이미 다른 법을 지키고 있다면 의무가 줄어듭니다
시행령 별표 1은 여섯 분야에서 기존 인증·허가를 고영향 조치 이행으로 인정합니다. 실무에서 놓치기 쉬운 부분입니다.
고영향 인공지능에 해당하면 법 제34조제1항의 여섯 가지 조치를 이행해야 합니다. 그런데 이미 다른 법의 인증이나 허가를 받았다면 그중 일부는 이행한 것으로 봅니다. 시행령 제27조제5항과 별표 1이 정한 내용입니다.
어느 조치가 어떤 인증으로 갈음되나
| 대상 | 위험관리 | 설명 | 이용자보호 | 관리·감독 | 문서 |
|---|---|---|---|---|---|
| 디지털의료기기 | ○ | ○ | ○ | ○ | ○ |
| 자율주행자동차 | ○ | — | ○ | ○ | ○ |
| 자동차(사이버보안 인증) | ○ | — | — | — | — |
| 자율운항선박 | ○ | ○ | ○ | ○ | ○ |
| 핵물질·원자력시설 | — | ○ | — | ○ | — |
| 대출 심사 | — | ○ | ○ | — | — |
구체적으로 무엇을 갖추면 되나
- 디지털의료기기 — 위험관리는 「디지털의료제품법」 제8조제4항 또는 제12조제3항의 품질관리체계를 갖추고 같은 법 제24조제2항에 따라 소프트웨어가 품질관리기준에 적합하다는 판정을 받은 경우. 설명은 제조·수입 허가·인증·신고와 제22조의 정보 표시, 이용자 보호는 제13조 준수사항 이행, 관리·감독은 제8조제7항의 품질책임자를 둔 경우, 문서는 위 품질관리체계·적합 판정에 더해 「의료기기법」 제13조제1항의 품질관리체계까지 갖춘 경우
- 자율주행자동차 — 「자율주행자동차 상용화 촉진 및 지원에 관한 법률」 제40조제1항 성능인증과 제2항 변경인증(위험관리·이용자 보호·문서). 관리·감독은 같은 법 제43조의 책무를 모두 이행한 경우
- 대출 심사 — 설명 방안은 「신용정보법」 제35조의2 설명의무 준수와 제36조의2 제1항 절차 구비, 이용자 보호는 「금융소비자 보호에 관한 법률」 제10조 책무 이행
- 원자력 — 「원전비리 방지를 위한 원자력발전사업자등의 관리·감독에 관한 법률」 제8조 준수사항 또는 제13조 윤리행동강령에 해당 내용이 포함된 경우
업종을 가리지 않는 갈음 두 가지
위 여섯 분야가 아니어도 적용되는 것이 있습니다.
- 「지능정보화 기본법」 제60조제1항의 안전성 보호조치를 이행했다면 — 제1·2·3·5호 이행은 위험관리와 설명 방안을, 제4호 이행은 사람의 관리·감독을 이행한 것으로 봅니다
- 「개인정보 보호법」 제29·30·31·31조의2·32조의2·33·35·35조의2·36·37·37조의2·38조의 조치를 이행했다면 — 개인정보 처리 및 보호에 관한 부분에 한해 그에 상응하는 조치를 이행한 것으로 봅니다
개인정보 보호 체계를 이미 갖춘 회사라면 여기서 상당 부분을 인정받습니다. 다만 개인정보 처리 및 보호에 관한 부분까지만입니다.
공급받아 쓰는 경우
시행령 제27조제3항은 따로 봅니다. 개발사업자가 위험관리·설명·이용자 보호 조치를 이행한 인공지능시스템을 제공받아, 본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경 없이 이용한다면 그 세 가지는 이행한 것으로 봅니다.
실무적으로 이것이 큽니다. AI를 가져다 쓰는 회사는 AI를 만든 회사가 이행한 조치를 이행한 것으로 인정받기 때문입니다. 다만 기능을 크게 바꿔 쓰고 있다면 이 인정을 받지 못합니다.
주의 — 게시는 남고, 문서 보관은 확인이 필요합니다
갈음되는 것은 위 표의 항목뿐입니다. 시행령 제27조제1항의 게시는 별도로 이행해야 하고, 외부에서 바로 확인되는 의무입니다. 시행령 제27조제2항의 5년 문서 보관은, 문서 작성이 다른 법으로 갈음되는 분야에서도 따로 남는지 조문이 분명하지 않습니다. 보관 기간은 지켜 두는 편이 안전합니다.
사전검토 도구에서 이미 이행 중인 다른 법령을 함께 답하시면, 어느 의무가 이행한 것으로 인정되고 어느 것이 남는지를 근거 조문과 함께 표로 뽑아 드립니다.