EU AI법 해설: 위험 등급, 시행 일정과 과징금

EU AI법은 AI 시스템을 위험도에 따라 분류하고 그에 맞는 규칙을 정하는 유럽연합 규정입니다. 2024년 8월 1일 발효되었으며, 여러 해에 걸쳐 단계적으로 적용됩니다. 금지 행위, AI 리터러시 의무, 범용 AI(GPAI) 모델에 대한 규칙은 이미 적용되고 있습니다. 고위험 시스템에 대한 규칙은 2026년 채택된 '디지털 옴니버스'라는 개정안에 따라 2027년 12월과 2028년 8월로 미뤄졌습니다.

이 가이드는 2026년 10월 기준의 내용을 담고 있습니다. 수정된 일정의 일부 세부 사항은 아직 명확히 정리되는 중입니다. 규정 준수 결정을 내리기 전에 관보(Official Journal)에 게재된 법문과 유럽집행위원회의 AI법 공식 페이지를 반드시 확인하시기 바랍니다.

EU AI법이란 무엇인가?

AI법은 지침(directive)이 아니라 규정(regulation)입니다. 따라서 회원국이 별도의 국내법으로 옮길 필요 없이 모든 회원국에 직접 적용됩니다. 공식 명칭은 규정 (EU) 2024/1689이며, 2024년 7월에 공포되었습니다. 유럽의회 산하 연구서비스는 이 법이 전면 시행까지 최소 3년이 걸리도록 설계되었다고 밝힌 바 있습니다.

AI법은 흔히 최초의 포괄적이고 수평적인 AI 법적 틀로 평가받습니다. 특정 산업만을 겨냥하지 않고 여러 분야를 가로지르도록 설계되었다는 뜻입니다. AI 시스템은 위험도에 따라 규제되며, 범용 모델은 그 역량에 따라 규제됩니다. 기술적 세부 사항은 가이드라인, 조화된 표준, 자율 행동강령이 보완합니다.

AI법의 위험 범주는 무엇인가?

AI법 본문은 AI 시스템에 대해 네 가지 위험 등급을 제시하며, 범용 모델에 대해서는 별도의 체계를 둡니다. 아래 요약은 법의 구조를 따릅니다. 정확한 경계는 제5조, 제6조, 부속서 I과 III, 그리고 제50조에 규정되어 있습니다.

수용 불가 위험(금지): 사회적 점수 부여와 사람을 조종하거나 취약점을 악용하는 AI가 여기에 해당합니다. 얼굴 이미지의 무분별한 수집은 금지되며, 직장과 학교에서의 감정 인식도 예외를 두고 금지됩니다. 특정 생체 정보 분류, 프로파일링에만 근거한 예측 치안, 법 집행을 위한 공공장소 내 실시간 원격 생체 식별(좁은 예외 제외)도 금지됩니다.

고위험: 두 가지 유형이 있습니다. 부속서 I은 기계, 의료기기, 장난감 등 이미 EU 제품법의 규율을 받는 제품에서 안전 부품으로 작동하는 AI를 다룹니다. 부속서 III은 민감한 분야에서 독립적으로 사용되는 시스템을 다룹니다. 여기에는 생체 인식, 핵심 기반시설, 교육, 고용, 필수 서비스와 신용평가, 법 집행, 이주 및 국경 통제, 사법 및 민주적 절차가 포함됩니다.

고위험 시스템의 제공자는 위험 관리, 데이터 거버넌스, 기술 문서를 갖춰야 합니다. 또한 로깅, 인간의 감독, 적절한 정확성과 견고성도 확보해야 합니다. 이에 더해 적합성 평가, CE 표시, EU 데이터베이스 등록이 요구됩니다.

제한적 위험(투명성, 제50조): 사람이 챗봇과 상호작용하고 있다는 사실을 고지해야 하며, 딥페이크에는 표시를 해야 합니다. AI가 생성한 콘텐츠에는 기계가 읽을 수 있는 표시도 있어야 합니다. 최소 위험: 스팸 필터나 비디오 게임 같은 일상적인 도구에는 새로운 의무가 부과되지 않습니다.

범용 AI 모델: 모든 GPAI 제공자는 문서를 보관하고 저작권 정책을 갖춰야 합니다. '체계적 위험'이 있다고 간주되는 모델에는 추가 의무가 주어집니다. 이 법은 학습에 사용된 연산량이 10^25 FLOP를 넘으면 체계적 위험이 있는 것으로 추정합니다.

EU AI법은 언제 적용되는가? 현재 일정

당초 일정에 따르면 금지 조항과 AI 리터러시 의무는 2025년 2월 2일부터 시행되었습니다. 이어서 2025년 8월 2일부터 GPAI 규칙, 거버넌스 조항, 벌칙이 적용되었습니다. 부속서 III의 고위험 규칙을 포함한 나머지 대부분의 조항은 2026년 8월 2일로 예정되었습니다. 부속서 I의 고위험 규칙은 2027년 8월 2일로 정해져 있었습니다.

이 계획은 바뀌었습니다. 2025년 11월 19일 집행위원회는 'AI에 관한 디지털 옴니버스'를 제안했는데, 이는 2024년 드라기 보고서에서 제기된 규제 복잡성 우려에 부분적으로 대응한 것이었습니다. 유럽의회와 이사회는 2026년 5월 7일 잠정 합의에 도달했습니다. 유럽의회는 6월 16일 최종 승인했고, 이사회는 6월 29일 해당 문안을 채택했습니다. 7월 8일 서명되었고, 2026년 7월 27일 관보에 게재되면서 발효되었습니다.

수정된 날짜에 따르면 부속서 III의 독립 고위험 규칙은 이제 2027년 12월 2일부터 적용됩니다. 규제 제품에 내장된 AI에 관한 부속서 I 규칙은 2028년 8월부터 시작됩니다. Formalize의 분석에 따르면 일반 금지 조항과 GPAI 규칙은 연기되지 않았습니다.

일부 사항은 아직 열려 있습니다. 옴니버스 이후 제50조 투명성 및 워터마킹 의무의 정확한 날짜, 새로운 금지 조항의 추가 여부, 중소기업에 대한 완화 범위의 정확한 적용 대상 등이 여기에 포함됩니다. 조화된 표준도 지연되고 있다는 보도가 있습니다. 이러한 내용은 공식 법문으로 확인하시기 바랍니다.

AI법은 누구에게 적용되는가?

법의 적용 범위 조항에 따르면, 소재지와 관계없이 EU 시장에 AI 시스템을 출시하는 제공자가 적용 대상입니다. EU 내에 있는 배포자(AI를 사용하는 조직), 수입자, 유통자, 제품 제조자도 포함됩니다. EU 밖의 제공자와 배포자도 해당 시스템의 결과물이 EU 내에서 사용되는 경우 적용을 받습니다.

이러한 역외 적용은 GDPR과 매우 유사하게 작동합니다. 튀르키예, 미국 또는 기타 지역의 기업이 EU에 AI를 판매하거나 AI 결과물이 EU에서 사용된다면 적용 대상이 될 수 있습니다. EU 밖의 고위험 시스템 및 GPAI 모델 제공자는 EU 내 공인대리인을 지정해야 합니다.

일부 용도는 적용에서 제외됩니다. 군사, 국방, 국가안보 목적, 순수 과학 연구에만 사용되는 AI, 순전히 개인적이고 비전문적인 용도가 여기에 해당합니다. 대부분의 무료 및 오픈소스 소프트웨어도 일부 예외를 제외하고 적용 대상이 아닙니다.

EU AI법에 따른 과징금은 얼마인가?

제99조는 세 단계의 과징금을 정하고 있습니다. 금지 조항을 위반하면 최대 3,500만 유로 또는 전 세계 연간 매출액의 7% 중 높은 금액이 부과될 수 있습니다. 그 밖의 대부분의 사업자 의무 위반은 최대 1,500만 유로 또는 3%입니다. 당국에 잘못되었거나 오해의 소지가 있는 정보를 제공하면 최대 750만 유로 또는 1%의 과징금이 부과될 수 있습니다.

중소기업과 스타트업에는 두 금액 중 낮은 쪽이 적용됩니다(제99조 제6항). 옴니버스는 이러한 처리를 '소규모 중견기업'으로 확대한 것으로 알려져 있습니다. 세부적인 국가별 벌칙 규정은 회원국이 정하며, 제99조는 2025년 8월 2일부터 적용되고 있습니다. GPAI 제공자는 집행위원회로부터 최대 1,500만 유로 또는 3%의 과징금을 부과받을 수 있습니다.

연기된 의무와 연결된 과징금 단계는 해당 의무가 적용될 때에만 효력을 가집니다. 일부 이전 조문에는 고위험 관련 과징금이 2026년 8월 2일부터 시작된다는 내용이 아직 남아 있습니다. 이는 더 이상 정확하지 않습니다.

기업은 지금 무엇을 해야 하는가?

금지 조항, AI 리터러시, GPAI 규칙은 이미 시행 중이므로 일정이 미뤄졌다고 준비를 멈춰서는 안 됩니다. 실용적인 첫 단계는 자사가 개발, 구매 또는 판매하는 AI 시스템을 목록으로 정리하고 각 시스템을 위험 등급에 대응시키는 것입니다.

고위험 제공자에게는 문서, 데이터 거버넌스, 인간 감독 절차를 구축하는 데 시간이 걸리므로 2027년 12월은 생각보다 가까울 수 있습니다. 정확한 세부 사항은 2차 요약 자료가 아니라 EUR-Lex, 집행위원회의 AI법 페이지, AI 사무국(AI Office)을 기준으로 확인하시기 바랍니다.