올해 8월 2일, EU AI Act의 '고위험 AI' 조항이 본격 발효된다. 전 세계 기업의 AI 규제 대응이 선택이 아닌 필수가 되는 분기점이다. 2018년 GDPR이 전 세계 웹사이트에 쿠키 동의 팝업을 강제했던 것처럼, 이번 AI Act도 글로벌 AI 시장 전체의 게임 룰을 바꿀 것이다.
이 글에서는 EU AI Act의 전체 타임라인, 규제 체계, 글로벌 파장, 그리고 한국 AI 기본법과의 비교까지 종합적으로 정리했다.
EU AI Act 타임라인: 지금까지의 여정
EU AI Act는 단번에 만들어진 법이 아니다. 2024년 8월 발효 이후 단계적으로 적용 범위를 확장해왔으며, 주요 일정은 다음과 같다.
| 일자 | 내용 | 의미 |
|---|---|---|
| 2024. 8. 1 | EU AI Act 공식 발효 | 법적 효력 발생, AI 사무소 설립 |
| 2025. 2. 2 | 금지 AI(Unacceptable Risk) 전면 금지 | 사회적 신용점수제, 실시간 안면인식 등 즉시 퇴출 |
| 2025. 8. 2 | GPAI(범용AI) 모델 의무 적용 | ChatGPT 등 기초모델 투명성·시스템리스크 규제 시작 |
| 2026. 8. 2 | 🚨 고위험 AI(High-Risk) 의무 발효 | 전체 규제의 핵심. 채용·신용·교육·의료 AI 규제 |
| 2027. 8. 2 | 규제 제품 내 AI 의무 적용 | 의료기기, 기계 등 기존 EU 안전법 적용 제품군 |
| 2030. 8. 2 | 기존 시스템 전환 완료 | 2026년 이전 출시된 고위험 AI 시스템 최종 적용 |
이 중에서도 2026년 8월 2일이 가장 중요한 분기점이다. 대다수 기업에 직접 적용되는 고위험 AI 규제가 본격 시행되기 때문이다.
EU AI Act의 핵심: 위험 기반 4단계 분류
EU AI Act가 흥미로운 점은 AI의 기술적 성능(파라미터 수, 연산력 등)을 규제하지 않는다는 것이다. 대신 인간의 삶에 미치는 사회적 위험도에 따라 4단계로 분류한다.
| 단계 | 설명 | 대표 예시 |
|---|---|---|
| ❌ 금지 AI (Unacceptable Risk) |
인권과 민주주의를 위협하는 AI | 사회적 신용점수제, 잠재의식 조작, 공공장소 무차별 안면인식 |
| 🔴 고위험 AI (High Risk) |
인생·안전에 중대한 영향을 미치는 AI | 채용, 신용평가, 교육, 의료진단, 법집행, 이주·난민 관리 |
| 🟡 투명성 의무 (Limited Risk) |
AI 상호작용 사실 고지 필요 | 챗봇, 딥페이크, AI 생성 콘텐츠 |
| 🟢 최소 위험 (Minimal Risk) |
규제 불필요 | 스팸 필터, AI 번역기, 게임 AI |
금지 AI는 이미 2025년 2월부터 전면 금지되었다. 위반 시 최대 3,500만 유로 또는 전 세계 연간 매출의 7%라는 천문학적 과징금이 부과된다. 매출 1조 기업이면 700억 원, 매출 10조 글로벌 빅테크면 7,000억 원에 달한다.
고위험 AI: 8대 분야와 4대 핵심 의무
8월 2일부터 본격 시행되는 '고위험 AI'는 EU AI Act Annex III에 명시된 8대 분야를 대상으로 한다.
🔍 고위험 AI 8대 분야 (Annex III):
- 생체 인식 및 분류 — 안면인식, 지문, 홍채 등 (금지 대상 제외)
- 중요 인프라 — 교통, 상수도, 전력망 등 안전 관리 AI
- 교육·훈련 — 입학 심사, 시험 채점, 부정행위 감시
- 고용·인사 — 채용 CV 스크리닝, 승진 평가, 업무 배치, 성과 모니터링
- 필수 서비스 접근 — 신용평가, 보험 심사, 응급 서비스
- 법집행 — 범죄 위험 평가, 사전 수사 분석
- 이주·난민·국경 관리 — 비자 심사, 망명 신청 평가
- 사법·민주 절차 — 판결 지원, 법률 분쟁 분석
기존 룰 기반 소프트웨어(if-then 로직)는 통제 가능했다. 반면 고위험 AI는 스스로 데이터에서 패턴을 학습하고 예측을 만든다는 점이 문제다. AI가 대출을 거절했는데 그 이유를 아무도 설명할 수 없는 블랙박스 상황이 발생할 수 있기 때문이다.
이에 EU는 고위험 AI 제공자(Provider)와 배포자(Deployer)에게 4대 핵심 의무를 부과한다.
🛡️ 고위험 AI 4대 핵심 의무
| 의무 | 대상 | 핵심 요구사항 |
|---|---|---|
| 리스크 관리 | 제공자 | 지속적 위험 식별, 평가, 완화 체계 |
| 데이터 거버넌스 | 제공자 | 학습 데이터 품질·편향(bias) 검증, 문서화 |
| 기술 문서 | 제공자 | 시스템별 기술 파일 작성 (Annex IV 양식) |
| 기록 보존 | 제공자·배포자 | 자동 로깅, 사후 모니터링 체계 |
| 투명성 | 제공자 | 사용 설명서에 성능·한계·위험 정보 명시 |
| 인간 감독 | 제공자·배포자 | 인간의 개입·무효화 가능한 기술적 조치 |
| 정확성·견고성·보안 | 제공자 | 성능 벤치마크 문서화, 보안 아키텍처 |
단순히 개발 로그를 저장하는 수준이 아니다. AI 학습 데이터가 어디서 왔는지, 어떤 편향을 어떻게 필터링했는지, 데이터 수집부터 배포까지 전 과정을 추적 가능하게 기록해야 한다. 식당으로 치면 최종 요리뿐 아니라 식재료의 원산지와 주방 위생까지 증명해야 하는 셈이다.
역외 적용: 서울에 있어도 예외 없다
가장 중요한 포인트다. EU AI Act는 역외 적용(Extraterritorial Application) 된다. 본사가 서울에 있더라도, 서비스가 유럽 시장에 진출했거나 유럽 시민의 데이터를 단 한 건이라도 처리한다면 규제 대상이다.
이는 GDPR의 논리와 동일하다. GDPR이 전 세계 웹사이트를 바꿔놓았듯, AI Act도 글로벌 스탠다드가 될 가능성이 높다. 특히:
- EU 역외 제공자는 반드시 EU 내 대리인(Authorized Representative)을 지정해야 함
- 위반 시 유럽 내 서비스 전면 차단 가능
- 천문학적 벌금은 기본
- B2B나 내부 도구라도 AI 출력이 EU로 전달되면 규제 적용
간단한 셀프 진단법: ① EU 시장에 AI 시스템을 출시하는가? ② EU에서 AI를 배포하는가? ③ AI의 출력이 EU에서 사용되는가? 셋 중 하나라도 '예'라면 규제 대상이다.
과징금 체계: 3단계 피라미드
EU AI Act의 과징금은 위반 유형에 따라 3단계로 차등 적용된다.
| 등급 | 위반 유형 | 최대 과징금 |
|---|---|---|
| 🔴 1단계 | 금지 AI 시스템 운용 (Article 5) | €3,500만 또는 연매출 7% |
| 🟡 2단계 | 고위험 AI·GPAI 의무 위반 | €1,500만 또는 연매출 3% |
| 🟢 3단계 | 허위 정보 제공 | €750만 또는 연매출 1.5% |
현실적인 비교: GDPR 최대 과징금이 연매출 4% 또는 €2,000만인 점을 감안하면, AI Act(최대 7%)는 EU 디지털 규제 사상 가장 높은 과징금이다. GDPR 위반 하나만으로도 빅테크들이 거액을 물었던 전례(Amazon €7.46억, Meta €12억)를 생각하면 AI Act의 파급력은 상상을 초월한다.
국가별 AI 규제 지도: EU vs 미국 vs 한국
각국의 AI 규제 접근법은 흥미롭게도 제각각이다. 특히 EU는 '사전 규제', 미국은 '사후 통제', 한국은 '진흥과 규제의 균형'이라는 상이한 철학을 보인다.
| 구분 | EU AI Act | 미국 | 한국 AI 기본법 |
|---|---|---|---|
| 시행 시기 | 2024.8~2027(단계적) | 연방법 없음(주별 상이) | 2026.1.22 (전면 시행) |
| 분류 체계 | 4단계 위험 기반 | 주별 상이 | 고영향 AI 11개 분야 |
| 적합성 평가 | 의무 (사전 인증) | 해당 없음 | 자율 (정부 조달 시 우대) |
| 최대 과징금 | 매출 7% / €3,500만 | 해당 없음 | ₩3,000만 (~$22,000) |
| 금지 AI 목록 | 있음 (사회점수제, 안면인식 등) | 없음 | 없음 |
| 역외 적용 | 있음 (GDPR 방식) | 해당 없음 | 있음 (매출 ₩1조 or 일일사용자 100만↑) |
| 규제 철학 | 안전 우선 | 혁신 우선 | 진흥+규제 균형 |
🇪🇺 EU는 '안전 우선' 철학 아래 출시 전 위험 평가와 사전 인증을 강제한다. 반면 🇺🇸 미국은 연방 차원의 통합 규제법이 없어 주마다 다른 접근을 취한다. 텍사스는 정부 조달 중심의 트라이가(TriGa) 법안, 콜로라도는 알고리즘 차별 방지, 캘리포니아는 의료·고용 알고리즘의 투명성 공개를 의무화하고 있다.
주목할 점은 NACD(미국 기업 이사회 연합)가 AI 거버넌스를 이사회 차원의 최고 의사 결정 과제로 선언한 것이다. 더 이상 AI는 개발팀 구석의 기술 과제가 아니다.
🇰🇷 한국은 2026년 1월 22일 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법'(AI 기본법)을 전면 시행했다. EU보다 7개월 먼저 시행에 들어간 셈이다. 그러나 과징금이 최대 3,000만 원(약 $22,000)에 불과해 실질적 규제력은 EU에 비해 현저히 낮다. 대신 정부가 2.2조 원(약 $16억)을 AI R&D에 투자하고, 규제 샌드박스를 통해 기업이 자유롭게 실험할 수 있는 환경을 조성하는 등 '진흥'에 무게를 두고 있다.
다만 개인정보보호법(PIPA)이 2026년 2월 개정되어 연매출 최대 10%의 과징금이 가능해진 점은 주목할 만하다. AI 기본법의 낮은 과징금은 PIPA가 사실상 보완하는 구조다.
한국 AI 기본법, 꼭 알아야 할 점
한국 AI 기본법은 EU와 달리 '고영향 AI(High-Impact AI)'라는 개념을 사용한다. EU가 '위험(Risk)'에 초점을 맞춘다면, 한국은 '영향(Impact)'에 방점을 둔다. 11개 분야가 지정되어 있으며, EU Annex III(8개)와 일부 겹치지만 차이도 있다.
주요 특징:
- 고영향 AI 11개 분야 — 에너지, 의료, 채용, 대출, 교통, 공공서비스 등
- AI 사업자: 단일 구분 — EU처럼 제공자/배포자/수입자/유통자를 세분화하지 않고 'AI 사업자'로 통일
- 자율 인증 — 적합성 인증은 자발적(정부 조달 시 우대하는 '소프트' 강제)
- 생성형 AI 투명성 — AI 생성 콘텐츠 표시 의무, 딥페이크 별도 표시
- 외국 기업 대리인 — 매출 ₩1조 이상 또는 AI 서비스 매출 ₩100억 이상 또는 일일 국내 이용자 100만 이상이면 국내 대리인 지정 필수
- 계도 기간 — 최소 1년간 과태료 유예 (2027년 1월까지 사실상 규제 프리존)
EU와 한국 동시 진출 기업의 전략: EU AI Act 기준으로 먼저 준수 체계를 구축하는 것이 가장 효율적이다. EU의 요구사항이 더 엄격하므로, EU 기준에 맞추면 한국 요구사항은 대부분 자동 충족된다.
창작자도 예외 없다: AI 생성 콘텐츠 표시 의무
B2B 기업뿐 아니라 유튜브, 틱톡 등 플랫폼 창작자에게도 변화가 불가피하다. 8월 2일 이후 글로벌 플랫폼들은 법적 리스크를 회피하기 위해 자체 정책을 대폭 강화할 것이기 때문이다.
창작자가 알아야 할 핵심 변화:
- AI 생성 콘텐츠에는 워터마크 또는 투명성 라벨(배지) 필수
- AI와의 상호작용(챗봇 등)임을 사용자가 명확히 인지할 수 있어야 함
- 딥페이크는 별도의 강화된 표시 의무
- 미표기 시 알고리즘 노출 불이익, 반복 위반 시 계정 정지 가능
- EU 역내 플랫폼뿐 아니라 EU 시민이 접근하는 모든 글로벌 플랫폼에 영향
3+1 실무 대응 체크리스트
두려워할 필요는 없다. 지금부터 실행할 수 있는 실전 체크리스트를 정리했다.
✅ Step 1: 자사 AI 시스템 인벤토리 구축
회사가 사용하는 모든 AI 시스템을 목록화하고, EU AI Act Annex III(8대 분야) 또는 한국 AI 기본법(11개 분야)의 고위험/고영향에 해당하는지 자가 진단하라. 이게 모든 준수의 출발점이다.
✅ Step 2: 기술 문서화 및 데이터 거버넌스
AI 학습 데이터의 출처, 수집 방법, 편향(bias) 검증 내역, 모델 성능 평가 결과를 투명하게 문서화하라. 이 서류가 법적 분쟁 시 가장 강력한 방패가 된다. 특히 EU에 진출한 기업이라면 Annex IV 형식의 기술 문서를 준비해야 한다.
✅ Step 3: 투명성 체계 구축
UI 화면, 이용약관, 워터마크 등을 통해 사용자가 AI 개입 사실을 직관적으로 알 수 있게 하라. 한국에서는 한국어 고지가 필수이며, EU에서는 Article 50 투명성 의무를 충족해야 한다.
✅ +1: AI 거버넌스 조직 설계 (경영진 필수)
법률·규제 전문가, AI 기술 책임자, 보안 담당자가 협력하는 거버넌스 체계를 이사회 차원에서 구축하라. NACD도 강조했듯, AI 거버넌스는 더 이상 개발팀의 문제가 아니다.
마치며: 규제가 아니라 신뢰의 프리미엄
역사는 기술과 규제의 공진화를 증명해왔다. 증기 기관에 안전밸브가, 자동차에 신호등과 안전벨트가 생겼을 때, 기술은 사라지지 않고 오히려 사회에 안전하게 안착했다. EU AI Act도 같은 맥락이다.
흥미로운 점은 EU의 고위험 규제가 '연기' 움직임을 보이고 있다는 사실이다. 2025년 11월 EU 디지털 옴니버스 패키지(DOP)는 고위험 AI 적용 시점을 최대 16개월 연장하는 내용을 담았다. 주된 이유는 아직 조화로운 표준(Harmonized Standards)과 지정 기관(Notified Bodies)이 준비되지 않았기 때문이다. 즉 EU조차도 완벽한 규제 인프라 없이 법만 먼저 만든 셈이다.
이 틈새를 활용하는 전략이 필요하다. 단순한 '규제 회피'가 아니라, 선제적으로 AI 사용을 투명하게 공개하는 기업이 소비자와 파트너로부터 더 큰 신뢰를 얻는 프리미엄 시대가 이미 열리고 있다.
컴플라이언스를 단순한 비용이 아니라 비즈니스 신뢰도의 프리미엄으로 바라보는 관점의 전환이 필요한 때다. 당신의 AI가 8월 2일 이후에도 계속 신뢰받을 수 있을지, 지금이 점검할 마지막 기회다.
참고: 이 글은 지투지 - 지식에서 지혜로 채널의 영상 "[경고] 안 지키면 수백억 과징금? EU 인공지능법(AI Act) 핵심 요약과 대응 전략"을 출발점으로, EU AI Act 공식 문서, EU 집행위 AI Act 서비스 데스크, Reg-Intel 법률 분석, 한국 법제처 및 과기정통부 자료를 추가로 참고하여 작성되었습니다.