AI기본법상 AI사업자 의무와 형사법상 조직책임 - 책임구조・의무층위・피해자구제를 중심으로 - = Duties of AI Business Operators under the AI Basic Act and Organizational Responsibility under Criminal Law - Focusing on Responsibility Structure, Layers of Duties, and Victim Redress -

국문 초록 (Abstract)

인공지능기본법은 인공지능 자체를 형사책임의 주체로 승인하지 않고, AI를 개발・제공・이용하는 인공지능사업자(이하 ‘AI사업자’)에게 투명성・고지・위험관리・안전성 확보 등 행정법상 의무를 부과하는 방식을 선택하였다. 그러나 이러한 선택은 형사법과 무관한 단순한 행정규제에 그치지 않는다. 고영향 인공지능의 확인・관리, 생성형 인공지능 산출물 표시, 딥페이크 등 현실과 구별하기 어려운 AI 생성물의 표시・고지, 안전성・신뢰성 확보, 설명 방안의 수립・시행 및 관련 문서의 작성・보관과 같은 의무는 향후 AI 관련 사고에서 주의의무, 감독의무, 보증인지위 및 법인의 조직책임을 판단하는 외부적 준거규범으로 기능할 수 있다. 본고는 AI기본법의 책임구조에 관한 논의와 AI 형사책임론의 문제의식을 하나의 축으로 결합하여, AI 자체를 처벌할 수 있는가라는 추상적 질문에서 벗어나 AI 시스템을 개발・배포・운영하는 조직의 위험관리 실패를 어떻게 형사법적으로 평가할 것인가를 검토한다.
이를 위해 첫째, AI기본법의 입법적 선택을 형사책임・행정제재・민사적 피해구제라는 세 층위에서 정리하고, 둘째, AI사업자 의무를 형식이행형 의무(formal- compliance obligation)와 위험관리형 주의의무(risk-based duty of care)로 구분하여 책임귀속의 실천적 기준을 제시하며, 셋째, 법인 형사책임론에서 발전한 동일시이론과 조직모델이 AI사업자 조직책임에 갖는 참조 가능성과 현행법상 한계를 분석한다. 다만 조직모델은 법인 자체의 일반적 형사책임을 창설하지 않으며, 법인의 처벌에는 별도의 명시적 근거가 필요하다. 결론적으로 AI 형사법의 과제는 AI를 사람처럼 처벌하는 데 있지 않다. 핵심은 AI 시스템을 사회에 배포하고 운영하는 조직이 위험을 예견하고 통제할 수 있었는지, 그 통제의무를 위반하여 법익침해가 현실화되었는지, 그리고 피해자가 정보비대칭 속에서도 실질적으로 구제받을 수 있는지를 묻는 데 있다.

다국어 초록 (Multilingual Abstract)

The Korean AI Basic Act does not recognize artificial intelligence itself as a subject of criminal responsibility. Instead, it adopts an administrative- law framework centered on business operators that develop, provide, or deploy AI systems. This legislative choice, however, is not devoid of criminal-law significance. Duties concerning the identification and management of high-impact AI, notice and labeling of generative AI outputs and realistic synthetic content, safety and trustworthiness, the establishment and implementation of explanatory procedures, and the preparation and retention of relevant documentation may serve as external normative benchmarks for negligence, omission liability, and organizational risk-management failures. This article integrates the responsibility structure of the AI Basic Act with the criminal-law theory of attribution. It distinguishes formal-compliance obligations, whose performance can be determined relatively clearly, from risk-based duties of care, whose content depends on the foreseeability, controllability, and avoidability of risk. These duties do not automatically establish criminal liability. Rather, they provide criteria for determining whether a risk was foreseeable, whether reasonable preventive measures were available, and whether an organization failed to manage AI-related risks. The organizational approach advanced here does not itself establish general criminal liability of corporations under current Korean law; corporate punishment still requires an express statutory basis, typically a statutory dual-punishment provision. The article further examines the limits of administrative sanctions, the requirements for aiding and abetting by providers, and the need to connect criminal-law attribution with victim redress. Ultimately, the task of criminal law in the age of the AI Basic Act is not to expand punishment, but to allocate responsibility accurately among developers, deployers, platforms, users, and corporate organizations while respecting the principles of culpability and legality.