인공지능기본법 준수 인증

인공지능기본법은 2026년 1월 22일 시행되었습니다. 인공지능사업자에게 다음 다섯 가지 의무가 발생하고, 위반하면 시정명령과 3천만원 이하의 과태료가 부과됩니다. 현재는 계도기간이며, 종료 후 집행이 시작됩니다. 법은 의무를 정했으나 이행을 어떤 방법으로 증명할지는 정하지 않았습니다.

제31조투명성 확보

AI로 제공한다는 사실의 사전 고지, 생성물 표시, 실제와 구분이 어려운 결과물의 별도 표시

제32조안전성 확보

학습 연산량이 기준을 넘는 사업자의 위험 식별·평가·완화 및 이행 내용 제출

제33조고영향 확인

법정 13개 활용영역 해당 여부의 사전 검토와 근거 보관

제34조고영향 사업자 책무

위험관리방안, 설명 방안, 이용자 보호조치, 사람의 관리·감독, 문서 5년 보관

제35조영향평가

이용자의 기본권에 미치는 영향의 사전 평가

ISMS-P 인증기준 102개, ISO/IEC 42001, EU AI Act 제9~15조, NIST AI RMF를 대조해 139개 항목을 구성했습니다. 항목마다 근거 조문과 참조 표준을 병기합니다. 심사에 앞서 사업자 유형과 고영향·생성형 해당 여부를 판별해 적용 범위를 확정합니다(비채점).

• 01거버넌스 및 관리체계
• 02투명성 확보
• 03안전성·신뢰성 확보조치
• 04데이터 거버넌스
• 05AI 모델 리스크관리
• 06AI 보안
• 07개인정보보호 연계
• 08인적자원 및 공급망
• 09사고대응 및 복구
• 10모니터링 및 지속적 개선

AI 관련 인증은 이미 여럿 있습니다. 다만 목적이 다릅니다. 경영시스템의 표준 부합성을 보는 인증, 모델의 기술적 신뢰성을 보는 인증, 정보보호 수준을 보는 인증은 인공지능기본법이 사업자에게 지운 의무를 그대로 다루지 않습니다. 규제 대응은 법령 해석과 기술 확인이 동시에 필요한 영역이고, 그 둘을 한 심사에 묶은 것이 AICC입니다.

법령 요건 해석과 제출 문서 확인은 문서심사에서, AI 시스템과 리스크 관리체계의 운영 상태는 기술 현장심사에서 확인합니다. 두 심사는 담당과 일정을 분리해 수행하며, 인증위원회가 양측 결과를 종합해 등급을 판정합니다.

1. 01신청 · 범위 확정사업자 유형과 고영향·생성형 해당 여부를 판별해 적용 범위를 정합니다.
2. 02심사법률 요건과 기술 요건을 한 번의 심사로 확인합니다.
3. 03인증위원회 판정심사 결과를 종합해 등급을 확정합니다. 필수항목 미이행은 별도 심의합니다.
4. 04발급 · 연 1회 재심사인증서를 발급하고, 유효기간 1년마다 운영 상태를 다시 확인합니다.

AI 규제 대응은 한 번의 준비로 끝나지 않습니다. 모델이 바뀌고 기능이 늘 때마다 영향평가와 컴플라이언스 점검을 다시 해야 하며, 그 기록이 쌓여야 방어가 됩니다. AICC는 그 반복을 제도로 고정합니다.