고위험 규제는 16개월 늦춰져
2026년 8월 유럽연합(EU)의 인공지능법(AI Act)이 일부 적용 단계에 들어갔지만, 생활 속 변화는 법 시행 연기 소식보다 더 빨리 찾아왔다. 채용 사이트의 자동 서류 평가, 은행의 신용 평가 보조 시스템, 고객센터 챗봇, 인공지능(AI)으로 만든 영상 표시가 모두 같은 규제 지형 안에 들어갔다. 핵심은 단순하다.
고위험 인공지능(AI) 규제의 일부 일정은 늦춰졌지만, 이용자에게 AI와 상호작용한다는 사실을 알리고 조직 안에서 AI 이해도를 갖추라는 의무는 2026년 8월 2일부터 이미 적용 중이다. 이번 연기는 기업에 숨 쉴 시간을 준 조치다. 그러나 일반 이용자 관점에서는 규제가 멈춘 것이 아니라 순서를 바꾼 일에 가깝다.
유럽연합(EU)은 교육, 고용, 핵심 인프라, 신용 평가 등 부속서(Annex) III에 해당하는 독립형 고위험 AI 시스템 의무 적용일을 2026년 8월 2일에서 2027년 12월 2일로 미뤘다. 16개월 연기다.
의료기기, 장난감, 리프트처럼 유럽연합(EU) 제품 안전법의 틀 안에 들어가는 제품 탑재형 고위험 AI 시스템(Annex I 관련)은 2028년 8월 2일로 더 늦어졌다. 이 일정표는 기업의 개발 속도보다 표준과 지침 마련 속도가 더딘 현실을 인정한 결과다. Feekr, Morgan Lewis 등 주요 법률·정책 전문 매체들은 이번 연기 결정이 EU 집행위원회가 불필요한 개발 비용 증가와 상용화 차질을 우려해 내린 판단이라고 보도했다.
사회·일반 독자가 봐야 할 대목은 벌금 규모보다 규제의 방향이다. 유럽연합(EU)은 모든 AI를 한꺼번에 막는 길을 택하지 않았다.
대신 사람의 권리와 안전에 직접 닿는 영역을 고위험으로 분류하고, 이용자가 AI를 상대한다는 사실을 모른 채 판단을 맡기는 상황을 줄이려 한다. 채용, 대출, 교육, 의료기기 같은 영역에서 AI가 점수와 추천을 만들 때 그 결과는 개인의 일자리, 금융 접근성, 학습 기회, 건강 관리에 영향을 준다.
광고
규제 일정이 늦춰졌다고 해서 기업이 이 영향을 가볍게 다룰 수 없는 이유다. 당장 적용된 의무는 생활 화면에서 확인된다.
인공지능 리터러시(AI literacy) 의무를 담은 제4조(Article 4)와 투명성(transparency) 의무를 담은 제50조(Article 50)는 2026년 8월 2일부터 적용 중이다. 제4조는 AI 시스템을 운용하는 조직이 직원들의 AI 이해 수준을 높이기 위한 조치를 취할 것을 요구한다.
제50조는 챗봇을 쓰는 서비스가 이용자에게 기계와 대화한다는 점을 알아볼 수 있게 해야 하며, 딥페이크(deepfake)처럼 AI가 만든 콘텐츠에는 표시를 의무화한다. 이는 단순한 문구 하나의 문제가 아니다.
고객이 상담원으로 오인해 민감한 정보를 입력하거나, 합성 영상을 실제 발언으로 믿고 공유하는 일을 줄이는 최소한의 안전장치다. 금지 영역도 그대로 남았다. 사회적 점수화(social scoring), 인간의 생체 감정 분석(biometric emotion recognition) 등 용납할 수 없는 위험을 일으키는 AI 사용은 계속 금지된다.
위반 시 최대 3,500만 유로, 원화로 약 508억 원 또는 전 세계 연 매출의 7%까지 과징금이 부과될 수 있다. 중소기업에는 최대 750만 유로 또는 전 세계 연 매출의 1.5%라는 별도 기준이 적용될 수 있다.
이 수치는 단순한 처벌 목록이 아니라, AI 관리 실패를 제품 결함이나 개인정보 침해와 같은 경영 리스크로 다루겠다는 신호다.
챗봇 고지와 딥페이크 표시는 시행
한국 독자에게 이 사안이 먼 유럽 뉴스에 그치지 않는 이유는 명확하다. 한국 기업이 유럽 시장에 앱, 소프트웨어, 의료기기, 교육 플랫폼, 고객관리 솔루션을 팔거나 유럽 이용자를 대상으로 서비스를 운영하면 유럽연합(EU) 규제의 영향을 받을 수 있다.
유럽 시민의 데이터를 직접 다루지 않더라도, 유럽 고객사에 납품하는 AI 기능이 채용·신용·안전 분야에 쓰이면 계약서와 실사 과정에서 AI 위험 분류 자료를 요구받을 가능성이 커진다.
광고
본지 분석에 따르면, 내부 법무팀과 규제 대응 조직이 작은 중견·중소 소프트웨어 기업일수록 대기업보다 이 요구에 더 취약할 수 있다. 제품 출시 직전에 고지 문구와 데이터 관리 방식을 고치는 식의 사후 대응으로는 비용과 일정 부담을 줄이기 어렵기 때문이다.
정부 차원의 대응도 이 맥락에서 읽어야 한다. 한국 산업통상자원부는 유럽연합 산업가속화법(Industrial Acceleration Act, IAA) 관련 논의에서 한국 기업을 신뢰할 수 있는 파트너로 인정하고 공공조달 등 적용 전반에서 동등성 원칙을 적용해 달라는 입장을 유럽의회에 전달했다. 이 사안은 AI 법과 별개 법안이지만, 유럽 시장 접근 조건이 기술 성능만으로 정해지지 않는다는 점을 보여준다.
공급망, 공공조달, 안전 규제, AI 거버넌스가 한 묶음으로 움직이면 한국 기업은 가격과 기능 외에 규정 준수 능력을 수출 경쟁력으로 증명해야 한다. 기술을 잘 만드는 기업보다 기술 사용의 책임 구조를 문서화한 기업이 더 빨리 계약 문턱을 넘을 수 있다. 기업 입장에서는 시행 연기가 반가운 소식이라는 반론이 가능하다.
고위험 AI 시스템의 세부 기술 표준과 지침이 늦어지는 상황에서 2026년 8월부터 모든 의무를 강행했다면, 개발팀은 불확실한 기준에 맞춰 설계를 반복하고 비용을 떠안았을 수 있다. 이 주장은 설득력이 있다. 다만 이 반론은 당장 적용 중인 의무와 시장의 계약 관행을 과소평가한다.
본지 분석에 따르면, 유럽 고객사는 법 적용일보다 먼저 납품사에 AI 목록, 위험 평가, 데이터 출처, 이용자 고지 방식, 직원 교육 계획 등을 요구하는 사례가 늘고 있다. 규제 시계는 법 조항의 날짜로만 움직이지 않는다. 일상에 미치는 변화는 더 구체적이다.
이용자는 앞으로 챗봇 화면에서 AI 고지를 더 자주 보게 되고, 합성 이미지와 영상에는 제작 사실을 알리는 표시가 붙을 가능성이 커진다.
광고
회사원은 사내에서 생성형 AI 사용 교육을 받거나, 고객 정보와 영업 자료를 외부 AI 서비스에 입력하지 말라는 내부 지침을 접할 수 있다. 취업 준비생은 자동화된 평가 도구가 쓰이는 채용 절차에서 설명 요구와 이의 제기 절차가 어떻게 마련됐는지 따져볼 필요가 있다. 소비자에게 규제는 멀리 있는 법률 문서가 아니라, 화면의 고지 문구와 회사의 데이터 사용 방식으로 나타난다.
한국 기업도 AI 관리표가 필요하다
정책적으로는 유럽연합(EU)의 선택이 글로벌 표준 경쟁의 기준선을 만들 가능성이 높다. 미국은 분야별 규제와 행정명령 중심으로 움직여 왔고, 한국은 AI 기본법과 개인정보보호 체계를 함께 조정하는 과제를 안고 있다.
유럽연합(EU)의 AI 법은 위험 등급을 먼저 정하고 의무를 차등 부과하는 방식을 제도화했다. 이 틀이 완벽하다는 뜻은 아니다. 그러나 기업이 AI를 어떤 목적으로 쓰는지, 사람이 그 결과를 어떻게 확인하는지, 이용자가 기계 판단을 인식할 수 있는지 묻는 질문은 다른 지역 규제에도 옮겨갈 수 있다.
이번 연기를 규제 완화 신호로 읽는 시각은 적절하지 않다. 더 정확한 해석은 유럽연합(EU)이 고위험 AI의 본격 집행을 늦추는 대신, 투명성과 리터러시를 먼저 깔아 시장의 기본 질서를 바꾸기 시작했다는 것이다.
한국 기업이 지금 해야 할 일은 2027년 12월 2일과 2028년 8월 2일만 달력에 표시하는 데 그치지 않는다. 사용 중인 AI 시스템을 목록화하고, 고위험 가능성을 분류하며, 이용자 고지와 직원 교육을 제품 설계 단계에 넣어야 한다.
제4조와 제50조 의무가 이미 발효된 지금, 내부 AI 사용 현황 파악과 고지 체계 구축을 먼저 완료한 기업이 이후 고위험 규제 대응 단계에서도 실질적인 비용 절감 효과를 누릴 수 있다. ※ 이 기사는 Feekr, Morgan Lewis, Aicertia, SproutMedia, The Economy Korea, 지디넷코리아의 유럽연합 인공지능법 관련 보도를 참조하여 작성하였다.
광고
기자명·기사 제목·발행일 등 세부 서지 정보는 각 매체 홈페이지에서 확인할 수 있다.
FAQ
Q. 한국에서만 서비스하는 기업도 유럽연합 AI 법을 준비해야 하나
A. 한국 내 이용자만 대상으로 하고 유럽연합(EU) 시장과 고객 데이터가 전혀 연결되지 않았다면 직접 적용 가능성은 제한적이다. 다만 유럽 기업에 소프트웨어를 납품하거나 유럽 이용자를 받는 온라인 서비스라면 상황이 달라질 수 있다. 특히 채용, 신용 평가, 교육, 의료기기처럼 고위험 영역과 맞닿은 기능은 계약 단계에서 규정 준수 자료를 요구받을 수 있다. 지금은 적용 여부를 단정하기보다 서비스 지역, 고객사, 데이터 흐름을 기준으로 내부 점검표를 만드는 것이 현실적인 출발점이다.
Q. 일반 이용자는 어떤 변화를 체감하게 되나
A. 가장 먼저 보이는 변화는 AI 고지와 콘텐츠 표시다. 고객센터 챗봇, 자동 응답 시스템, AI 생성 이미지와 영상에서 이용자가 기계와 상호작용하거나 합성물을 보고 있다는 사실을 확인하는 장치가 늘어날 수 있다. 이런 표시는 불편한 절차가 아니라 오인과 과도한 정보 제공을 줄이는 안전장치다. 이용자는 표시가 없는 AI 서비스나 출처가 불분명한 합성 콘텐츠를 접할 때 개인정보 입력과 공유 여부를 더 신중하게 판단해야 한다.
Q. 기업은 2027년까지 기다려도 되나
A. 기다리는 전략은 위험하다. 부속서(Annex) III 고위험 AI 의무는 2027년 12월 2일로 늦춰졌지만, 제4조 인공지능 리터러시와 제50조 투명성 의무는 2026년 8월 2일부터 이미 적용 중이다. 기업은 현재 쓰는 AI 도구를 부서별로 파악하고, 이용자 고지 문구와 직원 교육 기록을 남겨야 한다. 고위험 여부 판단이 애매한 시스템은 기능, 데이터, 적용 분야를 문서화해 고객사와 감독기관의 질의에 대응할 수 있게 준비하는 것이 비용을 줄이는 길이다.
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}