EU AI Act 2026년 8월, 모든 AI 서비스가 같은 의무를 지는 것은 아니다

‘AI를 쓴다’보다 ‘어디에 어떻게 쓰는가’가 중요하다

EU AI Act는 위험 기반 접근을 택합니다. 같은 모델을 사용해도 사내 문서 검색과 채용 지원자 평가의 위험은 다르게 취급됩니다. 법은 금지 위험, 고위험, 투명성 위험, 최소 또는 낮은 위험으로 나눠 의무를 달리합니다.

따라서 도입 목록을 모델 이름으로만 관리하면 부족합니다. 사용 목적, 영향을 받는 사람, 입력 데이터, 최종 결정 주체를 함께 기록해야 분류가 가능합니다.

2026년 8월에 특히 확인할 부분

EU 집행위원회 안내는 챗봇처럼 사람이 기계와 상호작용한다는 사실을 알아야 하는 경우, 생성 콘텐츠 식별, 특정 딥페이크와 공익 정보를 다루는 생성 텍스트의 표시 의무를 투명성 규정의 예로 듭니다.

다만 표시 문구 하나를 붙이는 것으로 모든 준비가 끝나는 것은 아닙니다. 어떤 콘텐츠가 자동 생성됐는지 추적할 내부 기록과, 사용자에게 언제 어떤 방식으로 알릴지 제품 화면에서 정해야 합니다.

고위험 여부를 먼저 점검해야 하는 업무

공식 안내는 교육 기회, 채용과 노동자 관리, 필수 서비스 접근, 법 집행, 이민·국경 관리, 사법과 민주적 절차 등 기본권에 영향을 줄 수 있는 용도를 고위험 사례로 제시합니다.

이 영역에서는 데이터 품질, 기록, 문서화, 사람의 감독, 견고성과 사이버보안 같은 요구가 중요합니다. 일반적인 고객 응대 봇과 같은 체크리스트를 그대로 적용해서는 안 됩니다.

• AI 출력이 사람에 관한 결정을 직접 내리거나 사실상 결정하는가
• 사용자가 결과에 이의를 제기하거나 사람의 검토를 요청할 수 있는가
• 입력 데이터의 출처와 오류 수정 과정을 설명할 수 있는가
• 문제가 생겼을 때 어떤 버전의 모델과 규칙이 사용됐는지 재현할 수 있는가

한국 기업이 놓치기 쉬운 적용 범위

EU 밖에 있는 기업이라도 EU 시장에 AI 시스템을 제공하거나 EU에서 결과가 사용되는 구조라면 적용 가능성을 검토해야 합니다. 반대로 EU 고객이 있다는 이유만으로 모든 기능이 자동으로 고위험이 되는 것은 아닙니다.

실무에서는 서비스 약관보다 실제 데이터 흐름을 먼저 그려보는 편이 좋습니다. 누가 모델을 선택하고, 누가 지시를 추가하며, 출력이 어느 의사결정에 들어가는지 확인해야 제공자와 배포자의 역할을 구분할 수 있습니다.

지금 만들 수 있는 최소 준비 문서

법률 해석을 확정하기 전에도 시스템 목록과 책임자를 정리하는 일은 시작할 수 있습니다. 제품팀, 보안팀, 법무팀이 서로 다른 목록을 갖고 있으면 적용 시점보다 자산 파악에 더 많은 시간이 듭니다.

다음 문서는 규제 대응뿐 아니라 장애와 고객 문의 대응에도 도움이 됩니다.

• AI 기능 목록: 목적, 대상 사용자, 사용 국가, 모델과 공급자
• 데이터 기록: 입력 범주, 보관 기간, 제3자 전송 여부
• 사람의 감독: 자동 실행 범위, 승인·중단·이의제기 절차
• 변경 기록: 모델 버전, 프롬프트 정책, 평가 결과, 알려진 한계