AI 시대의 사이버 컴플라이언스 체계 구축과 이사의 법적 책임 : 주요국의 입법례 분석 및 책무구조도 도입 방안을 중심으로 = Establishing Cyber Compliance Systems in the AI Era and Directors’ Legal Liability: Focusing on Legislative Developments in Major Jurisdictions and the Introduction of Responsibility Maps

국문 초록 (Abstract)

4차 산업혁명과 디지털 전환이 가속화됨에 따라 인공지능 (AI)과 사이버 위험은 더 이상 IT 부서의 기술적 관리 영역에 머물지 않고 기업의 생존을 결정짓는 핵심 사업 위험 영역으 로 진입하였다. 데이터센터 장애, 해킹, AI 오작동 등으로 인한 재무적 손실과 평판 하락은 이사회 차원의 상시적 감시 대상 이 되었으며, 이에 발맞춰 한국 대법원은 유니온스틸 및 대우 건설 사건 등을 통해 이사의 감시의무 법리를 과거 ‘의심할 만 한 사유’ 중심의 사후적 책임에서 평시의 합리적 내부통제시스 템 구축을 요구하는 ‘시스템 기반 책임’으로 강화하였다. 특히 2025년 개정 상법이 이사의 충실의무 대상을 ‘회사 및 주주’로 확장함에 따라 사이버 위험 관리 실패가 주주 이익 침해로 직 결될 수 있는 법적 환경이 조성되었으나, 금융권 외 일반 기업 에는 내부통제 의무에 관한 명문 규정과 구체적인 시스템 기 준이 부재하여 이사회가 부담하는 책임 수준과 이행 기준 사 이에 상당한 괴리가 존재하고 있다. 이에 본 연구는 AI 및 사이버 위험 환경에서 상법상 이사의 선관주의의무와 감시의무를 재구성하기 위해 미국, 유럽연합 (EU), 영국, 싱가포르, 일본의 법제를 비교 분석하였다. 미국은 Caremark 및 Marchand 판례법과 증권거래위원회(SEC)의 공 시 규정을 통해 시장 규율을 강화하고 있으며, 유럽연합은 네 트워크 및 정보보호지침 개정안(NIS2), 금융분야 디지털 운영 탄력성법(DORA), 인공지능법(AI Act) 등 강행규범을 통해 경 영진의 승인 및 감독 의무를 명문화하고 위반 시 경영진 개인 에게 직무 정지 등 강력한 행정적 제재를 부과하는 체계를 채 택하고 있다. 또한 영국과 싱가포르는 책무구조도를 통해 고위 경영진별 책임을 명확히 배분하는 개인별 책임 규율 체계를, 일본은 회사법상 내부통제시스템 구축 의무와 행정적 지침을 결합한 혼합형 모델을 운용하고 있음을 확인하였다. 이러한 비교법적 분석과 국내 법제의 한계에 대한 평가를 토대로, 본 연구는 AI 시대의 사이버 위험 관리 체계를 위한 ‘한국형 하이브리드 거버넌스 모델’을 제안한다. 입법적으로는 상법과 인공지능기본법 등에서 이사회의 내부통제시스템 구축 및 운영 의무와 위험 관리계획의 승인 및 감독 의무를 명문화 할 필요가 있다. 정책적으로는 현재 금융권에 도입된 책무구조 도 제도를 데이터센터 운영사, 기간통신사업자, 대형 플랫폼 사업자 등 국가핵심기반 서비스를 제공하는 기업으로 확대 적 용하여 정보보호최고책임자(CISO), 개인정보보호책임자(CPO), AI최고책임자(CAIO) 등 임원별 책임을 명확히 체계화해야 한 다. 사법적으로는 경영판단의 원칙을 사이버 위험 영역에 적합 하게 구체화하여, 이사회가 전문가를 선임하고 정기적인 보고 와 위험 논의 과정을 문서화한 경우 결과적 실패가 있더라도 선관주의의무 이행을 추정하는 절차적 면책 기준을 정립함으 로써 법적 불확실성을 해소해야 한다. 본 연구는 이러한 다층 적 접근을 통해 AI 시대의 사이버 리스크를 기업 지배구조와 컴플라이언스 논의의 중심으로 격상시키고 실효적인 위험 관 리 체계를 구축하는 데 기여하고자 한다. 주요어 : AI 컴플라이언스, 이사의 감시의무, 책무구조도, 시스템 기반 책임, 경영판단의 원칙 학 번 : 20242302

목차 (Table of Contents)

• 제 1 장 서 론 1
• 제 1 절 문제의 제기1
• 제 2 절 연구의 목적4
• 제 3 절 연구 범위 및 방법5
• 제 2 장 이사의 감시의무와 대상 위험의 확장 · 8
• 제 1 절 감시의무의 법리 8
• 1. 선관주의의무와 감시의무8
• 2. 판례의 변화11
• 3. 손해배상 범위13
• 제 2 절 위험의 확장 16
• 1. AI 사이버 위험16
• 2. 주요 사고 사례 17
• 3. 감시의무 확장의 필요성20
• 제 3 절 내부통제시스템 22
• 1. 개념과 의의23
• 2. 4대 핵심 구성요소 24
• 제 4 절 이사의 면책 27
• 1. 경영판단의 원칙 27
• 2. 인과관계와 책임 제한 28
• 3. 절차적 정당성29
• 제 3 장 주요국 입법례 분석 30
• 제 1 절 분석 개요30
• 제 2 절 미국 32
• 1. 이사회 거버넌스 32
• 2. 이사회의 감시의무 35
• 3. 공시 의무 37
• 4. 기타 분야별 규제38
• 제 3 절 유럽연합(EU) 39
• 1. 개인정보보호법(GDPR)과 이사회 책임 40
• 2. 사이버보안 규제 42
• 3. 탄력성 규제44
• 4. AI 규제 45
• 5. 기타 규제 47
• 제 4 절 영국 47
• 1. 기업지배구조 규범 48
• 2. 책임의 개인화51
• 3. 제품 보안 규제 52
• 제 5 절 아시아 주요국 54
• 1. 싱가포르54
• 2. 일본 56
• 제 4 장 규제 모델 비교와 시사점59
• 제 1 절 분석 체계59
• 1. 논의 배경 59
• 2. 이사회의 역할61
• 제 2 절 주요국 규제 모델의 유형화 62
• 1. 미국 62
• 2. 유럽연합(EU) 64
• 3. 영국·싱가포르66
• 4. 일본 67
• 제 3 절 해외 법제 시사점 69
• 제 5 장 구체적 개선 방안74
• 제 1 절 현행 국내 법제의 한계 74
• 1. 규제 체계의 비대칭성 74
• 2. 법적 불확실성75
• 3. 제도적 보완의 필요성 76
• 제 2 절 데이터 활용 기업 77
• 1. 데이터 인프라 기업 77
• 2. 데이터 활용 기업79
• 3. 가이드라인 준수 81
• 제 3 절 AI 기업 82
• 1. 고위험 AI의 특수성 82
• 2. 이사회 책임의 구체화 83
• 3. 법적 의무 이행과 책임 판단 85
• 제 4 절 상장회사 86
• 1. 공시 제도의 실질화 86
• 2. 이사회 산하 위원회의 기능 강화 88
• 3. 시장 감시 기제의 활성화 91
• 제 5 절 비상장회사 93
• 1. 경량화 거버넌스 도입 93
• 2. 통제 및 상생 모델 구축95
• 3. 인센티브 제공 및 절차적 면책97
• 4. 상법 개정의 중장기 로드맵99
• 제 6 장 결 론103
• 제 1 절 연구 결과 요약103
• 제 2 절 논의 및 제언 106
• 1. 학술적 논의 106
• 2. 정책적 제언 107
• 3. 입법적 제언 109
• 4. 사법적 제언 110
• 5. 사회적·윤리적 함의111
• 제 3 절 연구의 한계 및 향후 과제 112
• 1. 연구의 한계점 112
• 2. 향후 연구 과제 113
• 참고문헌116
• Abstract 140