EU AI Act 2026 — 위험등급별 의무와 로펌·기업이 지금 대비할 것
한줄 요약: EU AI Act의 금지행위(2025년 2월)와 범용AI모델(GPAI) 의무(2025년 8월)는 이미 시행 중이고, 원래 2026년 8월로 예정됐던 고위험(high-risk) AI 시스템 의무는 2026년 상반기 합의된 "Digital Omnibus" 개정으로 2027년 12월(단독형 Annex III 시스템 기준)로 미뤄졌다 — 다만 투명성 의무 등 일부는 여전히 2026년 8월에 발효되며, 한국 기업도 EU 시장에 AI 시스템을 제공·배포하면 역외적용 대상이 될 수 있다.
EU AI Act란 무엇이고 왜 지금 중요한가?
EU AI Act(정식 명칭 Regulation (EU) 2024/1689)는 유럽연합이 만든 세계 최초의 포괄적 AI 규제 법률이다. 2024년 8월 1일 발효했고, 이후 조항별로 단계적으로 시행되는 구조를 취하고 있다. 한 번에 전면 시행되는 법이 아니라 "발효일"과 "적용일(시행일)"이 다르고, 위험등급마다 적용 시점도 다르기 때문에 지금 시점(2026년 7월)에 정확히 어떤 의무가 실제로 작동 중인지 확인하지 않으면 오해하기 쉽다.
특히 2026년 상반기 EU 이사회와 유럽의회가 합의한 이른바 "Digital Omnibus" 간소화 패키지가 원래 2026년 8월로 예정됐던 고위험 시스템 의무 상당 부분을 2027년 12월로 미루는 방향으로 조정됐다. 이 개정은 이 글 작성 시점 기준 공식 관보(Official Journal) 게재를 앞두고 있어, 게재 전까지는 기존 2026년 8월 시행일이 법적으로 유효하다는 점도 함께 알아둘 필요가 있다. 즉 "일정이 밀렸다"는 소식과 "아직 공식 발효는 아니다"는 사실이 동시에 맞다.
기업 입장에서 중요한 건 날짜 자체보다, 지금 자사가 만들거나 쓰는 AI 시스템이 어느 위험등급에 속하는지, 그리고 그 등급의 의무가 이미 시행 중인지 아직인지를 구분하는 일이다. 아래에서 위험등급 체계와 시행 타임라인을 순서대로 짚는다.
위험등급 체계 — 금지·고위험·제한·최소
EU AI Act는 AI 시스템을 잠재적 위해 수준에 따라 네 단계로 나눈다. 등급이 높을수록 의무가 무겁다.
- 금지(Unacceptable risk): 사회적 신용점수(소셜 스코어링), 은밀한 조작·기만적 기법을 이용한 취약계층 대상 행동조작, 실시간 원격 생체인식(법 집행 예외 제외), 감정 인식(직장·교육기관에서의 사용 등 일부 상황) 등은 원칙적으로 시장 출시 자체가 금지된다.
- 고위험(High-risk): 채용·인사평가, 신용평가·보험 심사, 교육기관 입학·평가, 의료기기, 핵심 인프라 안전 시스템, 법 집행·이민·사법행정 등 사람의 권리나 기회에 실질적 영향을 미치는 영역이 여기 해당한다. 리스크관리 체계 구축, 데이터 거버넌스, 기술문서화, 인간 감독(human oversight), 정확성·견고성 시험, 사후 시장 모니터링 등 의무가 부과된다.
- 제한적 위험(Limited risk): 챗봇, 딥페이크, AI 생성 콘텐츠 등은 "이용자에게 AI와 상호작용 중임을 고지"하는 투명성 의무(제50조 계열)가 핵심이다.
- 최소 위험(Minimal risk): 스팸 필터, 게임 내 AI 등 대부분의 일반 AI 활용은 법적 의무가 사실상 없고 자율 행동강령 권고 수준이다.
여기에 별도 트랙으로 범용AI모델(GPAI, General-Purpose AI) 규율이 있다. GPT 계열이나 대규모 언어모델처럼 다양한 용도로 쓰일 수 있는 기반모델 제공자에게는 투명성(모델 설명서·저작권 정책), 훈련데이터 요약본 공개, 그리고 "시스템적 위험(systemic risk)"으로 분류되는 초대형 모델에는 추가 안전성·보안 평가 의무가 부과된다.
시행 타임라인 — 2024년 발효부터 2027~2028년 완전 적용까지
아래 표는 2026년 7월 기준으로 확인 가능한 주요 시행일과 최근 조정 상황을 정리한 것이다. Digital Omnibus 관련 일정은 공식 관보 게재 전까지는 확정이 아니라는 점을 다시 강조해둔다.
| 시점 | 내용 | 2026년 7월 기준 상태 |
|---|---|---|
| 2024년 8월 1일 | AI Act 발효(entry into force) | 완료 |
| 2025년 2월 2일 | 금지행위(unacceptable risk) 시행, AI 리터러시 의무(제4조) 적용 시작 | 시행 중 |
| 2025년 8월 2일 | GPAI(범용AI모델) 제공자 의무 적용, 거버넌스·통지기관(notified body) 규정 적용 | 시행 중 |
| 2026년 8월 2일 | (원안) 고위험 Annex III 시스템 의무 전면 적용 / GPAI 집행권 발동 / 제50조 투명성 의무 등 | GPAI 집행권·일부 투명성 의무는 예정대로 진행, Annex III 단독형 고위험 의무는 연기 합의(공식 게재 대기) |
| 2026년 12월 2일 | 워터마킹 의무(제50조 2항), 신설 금지행위("nudifier" 등 딥페이크 성적 이미지 생성 AI) 적용 예정 | Omnibus 합의안 기준(게재 후 확정) |
| 2027년 12월 2일 | 고위험 Annex III(단독형) 시스템 의무 적용(연기된 신규 일정) | Omnibus 합의안 기준(게재 후 확정) |
| 2027년 8월 2일 | 2025년 8월 이전 출시된 GPAI 모델의 소급 준수 기한 | 예정 |
| 2028년 8월 2일 | 제품에 내장된(Annex I 규제제품 embedded) 고위험 AI 시스템 의무 적용(연기된 신규 일정) | Omnibus 합의안 기준(게재 후 확정) |
실무적으로 정리하면, 지금 당장(2026년 7월) 확실히 작동 중인 의무는 금지행위·AI 리터러시(2025년 2월~)와 GPAI 투명성 의무(2025년 8월~) 두 가지다. 고위험 의무는 "완전히 없어진 것"이 아니라 "준비 기간이 늘어난 것"으로 이해하는 편이 정확하다. 조화표준(harmonised standards) 제정 자체도 지연되고 있어 — 일부 표준은 2026년 4분기에야 나올 수 있다는 전망도 있다 — 규제당국 스스로도 기업이 준수 근거로 삼을 기술표준을 아직 다 마련하지 못한 상황이 이번 일정 조정의 배경 중 하나로 거론된다.
역외적용 — 한국 기업도 해당되는 경우
EU AI Act는 EU에 본사가 없는 기업에도 적용될 수 있다. 핵심 기준은 "설립지"가 아니라 "결과가 EU 내에서 발생하는지"다.
- 한국 기업이 만든 AI 시스템의 산출물(output)이 EU 내에서 사용되는 경우
- EU 거주자를 대상으로 AI 기반 제품·서비스를 직접 제공하는 경우(SaaS, 챗봇, 채용 스크리닝 툴 등)
- EU에 소재한 배포자(deployer)가 한국산 AI 시스템을 도입해 사용하는 경우, 배포자 본인에게도 별도 의무가 발생
즉 한국 스타트업이 직접 EU에 지사를 두지 않았더라도, EU 고객사에 채용·신용평가·의료 관련 AI 솔루션을 판매하거나, EU 사용자가 접근 가능한 서비스를 운영한다면 고위험 분류 여부와 GPAI 해당 여부를 검토해볼 필요가 있다. 다만 순수하게 한국 내수용으로만 서비스하고 EU 내 산출물·이용자가 없다면 통상 적용 범위 밖으로 본다. 이 경계 판단은 사안별 사실관계 확인이 필요한 영역이라 일반화하기 어렵고, 구체적 사업모델을 두고 개별적으로 검토하는 것이 안전하다.
로펌·기업 실무 영향 — 계약서·문서화 의무
법무팀·로펌 입장에서 체감되는 변화는 크게 세 갈래다.
1) AI 벤더 계약서 조항 신설. AI 시스템을 조달하는 기업은 벤더 계약에 "위험등급 확인 진술", "기술문서 제공 의무", "EU AI Act 준수 보증", "감사 협조" 조항을 추가하는 사례가 늘고 있다. 벤더가 고위험 시스템 제공자인지 배포자인지에 따라 책임 분배가 달라지므로, 계약 초안 단계에서 역할(provider/deployer/importer/distributor) 구분을 명확히 하는 작업이 필요하다.
2) 내부 문서화·리스크평가 체계 구축. 고위험 의무가 연기됐다고 해서 준비를 미룰 이유는 크지 않다. 조직 내 AI 인벤토리(어떤 AI를 어디에 쓰는지 목록화), 리스크평가 템플릿, 인간 감독 절차 문서, 데이터 거버넌스 기록 등은 준비에 시간이 걸리는 영역이라 유예기간을 "미루는 핑계"가 아니라 "준비 기간"으로 활용하는 편이 실무적으로 낫다.
3) 과징금 리스크 안내. Article 99 기준으로 금지행위 위반은 최대 3,500만 유로 또는 전세계 매출액의 7% 중 높은 금액, 고위험 등 대부분 의무 위반은 최대 1,500만 유로 또는 3%, 부정확한 정보 제공 등은 최대 750만 유로 또는 1%가 상한이다(중소기업·스타트업은 반대로 낮은 쪽 기준 적용). 매출액 연동 방식이라 대기업일수록 정액 상한보다 매출 비율 기준이 실제 부담을 키울 수 있다는 점을 클라이언트에 설명할 필요가 있다.
EU AI Act 대응 문서(내부 리스크평가 초안, 계약서 조항 초안, 규제 요약 브리핑 등)는 MeshLaw로 빠르게 초안을 잡고, 실제 법령 해석·최종 리스크 판단·계약 체결 여부는 변호사가 검토하는 방식이 안전하다. 특히 일정이 계속 조정되는 영역이라 최신 공식 관보 게재 여부를 매번 확인하는 절차가 중요하다.
EU AI Act는 한국 기업에도 바로 적용되나?
EU 내 이용자를 대상으로 서비스하거나 산출물이 EU에서 사용되면 적용 대상이 될 수 있다. 순수 국내용 서비스라면 통상 해당하지 않지만, 경계 사례는 개별 검토가 필요하다.
고위험 AI 의무가 완전히 없어진 건가?
아니다. 시행 시점이 2026년 8월에서 2027년 12월(단독형 Annex III 기준)로 늦춰지는 것으로 합의됐을 뿐, 의무 자체가 폐지된 것은 아니다. 또한 이 개정은 공식 관보 게재 전까지는 법적으로 확정된 것이 아니라는 점도 유의해야 한다.
GPAI(범용AI모델) 의무는 지금 적용되나?
그렇다. 2025년 8월 2일부터 GPAI 제공자 투명성·문서화 의무가 적용 중이며, 2026년 8월 2일부터는 유럽집행위원회의 정식 집행권(과징금 부과 포함)이 발동될 예정이다.
금지행위(unacceptable risk)에는 구체적으로 뭐가 있나?
사회적 신용점수 부여, 취약계층 대상 은밀한 행동조작, 실시간 원격 생체인식(법 집행 예외 제외) 등이 대표적이다. 2026년 12월부터는 비동의 성적 이미지를 생성하는 이른바 "nudifier" 유형 AI도 금지 목록에 추가될 예정이다.
과징금은 얼마나 되나?
금지행위 위반은 최대 3,500만 유로 또는 전세계 연매출 7% 중 높은 금액, 고위험 등 대부분 의무 위반은 최대 1,500만 유로 또는 3%, 정보 제공 관련 위반은 최대 750만 유로 또는 1%다. 중소기업·스타트업은 반대로 더 낮은 기준이 적용된다.
워터마킹 의무는 언제부터인가?
제50조 2항의 워터마킹(AI 생성 콘텐츠 표시) 의무는 Digital Omnibus 합의안 기준 2026년 12월 2일부터 적용될 예정이다. 다만 이 역시 공식 게재 전까지는 잠정적이다.
조화표준(harmonised standards)은 왜 중요한가?
고위험 시스템이 규정을 준수했다고 추정받으려면 유럽 표준화기구가 만드는 조화표준을 따르는 것이 실무적으로 가장 안전한 경로다. 그런데 이 표준 제정 자체가 지연되고 있어 일부는 2026년 4분기에야 나올 수 있다는 전망이 있다. 표준이 늦어지면 기업이 준수 여부를 스스로 입증해야 하는 부담이 커진다.
AI 리터러시 의무(제4조)란 무엇인가?
AI를 다루는 직원이 해당 시스템의 성격·위험을 이해할 수 있도록 조직이 충분한 소양을 갖추게 할 의무로, 2025년 2월부터 이미 적용 중이다. 별도 인증 절차보다는 조직 내 교육·정책 마련 수준으로 이해되고 있다.
계약서에서 우리 회사가 provider인지 deployer인지 어떻게 구분하나?
직접 AI 시스템을 개발·상표를 붙여 출시하면 provider, 이미 출시된 시스템을 업무에 도입해 쓰면 deployer로 보는 것이 기본 구도다. 다만 실제 계약관계·기능 수정 정도에 따라 경계가 모호할 수 있어 계약서 작성 시 역할을 명시적으로 못박아두는 것이 분쟁을 줄인다.
지금 당장 무엇부터 준비해야 하나?
AI 시스템 인벤토리 작성(어떤 AI를, 어디서, 누가 쓰는지), 벤더 계약서에 위험등급 확인·문서제공 조항 반영, 내부 리스크평가 템플릿 마련이 우선순위다. 시행일이 늦춰졌다고 착수를 미루면 준비 기간을 그대로 잃게 된다.
미국·영국 기업에도 EU AI Act가 적용되나?
본사 소재지와 무관하게 EU 내 이용자·시장에 산출물이 도달하면 적용될 수 있다는 점은 미국·영국·한국 기업 모두에 동일하게 적용되는 원칙이다. 각국 기업의 구체적 노출 정도는 사업모델에 따라 다르다.
이 글은 법률 자문인가?
아니다. 이 글은 2026년 7월 기준 공개된 자료를 바탕으로 한 일반적 정보 제공이며, 구체적 사안에 대한 법률 자문을 대체하지 않는다. Digital Omnibus 관련 일정은 공식 관보 게재 전까지 변경될 수 있으므로, 실제 의사결정 전 변호사 검토와 최신 공식 자료 확인이 필요하다.
결론
2026년 7월 현재 EU AI Act는 "완전히 시행됐다"도 "아직 멀었다"도 아닌 애매한 중간 지점에 있다. 금지행위와 GPAI 의무는 이미 작동 중이고, 고위험 의무는 준비 기간이 늘어났을 뿐 사라진 게 아니다. 한국 기업도 EU 시장에 산출물이나 서비스가 닿는다면 역외적용 대상이 될 수 있으므로, 일정이 밀렸다는 소식에 안심하기보다 이 기간을 내부 문서화와 계약서 정비에 쓰는 편이 안전하다.