주·캐나다에서 총 €50M+ 벌금. GDPR 위반으로 유럽 사업 철수. 2024년 기준 글로벌 매출 90% 감소. 규제 리스크가 기업 생존을 좌우한 대표 사례.
📊 Gartner 2025: AI 거버넌스 투자 기업의 AI 프로젝트 성공률 68% vs 미투자 기업 32%
📰 MS Responsible AI 보고서 · Clearview AI GDPR 벌금
Best Practice
Responsible AI · 한국 기업의 선제적 대응

LG AI연구원 — '책임있는 AI'로 AI기본법 시대를 선도하다

LG AI연구원은 2022년 국내 기업 최초로 AI 윤리 원칙을 제정하고, AI기본법 시행 전부터 선제적 거버넌스 체계를 구축해왔다. 이는 규제를 '비용'이 아닌 '신뢰 기반 경쟁력'으로 전환한 대표적 사례다.

📜 국내 최초 'AI 윤리 원칙' 5대 강령 (2022)
① 인간 존중 — AI는 인간의 존엄성과 자율성을 보장
② 공정성 — 편향 없는 데이터·알고리즘 설계
③ 안전성 — 개발 전 주기 안전 점검 게이트
④ 투명성 — AI 판단 근거·데이터 출처 공개
⑤ 책임성 — AI 결과에 대한 명확한 책임 소재
🔒 개발 단계별 안전성 게이트
기획 → 데이터 수집 → 모델 학습 → 검증 → 배포의 전 과정에 윤리·안전성 점검 게이트 적용. 각 게이트 통과 시 AI 윤리위원회 승인 필수.
🛡️ AI 레드팀 운영 + 분기별 취약점 진단
내부 AI 레드팀을 구성하여 분기별로 AI 모델 대상 적대적 공격 시뮬레이션 실시. 프롬프트 인젝션, 데이터 포이즈닝, 모델 역공학 등 최신 공격 벡터 진단.
📋 '고영향 AI' 자체 평가 체계 선제 구축 (2025)
AI기본법 시행 전 자체적으로 고영향 AI 판단 기준 수립, 영향평가 프로세스 설계. 시행령 발표 즉시 컴플라이언스 체계 가동 가능한 상태.
🎯 대응 전략: AI 윤리 원칙 수립 → 안전성 게이트 → AI기본법 사전 대응 → 신뢰 기반 AI 비즈니스
2022
국내 최초
AI 윤리 원칙 제정
출처: LG AI연구원
5단계
개발 전 과정
안전성 게이트
출처: LG AI연구원
분기별
AI 레드팀
취약점 진단
출처: LG AI연구원
2025
고영향 AI
자체 평가 체계
출처: LG AI연구원
📰 LG AI연구원 책임AI 프레임워크 📰 LG AI연구원 AI 윤리 원칙 제정 (2022)
Lecture 06
Beyond 2026 · 미래 전망

2026년 이후 — 규제 전망과 지금 당장 해야 할 5가지

📅 글로벌 AI 규제 타임라인 2026~2028
🇰🇷 2026
• 7월: 개정 시행령 시행
• 고영향 AI 고시 확정
• 사업자 의무 본격화
• 영향평가 제도 시행
🇪🇺 2026-2027
• 8월: 고위험 AI 본격 적용
• 2027: GPAI 범용AI 규제
• AI Office 감독 강화
• 위반 기업 과징금 사례 축적
🌐 2027-2028
• 국제 AI 규범 통합 논의
• ISO/IEC 42001 국제 표준
• AI 안전 정상회의 지속
• 글로벌 규제 상호인정
🔮 예상 시나리오: 3가지 경로
낙관: 규제 조화 → 글로벌 AI 시장 활성화
중립: 미·중·EU 규제 패권 경쟁 → 기업의 3중 대응 부담
비관: 파편화된 규제 → AI 혁신 둔화, 한국 기업 수출 장벽
⚡ 지금 당장 해야 할 5가지
① 조직 내 AI 시스템 전수 조사 — 'AI 자산 인벤토리' 작성 (1개월 내)
② AI 거버넌스 책임자 지정 — CISO 또는 별도 CAISO 임명 (즉시)
③ AI 사용 정책 및 가이드라인 수립 — 임직원 공지·교육 (3개월 내)
④ EU AI Act·한국 AI 기본법 갭 분석 실시 (6개월 내)
⑤ DLP·AI 모니터링 기술 솔루션 PoC 시작 (즉시)
⏰ 2026.7.21 시행령 이미 시행 — 지금 당장 AI 자산 인벤토리부터 시작하라!
📰 AI기본법 시행령 의결 · 2026년 AI 규제 전망
Pre-Deployment · Security Controls · Checklist

🛡️ AI 도입 전 필수 보안 통제 10가지

①
AI 사용 정책 수립
허용/금지 모델 명시, 용도 제한
②
데이터 등급별 AI 접근 권한
비밀등급 데이터 AI 입력 금지
③
Enterprise 계약 체결
학습 데이터 제외 옵션 반드시 확인
④
AI 트래픽 모니터링
DLP+CASB 연동, 실시간 감시
⑤
프롬프트 로깅·감사
모든 AI 입출력 기록·보관
⑥
AI 보안 교육
전직원 연 2회 이상 정기 교육
⑦
모델 레드팀 테스트
분기 1회 정기 레드팀 실시
⑧
Shadow AI 탐지
비인가 AI 사용 모니터링·차단
⑨
제3자 AI 리스크 평가
공급망 AI 보안 실사
⑩
AI 사고대응 계획 (IRP)
AI 특화 침해사고 대응절차 수립
참고: NIST AI 600-1, OWASP LLM Top 10, EU AI Act 고위험 AI 요건
Debate · Scenario-Based Learning · Comparative Analysis

⚖️ AI기본법 vs EU AI Act 토론 시나리오

🏢 시나리오 1
"고영향 AI 판단"
상황: 당사가 도입한 AI 채용도구가 고영향 AI에 해당하는가?

토론 포인트:
• AI기본법 제2조 '고영향 AI' 6개 영역 중 채용·인사평가는 해당
• EU AI Act Annex III '고위험 AI' 분류 기준과 비교
• 고영향 판정 시 의무사항: 위험평가·안전성 확보·이용자 고지
• 💡 질문: 당사 서비스 중 고영향 AI에 해당하는 것은?
🗣️ 그룹 토론 5분 → 발표 3분
💰 시나리오 2
"과징금 리스크"
상황: EU 지사에서 AI 모델 불완전성으로 소비자 피해 발생

토론 포인트:
• AI기본법: 매출액 3% 이하 과징금
• EU AI Act: 최대 €35M 또는 글로벌 매출 7%
• 동일 위반에 대한 양 법제 적용 시 총 리스크
• 💡 질문: EU 사업 축소 vs 완전 컴플라이언스? 비용·편익 분석
🗣️ 그룹 토론 5분 → 발표 3분
🌍 시나리오 3
"글로벌 컴플라이언스"
상황: 한국+EU 동시 사업 시 준비사항은?

토론 포인트:
• 법제 차이 분석: 정의·범위·의무사항·제재수준
• 공통 기준으로 통합 컴플라이언스 설계 (가장 엄격한 기준 채택)
• 조직 구성: 글로벌 AI 거버넌스 위원회 필요성
• 💡 질문: 통합 컴플라이언스 체계 구축을 위한 3대 우선과제?
🗣️ 그룹 토론 5분 → 발표 3분
참고: AI기본법(2026.1.21 시행), EU AI Act(2024.8.1 발효, 2026.8.2 전면 적용)
Session 03 · Wrap-up

AI 기본법, 알면 기회 모르면 위기

📖
오늘 배운 것
AI 기본법 핵심 조항, EU AI Act 4단계, 글로벌 규제 비교, 컴플라이언스 로드맵
🎯
적용 포인트
우리 조직의 AI 자산 인벤토리 작성, 갭 분석, 거버넌스 책임자 지정
🔮
다음 세션 예고
Session 4: AI 보안 위협과 방어 전략 — 프롬프트 인젝션부터 모델 탈취까지
"규제는 장벽이 아니라 가이드레일입니다. 먼저 준비하는 자가 AX 시대를 주도합니다."
Session 3 · Key Topics

이번 세션의 핵심 주제

01대한민국 AI 기본법(안) 상세 분석: 고위험 AI 정의, 사업자 의무, 안전성 확보 조치, 제재 규정
02EU AI Act와의 비교: 규제 수준, 리스크 기반 분류, 적용 대상 및 시기
03AI 윤리와 신뢰성: 설명 가능성(explainability), 공정성(fairness), 투명성(transparency) 원칙
04AX 전략 수립 프레임워크: 진단 → 설계 → 도입 → 거버넌스의 4단계 접근
05기업과 개인을 위한 AI 대응 로드맵: 지금 당장 준비해야 할 7가지
🔐 AI 보안 관점
AI 기본법의 상당 부분은 사실상 'AI 보안법'이라 불러도 과언이 아니다. AI 시스템의 안전성·신뢰성 확보, 위험 관리 체계 구축, 사고 보고 의무, 개인정보 보호 등 법에서 요구하는 대부분의 의무가 보안·거버넌스 영역과 직결된다. 이 세션은 법을 단순한 '컴플라이언스 체크리스트'가 아닌 AI 보안 거버넌스의 근간으로 이해하게 하는 것이 핵심이다.
Case Studies · 실제 사례로 배우기

사건 파일 분석

📁 카드3사 1억건 개인정보 유출 — KT ENS 직원 USB 유출 (2014)
KB국민·롯데·NH농협카드의 고객정보 관리 위탁사 KT ENS 직원이 1억 400만건의 개인정보를 USB로 무단 반출. 전 국민(5,000만명)을 상회하는 사상 최대 유출로 신용정보법 개정·과징금 부과·CEO 사퇴로 이어졌다.
💡 핵심 교훈: 위탁사 접근통제·내부자 위협 관리의 실패는 한 기업을 넘어 업계 전체의 법·제도 개편을 촉발한다. 개인정보보호 거버넌스 부재의 대가.
🏆 LG AI연구원 '책임있는 AI' 프레임워크 (2022~)
국내 최초 AI 윤리 5대 강령 제정, 개발 전 과정 안전성 게이트, AI 레드팀 운영, AI기본법 시행 전 고영향 AI 자체 평가 체계 구축. 규제를 기회로 전환한 국내 대표 모범 사례.
💡 핵심 교훈: 선제적 AI 거버넌스는 단순한 컴플라이언스 비용이 아니라 신뢰 기반의 지속 가능한 AI 비즈니스 모델의 핵심 기반이다.
📁 EU AI Act 시행과 글로벌 기업의 대응 (Microsoft, Google) (2024)
EU AI Act가 2024년 발효되면서 글로벌 빅테크 기업들이 취한 선제적 컴플라이언스 조치. Microsoft의 Responsible AI Standard, Google의 AI Principles 적용 사례는 한국 기업의 벤치마크가 된다.
💡 핵심 교훈: 글로벌 기업들은 이미 AI 거버넌스를 '비즈니스 필수 조건'으로 인식하고 조직·예산·프로세스를 정비 중이다. 한국 기업도 서둘러야 한다.
📁 현대카드 개인정보 유출 — 카드업계 보안 경종 (2025)
마케팅 시스템의 취약점을 통해 고객의 카드 사용 내역·개인식별정보가 외부로 노출. 카드업계의 개인정보보호 체계 허점을 드러내며 금융권 전반의 보안 점검을 촉발한 사건.
💡 핵심 교훈: 금융권 개인정보보호는 소비자 신뢰의 핵심 기반. 데이터 암호화·접근통제·실시간 모니터링이 전제되지 않으면 과징금과 신뢰 상실이 동시에 닥친다.
📁 우리카드 약 7.5만건 + 넷마블 611만건 유출 (2025)
우리카드: 약 7.5만건 유출, 과징금 134억원 (카드사 최대). 넷마블: 611만건 유출로 게임업계 최대 규모. 양 사건 모두 개인정보보호법상 안전조치 의무 위반. 2025년 한 해 개인정보 유출 신고 447건, 전년比 45.6% 증가.
💡 핵심 교훈: 개인정보보호법 + AI기본법 이중 규제 시대 — 법 위반 시 과징금·영업정지·형사처벌이 연쇄적으로 발생할 수 있다. 사전 컴플라이언스 체계 구축이 유일한 해법.
Group Discussion

그룹 토론 주제

💬 AI 기본법이 시행되면 우리 조직에서 가장 먼저 바꿔야 할 것은 무엇인가?
💬 EU AI Act가 국내 기업에도 적용될 수 있다. 수출·글로벌 사업을 하는 회사라면 어떻게 준비해야 할까?
💬 AI 규제는 '혁신의 걸림돌'인가, '신뢰 기반 성장의 기회'인가? — 균형 잡힌 시각 토론
Resources · 참고자료 및 최신 기사

추가 자료

📰 최신 기사
📰 이재명 대통령 주재 국무회의…AI기본법 시행령 등 21건 의결
이데일리 · 2026-07-15
📰 [AI로 읽는 경제] ⑥ AI 격차 해법은 구독료 지원이 아니라 공공 지능
뉴스핌 · 2026-07-17
📰 [한국정보공학기술사 보안을 論하다-42] 섀도우 AI 에이전트: 규제의 칼날
보안뉴스 · 2026-07-10
📰 피해도 투자도 커지는데...정보보호의 날마다 '위상 논란' 되풀이, 왜?
테크M · 2026-07-14
📊 주요 통계
📊 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법' 2024.12.26 제정 → 2026.1.22 시행
📊 EU AI Act: 2024년 발효, 2026년부터 고위험 AI 규제 본격 적용
📊 개정 AI기본법 시행령 2026년 7월 21일 시행 (국무회의 의결)
📊 고영향 AI 사업자 의무: 위험관리체계 구축, 이용자 보호조치, 설명의무 (AI기본법 제33조+제34조)
📊 2025년 개인정보 유출 신고 447건, 전년 대비 45.6% 증가 (개인정보보호위원회)
🖼️ 이미지 소재
🇰🇷 한국 AI기본법
📅 시행: 2026.1.22
🏛️ 주관: 과기정통부·개인정보위
📊 분류: 고영향·저위험·일반
💰 과징금: 매출 3% 이하
🔑 특징: 진흥·규제 균형
출처: 법제처 AI기본법 (2024.12.26 제정)
🇪🇺 EU AI Act
📅 발효: 2024.8.1
🏛️ 주관: EU AI Office
📊 분류: 금지·고위험·제한·최소
💰 과징금: €35M / 매출 7%
🔑 특징: 위험기반 4단계 접근
출처: EU AI Act Regulation 2024/1689
🇨🇳 중국 생성형AI 규제
📅 시행: 2023.8.15
🏛️ 주관: CAC (网信办)
📊 분류: 생성형AI·알고리즘 추천
💰 제재: 서비스 중단·영업정지
🔑 특징: 내용심사·사회주의 가치
출처: CAC 생성형AI 서비스 관리 잠정조치 (2023)
🏗️ AI기본법 3-Tier 위험도 분류 피라미드
③ 고영향 AI
생체인식·채용·의료·신용평가·법집행 | 위험관리체계·설명의무·영향평가
② 저위험 AI
챗봇·추천시스템·감정분석 | 생성여부 표시·투명성 확보
① 일반 AI
스팸필터·자동완성·게임AI | 자율규제·기본 안전조치
출처: AI기본법 제33조+제34조(고영향 AI), 시행령 제18조(고영향 AI 분류기준)
🌍 글로벌 AI 규제 주요 마일스톤 타임라인 (2024-2027)
2024.08
EU AI Act 발효
포괄적 AI 규제의 시작
금지 AI 6개월 내 시행
2026.01
한국 AI기본법 시행
세계 2번째 AI 법제화
고영향 AI 사업자 의무화
2026.08
EU AI Act 고위험 규제
고위험 AI 의무 본격화
GPAI 투명성 요구
2027.08
EU AI Act 전면 시행
모든 규제 조항 적용
고위험 AI 완전 규제
출처: EU AI Act Regulation 2024/1689, 한국 AI기본법 (법률 제20838호)
⚖️ AI기본법 위반 시 제재 강도별 조치 출처: AI기본법 제12조·제42조~제43조
🟢 경미
시정권고
🟡 주의
시정명령 + 이행강제금
🟠 중대
과징금 (매출 3% 이하)
🔴 심각
영업정지 + 과징금 + 고발
※ 과징금 상한은 전체 매출액의 3% (법인 기준). EU AI Act 대비 낮으나, 영업정지 등 행정제재 병과 가능.
※ 개인정보보호법과 중복 위반 시 별도 제재 병과 — 최대 전체 매출 3% (개인정보위)
🎯 시연 아이디어
🎯 AI 위험 평가 체크리스트 실습 (EU AI Act 고위험 분류 기준 적용)
🎯 기업 내 섀도우 AI 에이전트 탐지 실습 (네트워크 트래픽 분석)
🎯 AI 시스템 영향평가 템플릿 작성 워크숍
References & Further Reading

참고문헌

📚 대한민국 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법' (AI 기본법) 제정안 전문
📚 EU AI Act 규정문 (Regulation (EU) 2024/1689) 및 리스크 분류 가이드
📚 개인정보보호위원회 'AI 시대 개인정보 보호 정책 방향'
📚 과기정통부 'AI 윤리·신뢰성 확보 전략' 및 'AI 안전 연구소' 설립 자료
📚 Microsoft Responsible AI Standard 및 투명성 보고서
📚 Clearview AI GDPR 제재 — CNIL·ICO 등 유럽 각국 규제기관 결정문
Global Research · 세계 연구 동향

🏛️ 세계 최고 연구기관의 AI 법제·규제 연구

📊 Stanford CRFM · Foundation Model Transparency Index
• 2025년 평균 점수 41점 (전년比 17점↓, 기준 강화)
• Training Data 투명성 최하위 — 저작권·라이선스·PII 불투명
• Open-weight 기업도 하위권: Meta·DeepSeek·Alibaba
• 기업 참여율: 2024년 74% → 2025년 30% 급감
🇪🇺 EU AI Act · Risk Category 체계
• 제6조: 고위험 AI 분류 규칙 (2개 카테고리)
• Unacceptable Risk: 전면 금지 (사회평점, 실시간 안면인식 등)
• High-Risk: Annex III 8개 영역 + 제7조 위임권한
• 2026.8.2 전면 시행 → 2027.8 GPAI 의무 완료
🇺🇸 NIST AI 600-1 · GenAI Profile
• AI RMF의 생성형 AI 확장 프로필 (2024.7)
• 12개 GenAI 특화 리스크 + 200+ 액션 제시
• 환각·데이터 중독·프롬프트 인젝션 등 차별화
• AI RMF 1.0 → 개정 작업 진행 중 (2026)
🏫 Oxford GovAI · MIT AI Risk · UC Berkeley CLTC
• Oxford GovAI: AI 법제 국제비교, 규제 거버넌스 연구
• MIT: AI Risk Repository v4 — 1,612개 리스크 분류
• Berkeley CLTC: AI 규제의 경제·사회적 영향 분석

관련 기사