说清楚你的生意，拿走一份能派工的义务清单

第 31 条设三项义务：（1）提供使用高影响 AI 或生成式 AI 的产品或服务时，须事前告知用户该产品或服务基于该 AI 运行；（2）提供生成式 AI 或使用其的产品服务时，须标示其结果物系由生成式 AI 生成；（3）以 AI 系统提供与真实难以区分的虚拟音响、图像或影像等结果物时，须以用户能明确认知的方式告知或标示其由 AI 系统生成；该结果物属于艺术性、创造性表现物或构成其一部分的，可采用不妨碍展示或欣赏的方式告知或标示。施行令第 23 条进一步规定：事前告知可采用（a）在产品本身、合同书、使用说明书或服务条款中载明；（b）在用户画面或终端上显示；（c）在提供该产品服务的场所以易于识别的方式张贴；（d）部长认可的其他方式。第 31 条第 2 项的标示可采用人可识别的方式或机器可判读的方式，采用机器可判读方式的，须以文字或语音等形式至少一次告知该结果物系由生成式 AI 生成。第 31 条第 3 项的告知或标示须使用户能明确认知，并考虑其可通过视觉、听觉或软件轻易确认，以及主要用户的年龄与身体、社会条件。适用例外为三类：（1）从产品服务名称、用户画面、产品外观或结果物所载文句看，使用高影响或生成式 AI 的事实已属明显；（2）仅供 AI 事业者内部业务使用；（3）部长另行告示认定需要全部或部分豁免的情形。

需留存证据：事前告知界面截图与文案（韩文）；生成内容标示实现方案（可见标识与元数据/水印）；逼真合成内容的识别与标示规则；艺术创作类例外适用的判定记录；标示鲁棒性测试与版本变更记录

模型卡（Model Card）

第 32 条要求：对学习所使用的累积运算量在总统令规定基准以上的 AI 系统，AI 事业者须履行两项事项以确保其安全性——（一）贯穿 AI 生命周期全过程的风险识别、评估与缓解；（二）构建监测并应对 AI 相关安全事故的风险管理体系。并须将履行结果提交科学技术信息通信部长官。施行令第 24 条第 1 项把该门槛具体化为须同时满足的三项条件：（1）学习所使用的累积运算量达到 10 的 26 次方浮点运算（10^26 FLOPs）以上；（2）考虑 AI 技术发展水平，系统采用当前 AI 系统所用技术中最尖端的技术构成与运行；（3）该系统的风险度有对人的生命、身体安全与基本权产生广泛且重大影响之虞。三项为并列（“모두 충족”），仅算力达标而不满足其余两项的不落入本条。累积运算量的具体计算方式由部长以告示另行确定（施行令第 24 条第 2 项），本轮未核实该告示。

需留存证据：累积训练运算量核算方法与计算底稿（对照 10^26 FLOPs 门槛）；施行令第 24 条第 1 项三项条件的逐项适用性判定记录；生命周期风险识别、评估与缓解记录；安全事故监测与响应体系文件（含值守与升级机制）；向 MSIT 提交的履行结果与回执；模型版本迭代时的重新评估记录

模型卡（Model Card）ISO/IEC 42001 人工智能管理体系实施与认证准备清单

第 34 条第 1 项要求：提供高影响 AI 或使用其的产品服务时，AI 事业者须按总统令履行包含下列内容的措施以确保其安全性与可信性——（一）风险管理方案的制定与运营；（二）在技术可行范围内，就 AI 所得出的最终结果、得出该结果所利用的主要基准、以及 AI 开发与利用所使用的学习用数据概要等制定并实施说明方案；（三）用户保护方案的制定与运营；（四）对高影响 AI 的人的管理与监督；（五）作成并保管可确认安全性与可信性确保措施内容的文件；（六）其他为确保高影响 AI 安全性与可信性而经委员会审议议决的事项。注意第（六）款是开放式条款——落地清单不止于前五项，须跟踪国家人工智能战略委员会的议决。部长可就具体事项发布告示并劝告遵守。依其他法令按总统令履行与上述相当措施的，视为已履行第 1 项措施（认定基准与程序见施行令别表一）。施行令第 27 条另设三项可直接落地的要求：（1）须在事务所、营业场所或互联网主页公示第（一）款风险管理方案的主要内容、第（二）款说明方案的主要内容、第（三）款用户保护方案，以及第（四）款管理监督该高影响 AI 之人的姓名与联系方式（属《不正当竞争防止及营业秘密保护法》第 2 条第 2 号营业秘密的事项可除外）；（2）履行第 34 条第 1 项各款措施后，其依据须以文书形式（含电子方式）保管 5 年；（3）若 AI 利用事业者从已履行第（一）至（三）款措施的事业者处取得 AI 系统，且未对该系统的本来目的或用途作显著变更等重大功能变更，则视为已履行相应措施；AI 利用事业者可要求 AI 开发事业者提供履行所需资料，开发方应努力配合。

需留存证据：风险管理方案文件与运行记录；说明方案（最终结果、主要基准、学习用数据概要）与对外说明材料；用户保护方案与投诉处理记录；人的管理监督规程、岗位设置与干预日志，以及对外公示的负责人姓名与联系方式；按施行令第 27 条公示的页面存档（含营业秘密除外部分的判定记录）；安全性与可信性措施的成文档案与 5 年保管记录

ISO/IEC 42001 人工智能管理体系实施与认证准备清单

第 36 条：在韩国境内无住所或营业所的 AI 事业者中，用户数、销售额等符合总统令标准者，须以书面指定代理下列事务之人（国内代理人），并向科学技术信息通信部长官申报——（一）第 32 条第 2 项的履行结果提交；（二）第 33 条第 1 项的高影响 AI 该当与否确认请求；（三）为履行第 34 条第 1 项各号安全性与可信性确保措施所需的支援（包括对同项第 5 号文件的最新性与准确性的检查）。国内代理人须在韩国境内有住所或营业所。国内代理人就上述事务违反本法的，视为指定其的 AI 事业者所为。未指定国内代理人是第 43 条明确列举的过怠金对象。施行令第 29 条第 1 项把“总统令规定的标准”具体化为下列任一：（1）上年度（法人为上一事业年度）营业额 1 万亿韩元以上；（2）人工智能服务部门上年度营业额 100 亿韩元以上；（3）以上年度末为基准，其 AI 产品与服务在此前 3 个月内的国内用户数日均 100 万人以上；（4）曾因第 43 条第 1 项第 3 号被课过怠金者。第（1）（2）项营业额按上年度平均汇率折算为韩元（同条第 2 项）。

需留存证据：国内代理人书面指定文件；向 MSIT 的申报记录与回执；施行令第 29 条四项门槛的逐项测算底稿（含汇率折算依据与日均用户数统计口径）；代理人对第 34 条第 5 号文件最新性与准确性的检查记录

第 33 条要求：AI 事业者在提供 AI 或使用其的产品服务时，须事前检讨该 AI 是否属于高影响人工智能，必要时可请求科学技术信息通信部长官确认是否属于高影响 AI；部长收到请求后须作出确认，必要时可设专门委员会听取咨询意见。部长可制定并推广关于高影响 AI 基准与示例的指南。确认程序由总统令规定。

需留存证据：高影响 AI 事前检讨记录（逐用例）；判定依据与所参照的部长指南版本；向部长提出确认请求的申请与答复；用例变更时的重新检讨记录

第 35 条第 1 项：AI 事业者提供使用高影响 AI 的产品或服务时，应努力事前评估其对人的基本权产生的影响；此时须考虑该产品或服务的性质，使影响评估能够反映人工智能弱势群体的特性（该后段为 2026-01-20 修订新增，自 2026-07-21 施行）。第 2 项：国家机关等拟使用高影响 AI 产品或服务时，须优先考虑已实施影响评估的产品或服务。这意味着影响评估虽为努力义务，但在韩国公共采购中具有实质竞争意义。施行令第 28 条第 1 项规定影响评估须包含七项：（1）识别可能因该高影响 AI 产品服务而在生命、身体安全与基本权上受影响的个人或群体（须反映第 3 条第 5 项人工智能弱势群体的特性）；（2）识别可能受影响的基本权类型；（3）对基本权的社会与经济影响的内容与范围；（4）该高影响 AI 的使用行为形态；（5）评估所用的定量或定性指标与结果产出方式；（6）风险的预防、缓解与损失恢复等事项；（7）评估结果需要改进时的履行计划。评估可由事业者自行实施或委托第三方实施（同条第 2 项）；其余必要事项由部长以告示确定。

需留存证据：基本权影响评估报告；弱势群体特性反映的方法说明与测试结果；评估结论对产品设计的落地记录；公共采购投标中提交的评估材料

ISO/IEC 42001 人工智能管理体系实施与认证准备清单

第 40 条：科学技术信息通信部长官在发现或知悉涉及第 31 条第 2、3 项、第 32 条第 1、2 项或第 34 条第 1 项违反的事项或嫌疑，或收到相关举报与民怨时，可要求 AI 事业者提交相关资料，或令所属公务员实施必要调查；必要时可令其进入事业者的事务所、营业场所调查账簿、文件及其他资料或物件（调查程序适用《行政调查基本法》）。调查结果认定存在违反的，可命令采取中止该违反行为或整改所必要的措施。不履行该命令的，按第 43 条处 3,000 万韩元以下过怠金。

需留存证据：监管问询应对预案与授权人指定；可随时调取的合规文件索引（第 31、32、34 条相关）；调查往来记录与提交资料清单；中止/整改命令的执行与闭环证明

收集、利用、提供个人信息须落在第 15、17、18 条所列法定事由之一；依赖同意时须按第 22 条分别、可区分地取得，不得以拒绝同意为由拒绝提供服务（超出必要范围的同意除外）。处理未满 14 周岁儿童个人信息须取得法定代理人同意。

需留存证据：处理活动清单与法定依据映射表；韩文同意界面截图与分项同意记录；未满 14 周岁年龄判定与法定代理人同意记录；必要/选择同意项区分说明

原则禁止向国外“移转”（含提供、被调阅、处理委托、保管）个人信息，例外为：（一）取得信息主体就国外移转的单独同意；（二）法律、韩国缔结的条约或国际协定有特别规定；（三）为与信息主体缔约与履约所必需的处理委托或保管，且已在隐私处理方针中公开第 2 项各号事项，或以电子邮件等总统令规定方式告知信息主体；（四）接收方取得第 32 条之二认证或 PIPC 告示认可的认证，且已采取保护所需安全措施与权利保障措施，并采取在接收国履行认证事项所需措施；（五）PIPC 认定接收国或国际组织的保护体系、权利保障范围与救济程序实质等同于本法水平。依（一）取得同意前须告知：移转的个人信息项目、移转国家与时间及方式、接收方姓名或名称与联系方式、接收方的利用目的与保有利用期间、拒绝移转的方法与程序及拒绝的效果；上述事项变更须重新告知并取得同意。不得缔结内容违反本法的国外移转合同。

需留存证据：国外移转清单（接收方、国家、项目、目的、保有期限）；单独同意界面与同意记录，或隐私处理方针中的公开页面存档；认证证书与在接收国落实认证事项的措施说明（依第四路径时）；国外移转合同及其不违反 PIPA 的法务审查意见；移转变更时的重新告知与同意记录

打开工具：跨境传输矩阵

在韩国无住所或营业所、且按营业额与个人信息保有规模符合总统令标准的处理者，须以书面指定国内代理人，代理下列事务：第 31 条第 4 项第 5 号的投诉处理与损害救济、第 34 条第 1、2 项的通知与同条第 4 项的泄露申报、第 63 条第 1 项的物品与资料提交。国内代理人须在韩国有住所或营业所；若处理者设有韩国法人或对其人事与经营具支配性影响的韩国法人，须从该等法人中指定。处理者须按总统令对国内代理人进行教育、检查其业务现况并实施管理监督。代理人的姓名/名称、地址、电话与电子邮箱须写入隐私处理方针。国内代理人就上述事务违反本法的，视为处理者本人所为。

需留存证据：国内代理人书面指定文件；隐私处理方针中代理人信息公示截图；对代理人的教育与业务现况检查记录；代理人处理投诉与泄露申报的台账

知悉个人信息发生泄露等事态时，须不迟延地向信息主体告知第 34 条第 1 项各号事项：泄露的个人信息项目；发生时点与经过；为减少可能损害信息主体可采取的具体方法；处理者的应对措施与损害救济程序；受害时可受理申报的负责部门与联系方式；因泄露可主张的第 39 条损害赔偿、第 39 条之二法定损害赔偿请求与第 43 条纠纷调解等法律权利及其行使方法；以及总统令规定的其他事项。2026 年修订新增第 2 项：对按总统令规定存在泄露可能性的事态，知悉后须不迟延地向所有可能受影响的信息主体告知总统令规定事项。处理者还须采取包括回收、删除在内的防止损害扩大措施，并按总统令不迟延地向 PIPC 或专门机构申报。

需留存证据：事件响应预案（含韩国申报路径与韩文通知模板）；信息主体通知文本（覆盖第 34 条第 1 项全部事项）；向 PIPC 或专门机构提交的申报记录；泄露可能性判定记录与通知执行证明；损害扩大防止措施（回收、删除）的执行记录

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

第 29 条要求处理者采取安全性确保所需的技术、管理与物理措施，防止个人信息灭失、被盗、流出、伪造、变造或毁损。第 64 条之二第 1 项第 9 号明确：发生泄露等事态即可课徵金，但处理者已尽第 29 条安全性确保必要措施的除外——这使第 29 条的落实证据成为抗辩的核心。第 26 条第 4 项要求委托方对受托方实施管理监督与教育，疏失致受托方违法的同样属课徵金对象。

需留存证据：安全性确保措施实施证据包（技术/管理/物理三类）；加密、访问控制与日志留存配置证明；委托合同与对受托方的教育、监督记录；定期安全评估与整改闭环记录

第 37 条之二规定：以完全自动化系统（包括适用人工智能技术的系统）处理个人信息作出的决定，若对信息主体的权利或义务产生重大影响，信息主体有权要求处理者拒绝适用该决定（依第 15 条第 1 项第 1、2、4 号作出的决定除外）；信息主体亦可就已作出的自动化决定要求说明等。处理者在收到拒绝或说明要求后，除有正当理由外，须不适用该自动化决定，或采取人工介入的再处理、说明等必要措施。处理者还须以信息主体易于确认的方式公开自动化决定的基准与程序、个人信息被处理的方式等。

需留存证据：自动化决定清单与“重大影响”判定记录；公开的决定基准、程序与处理方式说明页面；拒绝与说明请求的受理、处理与答复台账；人工介入再处理的操作规程与执行记录；正当理由不予适用时的书面说明

2026 年修订新设第 30 条之三，把事业主或代表者明确规定为个人信息处理与保护的最终责任人；第 31 条相应强化 CPO 制度：须保障 CPO 履职所需人力管理与预算确保，符合总统令标准的处理者须就 CPO 的指定、变更或解除事项向主管机关申报，且指定、变更或解除须经理事会决议。未满足 CPO 资格要件而指定、未经理事会决议、或未申报的，按第 75 条第 2 项课过怠金。

需留存证据：CPO 任命的理事会决议与申报回执；CPO 资格要件核查材料；CPO 人力与预算保障文件；事业主/代表者责任承担的内部制度文件

2026 年修订在第 32 条之二第 1 项增设但书：按营业额、个人信息处理规模等由总统令确定标准的处理者，须强制取得个人信息保护认证。该条与第 75 条第 2 项第 15 号（未取得认证的过怠金）自 2027-07-01 起施行，应提前规划认证准备周期。第 28 条之八第 1 项第 4 号亦把持有该认证作为国外移转的路径之一，因此认证同时具备合规与业务价值。

需留存证据：规模标准适用性判定记录；认证准备差距分析与整改计划；认证申请与证书；认证事项在接收国的落实措施说明（用于国外移转路径时）