LINK-V
LINK-V · 아티클

EU AI Act, 2026년 8월: 실제로 시행 중인 것, 연기된 것, 그리고 누구에게 적용되는가

August 5, 2026

AI Act의 "최대 마감일"은 2026년 8월 2일이었어요. 그 날짜는 사흘 전에 지났고요. 그런데 정작 그날 시행되기로 했던 것들 대부분은 그렇지 않았어요 - 막판 개정으로 미뤄졌거든요. 무엇이 바뀌었고, 무엇이 그대로인지, 그리고 왜 여러분의 위치가 이 중 어느 것과도 상관없는지 살펴 봅니다.


EU AI Act, 2026년 8월: 실제로 시행 중인 것, 연기된 것, 그리고 누구에게 적용되는가

요약

의무2026년 8월 2일 기준 상태
고위험 AI 시스템 (부속서 III: 채용, 신용평가, 교육 등)2027년 12월 2일로 연기
규제 대상 제품에 내장된 고위험 AI (의료기기, 기계류)2028년 8월 2일로 연기
AI 콘텐츠 고지 및 챗봇 투명성 (제50조)현재 시행 중
범용 AI 모델 의무 (GPAI)2025년 8월 2일부터 시행 - 연기와 무관 
AI 생성 비동의 성적 이미지 / CSAM 금지2026년 12월 2일부터 시행

출처: 규정 (EU) 2026/1744, "AI에 관한 디지털 옴니버스(Digital Omnibus on AI)", 2026년 7월 27일 발효.

1. 2026년 7월 27일에 바뀐 것

EU는 규정 (EU) 2026/1744를 2026년 7월 24일 관보(Official Journal)에 게재했어요. 사흘 뒤에 발효됐는데, AI Act의 원래 고위험 마감일보다 닷새 앞선 시점이었죠. 이 규정은 AI Act (규정 (EU) 2024/1689)를 개정한 것이지, 대체한 것은 아니에요.

연기 사유로 제시된 것: 고위험 시스템에 대한 조화된 기술 표준(제40조)이 완성되지 않았고, 국가별 적합성 평가 인프라가 아직 가동되지 않았다는 점이었어요.

수정된 일정:

날짜적용 내용
2025년 2월 2일금지된 AI 관행(제5조) 전면 금지. AI 리터러시 의무(제4조) 시작.
2025년 8월 2일GPAI 모델 제공자 의무 시작(문서화, 저작권 정책, 학습 데이터 요약). 국가 당국과 적합성 평가 기관 가동 의무화.
2026년 8월 2일제50조 투명성 의무 적용: AI 상호작용 고지, 딥페이크 라벨링 - 이 날짜 이후 시장에 출시된 시스템 대상.
2026년 12월 2일기계 판독 가능한 AI 콘텐츠 표시(제50조 2항)는 2026년 8월 2일 이전에 이미 시장에 출시된 시스템에 적용. AI 생성 비동의 성적 이미지 / CSAM("누디파이어") 신규 금지 발효.
2027년 12월 2일독립형 고위험 AI 시스템(부속서 III) 준수 의무 - 2026년 8월 2일에서 이동.
2028년 8월 2일규제 대상 제품(부속서 I)에 내장된 고위험 AI 준수 의무 - 2027년 8월 2일에서 이동.

또 하나 바뀐 점: 이미 EU 기계류 규정(Machinery Regulation)이 적용되는 제품에 내장된 AI는 이제 AI Act의 직접적인 고위험 규칙에서 제외돼요. 대신 기계류 규정에 따른 위임 법령을 통해 다뤄집니다.

2. 지금 당장 여러분 책상 위에 실제로 살아 있는 부분 - 제 50조

오늘 당장 이빨이 있는 부분이에요. 2027년이 아니라요.

적용 대상:

  • 사람과 직접 대화하는 AI 시스템(챗봇, 음성 비서) - 맥락상 명백한 경우가 아니라면 AI임을 고지해야 함.
  • 딥페이크 - 실제 인물, 장소, 또는 사건을 닮은 오디오/이미지/영상/텍스트로, 진짜처럼 보일 만큼 사실적인 것 - 인공적으로 생성 또는 조작되었음을 라벨로 표시해야 함.
  • 공익 사안에 관해 대중에게 정보를 제공할 목적으로 공개된 AI 생성 또는 조작된 텍스트 - AI 생성물임을 고지해야 함.
  • 감정 인식 또는 생체 인식 분류 시스템 - 노출된 사람들에게 해당 시스템이 작동 중임을 알려야 함.

적용되지 않는 경우:

  • 외부에 공개되지 않고 순수하게 내부용으로만 사용.
  • 사람 또는 조직이 편집 책임을 지고 실제로 사람의 검토를 거친 콘텐츠.
  • 입력을 실질적으로 변경하지 않는 보조적 편집.
  • 제품 설명이나 마케팅 문구 - "공익" 텍스트 의무는 제품/서비스 커뮤니케이션까지 확장되지 않음.
  • 안전장치를 갖춘, 법 집행 기관이 승인한 사용.

제재: 최대 1,500만 유로 또는 전 세계 연간 매출의 3% 중 더 높은 금액. (제5조 금지 관행에 적용되는 3,500만 유로 / 7%보다는 낮은 별도 등급.)

기계 판독 가능한 표시 - 기술적 워터마크 계층, 제50조 2항 - 은 별도 마감일이 있어요: 2026년 12월 2일이며, 2026년 8월 2일 이전에 이미 시장에 출시된 시스템에만 적용돼요.

3. 어디에 법인을 두고 있느냐와는 전혀 상관없는 부분

제2조가 지역적 적용 범위를 정해요. 세 가지 연결고리가 있는데, 비EU 기업은 그중 하나만 걸려도 적용됩니다.

조항적용 대상
2조 1항 (a)AI 시스템 또는 GPAI 모델을 EU 시장에 출시하는 모든 자 - 설립 위치와 무관.
2조 1항 (b)EU에 설립되거나 위치한 배포자.
2조 1항 (c)제3국의 제공자 및 배포자로서, 해당 AI 시스템의 출력물이 EU에서 사용되는 경우.

출처: 제2조, AI Act Service Desk, 유럽위원회.

세 가지 연결고리 중 어느 것도 법인 설립지, 본사, 국적을 언급하지 않아요. 언급하는 건 시장과 출력물이에요.

제50조에 적용해 보면: 챗봇의 고지 의무나 딥페이크의 라벨링 의무는 상호작용이 어디서 일어나는지, 또는 콘텐츠가 어디서 소비되는지에 따라 발동돼요 - 이를 내놓은 회사가 어디에 있느냐가 아니라요.

실제로는 이렇게 보여요:

시나리오적용 대상?
에이전시가 미국 전용 고객을 위해 챗봇을 구축, EU 사용자 없음, 지역 차단됨아니오 - 출력물이 EU에서 사용되지 않음
에이전시가 EU + 글로벌 사용자를 대상으로 챗봇 구축예 - 제50조 1항 적용
크리에이터가 AI 생성 영상을 오픈 웹에 게시해 EU 시청자에게 도달, 지역 차단 안 함예, EU 도달이 우발적이 아니라 예견 가능한 경우
회사가 AI를 순수 내부용으로만 사용, 공개된 것 없음, EU 고객 없음아니오
비EU 핀테크의 신용평가 API를 EU 은행이 호출해 EU 신청자를 평가예 - 제2조 1항 (c), 출력물이 EU에서 사용됨

"예견 가능"이 핵심 표현이에요: 오픈 웹에 글로벌 대중을 대상으로 게시하는 건 해당돼요. EU 사용자가 VPN을 통해 우연히 콘텐츠를 발견하는 경우는 일반적으로 해당되지 않고요.

4. 참고용 기본 사항

4개 위험 등급:

등급예시상태
금지사회적 점수 매기기, 잠재의식 조작, 무차별적 얼굴 인식 스크래핑, 법 집행 기관의 실시간 생체 인식 신원 확인(제한적 예외), AI 생성 성적 이미지/CSAM2025년 2월 2일부터 금지 (이미지 금지는 2026년 12월 2일부터)
고위험채용 도구, 신용평가, 교육/시험 채점, 핵심 인프라, 이주/국경 시스템부속서 III: 2027년 12월 2일. 부속서 I (규제 대상 제품에 내장): 2028년 8월 2일
제한적 / 투명성 위험챗봇, 딥페이크, AI 생성 공익 콘텐츠, 감정 인식2026년 8월 2일부터 시행 (제50조)
최소 위험스팸 필터, 재고 예측, 대부분의 소비자 대상 AI 기능특정 의무 없음

제재:

위반최대 벌금
금지 관행 (제5조)3,500만 유로 또는 전 세계 매출의 7%
제50조 투명성 위반1,500만 유로 또는 전 세계 매출의 3%

두 수치 모두 "더 높은 금액" 기준이에요.

출처

  • 유럽위원회, AI Act Service Desk - 제2조: 적용 범위
  • 유럽위원회, Digital Strategy - "AI Omnibus enters into force", 2026년 7월 27일
  • 규정 (EU) 2024/1689 (EU AI Act)
  • 규정 (EU) 2026/1744 (Digital Omnibus on AI)
LINK-V LINK-V