EU AI Act, 2026년 8월: 실제로 시행된 것, 미뤄진 것, 그리고 누구에게 적용되는가
AI Act의 '핵심 마감일'은 2026년 8월 2일이었어요. 사흘 전에 그날이 지나갔죠. 그런데 그날 일어나기로 했던
요약 버전
| 의무 | 2026년 8월 2일 기준 상태 |
|---|---|
| 고위험 AI 시스템 (부속서 III: 채용, 신용 평가, 교육 등) | 2027년 12월 2일로 연기 |
| 규제 제품에 내장된 고위험 AI (의료기기, 기계류) | 2028년 8월 2일로 연기 |
| AI 콘텐츠 고지 및 챗봇 투명성 (제50조) | 현재 시행 중 |
| 범용 AI 모델 의무 (GPAI) | 2025년 8월 2일부터 |
| 동의 없는 AI 생성 성적 이미지 / 아동 성착취물(CSAM) 금지 | 2026년 12월 2일부터 시행 |
출처: 규정 (EU) 2026/1744, 'AI 디지털 옴니버스', 2026년 7월 27일 발효.
1. 2026년 7월 27일에 바뀐 것
EU는 2026년 7월 24일 관보에 규정 (EU)
연기 사유는 이렇습니다. 고위험 시스템에 대한 조화된 기술 표준(제40조)이 마무리되지 않았고, 각국의 적합성 평가 인프라도 아직 작동하지 않았거든요.
개정된 일정:
| 날짜 | 적용 내용 |
|---|---|
| 2025년 2월 2일 | 금지 AI 관행(제5조) 전면 금지. AI 리터러시 의무(제4조) 시작. |
| 2025년 8월 2일 | GPAI 모델 제공자 의무 시작(문서화, 저작권 정책, 학습 데이터 요약). 국가 당국과 적합성 평가 기관은 작동 상태여야 함. |
| 2026년 8월 2일 | 제50조 투명성 의무 적용: AI 상호작용 고지, 딥페이크 라벨링 - 이 |
| 2026년 12월 2일 | 기계 판독 가능한 AI 콘텐츠 표시(제50조 2항)가 2026년 8월 2일 이전에 이미 시장에 나와 있던 시스템에 적용. AI 생성 동의 없는 성적 이미지 / CSAM('누디파이어') 금지 신규 발효. |
| 2027년 12월 2일 | 독립형 고위험 AI 시스템(부속서 III)은 규정을 준수해야 함 - 2026년 8월 2일에서
|
| 2028년 8월 2일 | 규제
|
이것도 바뀌었어요. EU 기계류 규정(Machinery Regulation)이 이미 적용되는 제품에 내장된 AI는 이제 AI Act의 직접적인 고위험 규정에서 제외됩니다. 대신 기계류 규정에 따른 위임 법령으로 다뤄지죠.
2. 지금
당장 여러분 책상 위에서
실제로 살아 있는 부분 - 제
50조
오늘 실질적으로 이빨이 있는 부분이에요. 2027년이 아니라요.
적용 대상:
- 사람과 직접 대화하는 AI 시스템(챗봇, 음성 비서) - 맥락상 명백한 경우가 아니면 AI라는 사실을 고지해야 함.
- 딥페이크 - 실제 인물, 장소,
- 공익적 사안에
- 감정 인식 또는
적용되지 않는 경우:
- 순수 내부 용도로만 쓰이고 외부에 공개된 적이 없는 경우.
- 실질적인 사람의 검토를 거쳤고, 개인이나 조직이 그에 대한 편집 책임을 지는 콘텐츠.
- 입력을 실질적으로 변경하지 않는 보조 편집.
- 제품 설명이나
- 안전장치를 갖춘, 법 집행 승인 용도.
제재: 최대 1,500만 유로 또는 전 세계 연간 매출의 3% 중 더 높은 금액. (제5조 금지 관행에 지정된 3,500만 유로 / 7%보다 낮은 별도 등급.)
기계 판독 가능한 표시
- 기술적 워터마크 계층, 제50조 2항 -
3. 여러분이 어디에 법인 등록을 했는지와 전혀 상관없는 부분
제2조가 지역적 범위를 정합니다. 세 가지 연결 고리가 있고, EU 외 사업체는 그중 하나만 걸리면 돼요.
| 조항 | 적용 대상 |
|---|---|
| 2(1)(a) | AI 시스템이나
|
| 2(1)(b) | EU에 설립되었거나 소재한 배포자. |
| 2(1)(c) | AI 시스템의 출력이 EU에서 사용되는 경우, 제3국의 제공자와 배포자. |
출처: 제2조, AI Act 서비스 데스크, 유럽위원회.
세 가지 연결 고리 중 어느 것도 법인 등록지, 본사, 국적을 언급하지 않아요. 시장과 출력을 언급하죠.
제50조에
실제로는 이렇게 보여요:
| 시나리오 | 적용 대상? |
|---|---|
| 에이전시가 미국 전용 고객을 위한 챗봇을 구축, EU 사용자 없음, 지역 차단됨 | 아니요 - 출력이 EU에서
|
| 에이전시가 EU + 전 세계 사용자에게 서비스하는 챗봇을 구축 | 예 - 제50조 1항
|
| 크리에이터가 지역 차단 없이 공개 웹에서 EU 시청자에게 도달하는 AI 생성 영상을 게시 | 예, EU 도달이 우연이 아니라 예견 가능한 경우 |
| 회사가 AI를 순수 내부용으로만 사용, 게시하는 것 없음, EU 고객 없음 | 아니요 |
| EU 외 핀테크의 신용 평가 API를 EU 은행이 호출해 EU 지원자를 평가 | 예 - 제2조 1항 (c), 출력이 EU에서
|
'예견 가능한'이 핵심 표현이에요. 공개 웹에 전 세계 청중을 대상으로 게시하는 건 해당됩니다. EU 사용자가 VPN을 통해 우연히 콘텐츠를 발견하는 건 일반적으로 해당되지 않고요.
4. 참고용 기준선
네 가지 위험 등급:
| 등급 | 예시 | 상태 |
|---|---|---|
| 금지 | 사회적 점수화, 잠재의식 조작, 무차별 안면 인식 스크래핑, 법 집행 기관의 실시간 생체 정보 식별(제한적 예외), AI 생성 성적 이미지/CSAM | 2025년 2월 2일부터 금지 (이미지 금지는 2026년 12월 2일부터) |
| 고위험 | 채용 도구, 신용 평가, 교육/시험 채점, 핵심 인프라, 이주/국경 시스템 | 부속서 III: 2027년 12월 2일. 부속서 I(규제 제품 내장): 2028년 8월 2일 |
| 제한적 / 투명성 위험 | 챗봇, 딥페이크, AI 생성 공익 콘텐츠, 감정 인식 | 2026년 8월 2일부터 시행 (제50조) |
| 최소 위험 | 스팸 필터, 재고 예측, 대부분의 소비자 대상 AI 기능 | 특정 의무 없음 |
제재:
| 위반 | 최대 벌금 |
|---|---|
| 금지 관행 (제5조) | 3,500만 유로 또는 전 세계 매출의 7% |
| 제50조 투명성 위반 | 1,500만 유로 또는 전 세계 매출의 3% |
두 수치 모두 '더 높은 금액' 기준이에요.
출처
- 유럽위원회, AI Act 서비스 데스크 - 제2조:
- 유럽위원회, 디지털 전략 - 'AI 옴니버스 발효', 2026년 7월 27일
- 규정 (EU) 2024/1689 (EU AI Act)
- 규정 (EU) 2026/1744 (AI 디지털 옴니버스)