알투

실적·이벤트 / 정책

정책

EU AI법 투명성 의무 발효 — 고위험 규제는 16개월 미뤘지만, AI 표시 의무는 그대로 시작됐다

8월 2일 EU AI법의 투명성 의무(Article 50)가 발효됐습니다. 챗봇 고지·AI 생성물 표시·딥페이크 공개가 의무가 되고, 위반 시 최대 1,500만 유로 또는 글로벌 매출 3%입니다. 시장이 주목하던 고위험 AI 규제는 2027년 12월로 미뤄졌지만, 생성형 AI를 서비스하는 기업에는 이번이 실질적 첫 규제입니다.

AI매크로

한눈에 보기

2026년 8월 2일, EU AI법(EU AI Act)의 투명성 의무가 발효됐습니다. 한 줄로 요약하면 이렇습니다 — 시장이 몇 년간 대비해 온 ‘고위험 AI’ 규제는 16개월 미뤄졌지만, 생성형 AI를 서비스하는 기업이 당장 지켜야 하는 표시·고지 의무는 예정대로 시작됐습니다.

이 구분이 중요합니다. 지난 6월 유럽의회와 이사회가 ’디지털 옴니버스(Digital Omnibus)’를 승인하면서 고위험 AI 의무의 시한이 밀렸고, 이 때문에 “AI법이 통째로 연기됐다”는 인식이 퍼졌습니다. 실제로는 연기된 것과 그대로 시행된 것이 나뉘어 있고, 우리 수록 기업 다수에 지금 당장 적용되는 쪽은 후자입니다.

무엇이 시행되고 무엇이 미뤄졌나

EU AI법 주요 의무의 적용 시점 (년)

투명성 의무 (제50조)2,026.62026년 8월 2일 — 예정대로 발효
생성형 AI 표시·탐지 (기존 출시분)2,026.92026년 12월 2일 — 경과규정
고위험 AI (부속서 III·용도 기준)2,027.92027년 12월 2일 — 16개월 연기
고위험 AI (규제 대상 제품 내장)2,028.62028년 8월 2일 — 추가 연기
막대 길이는 시점을 연 단위로 환산한 것으로 금액이 아닙니다 — 붉은색이 이번에 발효된 항목, 회색이 연기된 항목입니다. 고위험 AI 의무는 채용·신용평가·교육·필수 서비스 접근 같은 용도에 적용되는 규정으로, 원래 이번 8월 2일이 시한이었습니다.

이번에 발효된 투명성 의무(제50조)는 다섯 가지입니다.

  1. AI와 대화하고 있음을 알릴 것 — 챗봇 등 사람과 직접 상호작용하는 AI는 이용자에게 AI임을 고지해야 합니다.
  2. AI 생성·조작 콘텐츠에 기계 판독 가능한 표시를 넣을 것 — 음성·이미지·영상·텍스트 모두 해당합니다.
  3. 감정 인식·생체정보 분류 시스템에 노출되는 사람에게 통보할 것.
  4. 딥페이크는 인공 생성물임을 공개할 것.
  5. 공익 사안에 관한 AI 생성 텍스트를 공개할 것 — 사람이 검수·편집을 마친 경우는 제외됩니다.

위반 시 제재는 최대 1,500만 유로 또는 글로벌 연간 매출의 3% 중 높은 금액입니다. 매출 3%라는 기준 때문에 대형 플랫폼일수록 절대 금액이 커집니다.

적용 범위는 지리적으로 넓습니다. EU에 시스템을 출시하거나 배포하는 경우, 그리고 EU 안에서 그 결과물이 사용되는 경우까지 포함돼 미국·한국 기업도 대상입니다. 유럽 집행위는 7월 20일 관련 가이드라인을 채택했습니다.

유예된 것은 시한뿐, 하나는 12월에 다시 온다

경과규정이 하나 있습니다. 이미 시장에 나와 있는 생성형 AI 시스템의 표시·탐지 의무만 2026년 12월 2일까지 유예됐습니다. 즉 신규 출시 서비스는 8월 2일부터 바로 적용되고, 기존 서비스는 넉 달의 준비 기간을 받은 셈입니다. 12월이 두 번째 시한인 셈이라, 이번 발효로 끝난 이야기가 아닙니다.

⚠ 규제가 기술을 앞서간 대목 — 워터마킹

법은 AI 생성물에 기계 판독 가능한 표시를 요구하는데, 이 요건을 온전히 충족하는 단일 기술이 아직 없다는 지적이 있습니다. 법이 요구하는 네 가지 성질(실효성·상호운용성·견고성·신뢰성)을 한 번에 만족시키는 방식이 없다는 것이 그 근거로, 구글의 SynthID 같은 비가시적 워터마크도 가공을 어느 정도 견디지만 모든 상황에서 견고하지는 않은 것으로 알려져 있습니다. 그래서 자율 규범인 행동강령은 메타데이터·워터마크·로그를 겹쳐 쓰는 다층 방식을 권고하고 있습니다. 다만 “어느 수준이면 법을 지킨 것인가”에 대한 판단 기준은 아직 판례로 쌓이지 않았습니다 — 이 불확실성이 규제 리스크의 실체입니다.

우리 수록 기업에 어떻게 작용하나

  • 알파벳(구글)·마이크로소프트·아마존·IBM·오픈AI·미스트랄 — 유럽 집행위의 AI 행동강령에 서명한 기업들입니다. 행동강령은 법적 의무가 아니라 자율 규범이지만, 서명 기업은 규제 당국과의 관계에서 유리한 위치에 서고 준수 방식에 대한 예측 가능성도 높아집니다. 구글은 SynthID라는 자체 워터마킹 기술을 이미 갖고 있어 기술적 대응 부담이 상대적으로 작은 쪽입니다.
  • 메타 — 행동강령에 서명하지 않겠다고 밝혔던 기업입니다. 다만 서명 여부와 무관하게 8월 2일부터 적용되는 법적 의무는 그대로 집니다. 서명하지 않았다는 것은 자율 규범이 제시하는 준수 경로를 따르지 않고 자체 방식으로 대응한다는 뜻이라, 규제 당국과의 마찰 가능성은 상대적으로 큰 편으로 볼 수 있습니다. 메타는 유럽에서 광고 기반 매출 비중이 크고 생성형 AI 기능을 서비스 전반에 넣고 있어, 규제 노출도 자체가 큽니다.
  • SAP — 유럽 기업이면서 기업용 AI 기능을 확대하는 중이라, 고객사(EU 기업)의 준수 요구를 함께 받는 위치입니다. 고위험 의무가 미뤄지면서 당장의 부담은 줄었습니다.
  • 엔비디아 — 직접 규제 대상이라기보다 고객사의 규제 대응이 수요에 영향을 주는 간접 노출입니다. 고위험 규제가 미뤄진 것은 유럽 기업의 AI 도입 속도에 대한 불확실성을 줄이는 방향이라 부정적이지 않습니다.

고위험 의무가 미뤄지면서 채용·신용평가 AI를 쓰는 금융·인사 분야의 대응 부담은 2027년 12월로 넘어갔습니다. 유럽 은행(BNP 파리바·산탄데르·우니크레디트)에는 단기적으로 규제 비용을 미루는 효과입니다.

직전 단계에서 약속된 것과 비교하면

AI법은 단계적으로 발효돼 왔습니다. 금지 관행(사회적 점수화 등)은 2025년 2월, 범용 AI(GPAI)와 거버넌스 의무는 2025년 8월에 시행됐고, 이번이 세 번째 단계입니다. 원래 계획대로라면 이번 8월 2일에 고위험 AI 규제까지 함께 시작됐어야 했습니다.

지난해 11월 유럽 집행위가 연기를 제안했을 때만 해도 입법으로 확정되지 않아 “8월 2일을 기준으로 준비하라”는 조언이 우세했는데, 6월에 실제로 입법이 마무리되면서 연기가 확정됐습니다. 규제 일정이 예고대로 지켜지지 않은 첫 사례라는 점은 기록해 둘 만합니다 — 앞으로 남은 시한(2027년 12월, 2028년 8월)도 다시 조정될 가능성을 배제하기 어렵습니다.

출처