법제처(국가법령정보센터·국민참여입법센터)·소관 부처와 해외 공식 출처(EUR-Lex 등)를 웹에서 조사해 조직(AI 역할·사업 지역·개인정보·자동화된 결정)에 적용되는 AI 관련 법규를 AI 법규관리대장에 등록하고, 반기(1월·7월)·수시로 개정 여부와 준수 상태를 점검합니다. 대장은 이 브라우저에 보관돼 다음 점검의 기준이 되고, 리스크평가·영향평가·SoA·사용 승인·경영검토에 적용됩니다.
결과물
- AI 법규관리대장(엑셀) — 조항·의무 단위 행, 적용 역할·적용 여부·고영향 AI 해당 여부·연계 단계·공포·시행일·출처·확인일
- 변경 법규 표·반기 모니터링 체크시트(적합·부적합·해당없음·확인필요 — 증거 문서번호)·조치계획
- 주요 일정(다음 반기 점검·시행일·유예 종료)·AI 업무에 적용·경영검토 입력 요약
적용범위별로 이 단계에서 할 일
| 개발 | 공급 | 사용 |
|---|---|---|
| 개발 관련 법규(개인정보·저작권·데이터 취득)와 고객 계약의 개발 요구 준수 | 고객 고지·사용 설명·계약·제품 규제(수출국 AI 규제 포함) 준수 | 사용 지침·개인정보·공급자 약관·입력 금지 정보 규칙 준수 |
법규파악 및 모니터링 운영 방법
ISO/IEC 42001 에는 ISO 14001·45001 의 준수평가(9.1.2) 같은 독립 조항이 없습니다. 그래서 AI 관련 법규를 AI 법규관리대장에 등록해 9.1 모니터링 체계로 상시 관리하고(대장의 확인일·준수 상태 누적 기록이 증거), 반기(1월·7월)와 법 개정 때 수시로 점검해 최신 법규를 AI 업무에 적용합니다(4.1·4.2·6.1.3·9.1·9.3).
1차 출처
- 국내 — 국가법령정보센터(law.go.kr) · 국민참여입법센터(opinion.lawmaking.go.kr) · 법제처 · 소관 부처(과학기술정보통신부·개인정보보호위원회·문화체육관광부/한국저작권위원회·식품의약품안전처·방송통신위원회·금융위원회·고용노동부) 고시·가이드라인
- EU — EUR-Lex · European Commission(AI Office)
- 베트남 — 국회·정부 공보(법령 데이터베이스)
- 미국 — 연방 관보·백악관·NIST·FTC
- 그 밖의 나라 — 제한 없이 검색하되 공식 출처 우선
점검 종류
| 종류 | 언제 | 결과물 |
|---|---|---|
| 최초 파악 | AI 경영시스템을 시작할 때 | AI 법규관리대장(조항·의무 단위), 조치계획, 주요 일정 |
| 반기 점검 | 매년 1월·7월(둘째 주) | 대장 개정본(변경·신규 표시), 변경 법규 표, 반기 모니터링 체크시트(판정·증거), 조치계획, 경영검토 입력 요약 |
| 수시 점검 | 법 개정·입법예고·뉴스가 있을 때 | 영향 판단, 대장 변경 행, 조치계획 |
| 신규 AI 도입 검토 | 새 AI 를 쓰기 전 | 적용 법규·체크시트 항목·도입 전 필수 조치 → 7 사용 승인 |
AI 법규관리대장 — 한 행 = 조항·의무 하나
구분(국내 법률·시행령·고시·가이드라인 / 해외 / 표준(기타 요구사항) / 계약·이용약관 / 사내규정) · 법규명 · 핵심 의무 · 적용 역할(사용·공급·개발) · 적용 여부(Y·N·검토) · 고영향 AI 해당 여부 · 관련 AI 시스템·업무 · 연계 AIMS 문서·단계 · 공포일·시행일 · 준수 현황 · 직전·다음 점검일 · 출처(법령 조회 주소) · 확인일.
반기 점검 절차
- ① 기준 대장의 등록 법규·직전 점검일 파악
- ② 직전 점검일 이후 개정·신규 시행령·고시·가이드라인·시행일 변경·유예 종료 조사(출처 주소·확인일)
- ③ 신규 법규 탐색 — 인공지능 법률 개정, AI 기본법 고시, 생성형 AI 가이드라인, 딥페이크 표시, 자동화된 결정, AI 저작권, EU AI Act 하위 규정, 베트남 AI 법 시행령
- ④ 영향 판단 — 적용 여부·영향도(상·중·하)·관련 내부 문서·필요 조치
- ⑤ 체크시트 판정 — 적합·부적합·해당없음·확인필요, 증거 문서번호
- ⑥ 산출물 — 대장 개정본·체크시트 결과·경영검토 입력 요약(5줄)·조치계획
- ⑦ 다음 점검 예정일과 그 사이 시행일·유예 종료일
역할별 의무 — 적용범위(개발·공급·사용)대로
내부 업무에 쓰기만 하는 경우(사용)와 AI 결과물·서비스를 고객에게 제공하는 경우(공급), AI 를 개발·공급하는 경우(개발)를 나눠 판단합니다 — 특히 이용자에게 AI 사용을 알리는 투명성 의무는 제공하는 경우에 따로 봅니다. 해석이 갈리면 "법률 검토 필요".
AI 업무에 적용
| 단계 | 적용할 것 |
|---|---|
| 4 AI 리스크평가 | 법규 카테고리 리스크·근거 통제 |
| 5 AI 시스템 영향평가 | 고영향 AI 해당 여부·개인정보·자동화된 결정 |
| 6 통제 도입·SoA | 법적 요구사항·준수의무 목록, 사용 지침 |
| 7 검증·사용 승인 | 도입 전 필수 조치·사용 조건 |
| 8 운용관리 | 대장의 법규 열·적용 법규 |
| 9 모니터링 | 시행일·유예 종료 일정, 고지·로그 |
| 12 경영검토 | 이해관계자 요구·준수의무 변화 입력(5줄 요약) |
운영 지표
| 지표 | 목표 | 산식·주기 |
|---|---|---|
| AI 법규관리대장 최신성 | 반기마다 갱신 | 최종 점검일 경과 개월 |
| 준수의무 확인 이행률 | 100% | 주기 도래 항목 중 확인 완료 / 반기 |
| 법규 위반·행정처분 | 0건 | 발생 건수 / 상시 |
| 법령 개정 반영 리드타임 | 30일 이내 | 공포 ~ 대장·통제·지침 반영일 |
금지 — 확인되지 않은 조항번호·과태료 금액·시행일 기재, 이전 점검 결과를 재확인 없이 복사, 법률 자문을 대체하는 단정적 결론. 준수 결론은 증거 문서번호와 함께.
AI 법규 파악·반기 모니터링 프롬프트, ISO/IEC 42001, 실제 고객사 운영 사례(법규·준수의무 모니터링 지침·준수평가 보고서·AI 관련 법규대장)에서 방법만 일반화했습니다(회사 이름·결과는 싣지 않음). 법령 내용은 매 점검 때 1차 출처로 다시 확인합니다.
이어지는 단계
앞 단계: 6 통제 도입·적용명세서(SoA) · 8 운용관리 · 9 모니터링·변경·개정관리 · 이 단계의 결과는 다음에 이어 씁니다: 12 경영검토 · 13 시정조치 · 14 개선
