EU AI법, 2026년 8월: 실제로 시행된 것, 미뤄진 것, 그리고 누구에게 적용되는가
AI법의 '대형 마감일'은 2026년 8월 2일이었어요. 그 날짜는 사흘 전에 지나갔죠. 하지만 그날
요약 버전
| 의무 | 2026년 8월 2일 기준 상태 |
|---|---|
| 고위험 AI 시스템 (부속서 III: 채용, 신용 평가, 교육 등) | 2027년 12월 2일로 연기 |
| 규제 대상 제품에 내장된 고위험 AI (의료기기, 기계류) | 2028년 8월 2일로 연기 |
| AI 콘텐츠 고지 및 챗봇 투명성 (제50조) | 현재 시행 중 |
| 범용 AI 모델 의무 (GPAI) | 2025년 8월 |
| AI 생성 비동의 성적 이미지 / 아동 성착취물 금지 | 2026년 12월 2일부터 시행 |
출처: 규정 (EU) 2026/1744, "AI 디지털 옴니버스", 2026년 7월 27일부터 발효.
1. 2026년 7월 27일에 무엇이 바뀌었나
EU는 규정 (EU)
연기 사유로는 이렇게 밝혔어요: 고위험 시스템에 대한 조화된 기술 표준(제40조)이 완성되지 않았고, 각국의 적합성 평가 인프라도 아직 가동되지 않았다는 것이죠.
수정된 일정:
| 날짜 | 적용 내용 |
|---|---|
| 2025년 2월 2일 | 금지된 AI 관행(제5조) 전면 금지. AI 리터러시 의무(제4조) 시작. |
| 2025년 8월 2일 | GPAI 모델 제공자 의무 시작(문서화, 저작권 정책, 학습 데이터 요약). 국가 당국과 적합성 평가 기관의 가동 의무. |
| 2026년 8월 2일 | 제50조 투명성 의무 적용: AI 상호작용 고지, 딥페이크 라벨링 - 이 |
| 2026년 12월 2일 | 기계 판독 가능한 AI 콘텐츠 표시(제50조 2항)가 2026년 8월 2일 이전에 이미 시장에 나온 시스템에 적용. AI 생성 비동의 성적 이미지 / 아동 성착취물("누디파이어") 신규 금지 발효. |
| 2027년 12월 2일 | 독립형 고위험 AI 시스템(부속서 III) 준수 의무 - 2026년 8월
|
| 2028년 8월 2일 | 규제 대상 제품(부속서 I)에
|
또 하나 바뀐 것: 이미 EU 기계류 규정의 적용을 받는 제품에 내장된 AI는 이제 AI법의 직접적인 고위험 규정에서 제외돼요. 대신 기계류 규정에 따른 위임 법령으로 처리됩니다.
2. 지금
당장 여러분
책상 위에 놓인 실제 의무 - 제
50조
바로 이 부분이 오늘 이빨을 드러내고 있어요. 2027년이 아니라요.
적용 대상:
- 사람과
- 딥페이크 - 실제 인물, 장소, 사건과
- 공익 사안에
- 감정 인식 또는
적용되지 않는 대상:
- 외부에 절대 공개되지 않는 순수 내부 용도.
- 실제 사람의 검토를 거쳤고, 사람이나 조직이 그에 대한 편집 책임을 지는 콘텐츠.
- 입력을 실질적으로 변경하지 않는 보조적 편집.
- 제품 설명이나
- 안전장치를 갖춘 법 집행 승인 용도.
처벌: 최대 1,500만 유로 또는 전 세계 연간 매출의 3% 중 더 큰 금액. (제5조 금지 관행에 적용되는 3,500만 유로 / 7%보다 낮은 별도 등급.)
기계 판독 가능한 표시
- 기술적 워터마크 계층, 제50조 2항 -
3. 회사를 어디에 설립했는지와 전혀 상관없는 부분
제2조가 영토적 적용 범위를 정합니다. 세 가지 걸림쇠가 있는데, 비EU 기업은 그중 하나만 걸려도 적용돼요.
| 조항 | 적용 대상 |
|---|---|
| 2조 1항 (a) | AI 시스템
|
| 2조 1항 (b) | EU에 설립되었거나 소재한 배포자. |
| 2조 1항 (c) | 제3국의 제공자 및 배포자로서, AI 시스템의 출력이 EU에서 사용되는 경우. |
출처: 제2조, AI법 서비스 데스크, 유럽 위원회.
세 가지 걸림쇠 중 어느 것도 법인 설립, 본사, 국적을 언급하지 않아요. 시장과 출력을 언급하죠.
제50조에
실제로는 이렇게 보입니다:
| 시나리오 | 적용 대상인가? |
|---|---|
| 대행사가 미국 전용 고객을 위해 챗봇을 구축, EU 사용자 없음, 지역 차단됨 | 아니오 - 출력이 EU에서
|
| 대행사가 EU + 글로벌 사용자를 대상으로 하는 챗봇 구축 | 예 - 50조 1항
|
| 크리에이터가 지역 차단 없이 공개 웹에서 EU 시청자에게 도달하는 AI 생성 영상을 게시 | 예, EU 도달이 우발적이지 않고 예측 가능한 경우 |
| 회사가 AI를 순수 내부용으로만 사용, 게시물 없음, EU 고객 없음 | 아니오 |
| 비EU 핀테크의 신용 평가 API를 EU 은행이 호출해 EU 신청자를 평가 | 예 - 2조 1항 (c), 출력이 EU에서
|
여기서 핵심 단어는 '예측 가능'이에요. 글로벌 청중을 대상으로 공개 웹에 게시하는 것은 해당됩니다. EU 사용자가 VPN을 통해 우연히 콘텐츠를 발견하는 것은 일반적으로 해당되지 않고요.
4. 참고용 기준선
네 가지 위험 등급:
| 등급 | 예시 | 상태 |
|---|---|---|
| 금지 | 소셜 스코어링, 잠재의식 조작, 무차별 안면 인식 스크래핑, 법 집행기관의 실시간 생체 정보 식별(제한적 예외), AI 생성 성적 이미지/아동 성착취물 | 2025년 2월 2일부터 금지 (이미지 금지는 2026년 12월 2일부터) |
| 고위험 | 채용 도구, 신용 평가, 교육/시험 채점, 핵심 인프라, 이주/국경 시스템 | 부속서 III: 2027년 12월 2일. 부속서 I(규제 대상 제품 내장): 2028년 8월 2일 |
| 제한적 / 투명성 위험 | 챗봇, 딥페이크, AI 생성 공익 콘텐츠, 감정 인식 | 2026년 8월 2일부터 시행 중 (제50조) |
| 최소 위험 | 스팸 필터, 재고 예측, 대부분의 소비자 대상 AI 기능 | 특정 의무 없음 |
처벌:
| 위반 | 최대 벌금 |
|---|---|
| 금지된 관행 (제5조) | 3,500만 유로 또는 전 세계 매출의 7% |
| 제50조 투명성 미준수 | 1,500만 유로 또는 전 세계 매출의 3% |
두 금액 모두 '더 큰 쪽'을 적용합니다.
출처
- 유럽 위원회, AI법 서비스 데스크 - 제2조:
- 유럽 위원회, 디지털 전략 - "AI 옴니버스 발효", 2026년 7월 27일
- 규정 (EU) 2024/1689 (EU AI법)
- 규정 (EU) 2026/1744 (AI 디지털 옴니버스)