EU AI Act, 2026년 8월: 실제로 발효된 것, 미뤄진 것, 그리고 누구에게 적용되는가
AI Act의 '핵심 마감일'은 2026년 8월 2일이었어요. 이 날짜는 사흘 전에 지나갔죠. 하지만 정작 그날 벌어졌어야 할
한 줄 요약
| 의무 | 2026년 8월 2일 기준 상태 |
|---|---|
| 고위험 AI 시스템 (부속서 III: 채용, 신용평가, 교육 등) | 2027년 12월 2일로 연기 |
| 규제 대상 제품에 내장된 고위험 AI (의료기기, 기계류) | 2028년 8월 2일로 연기 |
| AI 콘텐츠 고지 및 챗봇 투명성 (제50조) | 지금 발효 중 |
| 범용 AI 모델 의무 (GPAI) | 2025년 8월 2일부터 |
| AI 생성 비동의 성적 이미지 / CSAM 금지 | 2026년 12월 2일부터 발효 |
출처: 규정 (EU) 2026/1744, "AI 디지털 옴니버스", 2026년 7월 27일부터 시행.
1. 2026년 7월 27일에 바뀐 것
EU는 규정 (EU)
연기 사유는 이렇게 제시됐어요. 고위험 시스템에 대한 조화된 기술 표준(제40조)이 아직 완성되지 않았고, 국가별 적합성 평가 인프라도 아직 가동되지 않았다는 거죠.
수정된 일정:
| 날짜 | 적용 내용 |
|---|---|
| 2025년 2월 2일 | 금지된 AI 관행(제5조) 전면 금지. AI 리터러시 의무(제4조) 시작. |
| 2025년 8월 2일 | GPAI 모델 제공자 의무 시작(문서화, 저작권 정책, 학습 데이터 요약). 국가 당국 및 적합성 평가 기관 가동 의무화. |
| 2026년 8월 2일 | 제50조 투명성 의무 적용: AI 상호작용 고지, 딥페이크 라벨링 - 이 |
| 2026년 12월 2일 | 기계 판독 가능한 AI 콘텐츠 표시(제50조 제2항)가 2026년 8월 2일 이전 이미 시장에 출시된 시스템에 적용. AI 생성 비동의 성적 이미지 / CSAM("누디파이어") 신규 금지 발효. |
| 2027년 12월 2일 | 독립형 고위험 AI 시스템(부속서 III) 준수 의무 - 2026년 8월
|
| 2028년 8월 2일 | 규제 대상
|
또 하나 바뀐 점: 이미 EU 기계류 규정의 적용을 받는 제품에 내장된 AI는 이제 AI Act의 직접적인 고위험 규정에서 제외돼요. 대신 기계류 규정에 따른 위임 법령으로 다뤄지죠.
2. 지금 당장 여러분 책상에
실제로 놓인 부분 - 제
50조
바로 이 부분이 오늘 당장 이빨을 드러내는 대목이에요. 2027년이 아니고요.
적용 대상:
- 사람과
- 딥페이크 - 실제 인물, 장소,
- 공익적
- 감정 인식 또는
적용되지 않는 경우:
- 순수 내부 용도로만 쓰이고 외부에 공개되지 않는 경우.
- 사람 또는 조직이 편집 책임을 지고 실질적인 인간 검토를 거친 콘텐츠.
- 입력물을 실질적으로 변경하지 않는 보조 편집.
- 제품 설명이나
- 안전장치를 갖춘, 법 집행 목적으로 허가된 사용.
벌칙: 최대 1,500만 유로 또는 전 세계 연간 매출의 3% 중 더 높은 금액. (제5조 금지 관행에 적용되는 3,500만 유로 / 7%보다는 별도의 낮은 등급이에요.)
기계 판독 가능 표시
- 기술적 워터마크 계층, 제50조 제2항 -
3. 여러분이 어디에 법인 등록을 했는지와 전혀 상관없는 부분
제2조가 영토적 적용 범위를 정해요. 걸리는 고리가 셋인데, 비EU 기업은 그중 하나만 걸려도 적용돼요.
| 조항 | 적용 대상 |
|---|---|
| 제2조 제1항 (a) | AI 시스템 또는
|
| 제2조 제1항 (b) | EU에 설립되거나 소재한 배포자. |
| 제2조 제1항 (c) | AI 시스템의 출력물이 EU에서 사용되는 경우, 제3국의 제공자 및 배포자. |
출처: 제2조, AI Act 서비스 데스크, 유럽위원회.
세 고리 중 어느 것도 법인 등록지, 본사, 국적을 언급하지 않아요. 언급하는 건 시장과 출력물이죠.
제50조에
실제로는 이런 모습이에요:
| 시나리오 | 적용 대상? |
|---|---|
| 대행사가 미국 전용 고객을 위한 챗봇을 만들고, EU 사용자는 없으며 지역 차단이 되어 있음 | 아니오 - 출력물이 EU에서
|
| 대행사가 EU + 글로벌 사용자를 대상으로 하는 챗봇을 만듦 | 예 - 제50조 제1항
|
| 크리에이터가 지역 차단 없이 공개 웹에서 EU 시청자에게 도달하는 AI 생성 영상을 게시함 | 예, EU 도달이 우연이 아니라 예측 가능한 경우 |
| 회사가 AI를 순수 내부용으로만 쓰고, 공개하는 것도 없으며 EU 고객도 없음 | 아니오 |
| 비EU 핀테크의 신용평가 API를 EU 은행이 호출해 EU 신청자를 평가함 | 예 - 제2조 제1항 (c), 출력물이 EU에서
|
핵심 단어는 "예측 가능성"이에요. 글로벌 청중을 대상으로 공개 웹에 게시하는 건 여기에 해당하죠. EU 사용자가 VPN을 통해 우연히 콘텐츠를 발견하는 건 대체로 해당하지 않고요.
4. 참고용 기본 틀
네 가지 위험 등급:
| 등급 | 예시 | 상태 |
|---|---|---|
| 금지 | 사회적 점수 평가, 잠재의식 조작, 무차별 얼굴 인식 스크래핑, 법 집행기관의 실시간 생체 식별(제한적 예외), AI 생성 성적 이미지/CSAM | 2025년 2월 2일부터 금지 (이미지 금지는 2026년 12월 2일부터) |
| 고위험 | 채용 도구, 신용평가, 교육/시험 채점, 핵심 인프라, 이주/국경 시스템 | 부속서 III: 2027년 12월 2일. 부속서 I(규제 대상 제품 내장): 2028년 8월 2일 |
| 제한적 / 투명성 위험 | 챗봇, 딥페이크, AI 생성 공익 콘텐츠, 감정 인식 | 2026년 8월 2일부터 발효 (제50조) |
| 최소 위험 | 스팸 필터, 재고 예측, 대부분의 소비자 대상 AI 기능 | 특정 의무 없음 |
벌칙:
| 위반 | 최대 과징금 |
|---|---|
| 금지 관행 (제5조) | 3,500만 유로 또는 전 세계 매출의 7% |
| 제50조 투명성 위반 | 1,500만 유로 또는 전 세계 매출의 3% |
두 수치 모두 "둘 중 더 높은 금액" 기준이에요.
출처
- 유럽위원회, AI Act 서비스 데스크 - 제2조:
- 유럽위원회, 디지털 전략 - "AI 옴니버스 시행", 2026년 7월 27일
- 규정 (EU) 2024/1689 (EU AI Act)
- 규정 (EU) 2026/1744 (AI 디지털 옴니버스)