EU AI법 8월 2일 시행, 고위험 연기됐어도 지금 할 일

2026년 8월 2일은 원래 EU AI법(AI Act)의 고위험 AI 의무가 시작되는 날이었습니다. 그런데 이 일정은 '디지털 옴니버스'라 불리는 개정으로 미뤄졌습니다. EU 이사회가 6월 29일 개정안을 최종 승인했고, 7월 24일 관보에 실렸습니다. 연기 소식만 듣고 안심하기는 이릅니다. 챗봇이라는 사실을 알리고 AI가 만든 결과물에 표시를 하라는 투명성 의무(제50조)는 예정대로 8월 2일부터 적용됐습니다. 이 법은 회사가 EU 밖에 있어도 그 결과물이 EU에서 쓰이면 적용되므로, 유럽 고객을 둔 국내 기업도 대상이 될 수 있습니다.

무엇이 미뤄졌고 무엇이 그대로인가

8월 2일부터 적용된 투명성 의무, 쉽게 보면

유럽연합 집행위원회의 안내를 바탕으로 정리하면 네 가지입니다.

1. 사람과 직접 대화하는 AI는 상대가 AI와 이야기하고 있다는 사실을 알 수 있게 만들어야 합니다. 누가 봐도 분명한 경우는 예외입니다.
2. 이미지, 음성, 영상, 글을 만드는 AI의 제공자는 그 결과물이 AI로 만들어졌다는 사실을 기계가 읽을 수 있는 형식으로 표시해야 합니다.
3. 감정 인식이나 생체 정보 분류 시스템을 쓰는 쪽은 그 대상이 되는 사람에게 사실을 알려야 합니다.
4. 딥페이크, 그리고 공공의 관심사를 알리려고 AI로 만든 글을 게시하는 쪽은 AI가 만들었다는 사실을 밝혀야 합니다. 다만 사람이 내용을 실질적으로 검토하고 편집 책임을 지는 글은 예외입니다. 형식적인 확인만으로는 검토로 인정되지 않습니다.

집행위원회는 7월에 이 의무를 지키는 실무 기준인 행동 강령(Code of Practice)을 적합하다고 확인했고, 7월 20일 최종 지침을 냈습니다. 위반하면 최대 1,500만 유로 또는 전 세계 연 매출의 3% 가운데 큰 금액까지 과징금이 부과될 수 있습니다. 중소기업에는 둘 가운데 작은 금액이 기준입니다.

우리 회사는 해당되나

고위험 의무가 미뤄진 기간은 쉬는 시간이 아니라 준비 시간입니다. 위험 관리 체계, 기술 문서, 데이터 관리 기록은 1년 안에 갑자기 만들기 어렵습니다. 유럽 고객사가 계약 단계에서 이런 자료를 요구할 수도 있으니, 공급망 안에서 우리 회사가 제공자인지 배포자인지부터 정리해 두는 편이 좋습니다.

국내에서도 2026년 1월 시행된 인공지능 기본법이 생성형 AI 결과물 표시 의무를 두고 있습니다. 두 법의 표시 기준을 함께 놓고 한 번에 설계하면 같은 일을 두 번 하지 않아도 됩니다. 국내 법은 인공지능 기본법 점검 글에서 따로 다뤘습니다.

규제 대응을 시스템 설계와 함께 검토하고 싶다면 문의를 남겨 주세요.