평범한 회사를 위한 EU 인공지능법

2026년 8월 2일부터 EU 인공지능법(AI Act)의 대부분이 적용되고 있습니다. 웹사이트의 챗봇, 캠페인용 생성 이미지, 모든 책상 위의 어시스턴트처럼 AI를 그저 사용하는 대다수 기업에게 질문은 더 단순합니다. 어떤 의무가 우리 몫이며, 언제부터인가.

올여름 개정 이후의 현황을 정리합니다. 이 글은 개요이며 법률 자문이 아닙니다.

2025년부터 적용된 것

이 법은 2024년 8월 1일 발효되었고 단계적으로 시행됩니다. 2025년 2월 2일부터 여덟 가지 관행이 전면 금지되었습니다. 해로운 조작과 기만, 사람의 취약성을 악용하는 행위, 사회적 점수 매기기, 직장과 교육 현장의 감정 인식, 얼굴 인식 데이터베이스를 위한 무차별 얼굴 이미지 수집, 보호되는 특성을 추론하는 생체 정보 분류가 여기에 포함됩니다. 동의 없는 성적 콘텐츠나 아동 성 착취물을 생성하는 시스템에 대한 아홉 번째 금지는 2026년 12월 2일부터 적용됩니다. 평범한 기업이 이런 일에 가까이 갈 일은 드뭅니다. 콜센터나 면접 도구의 감정 인식이라면 해당될 수 있습니다.

같은 날 AI 리터러시 의무도 시작되었습니다. 이 의무는 제공자와 업무에 AI 시스템을 쓰는 모든 기업에 적용됩니다. 올여름 옴니버스가 문구를 완화했습니다. 이제 기업은 AI 리터러시 함양을 지원하는 조치를 취해야 하며, 법문은 개인별로 특정 수준을 보장할 필요는 없다고 밝힙니다. 의무 자체는 남아 있습니다.

2025년 8월 2일부터 범용 AI 모델 제공자는 별도의 의무를 집니다. 기술 문서, 그 모델 위에서 개발하는 기업을 위한 정보, EU 저작권법 준수 정책, 학습에 쓰인 콘텐츠의 공개 요약입니다. 이 의무는 고객이 아니라 모델 제작사에 부과됩니다. 모델을 파인튜닝하는 기업이 새 모델의 제공자가 되는 것은 예외적인 경우뿐입니다. 집행위원회가 제시한 참고 기준은 원래 학습에 쓰인 연산량의 3분의 1이 넘는 연산을 쓰는 수정입니다.

8월부터 적용되는 것

투명성 규정은 2026년 8월 2일 법의 나머지 부분과 함께 시행되었으며, 대부분의 기업이 마주하는 것이 바로 이 규정입니다. 사람들은 챗봇처럼 기계와 상호작용하고 있을 때 그 사실을 알아야 합니다. 생성형 AI 제공자는 시스템이 만든 결과물에 기계가 읽을 수 있는 방식으로 표시를 해 생성물임을 탐지할 수 있게 해야 합니다. 배포자는 딥페이크, 곧 실제 사람, 사물, 장소, 사건을 닮아 진짜처럼 잘못 보일 수 있는 이미지, 오디오, 영상에 표시를 해야 합니다. 공익에 관한 사안을 대중에게 알리기 위해 게시하는 텍스트도 그 사실을 밝혀야 하며, 사람이 검토하고 누군가 편집 책임을 지는 경우는 예외입니다.

집행위원회는 2026년 6월 10일 표시와 라벨링에 관한 자율 실천 강령을 발표하며 라벨용 EU 아이콘 세트도 함께 내놓았습니다. 7월 말까지 약 190개 조직이 서명했습니다. 2026년 8월 2일 이전에 시장에 나온 생성형 시스템의 제공자는 2026년 12월 2일까지 표시를 추가해야 합니다.

집행도 같은 날 회원국 당국과 집행위원회 AI 사무국(AI Office)에 의해 시작되었습니다. 과징금은 금지된 관행의 경우 최대 3500만 유로 또는 전 세계 매출의 7퍼센트, 모델 제공자의 위반에 대해서는 1500만 유로 또는 3퍼센트에 이릅니다.

옴니버스가 옮긴 것

올해 가장 큰 변화는 AI에 관한 디지털 옴니버스인 규정 (EU) 2026/1744입니다. 집행위원회가 2025년 11월 19일 제안했고, 유럽의회와 회원국이 2026년 5월 7일 정치적 합의에 이르렀으며, 2026년 7월 27일 발효되었습니다.

이 규정은 고위험 시스템에 대한 규칙을 뒤로 미룹니다. 이력서 분류, 신용 평가, 교육, 생체 인식, 이민처럼 부속서 III에 열거된 민감한 영역에서 쓰이는 시스템은 2026년 8월 2일이 아니라 2027년 12월 2일부터 의무를 집니다. EU 제품법이 이미 규제하는 제품에 내장된 고위험 AI는 2028년 8월 2일부터입니다.

또 소기업에 주던 완화 조치를 소형 중견기업까지 넓힙니다. 소형 중견기업은 직원 750명 미만, 매출 최대 1억 5000만 유로인 기업으로 정의됩니다. 이들은 간소화된 기술 문서와 규모에 비례하는 품질 관리 시스템을 쓸 수 있습니다.

AI를 만들기보다 사용하는 기업에게 이 연기는 큰 변화가 아닙니다. 리터러시 의무와 투명성 의무는 지금 적용됩니다. 추가된 시간은 사람에 관해 결정하는 시스템을 가진 더 좁은 집단, 곧 누가 채용되고 누가 신용을 얻는지를 정하는 쪽에 중요합니다.

EU에 판매하는 스위스 기업

이 법은 EU 법이지만, 적용 범위는 시장을 따라갑니다. EU 역내에 설립되었든 제3국에 있든 EU 시장에 AI 시스템이나 범용 모델을 출시하는 제공자에게, 그리고 결과물이 EU에서 사용되는 시스템을 가진 제3국의 제공자와 배포자에게 적용됩니다. EU 밖의 고위험 시스템 제공자는 판매하기 전에 EU 안에 서면으로 대리인을 지정해야 합니다.

실무적으로, 웹사이트 독일어판에 챗봇을 둔 스위스 기업이나 프랑스 구매자를 겨냥해 생성 이미지로 캠페인을 하는 스위스 기업은 투명성 의무를 자기 의무로 여겨야 합니다.

국내에서 스위스는 자기 길을 갑니다. AI 법은 없습니다. 2025년 2월 12일 연방평의회는 유럽평의회의 AI 협약을 비준하고 가능한 한 분야별로 법을 개정하기로 결정했으며, 협의용 초안은 2026년 말까지 나올 예정입니다. 그때까지는 스위스 연방 데이터보호법(FADP)이 AI에 직접 적용되며, 연방 데이터보호·정보 커미셔너(FDPIC)도 상당 부분 같은 것을 기대합니다. 사람들은 자신이 기계와 말하거나 글을 주고받고 있는지 알 권리가 있고, 식별 가능한 사람의 조작된 얼굴, 이미지, 목소리는 언제나 분명히 표시되어야 합니다.

짧은 체크리스트

사용 중인 모든 AI 시스템의 목록을 만드십시오. 누가 제공하고, 누가 쓰고, 무엇을 결정하며, 그 결과물이 어느 시장에 닿는지 적으십시오.

금지 사항과 대조해 확인하십시오. 직원이나 지원자의 감정 인식부터 보십시오.

사람이 기계와 대화할 때 알리십시오. 채팅 창에서, 전화에서, 에이전트가 쓴 이메일에서.

진짜처럼 보이는 생성 이미지와 영상에 표시하고, 원본과 그 뒤의 프롬프트를 보관하십시오.

AI를 쓰는 사람들을 교육하고, 무엇을 배웠는지 기록하고, 도구가 바뀌면 다시 하십시오.

채용, 신용, 교육처럼 사람에 관해 결정하는 시스템을 표시해 두고, 2027년 12월까지의 시간을 그 준비에 쓰십시오.

제공업체에 표시, 문서화, 저작권 정책 등 자체 의무를 어떻게 이행하는지 서면으로 물어보십시오. 그리고 이 목록을 책임질 사람 한 명을 지정하십시오.

사람이 책임지는 곳

이 법의 핵심은 책임에 관한 규칙입니다. 기계는 초안을 쓰고, 분류하고, 제안할 수 있지만, 밖으로 나가는 것에는 이름이 있는 사람이 답해야 합니다. 이는 과징금과 상관없는 이유로도 좋은 규칙입니다. 고객이 기대는 것은 판단과 책임이며, 이것들은 자동화되지 않습니다.

저희 제품도 같은 원칙으로 만들어졌습니다. Twin은 각 역할에 회사의 두뇌 가운데 필요한 부분만 주며, 역할별 승인과 모든 단계의 기록을 갖춥니다. Reel은 모든 이미지와 클립을 모든 버전과 그 뒤의 레시피와 함께 미디어 라이브러리에 보관하고, 사용되는 모든 이미지는 사람이 고르므로 출처에 관한 질문에 기록으로 답할 수 있습니다. 파트너 Eigna Labs가 만든 Eigna는 회사의 자체 클라우드나 자체 서버에서 돌아가는 프라이빗 모델로, GDPR과 EU 인공지능법(AI Act)에 맞춰 설계되었습니다.

날짜는 계속 움직일 것입니다. 어떤 AI를 쓰는지, 누가 그것에 답하는지 아는 회사는 그 움직임에 맞춰 함께 움직일 수 있습니다.