EU 인공지능법 (EU AI Act)

EU 인공지능법(EU AI Act)은 유럽연합이 만든 세계 최초의 포괄적 AI 규제 법률입니다. 공식 명칭은 Regulation (EU) 2024/1689이고 2024년 8월 1일 발효했습니다. 특정 기술을 금지하거나 허가하는 방식이 아니라, AI 시스템이 사람에게 미칠 수 있는 위험의 크기에 따라 의무를 다르게 매기는 위험 기반 접근을 택한 것이 핵심입니다.

법은 AI 시스템을 네 단계로 나눕니다. 사회 점수 매기기나 무차별 얼굴 이미지 수집처럼 기본권을 침해하는 용도는 아예 금지되고, 채용·교육·신용평가·의료기기·중요 인프라처럼 사람의 삶에 큰 영향을 주는 용도는 고위험으로 분류돼 위험관리 체계, 데이터 품질 관리, 기술 문서, 사람의 감독, 사고 보고 같은 의무를 집니다. 챗봇이나 딥페이크처럼 사람이 AI와 상호작용한다는 사실을 알아야 하는 경우는 투명성 의무만 지고, 나머지 대부분은 별도 의무 없이 씁니다.

위험 등급을 나누는 기준이 기술이 아니라 용도라는 점이 중요합니다. 같은 이미지 인식 모델이라도 사진첩 정리에 쓰면 최소 위험이고, 채용 지원자 영상 심사에 쓰면 고위험입니다. 그래서 '우리는 모델을 만들지 않고 API만 쓴다'는 이유로 대상에서 빠지지 않습니다. 학습 데이터에 편향이 있는지, 결과를 사람이 뒤집을 수 있는지, 오작동을 어떻게 기록하는지 같은 질문은 모델을 사 오든 만들든 똑같이 따라옵니다.

적용 일정

의무가 한 번에 켜지지 않고 단계별로 적용된다는 점이 이 법을 읽을 때 가장 헷갈리는 부분입니다. 2025년 2월 2일 금지 대상 AI 관행과 AI 리터러시 의무가 먼저 적용됐고, 2025년 8월 2일 범용 AI(GPAI) 모델 제공자의 의무와 거버넌스·제재 조항이 시작됐습니다. 2026년 8월 2일에는 나머지 조항 대부분이 적용되며, 여기에는 AI 생성물임을 알려야 하는 제50조 투명성 의무가 포함됩니다.

고위험 규정 일정은 2026년에 한 차례 바뀌었습니다. 이른바 디지털 옴니버스 개정안이 유럽의회 본회의를 2026년 6월 16일 통과하고 이사회가 2026년 6월 29일 최종 승인하면서, 원래 2026년 8월 2일이던 고위험 규정 적용일이 단독형 고위험 AI 시스템은 2027년 12월 2일로, 제품에 내장된 고위험 AI 시스템은 2028년 8월 2일로 미뤄졌습니다. 다만 2026년 8월 2일 투명성 의무는 미뤄지지 않았기 때문에 '전부 연기됐다'고 읽으면 안 됩니다. 같은 개정으로 비동의 성적 딥페이크와 아동 성착취물을 만드는 AI를 금지하는 조항이 새로 들어갔습니다.

한국 기업에도 적용되는 이유

이 법은 EU에 법인이 있는지와 무관하게 적용됩니다. EU 시장에 AI 시스템이나 모델을 내놓는 경우, 그리고 시스템이 만들어 낸 결과물이 EU 안에서 쓰이는 경우까지 범위에 들어갑니다. 유럽 고객을 받는 SaaS를 운영하거나 EU 파트너에게 모델을 납품한다면 남의 나라 규제로 넘기기 어렵습니다. 제재도 가볍지 않습니다. 금지된 AI 관행을 어기면 최대 3,500만 유로 또는 전 세계 연간 총매출의 7% 가운데 높은 금액, 그 밖의 의무 위반은 1,500만 유로 또는 3%, 잘못된 정보 제공은 750만 유로 또는 1%가 상한입니다.

생성형 AI를 쓰는 팀이 실무에서 먼저 챙길 부분은 두 가지입니다. 하나는 생성형 AI 결과물에 대한 표시입니다. 사람이 AI 산출물임을 인지할 수 있게 알려야 하고, 기계가 읽을 수 있는 형태의 표시도 요구됩니다. 다른 하나는 문서화입니다. 어떤 데이터로 무엇을 학습·평가했고 어떤 가드레일을 걸었는지 남겨 두지 않으면, 나중에 소급해서 만들기가 훨씬 어렵습니다. 공개 가중치 모델에는 일부 면제가 있지만 조건이 붙으므로 그대로 예외라고 단정할 수 없습니다.

고위험 시스템을 다룬다면 출시 전에 검증 절차를 별도로 두게 됩니다. 위험을 미리 찾아내는 레드팀 점검, 사람이 최종 판단을 뒤집을 수 있는 경로, 할루시네이션과 오탐이 실제 피해로 이어지는 경로에 대한 대비가 문서로 남아야 하기 때문입니다. 이 작업을 규제 대응으로만 보면 부담이지만, 대부분은 AI 안전 관점에서 어차피 해야 하는 일과 겹칩니다.

비슷한 성격의 법으로 한국의 AI 기본법이 있습니다. 위험 기반 접근이라는 틀은 닮았지만 무게 중심이 다릅니다. EU 인공지능법이 규제와 제재를 촘촘하게 짠 쪽이라면, 한국 법은 산업 진흥과 신뢰 기반 조성을 함께 목적으로 두고 있습니다. 두 시장을 모두 상대한다면 더 엄격한 쪽을 기준으로 내부 절차를 만들고, AI 거버넌스 문서를 한 벌로 관리하는 편이 관리 비용이 적게 듭니다.