생성형 AI 외주 업체 선정 전 중소기업 대표가 따져야 할 5가지 기준
생성형 AI 외주는 완성품을 사는 일이 아니라, 아무도 통제하지 못하는 남의 모델 위에 우리 회사 이름으로 서비스를 얹는 일에 가깝습니다. 2026년 1월 시행된 AI 기본법은 외부 모델을 가져다 쓰는 기업도 인공지능사업자로 보고, 모델은 1년 남짓 만에 폐기되며, AI 산출물 자체에는 저작권이 인정되지 않습니다. 생성형 AI 외주 업체 선정은 결국 책임·개발 방식·모델 수명·검수 기준·권리 귀속 다섯 가지를 계약 전에 문서로 확인하는 일입니다.
생성형 AI 외주 업체 선정이란, 대규모 언어모델을 쓰는 시스템의 구축을 외부 개발사에 맡길 때 그 업체가 발주사에게 남을 법적 책임과 운영 리스크를 감당할 설계를 내놓는지 계약 전에 검증하는 과정입니다. 견적서를 나란히 놓고 가격과 기능만 비교하면 놓치는 것이 있습니다. 이 기술은 시스템 한가운데에 발주사도 개발사도 소유하지 못하는 부품, 즉 파운데이션 모델을 끼워 넣기 때문입니다.
생성형 AI 외주 업체 선정은 왜 일반 개발 외주와 다른가?
일반 웹·앱 외주는 전제가 단순합니다. 같은 입력에 같은 출력이 나오고, 소스코드는 온전히 발주사 자산이 되며, 검수는 기능 명세 충족 여부로 끝납니다. 생성형 AI는 이 세 전제가 한꺼번에 흔들립니다.
통제 불가능한 부품이 시스템 한가운데 있다
발주사는 개발사를 고를 수 있지만 모델을 만들 수는 없습니다. 개발사도 마찬가지입니다. 모델의 성능·가격·수명은 전부 외부 공급사가 결정하고, 그 결정은 계약 기간 중에도 바뀝니다.
| 비교 항목 | 일반 SW 외주 | 생성형 AI 외주 | 계약서에서 갈리는 지점 |
|---|---|---|---|
| 산출물 성질 | 결정적(같은 입력=같은 출력) | 확률적(같은 입력도 출력 변동) | 검수 합격 기준의 정의 |
| 핵심 부품 | 개발사가 전부 작성 | 외부 파운데이션 모델 의존 | 모델 교체 시 비용 부담 |
| 권리 귀속 | 소스코드 저작권 이전 | AI 산출물은 저작물 아님 | 보호 대상 자산의 재정의 |
| 비용 구조 | 개발비 + 고정 유지보수 | 개발비 + 토큰 종량 과금 | 운영비 산정과 상한 |
| 법적 책임 | 개발사 하자담보 중심 | 발주사가 AI사업자 의무 | 표시·고지 기능의 구현 주체 |
중소기업일수록 검증이 어려운 구조다
중소기업중앙회의 2024년 「중소기업 AI 활용의향 실태조사」에서는 중소기업의 94.7%가 AI를 활용하지 않는 것으로 나타났습니다. 그만큼 사내에 판단 기준을 가진 사람이 없다는 뜻이기도 합니다. 2026년 6월 대한상공회의소 중소기업위원회 회의에서도 전문인력 확보와 투자 부담이 도입의 최대 걸림돌로 지목됐습니다. 정보 비대칭이 큰 거래에서는 질문의 질이 곧 협상력입니다. 제가 여러 발주 과정을 지켜본 경험상, 좋은 업체는 아래 다섯 가지를 물으면 곧바로 근거 문서를 꺼내고 그렇지 않은 업체는 화제를 데모로 돌립니다.
첫째, AI 기본법상 사업자 의무는 누가 지는가?
2026년 1월 22일 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」과 시행령이 시행됐습니다. 여기서 가장 중요한 사실은 규율 대상의 범위입니다.
외주로 만들어도 사업자는 발주사다
AI 기본법상 인공지능사업자에는 AI를 직접 개발하는 기업뿐 아니라 외부 AI 모델을 가져와 자사 서비스에 활용·제공하는 기업도 포함됩니다. 개발을 외주로 돌려도, 그 서비스를 고객에게 제공하는 주체는 우리 회사입니다. 법 제31조의 투명성 확보 의무, 즉 AI 기반 운용 사실의 사전 고지와 생성물 표시 의무는 개발사가 아니라 발주사에게 남는다고 보는 것이 타당합니다.
정부는 최소 1년 이상의 계도기간을 운영하고 있어 과태료 부과는 당분간 유예됩니다. 그러나 법적 의무 자체는 2026년 1월 22일부터 발생합니다. 계도기간이 끝난 뒤 표시 기능을 새로 붙이려면 이미 납품된 시스템을 다시 열어야 하고, 그때는 추가 개발비가 발생합니다.
채용, 대출 심사, 의료, 교육, 교통, 공공서비스 등 정부가 제시한 영역에서 사람의 권리·안전에 중대한 영향을 미치는 AI는 고영향 인공지능으로 분류돼 위험관리 체계 수립, 사람의 관리·감독, 문서 작성·보관 등 추가 의무가 붙습니다. 우리 과제가 여기에 걸리는지부터 확인해야 합니다.
둘째, 어떤 개발 방식을 제안하고 있는가?
개인정보보호위원회는 2025년 8월 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」에서 생성형 AI 개발 방식을 세 갈래로 구분했습니다. 방식이 다르면 비용도, 데이터가 흘러가는 경로도, 확인해야 할 항목도 전부 달라집니다.
세 갈래 방식은 리스크 구조가 다르다
| 개발 방식 | 개요 | 핵심 확인 사항 |
|---|---|---|
| 서비스형 LLM | 상용 AI API를 호출해 빠르게 구축 | 외부로 전송되는 데이터의 처리 목적·범위, 보관·파기 정책 |
| 기성 LLM 활용 | 공개된 사전학습 모델을 가져와 개발 | 사전학습 모델의 상업적 이용 가능 여부, 개인정보 안전장치 |
| 자체 개발 | 모델을 처음부터 사전학습 | 학습데이터 수집 출처별 적법 근거, 대규모 투자 부담 |
중소기업 과제의 대부분은 첫 번째나 두 번째입니다. 그런데 견적서에는 "자체 AI 모델 개발"이라고 적어 놓고 실제로는 상용 API를 감싸는 경우가 적지 않습니다. 어느 쪽인지는 잘못이 아니지만, 무엇인지 모르고 사는 것은 문제라고 판단합니다.
우리 데이터가 어느 지점에서 회사 밖으로 나가고, 어느 사업자의 서버에 얼마 동안 남으며, 학습에 재사용되는지를 다이어그램 한 장으로 받으십시오. 이 그림을 그리지 못하는 업체는 개인정보 처리 근거도 설명하지 못합니다.
셋째, 모델이 사라지면 그 비용은 누가 부담하는가?
생성형 AI 외주 업체 선정에서 가장 자주 빠지는 조항이 모델 수명입니다. 파운데이션 모델은 영구적이지 않습니다.
모델 수명은 생각보다 짧다
OpenAI는 폐기 고지 정책에서 일반 공개 모델에 최소 6개월, 특수 변형에 3개월, 프리뷰 모델에는 2주 수준의 사전 고지를 제시하며, 종료일이 지나면 해당 모델 호출은 더 이상 처리되지 않습니다. Anthropic도 2025년 모델 폐기·보존 방침을 공표하며 사전 고지와 마이그레이션 안내를 약속했지만, 실제로 Claude Opus 3는 2026년 1월, Sonnet 4와 Opus 4는 2026년 6월에 차례로 은퇴했습니다. 출시에서 은퇴까지 1년 남짓인 사례가 이미 여럿입니다.
문제는 모델이 바뀌면 프롬프트·검증 결과·비용 구조가 함께 흔들린다는 점입니다. 계약서에 마이그레이션 조항이 없으면 그 비용은 대개 발주사에게 청구됩니다.
운영비는 코드를 고치지 않아도 변한다
생성형 AI의 운영비는 대체로 토큰 종량 과금입니다. 사용량이 늘면 늘고, 공급사가 단가나 토큰 계산 방식을 바꾸면 우리가 코드 한 줄 건드리지 않아도 청구서가 바뀝니다. 실제로 2026년 상반기에는 새 토크나이저가 같은 문장에서 더 많은 토큰을 만들어낸다는 안내가 나오기도 했습니다. 생성형 AI 외주 업체 선정 단계에서 운영비를 고정비처럼 잡아 두면 이 변동을 흡수할 방법이 없어집니다. 예상 호출량과 단가 가정, 상한 초과 시 처리 방식을 견적서에 함께 적어 달라고 요구하는 편이 안전합니다.
사내 문의 응대 시스템을 구축한 한 중소 제조사는 납품 6개월 뒤 모델 종료 공지를 받았습니다. 계약서에는 하자보수만 있었고 모델 교체는 하자가 아니었습니다. 결국 재검증과 프롬프트 재조정 비용을 별도로 지불해야 했습니다. 계약 시점에 “모델 종료 시 대응은 누구 비용인가”라는 한 줄만 있었다면 피할 수 있는 지출이었습니다.
넷째, 확률적 산출물을 어떤 기준으로 검수하는가?
일반 소프트웨어는 "되거나 안 되거나"로 검수합니다. 생성형 AI는 같은 질문에도 매번 다른 문장을 내놓기 때문에 이 방식이 성립하지 않습니다.
합격선을 숫자와 데이터셋으로 못 박는다
검수 기준이 "자연스럽게 답변할 것" 수준이면 분쟁은 예약된 것이나 다름없습니다. 실제로 검수 단계에서 다투는 대부분은 성능이 아니라 성능의 정의입니다. 계약 전에 평가 데이터셋을 발주사가 만들어 두기를 권장합니다.
현업이 실제로 던질 질문 100~200개로 평가셋을 만들고, 정답률·오답 시 대응(모른다고 답하기)·근거 문서 표시 여부를 항목으로 나눕니다. “이 평가셋에서 몇 퍼센트 이상이면 검수 합격”인지를 계약서에 적으면, 검수는 감상이 아니라 측정이 됩니다.
다섯째, 산출물과 데이터의 권리는 어디에 남는가?
여기서 통념이 한 번 깨집니다. "AI가 만든 결과물은 돈을 낸 우리 것"이라는 전제 자체가 법적으로는 성립하지 않습니다.
AI 산출물에는 애초에 저작권이 없다
문화체육관광부와 한국저작권위원회가 2025년 6월 발간한 「생성형 인공지능 활용 저작물의 저작권 등록 안내서」는 인간의 창작적 기여가 인정되지 않는 GAI 산출물은 저작물이 아니어서 저작권 등록이 불가능하다고 정리했습니다. 창작적 기여가 있는 GAI 활용 저작물만 등록할 수 있고, 등록의 효력도 사람이 기여한 부분에만 미칩니다. 프롬프트 입력만으로는 통제가능성·예측가능성이 낮아 창작적 기여로 인정되기 어렵다고도 설명합니다.
그러므로 계약서에 "AI 산출물의 저작권은 발주사에 귀속한다"라고 써도 실익이 크지 않을 수 있습니다. 중요한 것은 실제로 권리가 붙는 자산을 특정하는 일입니다. 소스코드, 프롬프트 체계, 검색 인덱스, 평가 데이터셋, 그리고 우리가 제공한 원본 데이터가 그 대상입니다. 학습데이터의 적법성도 함께 물어야 합니다. 2023년 12월 「생성형 AI 저작권 안내서」가 지적했듯 학습 과정의 무단 복제는 침해 쟁점이 되고, 그 여파는 서비스를 제공하는 발주사에게도 미칠 수 있습니다.
결국 생성형 AI 외주에서 발주사가 사는 것은 코드가 아니라 책임의 배분이다
자주 묻는 질문
견적이 유독 싼 업체는 걸러야 하나요?
가격 자체보다 구성이 중요합니다. 상용 API 호출만으로 구성했는데 자체 모델 개발이라 표기했는지, 운영 토큰 비용이 견적에 포함됐는지를 확인하십시오.
우리 회사도 AI 기본법 적용 대상인가요?
외부 모델을 가져와 자사 서비스로 제공하면 인공지능사업자에 해당할 수 있습니다. 다만 내부 업무 용도로만 쓰는 경우 등은 면제 사유가 있어 개별 확인이 필요합니다.
계도기간 동안은 표시 기능을 미뤄도 되나요?
과태료는 유예되지만 법적 의무는 시행일부터 발생합니다. 나중에 붙이면 시스템을 다시 열어야 해서 오히려 비용이 커지는 경우가 많습니다.
모델 교체 비용은 보통 어떻게 정하나요?
정해진 관행은 없습니다. 그래서 계약서에 사전 고지 의무, 재검증 범위, 비용 분담 비율을 명시해 두는 편이 안전합니다.
개인정보가 외부 모델로 나가면 위법인가요?
그 자체로 위법이 되지는 않습니다. 처리 목적·범위와 적법 근거, 보관·파기 정책이 갖춰지면 가능합니다. 개인정보보호위원회 안내서의 단계별 확인 항목으로 점검하십시오.
계약서에 딱 한 줄만 추가할 수 있다면 무엇을 넣어야 하나요?
검수 합격 기준을 평가 데이터셋과 수치로 정의하는 조항을 권합니다. 성능 분쟁의 대부분이 여기서 시작되기 때문입니다.
정리하며
2026년 7월 기준, 국내 중소기업이 생성형 AI를 외주로 도입할 때 마주하는 지형은 1년 전과 다릅니다. AI 기본법이 시행되면서 법적 책임이 발주사 쪽으로 명확해졌고, 모델 폐기 주기는 짧아졌으며, 산출물의 권리 공백도 공식 문서로 확인됐습니다. 기술을 아는 것보다 이 다섯 가지를 문서로 확인하는 일이 먼저라고 생각합니다. 좋은 업체는 이 질문들을 반가워하고, 위험한 업체는 이 질문들을 피합니다. 핵심은 데모의 완성도가 아니라 계약서의 구체성입니다.
참고 출처
- 국가법령정보센터, 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제31조(투명성 확보 의무), 2026. 1. 22. 시행.
- 과학기술정보통신부, 「인공지능 투명성 확보 가이드라인」, 2026.
- 개인정보보호위원회, 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」, 2025. 8.
- 문화체육관광부·한국저작권위원회, 「생성형 인공지능 활용 저작물의 저작권 등록 안내서」, 2025. 6.
- 문화체육관광부·한국저작권위원회, 「생성형 AI 저작권 안내서」, 2023. 12.
- 중소기업중앙회, 「중소기업 AI 활용의향 실태조사」, 2024.
- 대한상공회의소, 중소기업위원회 제100차 회의 논의 자료, 2026. 6.
- OpenAI, 「Deprecations」(모델 폐기·종료 고지 정책), 2026.
- Anthropic, 「Commitments on model deprecation and preservation」, 2025.
AI 노출 이제 피할 수 없어요. 그런데 블로그, 매일 쓸 시간이 없으신가요?
키워드만 정해두면 매일 SEO 최적화 글이 자동으로 발행됩니다. 지금 읽으신 이 글처럼요.
