EU AI법 8월 2일 적용 개시 — 고위험 시한은 2027년으로 연기, 개발자가 알아야 할 개요

무슨 일이 있었나: 적용 개시와 고위험 시한 연기

EU AI법은 2024년 8월 1일 발효됐지만, 조항별로 적용 시점을 나눠 단계적으로 켜지는 구조였다. '용납 불가능한' 금지 행위 조항은 2025년 2월 2일, 범용 AI(GPAI, general-purpose AI) 모델에 대한 의무는 2025년 8월 2일에 이미 적용됐다. 그리고 이번 2026년 8월 2일은 거버넌스 체계와 상당수 고위험 규정이 포함된 핵심 적용 시점이었다. 유럽위원회(European Commission)의 규제 프레임워크 안내에 따르면 이 단계적 스케줄은 법 발효 시점부터 예고돼 있었다.

그런데 적용을 앞두고 산업계·회원국에서 준비 부족과 세부 표준(harmonised standards) 미비를 이유로 시한 조정 요구가 커졌다. 그 결과 2026년 6월 16일 유럽의회가 개정안을 승인해, 부속서 III(Annex III)에 해당하는 '독립형(standalone) 고위험 AI 시스템'의 준수 시한을 당초 2026년 8월 2일에서 2027년 12월 2일로 미뤘다. 즉 8월 2일에 법 체계 자체는 적용을 시작했지만, Annex III 유형의 고위험 시스템이 모든 요구사항을 충족해야 하는 실질적 의무 시점은 뒤로 밀린 셈이다.

리스크 기반 4단계 분류의 뼈대

AI법의 설계 철학은 단순하다. 기술 자체가 아니라 그 쓰임이 초래하는 위험의 크기에 비례해 규제한다는 것이다. 크게 네 층위로 나뉜다.

• 용납 불가능한 위험(금지): 사회적 점수화(social scoring), 특정한 조작적·기만적 기법, 무차별 얼굴 이미지 스크래핑 등은 아예 금지된다. 이 조항은 2025년 2월부터 적용 중이다.
• 고위험(High-risk): 채용, 신용평가, 교육 평가, 의료기기, 핵심 인프라, 일부 법 집행 등 사람의 권리·안전에 큰 영향을 주는 용도. 규제의 무게중심이 여기에 있다.
• 제한적 위험(투명성 의무): 챗봇, 딥페이크, AI 생성 콘텐츠 등. '사용자가 AI와 상호작용하고 있음' 또는 '콘텐츠가 인공적으로 생성·조작됐음'을 알려야 한다.
• 최소 위험: 스팸 필터, 게임 AI 등 대다수 응용. 별도 의무는 사실상 없다.

고위험은 다시 두 갈래다. 하나는 이미 EU의 제품 안전 법제(의료기기, 기계류 등)에 편입되는 유형이고, 다른 하나가 이번 연기 대상인 부속서 III의 독립형 고위험 시스템이다. 채용 심사, 신용 심사, 교육 접근 결정처럼 소프트웨어 자체가 중대한 판단에 쓰이는 경우가 대표적이다. 자신의 서비스가 어느 칸에 떨어지는지를 먼저 판별하는 것이 모든 대응의 출발점이다.

# 아주 단순화한 자가 분류 흐름(참고용 의사코드)
def classify(system):
    if system.purpose in PROHIBITED_USES:
        return "금지 — 제공/사용 불가"
    if system.purpose in ANNEX_III_USES or system.is_safety_component:
        return "고위험 — 문서화·평가·등록 의무"
    if system.interacts_with_users or system.generates_media:
        return "제한적 — 투명성(고지) 의무"
    return "최소 — 별도 의무 사실상 없음"

# 주의: 실제 판별은 용도·맥락·예외 조항을 함께 봐야 한다.
# 이 코드는 사고의 틀일 뿐, 법적 판단을 대체하지 않는다.

고위험·GPAI 의무의 핵심: 문서화·투명성·거버넌스

고위험으로 분류되면 요구사항이 상당히 무거워진다. 개발자 입장에서 핵심만 추리면 다음과 같다. 리스크 관리 체계 수립, 데이터 거버넌스(학습·검증 데이터의 품질과 편향 관리), 기술 문서(technical documentation)와 자동 로그 기록, 사용자를 위한 사용 설명, 사람에 의한 감독(human oversight) 설계, 그리고 정확성·견고성·사이버보안 확보다. EU 데이터베이스 등록과 적합성 평가(conformity assessment)도 요구된다.

technical_file/            # 고위험 시스템 기술 문서(개념 예시)
├─ system_overview.md      # 목적·용도·구조·버전
├─ risk_management.md      # 식별된 위험과 완화 조치
├─ data_governance.md      # 데이터 출처·전처리·편향 점검
├─ evaluation/             # 정확성·견고성 시험 결과
├─ human_oversight.md      # 감독 지점과 개입 방법
└─ logging_and_monitoring/ # 자동 로그·사후 시장 모니터링 계획

범용 AI(GPAI) 모델 제공자에게는 2025년 8월부터 별도 의무가 적용된다. 학습에 사용한 콘텐츠에 대한 충분한 요약 공개, 기술 문서 유지, EU 저작권법 준수 정책, 그리고 특히 강력한 성능을 지녀 '시스템적 위험(systemic risk)'이 있다고 판단되는 모델에는 모델 평가·적대적 테스트·심각 사고 보고 같은 추가 의무가 붙는다. 유럽위원회는 이를 돕기 위한 자율 실천 규범(Code of Practice)도 마련했다.

역외 적용: 왜 한국·비EU 개발자에게도 영향이 오나

많은 개발자가 "우리는 EU 회사가 아니니 상관없다"고 여기지만, AI법은 역외 적용(extraterritorial effect) 조항을 둔다. 핵심 기준은 회사의 국적이 아니라 산출물이 EU 안에서 쓰이는가다. 즉 제공자(provider)나 배포자(deployer)가 EU에 있지 않더라도, 시스템의 출력이 EU 내에서 사용되면 규제 대상이 될 수 있다. GDPR이 전 세계 서비스에 사실상의 표준이 됐던 흐름을 떠올리면 이해가 쉽다.

실무적으로는 세 가지를 자문해 보면 된다. (1) 우리 서비스나 API를 EU 사용자·기업이 쓰는가, (2) 그 용도가 고위험 칸(채용·신용·교육 등)에 닿는가, (3) 우리가 GPAI 모델 자체를 배포하는가. 하나라도 해당하면 최소한 분류 판별과 문서화 준비는 시작하는 편이 안전하다. EU에 제공자 대리인(authorised representative) 지정이 요구되는 경우도 있다.

미국과의 규제 철학 차이

같은 시기 미국은 정반대에 가까운 방향을 택했다. 백악관의 AI 국가정책 프레임워크는 새로운 연방 AI 규제기구 신설에 반대하고, 기존 규제기관의 권한과 업계 주도 표준(industry-led standards)으로 규율하는 접근을 권고한 것으로 전해진다. 포괄적 단일 법으로 사전에 의무를 부과하는 EU와 달리, 미국은 기존 법제·부문별 규제와 자율 표준에 무게를 둔다.

개발자에게 이 차이는 곧 '두 개의 준수 지도'를 뜻한다. EU를 상대하면 사전 문서화·적합성 평가 중심의 규정 준수가, 미국을 상대하면 주(state)별 법률과 부문 규제, FTC 같은 기존 기관의 사후 집행이 중요해진다. CDT(Center for Democracy & Technology)의 2026년 입법 동향 정리에 따르면 미국은 연방 단일법보다 주 단위 입법이 활발한 상태다. 아래 표로 큰 틀을 비교한다.

여기에 인도·베트남·한국·말레이시아 등도 2025~2026년에 걸쳐 프라이버시·AI 관련 프레임워크를 제·개정하고 있어, 글로벌 서비스일수록 관할별 요구를 함께 관리해야 하는 부담이 커진다. 한국 역시 자체 AI 기본법 체계를 준비해 온 만큼, EU 대응 경험이 국내 준수에도 자산이 된다.

개발자를 위한 실천 체크리스트

지금 당장 거대한 컴플라이언스 조직을 꾸릴 필요는 없다. 다만 다음 순서로 최소한의 준비를 시작하는 것이 합리적이다.

• 분류부터: 각 기능·제품이 금지·고위험·제한적·최소 중 어디에 속하는지 판별하고 근거를 기록한다.
• 투명성 고지 점검: 챗봇·생성 콘텐츠에 AI 사용/생성 사실 고지가 있는지 확인한다. 이는 비교적 빨리 적용할 수 있다.
• 문서화 습관화: 데이터 출처, 평가 결과, 로그, 사람 감독 지점을 지금부터 기록으로 남긴다. 나중에 소급하기가 가장 어렵다.
• 시한 추적: 8월 2일 적용분과 2027년으로 미뤄진 Annex III 시한을 분리해 관리한다.
• 공급망 확인: 사용하는 파운데이션 모델(GPAI) 제공자가 문서·저작권 정책을 제공하는지 확인한다.

정리하면, EU AI법은 2026년 8월 2일 실제 적용에 들어갔고 Annex III 독립형 고위험의 실질 시한은 2027년 12월로 미뤄졌다. 규제의 축은 '기술이 아니라 위험'이며, 역외 적용 때문에 EU 밖 개발자도 산출물이 EU에서 쓰인다면 영향권에 든다. 미국이 정반대의 자율·분산 접근을 택한 지금, 글로벌 서비스는 관할별로 다른 준수 지도를 동시에 읽어야 한다. 이 글은 개요일 뿐이므로, 구체 대응은 반드시 원문과 전문가 자문으로 확정하기 바란다.

자주 묻는 질문

EU에 법인이 없는 한국 스타트업도 AI법을 신경 써야 하나요?

가능성이 있습니다. AI법은 회사 소재지가 아니라 시스템의 산출물이 EU 안에서 사용되는지를 기준으로 역외 적용됩니다. EU 사용자에게 서비스나 API를 제공하고 그 용도가 고위험 영역(채용·신용·교육 등)에 닿거나, GPAI 모델 자체를 배포한다면 분류 판별과 문서화 준비를 시작하는 편이 안전합니다. 이 글은 개요이며 개별 판단은 전문가 확인이 필요합니다.

2027년으로 연기됐다는데, 그럼 지금은 아무것도 안 해도 되나요?

아닙니다. 연기된 것은 부속서 III에 해당하는 '독립형 고위험 시스템'의 준수 시한이 2026년 8월 2일에서 2027년 12월 2일로 미뤄진 부분입니다. 금지 행위 조항(2025년 2월부터), GPAI 의무(2025년 8월부터), 그리고 8월 2일 적용된 거버넌스 규정은 이미 유효합니다. 연기는 면제가 아니라 준비 기간의 연장으로 보는 것이 맞습니다.

우리 서비스가 고위험인지 어떻게 판단하나요?

용도가 부속서 III에 열거된 영역(채용·신용평가·교육 평가·핵심 인프라·특정 법 집행 등)에 해당하거나, 규제 대상 제품의 안전 구성요소로 쓰이면 고위험으로 분류될 가능성이 큽니다. 다만 맥락과 예외 조항에 따라 결론이 달라질 수 있으므로, 자체 판별 결과를 근거와 함께 기록하고 불확실하면 법률 전문가의 확인을 받는 것이 안전합니다.

생성형 AI 챗봇만 운영하는데 무엇을 준비해야 하나요?

대개 '제한적 위험' 구간의 투명성 의무가 핵심입니다. 사용자가 사람이 아닌 AI와 대화하고 있음을 알리고, AI가 생성한 이미지·오디오·영상에는 인공 생성 사실을 표시하는 것이 대표적입니다. 다만 챗봇이 채용 심사처럼 고위험 용도에 결합되면 요구 수준이 올라가므로, 실제 사용 맥락을 함께 살펴야 합니다.

미국만 상대하면 EU 규정은 무시해도 되나요?

미국 사용자만 대상으로 하고 산출물이 EU에서 쓰이지 않는다면 AI법 직접 적용은 아닐 수 있습니다. 다만 미국은 연방 단일법 대신 주별 법률과 부문 규제, 기존 기관의 사후 집행이 중요하므로 그쪽 준수 지도를 따로 챙겨야 합니다. 서비스가 조금이라도 글로벌하면 두 관할을 함께 관리하는 편이 현실적입니다.

위반하면 실제로 얼마나 큰 벌금이 나오나요?

공개된 기준상 금지 행위 위반은 최대 3,500만 유로 또는 전 세계 연매출의 7% 중 큰 금액, 그 외 의무 위반은 최대 1,500만 유로 또는 3%, 감독기관에 부정확한 정보를 제공하면 최대 750만 유로 또는 1% 수준으로 알려져 있습니다. 다만 실제 부과액과 경감 사유는 사안·회원국에 따라 달라지므로 이 수치는 참고용으로만 이해하시기 바랍니다.

출처

• European Commission — Regulatory framework for AI (AI Act)
• CDT — 2026 State and Federal AI Legislation Updates
• Collibra — AI Regulatory Compliance in 2026: EU AI Act, US Orders and State Laws