Andrea A. Choi(Fidelity investment Asia Headquarters)
유럽과 거래한다는 사실만으로 적용 의무가 결정되지는 않는다
한국 기업이 유럽 시장에 AI 제품이나 서비스를 제공한다면 EU AI Act의 적용 여부를 살펴야 한다. 그러나 유럽 고객이 있다는 사실만으로 모든 기업에 같은 의무가 발생하는 것은 아니다.
어떤 AI 시스템을 누구에게 제공하는지, 그 결과가 어디에서 사용되는지, 기업이 공급망에서 어떤 역할을 맡는지에 따라 검토할 내용이 달라진다.
EU AI Act는 위험에 기반해 규제하는 구조를 갖고 있다. 금지되는 사용 방식과 고위험 AI 시스템, 특정 투명성 의무, 범용 AI 모델 관련 규정 등을 구분해서 이해해야 한다.
따라서 대응의 출발점은 최대 제재액을 확인하는 일이 아니라 자사의 제품과 서비스가 어떤 조항과 연결되는지 파악하는 일이다.
이 글은 유럽연합 집행위원회와 공식 AI Act Service Desk 자료를 바탕으로 작성한 일반적인 실무 해설이다. 특정 기업에 대한 법률 자문이나 적합성 평가 결과를 제시하는 글은 아니다.
한국에 있는 기업도 적용 대상이 될 수 있다
EU AI Act 제2조는 적용 범위를 규정한다.
대표적으로 EU 시장에 AI 시스템을 출시하거나 서비스를 개시하는 공급자, EU 시장에 범용 AI 모델을 출시하는 공급자는 EU 밖에 소재하더라도 적용 대상이 될 수 있다.
또한 EU 밖에 있는 AI 시스템 공급자나 사용 주체라도 해당 시스템이 만든 출력이 EU에서 사용되는 경우에는 적용 범위를 검토해야 한다.
이는 한국에서 개발하거나 운영한다는 이유만으로 EU AI Act와 무관하다고 판단할 수 없다는 뜻이다.
반대로 한국 기업이 AI를 사용한다는 사실만으로 모두 EU 규제의 적용 대상이 되는 것도 아니다. 실제 공급과 사용 관계, 조문상 요건과 예외를 함께 확인해야 한다.
기업은 계약 상대방의 소재지만이 아니라 제품과 서비스의 제공 방식, 출력의 사용처, 공급망의 역할을 구체적으로 정리할 필요가 있다.
공급자와 사용 주체의 책임은 같지 않다
EU AI Act는 AI와 관련된 여러 역할을 구분한다. 공급자와 사용 주체뿐 아니라 수입자와 유통업자, 제품 제조자 등도 검토 대상이 될 수 있다.
외부 AI 모델을 구매해 사용한다는 사실만으로 자사의 역할이 항상 단순한 이용자로 고정되는 것은 아니다. 자사 이름으로 서비스를 제공하거나 시스템의 용도와 기능을 변경하는 경우에는 별도 검토가 필요하다.
계약서에 적힌 역할과 실제 사업 구조가 일치하는지도 확인해야 한다. 고객에게 설명하고 지원하는 주체, 시스템을 변경할 수 있는 주체, 관련 자료를 보유하는 주체가 서로 다를 수 있기 때문이다.
기업 내부에서는 제품과 서비스별로 어떤 역할을 맡고 있는지 기록하고, 그 판단의 근거를 남기는 편이 좋다.
역할이 달라지면 준비해야 할 문서와 정보 제공, 운영상 의무도 달라질 수 있다.
‘2026년 완전 시행’으로 요약하면 중요한 차이를 놓친다
EU AI Act는 모든 규정이 한 날짜에 동일하게 적용되는 구조가 아니다. 발효일과 실제 적용일도 구분해야 한다.
유럽연합 집행위원회 안내에 따르면 EU AI Act는 2024년 8월 1일 발효됐고, 일반적인 적용 기준일은 2026년 8월 2일이다. 다만 규정별로 다른 적용 일정과 경과 규정이 있다.
범용 AI 모델 관련 규정은 2025년 8월 2일부터 적용되기 시작했다. 특정 투명성 규정은 2026년 8월부터 적용되는 것으로 안내된다.
고위험 AI 시스템의 일정은 이후 개정 내용까지 확인해야 한다. 집행위원회는 AI Omnibus가 2026년 7월 27일 발효됐다고 안내한다.
자료 확인일 기준 공식 안내에서는 부속서 III에 해당하는 고위험 AI 시스템 관련 규정의 적용일을 2027년 12월 2일로, 부속서 I의 규제 대상 제품에 결합된 고위험 AI 시스템 관련 규정의 적용일을 2028년 8월 2일로 설명한다.
따라서 과거 자료의 시행 일정만 참고하거나, 2026년에 모든 고위험 AI 의무가 동시에 적용됐다고 설명하는 것은 피해야 한다.
기업은 해당 시스템의 분류와 개정 조문, 경과 규정, 기존 시스템에 대한 처리 기준을 함께 확인해야 한다. 일부 규정의 적용이 늦춰졌다고 해서 다른 의무까지 모두 유예됐다고 판단해서도 안 된다.
고위험 여부는 산업 이름만으로 결정되지 않는다
의료와 교육, 채용, 금융 등은 고위험 AI 검토에서 자주 언급되는 영역이다. 그러나 해당 산업에서 사용되는 모든 AI 기능을 일률적으로 고위험이라고 판단해서는 안 된다.
실제 사용 목적과 시스템의 역할, 법에서 정한 분류 요건을 확인해야 한다.
예를 들어 채용 지원자의 평가와 선별에 활용되는 기능과, 담당자의 일반적인 일정 정리를 돕는 기능은 같은 채용 부서에서 사용하더라도 검토 내용이 다를 수 있다.
제품의 안전과 연결되는 AI 시스템은 해당 제품에 적용되는 EU 법령과의 관계도 살펴야 한다. 고위험 여부와 요구되는 평가 절차를 하나의 문장으로 일반화하기 어려운 이유다.
기업은 제품 설명서와 영업 자료에 표시한 사용 목적이 실제 시스템의 기능과 일치하는지도 확인해야 한다. 고객에게 제공한 설명과 실제 사용 사이의 차이는 규제 검토뿐 아니라 계약과 운영 관리에도 영향을 줄 수 있다.
투명성 의무는 고위험 분류와 별도로 확인한다
고위험 AI 시스템이 아니라고 판단했다고 해서 모든 검토가 끝나는 것은 아니다.
AI와 대화하고 있다는 사실을 알리는 문제나 특정 AI 생성 콘텐츠를 표시하는 문제처럼, 별도의 투명성 의무가 적용될 수 있다.
집행위원회는 챗봇과 같은 시스템에서 이용자가 AI와 상호작용한다는 사실을 인식하도록 하는 의무와, 특정 생성 콘텐츠의 식별·공개 관련 의무를 설명한다.
다만 모든 AI 결과물에 같은 표시를 붙여야 한다는 뜻은 아니다. 제공하는 기능과 콘텐츠의 종류, 공급자와 사용 주체의 역할, 관련 조항의 예외 등을 함께 검토해야 한다.
기업은 서비스 안내 화면과 실제 결과물의 전달 방식을 나눠 확인할 필요가 있다. 안내 문구가 존재한다는 사실만이 아니라 해당 이용 흐름에서 적절하게 제공되는지도 살펴야 한다.
범용 AI 모델과 그 모델을 활용한 서비스는 구분한다
범용 AI 모델은 다양한 작업에 활용될 수 있는 모델이다. EU AI Act는 이러한 모델의 공급자에 대한 규정도 별도로 두고 있다.
기업이 외부 모델의 API를 이용해 서비스를 만든다고 해서 모델 공급자와 동일한 의무를 그대로 부담한다고 단정해서는 안 된다. 반대로 외부 모델을 사용했다는 이유로 자사의 서비스 관련 의무가 없어지는 것도 아니다.
어떤 모델을 어떤 조건으로 사용하고, 자사가 어떤 기능을 추가하며, 고객에게 무엇을 제공하는지 정리해야 한다.
공급자가 제공하는 문서와 정보가 자사의 검토에 충분한지도 확인할 필요가 있다. 모델의 일반적인 성능 설명만으로 특정 업무에서의 적합성과 법적 요구 충족 여부까지 입증되는 것은 아니다.
공급자 설명에 의존한 사항과 자사가 직접 확인한 사항을 구분하면 검토의 한계를 파악하기 쉽다.
최대 제재액을 모든 위반의 일반적인 결과로 설명하지 않는다
EU AI Act의 제재를 소개할 때 자주 등장하는 수치는 최대 3,500만 유로 또는 전 세계 연간 매출액의 7%다.
그러나 이를 AI Act의 모든 위반에 동일하게 적용되는 상한으로 설명하면 부정확하다.
제99조는 금지된 AI 관행 위반과 그 밖에 열거된 의무 위반, 당국 등에 부정확하거나 불완전하거나 오해를 유발하는 정보를 제공하는 경우를 구분해 서로 다른 제재 상한을 규정한다.
금지된 AI 관행 위반에는 최대 3,500만 유로 또는 기업의 직전 회계연도 전 세계 연간 매출액 7%라는 상한이 규정돼 있다. 다른 위반 유형에는 별도의 상한이 있다.
중소기업에는 해당 조문이 정한 금액과 비율 중 낮은 쪽을 기준으로 하는 상한 규정도 있다. 개정에 따라 일부 소규모 중견기업에 관한 별도 규정도 확인해야 한다.
실제 제재 여부와 금액은 위반의 성격과 중대성, 기간, 피해, 협조와 개선 조치 등 관련 사정을 고려해 결정된다.
기업은 자사에 적용될 수 있는 조항과 위반 유형을 먼저 확인해야 한다. 최대 수치를 모든 상황에서 자동으로 부과되는 금액처럼 제시하는 것은 적절하지 않다.
가상 사례: 유럽 고객에게 채용 지원 도구를 제공한다면
다음은 실제 기업 사례가 아니라 검토 순서를 설명하기 위한 가상 시나리오다.
한국의 소프트웨어 기업이 유럽 고객에게 지원서를 요약하고 검토 순서를 추천하는 도구를 제공한다고 가정해보자.
기업은 먼저 자사가 어떤 역할을 맡는지와 EU 시장에 제공하는 시스템의 범위를 확인해야 한다. 외부 모델 공급자와 자사, 고객사가 각각 무엇을 제공하고 운영하는지 구분한다.
다음으로 지원서 요약과 순위 추천의 실제 사용 목적을 살펴야 한다. 순위가 채용 판단에 어떤 영향을 주는지, 담당자가 결과를 어떻게 사용하는지 확인한 뒤 고위험 분류 요건을 검토한다.
최종 결정은 사람이 한다는 설명만으로 분류 검토를 생략해서는 안 된다. 실제 업무에서 AI 결과가 미치는 영향을 함께 살펴야 한다.
해당 기능이 고위험 시스템으로 분류된다면 적용 일정과 경과 규정, 필요한 자료와 평가 절차를 검토한다. 개인정보 처리와 고용 관련 법령 등 다른 규제와의 관계도 별도 확인 대상이다.
운영상으로는 오류와 편향을 평가할 자료, 담당자의 검토 방식, 문제 발생 시 기능을 제한할 절차 등을 준비할 수 있다. 다만 이러한 실무 준비 항목과 구체적인 법정 의무의 근거는 구분해 기록해야 한다.
고객의 요구사항과 법률의 요구사항을 나눠 관리한다
유럽 고객이 요청한 항목이 모두 EU AI Act가 직접 요구하는 의무는 아닐 수 있다.
고객은 자체적인 위험관리 기준이나 내부 구매 정책에 따라 추가 자료와 보증을 요청할 수 있다. 이러한 요구는 계약상 책임과 연결될 수 있으므로 가볍게 볼 수 없지만, 법정 의무와 같은 것으로 설명해서는 안 된다.
기업은 각 항목을 법령상 요구사항과 계약상 요구사항, 내부 관리 기준으로 나눠 정리하는 편이 좋다.
제공할 수 있는 자료와 제공하기 어려운 정보도 구분해야 한다. 확인하지 못한 영역까지 포괄하는 준수 보증을 하거나, 외부 공급자의 설명을 독립적으로 검증한 사실처럼 제시하는 것은 피해야 한다.
정확한 범위의 설명은 협상을 어렵게 만드는 요소가 아니라 책임을 명확히 하는 기반이다.
문서는 실제 시스템과 함께 바뀌어야 한다
규제 대응 문서는 한 번 작성했다고 끝나는 자료가 아니다.
모델을 교체하거나 기능을 추가하고, 사용 대상을 확대하거나, 시스템의 목적을 변경하면 기존 검토가 여전히 유효한지 확인해야 한다.
제품과 서비스별로 역할과 사용 목적, 위험 분류 판단, 적용 일정, 평가 자료, 담당자와 검토 날짜를 연결해 관리할 수 있다.
법령과 공식 안내가 변경됐을 때 어떤 제품의 판단을 다시 살펴야 하는지도 추적할 수 있어야 한다.
문서에 적힌 통제와 실제 시스템 설정이 일치하는지 확인하는 것도 중요하다. 담당자의 승인을 거치도록 설명했지만 실제로는 자동 실행된다면 문서만으로 운영을 설명할 수 없다.
결론: 대응의 핵심은 적용 범위를 정확하게 좁히는 일이다
EU AI Act는 한국 기업에도 적용될 수 있다. 그러나 모든 AI 기능과 모든 기업에 같은 의무가 발생하는 것은 아니다.
기업은 공급망에서의 역할과 실제 사용 목적을 파악하고, 적용 조항과 위험 분류, 개정된 일정과 경과 규정을 구분해야 한다.
최대 제재액을 강조하거나 일괄적인 완전 시행이라는 표현에 의존하는 방식은 실제 준비에 필요한 차이를 가린다.
정확한 대응은 자사의 제품과 서비스에 무엇이 적용되고 무엇은 아직 확인이 필요한지 설명하는 데서 시작한다. 그 판단을 계약과 문서, 평가와 실제 운영에 연결하는 것이 다음 단계다.
정정 안내
기존 본문에서 EU AI Act를 2026년 중반에 모든 규정이 완전히 적용되는 것처럼 설명한 부분을 수정했습니다. 자료 확인일 기준 공식 안내에 따라 개정된 고위험 AI 적용 일정을 반영하고, 한국 기업의 적용 범위와 공급망 역할을 구분했습니다. 최대 제재액이 모든 위반에 동일하게 적용되는 것처럼 읽힐 수 있는 표현을 바로잡았습니다. 본문의 채용 지원 도구 사례는 설명을 위한 가상 시나리오입니다.
자료 확인일
2026년 10월 15일
참고 자료
유럽연합 집행위원회 AI Act 공식 안내 https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
유럽연합 집행위원회 AI Omnibus 발효 안내 https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
유럽연합 AI Act Service Desk 제2조 적용 범위 https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-2
유럽연합 AI Act Service Desk 제99조 제재 https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-99