AI 기본법의 진짜 부담은 규제가 아니라 '5년치 기록'입니다

 

AI 기본법이 요구하는 5년 기록 보존 — AI 운영 화면과 보관 문서철

안녕하세요. 서비나라입니다.

IT 업계에서 25년 넘게 일하며, 그중 상당 기간을 공인전자문서센터 실무자로 보냈습니다. 전자문서를 '어떻게 보관해야 나중에 증거로 쓸 수 있는가'라는 질문과 오래 씨름해 온 셈입니다. 

최근 AI 기본법 관련 뉴스를 보면 과태료 액수와 딥페이크 표시 의무가 주로 부각됩니다. 그런데 정작 하위법규를 다룬 변호사들의 설명을 들어보면, 실무자가 진짜 신경 써야 할 지점은 따로 있습니다. 바로 '했다는 사실을 어떻게 남기느냐'입니다.

AI 기본법, 뉴스가 말하지 않는 진짜 부담: '5년치 기록'

개발 사업자와 이용 사업자, 둘 다 규제 대상

한서희 변호사가 올린 2026 AI 기본법 하위법규 영상은 규제 대상이 AI를 만드는 회사만이 아니라는 점부터 짚습니다. GPT API를 가져다 서비스를 만든 회사도 '인공지능 이용 사업자'로 법의 적용을 받습니다.

"인공지능은 개발 사업자가 있고 인공지능은 이용 사업자가 있어요. (…) 만약에 GPT API를 따와 가지고 그 AI를 또 다시 활용해서 특정한 서비스를 만들었다. (…) 그런 서비스를 활용한다면 AI 인공지능 이용 사업자에 해당할 가능성이 되게 높겠죠." (한서희 변호사, 2026 AI 기본법 하위법규)

'고영향 AI' 여부를 가르는 기준

즉 AI를 직접 개발하지 않고 챗봇 API 하나만 붙여 써도 규제 대상이 될 수 있습니다. 그 서비스가 채용·대출 심사·교육 같은 지정 영역에서 생명·신체·기본권에 중대한 영향을 미친다면, '고영향 AI'로 분류되기 때문입니다. "우리는 AI를 만든 적이 없으니 상관없다"는 생각부터 다시 확인해야 하는 이유입니다.

6대 책무의 다섯 번째 — 문서화·보관이 왜 핵심인가

6대 책무와 5년 문서 보관 의무

고영향 AI로 분류되면 사업자에게는 위험관리, 설명방안, 이용자 보호, 사람의 관리감독 등 6대 책무가 부과됩니다. 그런데 영상에서 가장 강조된 대목은 나머지가 아니라 다섯 번째, 문서화·보관입니다.

"다섯 번째는 이러한 조치 내용들을 문서화해서 보관해야 되고 여섯 번째는 어떤 기타 이런 위원회 심의 사항에 대해서 또 잘 관리를 할 필요가 있습니다. (…) 그리고 이 모든 과정은 5년 동안 문서로 보관을 해야 됩니다." (한서희 변호사, 같은 영상)

'이행'과 '이행의 증명'은 다르다

화자는 영상을 마무리하면서도 이 대목을 다시 짚습니다.

"마지막으로는 우리가 이런 각종의 조치들을 이행했다. 난 사업자고 잘 이행을 했는데 요거를 문서화해서 가지고 있지 않으면 안 된다는 거죠. 그래서 우리가 모든 프로세스를 내부 문서화시켜서 시스템을 정비할 필요가 있습니다." (한서희 변호사, 같은 영상)

제가 보기에 이 대목의 의미는 분명합니다. 다섯 개 책무를 실제로 이행했더라도, 그 이행을 5년간 문서로 증명하지 못하면 의무를 이행하지 않은 것과 다르지 않게 취급될 수 있다는 뜻입니다. '무엇을 했는가'만큼 '했다는 기록이 어디에 있는가'가 별도의 과제로 떨어진 셈입니다.

분쟁의 출발점 — 결과가 아니라 '기록의 존재'

규율의 출발점: 피해 발생에서 사전 관리로

법무법인 바른의 세계 최초 'AI 기본법', 기업이 준비해야 할 실무적 대응 방향 영상은 이 지점을 더 구조적으로 설명합니다. 기존 법체계는 '구체적인 피해가 발생했는가'를 규율의 출발점으로 삼았지만, AI 기본법은 사용 목적과 운영 방식을 사전에 관리하는 구조를 전제로 한다는 것입니다.

"기존의 법 체계에서는 구체적인 침해 결과가 발생했는지가 규율의 출발점이었고 (…) 반면 AI 기본법은 고영향 인공지능을 중심으로 AI의 사용 목적과 운영 방식 그리고 그 결과가 기본권과 사회에 미칠 수 있는 영향을 사전에 관리해야 하는 구조를 전제로 하고 있습니다." (법무법인 바른, 같은 영상)

분쟁을 부르는 첫 번째 지점: 사전 검토 기록

실무적으로 더 중요한 것은 분쟁이 시작되는 지점입니다.

"실무적으로 가장 중요한 것은 처벌 규정보다는 분쟁이 어디서부터 시작될 수 있는가라고 생각되는데요. (…) 특히 문제가 발생했을 때 감독 기관이나 이용자가 가장 먼저 묻는 것은 결과의 적법성보다는 사전의 검토·관리가 되어 있었는지가 될 것입니다." (법무법인 바른, 같은 영상)

분쟁으로 번지는 세 가지 지점 중 첫 번째로 꼽힌 것도 기록입니다.

"첫 번째는 사전 검토의 부재입니다. 고영향 인공지능에 해당할 가능성이나 위험 요소에 대해서 사전에 검토한 적이 있는지 그리고 그 판단 과정이 내부 기록으로 남아 있는지 이러한 부분이 문제가 될 수 있습니다." (법무법인 바른, 같은 영상)

'위반하지 않기'에서 '입증하기'로

정리하면 컴플라이언스의 무게중심이 '위반하지 않기'에서 '입증하기'로 옮겨간 셈입니다. 검토를 실제로 했는지가 아니라, 검토했다는 기록이 남아 있는지가 방어선이 됩니다.

규율의 패러다임 전환: 기존 법(결과 중심)과 AI 기본법(사전 관리 중심)의 차이

전자문서법이 20년 먼저 겪은 문제 — 보관은 했는데 못 쓰는 상황

여기서부터는 공인전자문서센터 실무자로서 보이는 시선을 얹어 보겠습니다. "5년간 문서로 보관하라"는 요구는 전자문서 분야에서는 낯선 문제가 아닙니다. 전자문서 및 전자거래 기본법(전자문서법)은 이미 오래전부터 '전자문서를 어떻게 보관해야 법적으로 유효한가'를 다뤄 왔습니다.

보관 요건과 입증의 간극

전자문서법 제5조는 일정 요건을 갖춘 전자문서를 보관하면 관계 법령이 요구하는 문서 보관을 갈음할 수 있다고 정합니다. 다만 실무에서 자주 부딪히는 문제는 요건을 갖췄는지가 아니라, 그 파일이 처음 만들어진 뒤로 바뀌지 않았다는 것을 어떻게 증명하느냐입니다.

디지털 증거는 일반적으로 원본임이 증명되거나, 사본이라면 복사 과정에서 인위적 개작 없이 원본 그대로 복사됐다는 것이 증명돼야 인정받습니다. 서버 어딘가에 5년간 파일을 쌓아 두는 것만으로는 부족하고, 분쟁이 생겼을 때 "이 파일은 그동안 바뀌지 않았다"는 것을 보관한 쪽이 스스로 입증해야 합니다.

전자문서법이 마련한 장치: 보관의 효력과 추정

전자문서법은 이 부담을 줄이는 장치를 따로 마련해 뒀습니다. 제31조의6은 공인전자문서센터가 전자문서를 보관하면 제5조가 요구하는 보관이 이뤄진 것으로 봅니다. 제31조의7은 한 걸음 더 나아가, 공인전자문서센터에 보관된 전자문서는 보관기간 동안 그 내용이 변경되지 않은 것으로 추정한다고 정합니다.

공인전자문서센터가 대통령령으로 정한 방법과 절차에 따라 발급한 보관 사실·작성자·송수신 일시 등에 관한 증명서 역시 진정한 것으로 추정됩니다.

추정 효력이 뒤집는 것

제 판단으로는 '추정'이라는 단어를 가볍게 볼 일이 아닙니다. 분쟁에서는 입증 책임의 방향을 통째로 뒤집는 힘이 있기 때문입니다. 일반 저장이라면 보관한 쪽이 "안 바뀌었다"를 증명해야 하는데, 추정 효력이 붙으면 반대로 다투는 쪽이 "바뀌었다"를 증명해야 합니다.

구분	일반 저장	추정 효력이 붙는 보관
방식	서버·클라우드에 파일을 쌓아 둠	요건을 갖춘 방식으로 보관 (예: 공인전자문서센터)
분쟁 시 증명	보관한 쪽이 "안 바뀌었다"를 입증	다투는 쪽이 "바뀌었다"를 반증 (전자문서법 제31조의7)
결과	증명에 실패하면 기록이 있어도 무력화될 수 있음	절차에 따라 발급한 증명서는 진정한 것으로 추정

AI 기본법이 요구하는 5년 문서 보관을 '파일을 어딘가에 두는 일'로 이해하면 곤란합니다. 정작 감독기관이 사전 검토 기록을 요구했을 때, 그 파일이 그때 그 상태 그대로인지부터 다시 증명해야 하는 상황에 놓일 수 있기 때문입니다. 기록은 있는데 못 쓰는 상황입니다.

다만 짚어 둘 것이 있습니다. AI 기본법이 요구하는 문서를 공인전자문서센터 같은 특정 방식으로 보관하라고 정하고 있는 규정은 확인되지 않았습니다. 없는 규정을 있는 것처럼 말할 수는 없습니다. 전자문서법은 20년 앞서 '보관은 했는데 증명은 못 하는' 문제에 부딪혔습니다. 그 문제를 풀기 위해 설계한 '추정 효력'이라는 접근 자체는, 지금 AI 기본법의 문서화 의무를 준비하는 실무자에게 참고할 만한 설계입니다.

이 블로그에서 예전에 다룬 전자계약 플랫폼 서비스 중단 시 리스크? 공인전자문서센터 보관 필수 이유 글도 같은 맥락입니다. 그 글은 시점확인증명(TSA)과 공인전자문서센터 보관의 필요성을 다뤘습니다. 계약서를 특정 플랫폼에만 저장해 두면, 그 플랫폼이 문을 닫는 순간 서면요건을 갖춘 형태로 재현할 방법이 사라질 수 있다는 문제의식입니다. AI 기본법이 요구하는 5년 문서도 마찬가지로, 어디에 어떤 방식으로 보관하느냐에 따라 5년 뒤 실제로 꺼내 쓸 수 있는지가 갈립니다.

지금 무엇을 준비해야 하는가

결론보다 근거 정리가 먼저

그렇다면 실무자는 무엇부터 해야 할까요. 두 영상이 공통으로 강조하는 순서는 '결론부터 내지 말고 근거부터 정리하라'입니다.

"기업은 법적 결론을 서두르기보다는 그 판단을 뒷받침할 내부 기준과 자료를 먼저 정리하는 것이 중요합니다." (법무법인 바른, 같은 영상)

준비 순서 3단계

여기에 공인전자문서센터 실무 경험을 더해 제 판단을 보태면, 준비 순서는 대략 다음과 같습니다.

• 우리 서비스가 지정 영역 중 어디에 걸치는지, 그리고 그 안에서도 생명·신체·기본권에 실제로 중대한 영향을 미치는지 먼저 판단합니다.
• 판단 과정 자체를 기록으로 남깁니다. 결론만 적어 두는 것이 아니라 "언제, 누가, 어떤 근거로 검토했는지"까지 남겨야 나중에 설명할 수 있습니다.
• 그 기록을 어디에, 어떤 방식으로 5년간 보관할지 정합니다. "바뀌지 않았음을 어떻게 증명할 것인가"까지 함께 설계해야, 5년 뒤 감독기관이 물었을 때 기록을 그대로 꺼내 쓸 수 있습니다.

초기 단계의 외부 전문가 활용

법무법인 바른 영상은 마지막으로 초기 단계에는 외부 전문가의 도움을 받아 기본 틀을 잡으라고 권합니다. 다만 이 영상은 법무법인이 자사 정보기술 전문팀을 소개하는 성격도 있는 콘텐츠라는 점은 참고해서 들을 필요가 있습니다.

"특히 초기 단계에서는 내부 인력만으로 모든 요소를 설계하고 구축하는 데 현실적인 한계가 있기 때문에 외부 법률이나 기술 전문가 등의 도움을 받아서 기본 틀을 마련한 뒤에 이를 점진적으로 고도화하는 방식이 현실적인 대응 방안이 될 수 있겠습니다." (법무법인 바른, 같은 영상)

기록의 신뢰성: 체크리스트 문서와 변경 불가 증명(타임스탬프·도장)

결론 및 요약

AI 기본법 뉴스는 과태료 액수와 딥페이크 표시를 주로 다루지만, 두 변호사가 실무 현장에서 공통으로 짚은 부담은 따로 있습니다. 고영향 AI 6대 책무의 다섯 번째, '문서화·보관'이며 그 기간은 5년입니다. 분쟁이 시작되는 지점도 결과의 적법성이 아니라 사전 검토 과정이 내부 기록으로 남아 있는지입니다.

전자문서법은 같은 '보관'이라는 문제를 20년 먼저 풀어 봤습니다. 그냥 쌓아 둔 기록과, 공인전자문서센터처럼 추정 효력이 붙는 보관은 분쟁에서 입증 부담의 방향이 정반대입니다. 전자는 보관한 쪽이 "안 바뀌었다"를 증명해야 하고, 후자는 다투는 쪽이 "바뀌었다"를 증명해야 합니다.

AI 기본법이 요구하는 5년 보관을 파일을 어딘가에 두는 일로만 이해하면, 정작 필요할 때 그 기록을 증거로 쓰지 못하는 상황에 놓일 수 있습니다. 지금 준비할 것은 문서를 쌓는 시스템이 아니라, 5년 뒤에도 흔들리지 않고 꺼내 쓸 수 있는 기록 체계입니다.