EU AI Act는 2024년 8월 발효된 세계 최초의 포괄적 AI 규제법입니다. 한국 기업도 EU 시장에서 AI 서비스를 제공한다면 반드시 알아야 할 핵심 규제입니다.
EU AI Act란 무엇인가?
EU AI Act(유럽 인공지능법)는 AI 시스템을 위험 수준에 따라 분류하고, 각 등급에 맞는 규제를 적용하는 법률입니다. 2021년 유럽 의회에서 처음 제안되어 2024년 8월 1일 공식 발효됐으며, 단계적으로 적용 범위가 확대됩니다. 이 법은 AI 기술의 혜택을 유지하면서도 시민의 기본권과 안전을 보호하는 것을 목표로 합니다. EU 내에서 AI 시스템을 운영하거나 판매하는 모든 기업에 적용되며, 한국 기업도 EU 시장에 진출한다면 적용 대상이 됩니다.
4단계 위험 분류 체계
EU AI Act 준수를 위해 한국 기업이 당장 취해야 할 조치는 세 가지입니다. 첫째, 자사 AI 시스템이 금지 AI 관행(사회 점수제, 감정 인식 등)에 해당하는지 확인합니다. 둘째, 고위험 AI 시스템(의료·채용·신용평가 등)을 사용 중이라면 투명성 보고서와 인간 감독 절차를 갖춰야 합니다. 셋째, 범용 AI 모델(GPAI) 규정에 따라 AI 훈련 데이터 출처 문서화가 필요합니다. EU 매출이 없는 한국 기업도 EU 시장에 AI 제품·서비스를 공급하면 규정 적용 대상이 됩니다.
EU AI Act의 핵심은 AI 시스템을 위험도에 따라 4단계로 나누는 것입니다.
| 위험 수준 | 주요 예시 | 규제 수준 |
|---|---|---|
| 허용 불가(Unacceptable Risk) | 사회 신용 시스템, 실시간 원격 생체인식 | 전면 금지 |
| 고위험(High Risk) | 채용 AI, 의료 진단 AI, 자율주행 | 엄격한 사전 심사 및 등록 |
| 제한적 위험(Limited Risk) | 챗봇, 딥페이크 생성 도구 | 투명성 의무(AI임을 고지) |
| 최소 위험(Minimal Risk) | 스팸 필터, 게임 AI | 자율 규제 |
기업이 지켜야 할 핵심 의무사항
고위험 AI 시스템을 운영하는 기업은 다음 의무를 이행해야 합니다.
- 적합성 평가(Conformity Assessment): 출시 전 독립 기관의 심사 통과
- EU AI 데이터베이스 등록: 고위험 AI는 공식 등록부에 등재 필수
- 사후 시장 감시: 출시 후에도 지속적인 모니터링 의무
- 기술 문서화: AI 시스템의 작동 원리와 학습 데이터를 문서로 보관
- 인간 감독(Human Oversight): 자동화 결정에 사람이 개입할 수 있는 체계 구축
제한적 위험 수준의 챗봇과 딥페이크 도구는 사용자에게 AI가 생성한 콘텐츠임을 명확히 고지해야 합니다.
단계별 시행 일정
EU AI Act는 한꺼번에 적용되지 않고 단계적으로 시행됩니다.
- 2024년 8월: 법률 발효
- 2025년 2월: 허용 불가 AI 금지 조항 적용
- 2025년 8월: 범용 AI 모델(GPAI) 규제 적용
- 2026년 8월: 고위험 AI 전면 적용
- 2027년 8월: 일부 고위험 AI 추가 적용
한국 기업에 미치는 영향
EU AI Act는 EU 내 사용자에게 AI 서비스를 제공하는 모든 기업에 적용됩니다. 한국 기업도 예외가 아닙니다. 특히 다음 분야의 기업은 즉시 대응이 필요합니다.
- HR 테크(채용 AI): 고위험 분류, 엄격한 심사 필요
- 핀테크(신용평가 AI): 고위험 분류, 인간 감독 체계 필수
- 의료 AI: 고위험 분류, 적합성 평가 통과 필요
- 생성형 AI 서비스: 투명성 의무 및 저작권 데이터 공시
위반 시 제재도 강력합니다. 최대 위반의 경우 전 세계 연간 매출의 7% 또는 3,500만 유로 중 높은 금액이 과징금으로 부과됩니다. 고위험 AI 위반은 매출의 3% 또는 1,500만 유로, 잘못된 정보 제공은 매출의 1.5% 또는 750만 유로입니다.
범용 AI(GPAI) 모델 규제
ChatGPT, Claude, Gemini처럼 다양한 용도로 사용할 수 있는 범용 AI 모델(General Purpose AI)에 대한 별도 규제도 있습니다. 연산 학습량 10의 25승 플롭(FLOPs) 이상의 대형 모델은 추가 의무를 집니다.
- 학습 데이터의 저작권 관련 요약 공개
- 에너지 소비량 공개
- 사이버보안 취약점 분석 및 보고
관련 내용은 생성형 AI 저작권 2026 가이드에서 자세히 확인할 수 있습니다.
한국 AI 기본법과의 연계
한국도 2024년 AI 기본법을 제정했습니다. EU AI Act와 유사하게 고위험 AI를 분류하고 규제하는 체계를 담고 있습니다. 글로벌 비즈니스를 운영하는 기업이라면 두 법률을 동시에 준수해야 할 가능성이 높습니다. 2026 AI 트렌드 총정리에서 전반적인 AI 규제 흐름을 파악해두면 대응에 도움이 됩니다.
준비 방법 — 기업 체크리스트
- 자사 AI 시스템의 위험 등급 자체 평가
- 고위험 AI 해당 시 적합성 평가 절차 착수
- AI 시스템 관련 기술 문서 정비
- 인간 감독 체계 설계 및 문서화
- 법무팀 또는 전문 컨설턴트와 EU AI Act 컴플라이언스 로드맵 수립
더 넓은 AI 활용 전략은 AI 업무 자동화 가이드를 참고하세요.
EU AI Act는 2024년 8월 1일 발효되어 2026년 8월 전면 시행 예정이었으나, 2026년 5월 타결된 Digital Omnibus 합의로 고위험 AI 시스템(Annex III)의 의무 적용 시한이 2027년 12월로 연장됐습니다. 범용 AI 모델(GPAI) 규정은 2025년 8월부터, 금지 AI 관행은 2025년 2월부터 이미 시행 중입니다. 위반 시 과징금은 최대 3,500만 유로 또는 연 매출의 7%이며, 고위험 AI 시스템 1건당 연간 규정 준수 비용은 약 5만 2,000유로로 추산됩니다. EU AI 규정 준수 시장은 2030년까지 170억~380억 유로 규모로 성장할 것으로 전망됩니다.
출처: EU AI Act 공식 사이트 | 유럽 위원회 디지털 전략
자주 묻는 질문
네. EU 내 사용자에게 AI 서비스를 제공하거나 AI 시스템을 판매하는 경우 한국 기업도 적용 대상입니다.
챗봇은 제한적 위험으로 분류됩니다. 사용자에게 AI와 대화 중임을 명확히 고지해야 합니다.
위반 유형에 따라 전 세계 연간 매출의 최대 7%까지 부과될 수 있습니다.
EU AI Act 부록에 고위험 AI 목록이 명시되어 있습니다. 채용, 신용평가, 의료, 교육, 사법, 이민 등 8개 분야가 고위험으로 분류됩니다.
네, 규모와 무관하게 적용됩니다. 단, 중소기업과 스타트업에 대한 규제 지원 프로그램(AI 규제 샌드박스)을 EU 회원국이 제공해야 합니다.
