AI 기본법 대응을 위한 AI 도입 계약서 체크리스트 9가지 (2026)

AI 기본법 대응을 위한 AI 도입 계약서 체크리스트 9가지 (2026)

AI 서비스를 도입할 때 가격과 기능만 보고 계약하면, 나중에 입력한 자료가 모델 학습에 쓰이는지, AI 기능이 바뀌었는지, 고객에게 AI 사용 사실을 누가 알릴지 서로 다르게 이해할 수 있습니다. 특히 AI 기능을 사내에서 사용하는 회사와 AI 기능을 제품에 넣어 고객에게 제공하는 회사는 맡는 역할이 다를 수 있습니다. 계약서에는 이 차이를 반영해야 합니다.

우리나라 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 2026년 1월 22일부터 시행되고 있습니다. 그렇다고 AI를 한 번이라도 쓰는 모든 회사가 같은 표시 의무를 지는 것은 아닙니다. 무엇을 누구에게 제공하는지, 회사가 AI 사업자에 해당하는지, 서비스가 고영향 인공지능과 관련되는지에 따라 검토할 내용이 달라집니다. 아래 체크리스트는 법에서 정한 필수 조항 목록이 아니라, AI 공급사와 구매사가 역할과 운영 위험을 계약으로 분명히 나누기 위한 실무 항목입니다.

먼저 구분할 것: AI를 사용하는 회사인가, AI 기능을 제공하는 회사인가

외부 생성형 AI를 내부 회의록이나 초안 작성에 활용하는 것과, AI 기능을 자사 서비스에 넣어 고객에게 제공하는 것은 같은 상황이 아닙니다. AI 기본법의 투명성 의무는 일반적으로 AI 제품·서비스를 제공하는 인공지능사업자의 역할과 기능을 기준으로 검토합니다. 지원데스크 안내도 생성형 AI 서비스를 사용하는 이용자와 생성형 AI 제품·서비스를 제공하는 사업자를 구분합니다.

업무 형태	먼저 확인할 점
직원이 외부 AI 도구로 내부 문서 초안을 작성	공급사 이용약관, 회사 데이터 정책, 개인정보·기밀정보 입력 가능 여부
회사가 자체 AI 기능을 개발해 고객에게 제공	AI 사업자 역할, 투명성 안내, 고영향 해당 여부와 안전 관련 조치
외부 모델을 붙인 AI 기능을 자사 제품으로 제공	모델 공급사와 서비스 제공자 사이의 역할, 고객 고지와 운영 책임
채용·대출·의료 등 권리나 안전에 큰 영향을 줄 수 있는 영역에서 AI를 활용	고영향 AI 해당 여부를 공식 정의와 가이드라인에 따라 별도로 검토

표에 적힌 형태만으로 법적 지위가 자동 결정되지는 않습니다. 계약서에 “구매사는 AI 사업자가 아니다”라고 적는 것만으로 법 적용이 사라지는 것도 아닙니다. 실제 서비스의 기능, 제공 방식, 의사결정에 미치는 영향, 공급망에서 각 회사가 하는 일을 함께 살펴야 합니다. 적용 여부가 불명확하면 AI 기본법 지원데스크의 안내와 공식 가이드라인을 확인하고, 필요한 경우 법률 전문가에게 검토를 요청하세요.

AI 도입 계약서에서 확인할 9가지

AI 기본법은 모든 계약이 그대로 복사할 수 있는 표준 문구를 정해 두지 않습니다. 아래 항목은 실제 서비스 운영에 필요한 책임과 증빙을 정리하기 위한 협상 목록입니다. 각 항목을 계약 본문이나 데이터 처리 부속합의서, 서비스 설명서, 보안 문서 중 어디에 둘지도 공급사와 합의해 두세요.

번호	계약 항목	공급사에 확인할 질문
1	제품과 사용 범위	어떤 AI 모델과 기능을 어떤 목적·사용자에게 제공하나요?
2	당사자 역할	개발·운영·고객 제공·최종 이용 책임을 각각 누가 맡나요?
3	입력 데이터와 학습	입력·출력 데이터가 저장되거나 모델 학습·서비스 개선에 사용되나요?
4	사용자 고지와 표시	AI 사용 사실과 생성 결과 안내가 필요한 기능은 무엇이며, 누가 반영하나요?
5	고영향 AI 검토	고영향 해당 여부를 어떤 자료와 기준으로 검토했으며, 구매사에 어떤 정보를 제공하나요?
6	사람의 검토와 이의 처리	사용자가 결과를 확인·수정·거부하고 오류를 신고할 수 있나요?
7	모델·기능 변경	모델, 데이터 처리, 하위처리자, 기능이 바뀔 때 어떻게 통지하나요?
8	보안·사고·기록	접근 통제, 사고 통지, 로그 보존, 조사 협조 범위가 정해져 있나요?
9	결과물·책임·종료	결과물 권리, 제3자 권리 문제, 손해 책임, 데이터 반출·삭제가 정해져 있나요?

1. 제품명보다 먼저 사용 범위와 경계를 적습니다

“생성형 AI 서비스 이용”처럼 넓은 문구만 두면 계약이 어느 기능까지 다루는지 알기 어렵습니다. 계약서나 별지에 서비스명, 제공 기능, 이용자, 허용 목적, 제외되는 사용 사례를 적어 두세요. 외부 모델을 여러 개 연결하는 제품이라면 모델을 고정하는지, 공급사가 교체할 수 있는지도 확인해야 합니다.

사용 목적은 “업무 효율화”처럼 추상적으로 쓰기보다 실제 업무로 구체화합니다. 예를 들면 “고객 문의 초안 작성”인지, “고객별 신용도를 산출해 대출 여부를 추천”하는지에 따라 위험과 검토 수준이 달라집니다. 허용 목적과 금지 목적을 정하면 공급사는 어떤 품질과 보호조치를 제공해야 하는지 설명하기 쉽고, 구매사는 내부 사용 범위를 관리할 수 있습니다.

2. 입력 데이터가 어디에 저장되고 어떻게 사용되는지 확인합니다

계약 검토에서 자주 빠지는 항목이 입력 자료의 재사용입니다. 직원이 붙여 넣는 고객 정보, 미공개 사업계획, 계약서 원문, 소스코드가 서비스 로그에 남는지, 보관 기간은 얼마인지, 모델 학습이나 다른 고객을 위한 서비스 개선에 쓰이는지 질문하세요. “보안이 적용됩니다”라는 한 문장으로는 이 내용을 알 수 없습니다.

개인정보나 영업비밀이 들어갈 수 있다면 저장 위치, 하위처리자, 접근 권한, 삭제 시점, 사고 통지 절차도 확인해야 합니다. AI 계약 조항만으로 개인정보 보호법이나 다른 법률 검토를 대신할 수는 없습니다. 개인정보 처리 위탁이 있는지, 별도의 처리계약과 내부 고지가 필요한지 담당자가 확인해야 합니다.

3. AI 사용 사실과 결과물 표시를 누가 책임질지 정합니다

AI 기본법 제31조의 투명성 확보 의무는 모든 AI 이용자에게 똑같이 적용되는 표시 규칙이 아닙니다. 어떤 AI 기능을 어떤 사업자가 제공하는지에 따라 고지나 표시를 검토해야 합니다. 공급사가 고객 화면에 안내를 제공하는지, 구매사가 자사 서비스에서 별도 안내를 붙이는지, AI 생성 결과물을 어떤 방식으로 표시하는지 계약에 나눠 적으세요.

예를 들어 공급사는 기능별 표시 문구와 적용 범위를 설명하고, 구매사는 고객 접점과 실제 사용 상황에 맞는 화면·이용약관을 관리하도록 정할 수 있습니다. 서비스 업데이트로 고지 범위가 달라질 때 누가 문구를 수정하고 변경 내역을 보관할지도 미리 정해 두면 출시 직전에 책임이 공중에 뜨는 일을 줄일 수 있습니다.

4. 고영향 AI 여부를 함께 검토할 자료를 정합니다

고영향 AI는 사람의 생명·신체 안전이나 기본권에 중대한 영향을 미치거나 위험을 줄 수 있고, 법에서 정한 영역에서 활용되는 AI를 뜻합니다. 채용이나 대출 심사처럼 개인에게 중요한 결과를 내는 기능은 이름에 “AI 추천”이라고 붙었다는 이유만으로 결론을 내리지 말고, 실제 데이터와 의사결정 과정, 사람의 개입 정도를 살펴야 합니다.

AI 사업자는 우선 해당 여부를 자체 검토해야 하며, 과학기술정보통신부에 확인을 요청할 때는 제품·서비스 개요, 학습 데이터 개요, 활용 과정과 결과를 확인할 수 있는 자료 등이 필요합니다. 구매사는 공급사에 분류 근거, 기능 설명, 테스트 자료를 요청하고, 공급사는 구매사가 용도와 영향 범위를 확인할 수 있도록 자료 제공과 문의 대응 범위를 계약에 정할 수 있습니다. 해당 여부가 불분명하면 고영향 인공지능 확인 요청 안내와 시행령 절차를 확인하세요.

5. 결과를 사람이 확인하고 고칠 수 있는 방법을 둡니다

AI 결과를 최종 결정으로 자동 사용하면 오류를 발견하기 어렵습니다. 결과를 수정하거나 거부할 권한이 누구에게 있는지, 불리한 결과에 이의를 제기할 경로가 있는지, 중요한 결정 전에 사람의 재검토를 거치는지 정하세요. 특히 채용, 금융, 의료, 교육처럼 개인에게 큰 영향을 줄 수 있는 사용 사례는 “사용자가 확인한다”는 문구만으로 충분한지 별도로 검토해야 합니다.

운영 절차도 계약에 연결할 수 있습니다. 예를 들어 공급사가 오류 접수 채널과 조사에 필요한 로그를 제공하고, 구매사는 담당자 지정과 결과 확인 절차를 운영하는 식입니다. 사람의 검토를 실제로 수행할 수 있도록 화면에서 근거와 한계를 확인할 수 있는지도 시연을 요청하세요.

6. 모델이나 서비스가 바뀔 때 통지와 재검토 기준을 둡니다

AI 서비스는 모델 버전, 프롬프트 정책, 데이터 처리, 하위처리자가 바뀔 수 있습니다. 변경이 결과의 정확도, 사용 목적, 개인정보 처리, 사용자 고지에 영향을 준다면 구매사가 뒤늦게 알지 않도록 통지 시점과 방법을 정해야 합니다. 단순한 성능 개선과 계약상 중요 변경을 구분하고, 중대한 변경이 있을 때는 영향 설명이나 재검토 기간을 협의하세요.

공급사에 모델 교체 권한이 있더라도 구매사가 확인 없이 새 모델을 받아야 하는 것은 아닙니다. 변경 이력 제공, 테스트 환경, 기존 버전 종료 일정, 수용이 어려운 경우의 해지·대체 절차를 함께 논의할 수 있습니다. 사전 통지 기간은 법에 일률적으로 정해진 숫자가 아니므로 서비스 특성에 맞게 합의해야 합니다.

7. 품질 기준과 알려진 한계를 현실적으로 적습니다

AI가 언제나 정확한 답을 보장한다고 계약에 쓰기보다, 어떤 테스트를 통과해야 하는지와 한계를 어떻게 관리할지 정하는 편이 실용적입니다. 공급사에 정기적인 성능 점검 방식, 알려진 오류 유형, 지원 언어와 문서 형식, 권장 사용 조건, 장애 공지를 요청하세요. 구매사는 실제 업무 예시로 시범 테스트를 하고 결과를 저장해 두면 도입 후 문제를 설명하기 쉽습니다.

“정확도 99%” 같은 숫자가 있다면 무엇을 대상으로 어떤 조건에서 측정했는지 확인해야 합니다. 계약서 검토라면 조항 누락률, 문서 추출이라면 파일 형식별 오류율처럼 지표의 분모와 테스트 데이터가 중요합니다. 해당 수치를 보장하기 어렵다면 서비스 수준, 재처리, 수정 지원, 환불 기준 등으로 기대 수준을 정리할 수 있습니다.

8. 보안 사고와 로그 제공 범위를 미리 합의합니다

AI 기능을 운영하면서 누가 어떤 접근 권한을 가지는지, 공급사가 보안 사고를 알게 되면 언제 어떤 내용을 공유하는지, 조사에 필요한 자료를 얼마나 보관하는지 확인하세요. 요청·응답 로그를 보관한다면 어떤 정보를 포함하는지와 민감정보를 줄이는 방법도 살펴야 합니다.

사고가 났을 때 공급사는 사실 확인과 원인 분석을 위해 로그·처리내역을 제공하고, 구매사는 영향을 받은 사용자와 내부 담당자를 파악하는 역할을 할 수 있습니다. 다만 로그에 고객 원문이 그대로 저장되는지, 삭제 요청과 보안 사고 대응이 충돌할 때 어떻게 처리하는지 별도 기준이 필요합니다. 서비스 수준 협약에는 장애 알림, 복구 목표, 지원 연락처도 포함할 수 있습니다.

9. 결과물 권리, 책임 한도와 서비스 종료 후 데이터를 정합니다

AI가 만든 문구나 이미지의 사용 권한, 제3자 권리 침해 주장이 제기됐을 때의 통지와 대응, 공급사와 구매사의 책임 범위를 정하세요. 공급사의 면책 문구를 그대로 수용하기 전에 어떤 결과에 대해 책임을 지지 않는지, 구매사가 제공한 자료나 지시 때문에 발생한 문제는 어떻게 나누는지 읽어야 합니다.

계약 종료 후에는 입력 자료와 결과물을 내려받을 수 있는지, 삭제 확인서를 받을 수 있는지, 로그는 언제까지 남는지 합의합니다. 장기간 저장되는 AI 산출물은 나중에 다시 활용할 수 있어 보관 형식과 이전 가능성이 중요합니다. 모델 제공자가 바뀌거나 서비스가 중단되는 경우 대체 서비스로 옮길 기간과 지원 범위도 확인하세요.

공급사에 보내는 사전 확인 질문 6개

계약 검토 미팅 전에 아래 질문을 전달하면 막연한 “AI 보안은 잘 관리합니다”라는 답 대신 구체적인 자료를 받을 수 있습니다.

• 우리 회사가 구매하는 기능과 공급사가 제공하는 AI 기능은 각각 무엇인가요?
• 입력 데이터와 출력 결과는 어디에 저장되며, 모델 학습에 사용되나요?
• AI 사용 사실이나 생성 결과 표시가 필요한 기능은 무엇이고, 화면 문구는 누가 관리하나요?
• 고영향 AI에 해당하는지 어떤 기준과 자료로 검토했나요?
• 모델 또는 하위처리자가 바뀔 때 어떤 방식으로 알려 주나요?
• 사고가 발생하면 누가 연락하고, 조사 로그와 삭제 확인을 언제 받을 수 있나요?

답변이 부족하더라도 계약 체결을 바로 포기할 필요는 없습니다. 다만 “추후 협의”로 남길 항목과 출시 전에 반드시 확정할 항목을 구분하세요. 예를 들어 내부 초안 작성 도구는 입력 데이터의 학습 이용 여부가 핵심일 수 있고, 고객에게 제공하는 AI 기능은 이용자 고지와 결과물 관리가 더 중요할 수 있습니다.

협의 문구 예시: 입력 데이터 사용 범위

아래 문구는 협상 출발점입니다. 서비스의 실제 처리 방식과 개인정보 처리 구조에 맞춰 내용을 바꾸고, 법률 검토 후 사용하세요.

공급자는 고객 데이터의 처리 목적, 보관 기간, 하위처리자 및 모델 학습 이용 여부를 별지에 명시한다. 고객 데이터 또는 서비스 결과물을 모델 학습이나 제3자 제공 목적으로 사용하려면 당사자가 별도로 합의한다. 공급자가 데이터 처리 목적이나 하위처리자를 변경하는 경우 사전에 고객에게 통지하고, 고객이 설정 변경 또는 계약 종료를 검토할 수 있는 절차를 제공한다.

이 문구만 넣었다고 데이터가 안전해지는 것은 아닙니다. 실제 제품 설정에서 학습 제외가 가능한지, 하위처리자 목록을 확인할 수 있는지, 계약과 관리자 화면의 설정이 일치하는지 확인해야 합니다.

자주 묻는 질문

외부 생성형 AI를 사내에서 쓰면 바로 표시 의무가 생기나요?

외부 AI를 내부 업무 도구로 이용하는 것과 AI 제품·서비스를 고객에게 제공하는 것은 구분됩니다. AI 기본법 지원데스크는 일반 이용자와 AI 제품·서비스 제공 사업자를 구분해 안내합니다. 다만 입력 데이터의 보안, 개인정보, 저작권, 공급사 이용약관 등 다른 검토는 남습니다.

모든 AI 생성 결과물에 표시를 붙여야 하나요?

일률적으로 그렇다고 볼 수 없습니다. 제품·서비스를 누가 제공하는지, 생성형 AI 또는 고영향 AI인지, 이용자에게 어떤 방식으로 결과를 제공하는지 확인해야 합니다. 적용 조건과 표시 방식은 AI 기본법 지원데스크의 투명성 안내에서 최신 자료를 확인하세요.

공급사와 이용사가 계약하면 법적 책임도 자유롭게 넘길 수 있나요?

계약은 양측의 업무, 자료 제공, 비용 부담, 손해 대응을 나누는 데 도움이 됩니다. 하지만 계약서의 명칭만으로 법률상 역할이나 의무가 결정되지는 않습니다. 실제 서비스 구조와 각 회사의 행위를 기준으로 검토하고, 법에서 정한 의무가 있는 당사자는 해당 의무를 별도로 이행해야 합니다.

마무리

AI 도입 계약은 모델 이름보다 실제 서비스에서 누가 무엇을 하는지부터 정리해야 합니다. 입력 데이터를 학습에 쓰는지, 사용자에게 AI를 어떻게 알리는지, 모델이 바뀌면 어떻게 통지하는지, 문제가 생겼을 때 어떤 기록과 지원을 받을 수 있는지 확인하세요. 아홉 항목을 공급사 답변과 함께 문서로 남기면 보안·법무·제품팀이 같은 기준으로 검토할 수 있습니다.

체크리스트와 계약 초안을 문서로 정리하고 전자서명까지 이어지는 흐름을 살펴보려면 AiDocX에서 문서 작성 도구를 확인해 보세요. 개별 서비스의 AI 기본법 적용 여부와 계약 문구는 사업 모델과 데이터 처리 방식에 따라 달라질 수 있으므로, 중요한 도입 건은 법률 전문가와 검토하는 것이 좋습니다.

참고 자료

• 국가법령정보센터: 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법
• 인공지능기본법 지원데스크: 가이드라인과 자주 묻는 질문
• 과학기술정보통신부: 고영향 인공지능 해당 여부 확인 요청 안내