[아이뉴스24 정종오 기자] 외부 AI 모델을 API로 연결해 상담 챗봇을 만든 회사가 있다. 모델은 한 줄도 직접 학습시키지 않았다. 이 회사는 AI를 ‘쓰는’ 쪽일까, ‘제공하는’ 쪽일까. AI 기본법은 의무의 수범자를 인공지능사업자로 한정하고, 이를 다시 인공지능을 개발하여 제공하는 개발사업자와 그 인공지능을 이용하여 제품·서비스를 제공하는 이용사업자로 나눈다(법 제2조 제7호).
제품·서비스를 제공받기만 하는 자는 ‘이용자’로서 사업자 의무 밖에 있다(같은 조 제8호). 문제는 이름이 주는 착시다. ‘이용사업자’는 AI를 이용하는 회사라는 뜻이 아니라, 남의 AI로 자기 서비스를 만들어 내놓는 회사라는 뜻이다. 어느 칸에 서느냐에 따라 의무의 유무와 무게가 달라진다. 순서대로 세 개의 경계선을 확인하면 된다.
첫째, AI 제품·서비스를 밖으로 ‘제공’하는가?
첫 번째 경계는 사업자와 이용자 사이에 있다. 과학기술정보통신부의 투명성 확보 가이드라인은 의무 주체를 이용자에게 AI 제품·서비스를 최종적으로 제공하는 사업자로 정리하고, AI를 업무나 창작의 도구로 활용할 뿐인 쪽은 이용자로 본다.
AI로 만든 CG를 영화에 넣어 배급하는 제작사가 대표적 예로 제시된다. 관객에게 건네는 것은 영화이지 AI가 아니기 때문이다. 납품받은 오븐으로 빵을 구워 파는 제과점이 오븐 사업자가 아닌 것과 같다. 그러나 같은 생성형 AI를 붙여 고객이 직접 묻고 답을 받는 챗봇을 열었다면 사정이 달라진다.
고객의 손에 닿는 것이 AI 자체이므로 이용사업자가 되고, AI 기반 운용 사실의 사전 고지와 생성물 표시 의무(법 제31조)가 따라온다. 기준은 AI를 쓰는지가 아니라 AI가 누구에게 닿는지다. 여기서 놓치기 쉬운 것이 사내 시스템이다.
외부에서 사 온 채용 AI를 그대로 사내에서만 쓰는 회사는 통상 이용자로 설명되고, 내부 업무 용도라면 투명성 의무도 적용하지 않을 수 있다(시행령 제23조 제4항 제2호). 그러나 그 AI의 판단을 받는 지원자는 법이 따로 정의한 ‘영향받는 자’(제2조 제9호)다. 사업자 의무가 없다는 말이 책임이 없다는 말은 아니다.
둘째, 어디까지 손을 댔는가?
두 번째 경계는 개발과 이용 사이에 있다. 고영향 인공지능 판단 가이드라인에 따르면, 제공받은 AI를 상용화하면서 성능을 최적화하는 정도의 부수적 작업으로는 개발사업자가 되지 않는다. 반면 중대한 기능 변경을 초래하는 수정·변경·개량을 했다면 이용사업자가 아니라 개발사업자로 본다.
판단 요소는 원 개발사업자의 예측 가능성, 목적과 용도의 변경, 시스템 구조와 기능의 변경이다. 범용 모델에 프롬프트와 사내 문서 검색을 얹은 정도라면 이용의 영역에 머물 가능성이 크다. 그러나 범용 언어모델을 자사 데이터로 추가 학습시켜 대출 심사 모델로 바꾸었다면, 원 개발사가 예정하지 않은 용도로 넘어간 것이다.
직접 만들지 않았다는 사정도 언제나 방패가 되지는 못한다. 사양과 기능을 지정해 제3자에게 개발을 맡기면서 설계를 실질적으로 통제했다면 개발사업자에 해당할 수 있다고 보기 때문이다.
셋째, 누구의 이행을 누가 입증하는가?
고영향 AI라면 이 구분은 의무의 분담으로 이어진다. 시행령 제27조는 개발사업자가 위험관리방안, 설명 방안, 이용자 보호 방안의 전부 또는 일부를 이행하였다면, 그로부터 AI를 제공받은 이용사업자가 본래 목적·용도를 현저히 바꾸는 등 중대한 기능 변경을 하지 않는 한 그 조치를 이행한 것으로 본다.
다만 이 간주에는 한계가 있다. 사람에 의한 관리·감독과 조치 내용을 확인할 수 있는 문서의 작성·보관은 여전히 이용사업자 자신의 몫이다. 개발사업자가 실제로 이행했다는 사실도 이용사업자가 보일 수 있어야 한다.
시행령은 이용사업자가 필요한 자료를 요청할 수 있게 했지만, 개발사업자에게 지운 것은 협력하도록 ‘노력’할 의무에 그친다. 자료를 받을 권리는 결국 법이 아니라 계약으로 확보해야 한다. 경계선은 서비스마다 확인하되, 한 번 긋고 끝나는 선이 아니다.
같은 회사도 서비스마다 다른 칸에 선다. 사내 번역 도구에서는 이용자이고, 고객 상담 챗봇에서는 이용사업자이며, 자체 학습시킨 심사 모델에서는 개발사업자일 수 있다. 그래서 지위 판단은 회사 단위가 아니라 AI 지도의 항목 단위로 해야 하고, 기능을 고치거나 용도를 넓힐 때마다 다시 해야 한다.
EU AI 법도 고위험 AI의 용도를 바꾸거나 실질적으로 변경한 배포자 등을 제공자로 간주한다(제25조). 국내 규율도 움직이고 있다. 생성물 표시 방식을 개발사업자는 기계판독 방식으로, 이용사업자는 이용자가 명확히 인식할 수 있는 방식으로 나누는 개정안이 2026년 7월 발의되어 국회에 계류 중이다.
정부는 최소 1년 이상의 계도기간을 두었지만 그 시간은 경계선을 미리 그어 두라고 주어진 것이다. “우리는 사다 쓸 뿐”이라는 말은 결론이 아니라 검토의 출발점이다. 그 말이 맞는지를 서비스 하나하나에 대해 문서로 답할 수 있어야 한다.
이근우 변호사(법무법인 화우) klee@yoonyang.com
/정종오 기자(ikokid@inews24.com)