EU AI Act 대응 가이드: 규제 일정·벌금·기업 준비 비용

핵심만 먼저 보면

EU 고객이나 현지 법인을 둔 한국 기업은 지금부터 AI 기능 목록, 사용 목적, 공급업체 계약, 증빙 문서를 정리해야 합니다.

EU AI Act는 본사가 유럽 밖에 있어도 AI 시스템의 결과물이 EU에서 사용되는 경우 적용될 수 있습니다. 다만 모든 생성형 AI가 곧바로 고위험 AI가 되는 것은 아닙니다. 같은 모델이라도 채용, 대출 심사, 교육 평가처럼 어디에 쓰는지에 따라 위험 등급과 의무가 달라집니다.

2026년 7월 15일 확인 기준으로 금지 AI 관행과 AI 리터러시 의무는 이미 적용되고 있습니다. 범용 AI 모델 관련 의무도 시행 중입니다.

EU 집행위원회 공식 안내는 2026년 5월 정치적 합의에 따라 일부 고위험 AI 규칙의 적용 시점을 2027년 12월 또는 2028년 8월로 제시하고 있습니다. 일정이 늦춰졌다고 준비를 미루기보다는 AI 자산 목록, 역할 구분, 공급업체 계약, 증빙 문서를 먼저 갖추는 편이 비용을 줄이는 데 유리합니다.

EU AI Act는 AI 시스템을 위험도에 따라 나눠 의무를 다르게 적용합니다.

한눈에 보는 결론

무엇: EU AI Act는 AI 시스템을 위험도와 역할에 따라 관리하게 하는 유럽연합 규제입니다.

먼저 할 일: 우리 회사가 쓰는 AI 목록, EU 사용 여부, 입력 데이터, 출력물의 의사결정 영향부터 정리해야 합니다.

주의점: 제품 이름보다 사용 목적이 중요합니다. ChatGPT, Copilot, Claude를 쓴다는 사실만으로 고위험이 되는 것은 아닙니다.

EU AI Act는 한국 기업에도 적용될까요?

판단 기준은 회사 국적보다 AI가 EU 시장과 연결되는 방식입니다. 다음 중 하나라도 해당한다면 법무, 보안, 제품 담당자가 함께 적용 가능성을 검토할 필요가 있습니다.

• AI 기능이 포함된 소프트웨어나 서비스를 EU 시장에 공급합니다.
• EU 법인이나 지사가 AI 시스템을 업무에 사용합니다.
• 한국에서 운영하는 AI의 출력이 EU 안에서 이용됩니다.
• EU 고객을 대신해 채용, 신용평가, 본인확인, 교육 평가 같은 업무를 처리합니다.
• OpenAI, Microsoft, Google, Anthropic 등 외부 모델을 자사 서비스에 연결해 EU 고객에게 제공합니다.

여기서 자주 놓치는 부분은 외부 AI SaaS입니다. 완제품을 구매해 쓰더라도 회사가 어떤 목적으로 배치하고 운영하는지에 따라 배포자(deployer) 의무가 생길 수 있습니다.

반대로 자사 이름으로 AI 기능을 시장에 내놓거나 모델의 목적을 실질적으로 바꾸면 제공자(provider)에 가까워질 수 있습니다. 그래서 “우리는 그냥 SaaS를 쓰는 회사”라고 넘기기 전에 실제 업무 흐름부터 봐야 합니다.

실무 팁: 서비스명만 적은 목록으로는 부족합니다. 모델명, 사용 부서, 입력 데이터, 출력물의 의사결정 영향, EU 사용 여부, 공급업체, 계약 갱신일을 한 표에 넣어야 분류와 예산 산정이 쉬워집니다.

2026년 이후 규제 일정은 어떻게 달라졌나요?

EU AI Act는 2024년 8월 발효됐고 의무가 단계적으로 적용되고 있습니다. 현재 준비 일정은 아래처럼 나눠 보는 것이 안전합니다.

시점	주요 내용	기업이 확인할 일
2025년 2월 2일	금지 AI 관행과 AI 리터러시 의무 적용	금지 사례 차단, 임직원 역할별 교육 기록
2025년 8월 2일	거버넌스와 범용 AI 모델 의무 적용	모델 공급망, 저작권 정책, 기술 문서 확인
2026년 8월 2일	법의 다수 조항이 본격 적용	투명성 고지, 계약, 내부 책임 체계 점검
2027년 12월 2일	생체인식, 교육, 고용, 필수 서비스 등 일부 고위험 영역 규칙 적용 예정	위험관리, 데이터 거버넌스, 로그, 인적 감독 준비
2028년 8월 2일	승강기, 완구 등 규제 제품에 통합된 고위험 AI 규칙 적용 예정	제품 적합성 평가와 기술 문서 연계

마지막 두 날짜는 EU 집행위원회가 2026년 5월 정치적 합의 이후 안내한 일정입니다. 실제 계약이나 출시를 결정하기 전에는 최종 법문, 관할 감독기관 지침, 산업별 규정을 다시 확인해야 합니다. 의료기기, 금융, 개인정보처럼 별도 규제가 있는 분야는 AI Act만 검토해서는 충분하지 않습니다.

위험 등급별로 무엇이 달라지나요?

구분	대표 사례	핵심 대응
금지 위험	특정 조작, 사회적 점수화, 무차별 얼굴 이미지 수집 등	사용 중단, 구매·개발 단계 차단
고위험	채용, 교육 평가, 신용도·필수 서비스, 일부 생체인식과 중요 인프라	위험관리, 데이터 품질, 기술 문서, 로그, 인적 감독, 정확성·보안
투명성 위험	챗봇, 생성형 콘텐츠, 딥페이크 등	AI 상호작용 또는 합성 콘텐츠임을 알리는 고지
최소 위험	스팸 필터, 일반적인 보조 기능 등	기존 법 준수와 자율적 관리

ChatGPT나 Copilot을 쓴다는 사실만으로 고위험이 되는 것은 아닙니다. 회의록 요약과 사내 문서 초안은 채용 후보자 자동 탈락이나 대출 승인 판단과 위험이 다릅니다. 제품 이름을 기준으로 분류하지 말고, 실제 사용 목적과 사람이 결과를 뒤집을 수 있는지를 확인해야 합니다.

고위험 AI는 개발, 평가, 등록, 출시 이후 변경 관리까지 이어지는 운영 절차가 중요합니다.

제공자와 배포자 중 우리 회사의 역할은 무엇인가요?

같은 회사가 서비스마다 다른 역할을 가질 수 있습니다. 외부 챗봇을 사내에서 쓰면 배포자일 가능성이 큽니다. 하지만 그 모델을 고객용 상담 서비스에 연결하고 자사 브랜드로 판매하면 제공자 또는 AI 시스템 공급망의 다른 주체로 판단될 수 있습니다.

1. 제공자: AI 시스템을 개발하거나 자사 명칭으로 시장에 공급하는 주체입니다. 고위험 시스템이라면 위험관리, 기술 문서, 품질관리, 적합성 평가 부담이 큽니다.
2. 배포자: 직업적 활동에서 AI 시스템을 사용하는 주체입니다. 사용 지침 준수, 인적 감독, 입력 데이터 관리, 모니터링과 기록이 중요합니다.
3. 수입자·유통자: EU 밖의 AI 시스템을 EU 시장에 들여오거나 유통할 때 표시, 문서, 적합성 여부가 확인 대상입니다.
4. 제품 제조사: AI를 안전 구성요소로 결합한 제품은 기존 제품 규제와 AI 의무를 함께 검토할 필요가 있습니다.

계약서에는 최소한 모델과 하위 처리자 변경 통지, 로그 제공, 보안 사고 통지, 기술 문서 협조, 데이터 사용 범위, 감사권, 서비스 종료 시 자료 반환을 넣는 편이 좋습니다. 공급업체가 규제 준수를 모두 대신해 준다는 표현만 믿기보다 누가 어떤 증빙을 언제 제공하는지까지 적어야 합니다.

EU AI Act 벌금은 얼마나 되나요?

EU 집행위원회 FAQ가 제시하는 상한은 위반 유형에 따라 다릅니다.

• 금지 관행 위반 또는 특정 데이터 요건 미준수: 최대 3,500만 유로 또는 전 세계 연간 매출의 7%
• 그 밖의 의무 위반: 최대 1,500만 유로 또는 전 세계 연간 매출의 3%
• 당국이나 인증기관에 부정확·불완전·오해를 부르는 정보 제공: 최대 750만 유로 또는 전 세계 연간 매출의 1.5%

중소기업은 위반 범주별로 정액과 매출 비율 중 더 낮은 기준이 적용됩니다. 그 밖의 기업은 더 높은 기준이 고려될 수 있습니다. 벌금만 비용으로 보면 대응 우선순위를 잘못 잡기 쉽습니다. 실제 손실은 판매 중단, 고객 보안 심사 탈락, 계약 해지, 재작업과 평판 훼손에서 더 크게 발생할 수 있습니다.

기업 준비 비용은 어떻게 잡아야 할까요?

EU가 정한 표준 견적은 없습니다. 아래 범위는 한국 기업이 내부 예산을 잡을 때 참고할 수 있는 비공식 계획 예시입니다. 법률 자문이나 공급업체 견적을 대신하지는 않습니다.

기업 상황	초기 준비 예산 예시	주요 지출
사내 생성형 AI 사용 중심	1,000만~4,000만원	AI 목록화, 사용 정책, 계약 검토, 교육
여러 부서가 고객용 AI를 운영	3,000만~1억원	분류, 법률 검토, GRC 도구, 공급업체 실사, 모니터링
고위험 가능성이 있는 AI 제공자	1억원~5억원 이상	위험관리 체계, 데이터 품질, 시험, 기술 문서, 적합성 평가

예산 차이를 만드는 변수는 AI 시스템 수, 고위험 여부, EU 사업 국가 수, 자체 개발 비중, 기존 ISO 27001·개인정보보호·품질관리 체계의 성숙도입니다. 이미 쓰는 GRC나 보안 도구에 AI 자산과 통제를 추가할 수 있다면 새 플랫폼을 도입하는 것보다 비용이 낮아질 수 있습니다.

도구나 컨설팅 견적에서 확인할 항목

• AI 자산 자동 탐지와 수동 등록을 모두 지원하는지
• 제공자·배포자 역할과 위험 등급별 통제 템플릿이 있는지
• 모델 버전, 프롬프트, 데이터 출처, 승인 이력을 남길 수 있는지
• ISO 27001, NIST AI RMF, 개인정보 영향평가와 증빙을 재사용할 수 있는지
• 사용자 수가 아니라 AI 시스템 수나 API 호출량으로 과금하는지
• EU 규정 변경 시 템플릿 업데이트 비용이 포함되는지
• 법률 판단, 기술 시험, 감사 대응 중 어디까지 제공하는지

90일 준비 체크리스트

1~30일: AI 자산과 사용 목적을 찾습니다

• 공식 구매뿐 아니라 무료 계정, 브라우저 확장, API 키 사용도 조사합니다.
• EU 고객, EU 직원, EU에서 사용되는 출력과 연결되는지 표시합니다.
• 채용, 신용, 교육, 생체인식, 필수 서비스 등 민감한 사용 사례를 우선 분류합니다.

31~60일: 책임과 계약을 정리합니다

• 법무, 보안, 개인정보, 제품, 인사 담당자의 승인 역할을 정합니다.
• 공급업체에 모델 정보, 데이터 사용, 사고 통지, 로그와 문서 제공 범위를 확인합니다.
• 금지 사례와 고위험 가능성이 있는 신규 도입을 구매 절차에서 걸러냅니다.

61~90일: 증빙이 남는 운영으로 바꿉니다

• AI 사용 정책을 배포하고 직무별 교육 이력을 보관합니다.
• 사람의 검토와 이의 제기 절차를 실제 업무 화면과 매뉴얼에 반영합니다.
• 모델 변경, 성능 저하, 편향, 보안 사고를 정기적으로 점검합니다.
• 분기마다 AI 목록과 위험 분류를 다시 검토할 담당자를 지정합니다.

자주 묻는 질문

마케팅 문구 생성도 규제 대상인가요?

일반적인 문구 초안은 곧바로 고위험 사용이 되지는 않습니다. 다만 소비자가 AI와 상호작용한다는 사실, 합성 이미지·음성·영상의 표시, 개인정보와 저작권 의무는 별도 확인 대상입니다.

EU 법인이 없으면 준비하지 않아도 되나요?

그렇지 않습니다. EU에 AI를 공급하거나 AI의 결과가 EU에서 사용된다면 역외 적용 가능성이 있습니다. 이때는 EU 고객 계약, 서비스 지역, 데이터 흐름을 기준으로 검토합니다.

인증 하나를 받으면 대응이 끝나나요?

단일 인증만으로 모든 의무가 끝나지는 않습니다. 기존 보안·품질 인증은 통제와 증빙을 재사용하는 데 도움이 됩니다. AI 사용 목적 분류, 역할별 의무, 투명성 고지와 인적 감독은 따로 확인할 항목입니다.

이 글을 어떻게 정리했나

이 글은 EU 집행위원회, EUR-Lex, NIST 자료를 기준으로 확인했습니다. AI 초안을 활용했지만, 일정·벌금·역할 구분처럼 실무 판단에 영향을 주는 부분은 공개 자료와 맞춰 다시 검토했습니다.

법률 자문은 아니므로 실제 계약, 출시, 감사 대응 전에는 관할 국가와 산업별 규정을 별도로 확인하는 것이 안전합니다.

출처

• European Commission, AI Act regulatory framework
• European Commission, Navigating the AI Act FAQ
• European Commission, Digital Omnibus on AI regulation
• EUR-Lex, Regulation (EU) 2024/1689
• NIST, AI Risk Management Framework