EU AI 규제법 정리에서 가장 먼저 바로잡을 오해는 모든 AI 도구가 고위험 AI라는 생각이다. EU AI 규제법, 정식 명칭 AI Act는 생성형 AI를 포함한 AI를 일괄 금지하지 않는다. 사용 맥락과 예상 피해를 기준으로 금지, 고위험, 투명성 의무, 최소 위험 영역을 구분한다. 분류가 핵심이다.
한국 기업도 무관하다고 보기 어렵다. EU 안에서 AI 시스템을 출시하거나 사용하고, EU에 있는 사람에게 결과물을 제공하거나, EU 안에서 발생한 활동을 AI 출력으로 모니터링하는 구조라면 적용 범위를 검토해야 한다. 단순히 서버가 한국에 있다는 이유만으로 판단이 끝나지 않는다. 실제 계약 구조와 서비스 대상, 데이터 흐름, 배포 방식까지 확인해야 한다.
EU AI 규제법 정리의 위험 기반 구조
AI Act는 위험이 커질수록 요구사항을 늘리는 방식이다. 허용되지 않는 위험에는 원칙적으로 금지되는 활용이 들어간다. 사람의 취약성을 악용하는 조작, 특정 사회적 맥락에서의 사회적 점수화, 제한된 예외 밖의 실시간 원격 생체식별 활용 등이 대표 논의 대상이다. 다만 개별 기능이 금지 대상인지 판단하려면 사용 장소와 목적, 예외 요건을 함께 봐야 한다.
고위험 AI는 금지와 허용 사이에 놓인다. 쓸 수 없는 AI가 아니라 엄격한 관리 체계를 갖춰야 하는 AI다. 채용 지원자의 이력서를 선별하거나, 학생 평가를 돕거나, 신용 접근과 보험료 산정에 큰 영향을 주거나, 의료·교통처럼 안전과 연결된 영역에 들어가면 우선 점검할 필요가 있다. 영향이 크다.
투명성 의무 영역도 놓치기 쉽다. 사람과 대화하는 챗봇임을 알리는 방식, 딥페이크나 합성 콘텐츠 표시, 생체감정·생체분류 시스템 사용 사실 고지 등이 검토 대상이 된다. 사내 업무용이라고 표시 의무가 자동으로 사라지지는 않는다. 반면 개인의 일상적 사용이나 단순한 저위험 자동화는 같은 수준의 문서화와 적합성 절차를 요구받지 않는 경우가 많다.
고위험 AI 분류는 두 갈래로 확인한다
고위험 AI 분류는 별표 I 연계 제품과 별표 III 사용 사례를 나눠 보는 방식이 실무에 맞다. 첫 갈래는 기계, 의료기기, 장난감, 항공 등 EU 제품 안전 규정의 적용을 받는 제품 또는 안전 부품에 AI가 포함된 경우다. 해당 제품이 제3자 적합성 평가를 받아야 하는 구조라면 AI Act상 고위험 범주를 검토하게 된다.
둘째 갈래는 별표 III의 분야별 사용 사례다. 생체식별·생체분류, 중요 인프라 운영, 교육·직업훈련, 고용·근로자 관리·자영업 접근, 필수 민간·공공 서비스 접근, 법 집행, 이민·망명·국경 관리, 사법 및 민주 절차 지원이 여기에 포함된다. 이름만 보고 결정하면 안 된다. 예를 들어 인사팀이 회의록을 요약하는 도구와 지원자를 자동 순위화해 면접 기회를 좌우하는 도구는 위험도가 다르다.
별표 III에 적힌 분야라도 자연인에 관한 결정을 내리지 않거나, 의사결정에 실질적 영향을 주지 않는 보조 기능이라면 고위험에서 제외될 여지가 논의된다. 하지만 프로파일링을 수행하는 경우는 이 예외를 기대하기 어렵다. ‘사람이 최종 승인한다’는 문구만으로 자동 분류가 해소되지는 않는다. 승인자가 결과를 이해하고 뒤집을 권한과 시간, 근거 자료를 실제로 가져야 한다.
도입 전에 하는 20분 분류 점검
새 AI SaaS를 들일 때는 공급사 설명 자료만 저장하고 끝내지 말자. 아래 질문에 한 문장씩 답하면 법무·보안·현업이 같은 대상을 두고 논의하기 쉬워진다. 짧은 기록이 나중에 큰 차이를 만든다.
- 사용 목적을 적는다. 요약, 검색, 추천, 점수화, 순위화, 거절, 감시 가운데 무엇인지 구체적으로 쓴다.
- 영향받는 사람을 적는다. 직원, 지원자, 고객, 학생, 환자, 시민처럼 대상 집단을 구분한다.
- 결과의 영향을 확인한다. 채용 탈락, 대출 거절, 접근 제한, 안전사고 가능성처럼 권리·기회·안전에 미치는 결과를 적는다.
- 시스템 역할을 나눈다. 자체 개발한 제공자인지, 외부 도구를 배포하는 제공자인지, 조직 내부에서 쓰는 배포자인지, 단순 수입·유통 역할인지 확인한다.
- 통제 장치를 적는다. 인간 검토, 이의제기 경로, 로그 보관, 데이터 품질 검토, 오류 신고와 중단 절차가 실제 운영되는지 본다.
고위험으로 분류되거나 분류가 애매하면 제공자와 배포자의 의무를 따로 정리해야 한다. 제공자에게는 위험관리, 데이터 거버넌스, 기술 문서, 기록·로그, 정확성·견고성·사이버보안, 인간 감독, 적합성 평가와 등록 같은 항목이 중요하다. 배포자는 사용 설명 준수, 운영 로그 관리, 인간 감독 배치, 심각한 사고 징후 보고와 영향평가 검토가 업무에 들어갈 수 있다. 계약서에는 모델 변경 통지, 보안사고 연락, 감사 자료 제공 범위, 데이터의 학습 사용 여부를 넣어두는 편이 낫다.
시행 일정도 한 번에 열리지 않았다. AI Act는 2024년 8월 발효됐고 금지 관행 관련 규정은 2025년 2월부터, 범용 AI 모델 관련 일부 규정은 2025년 8월부터 적용 일정이 진행됐다. 다수 고위험 AI 의무는 2026년 8월 적용 시점이 핵심으로 언급되지만 제품 안전 규정과 연결된 일부 영역은 별도 일정이 적용될 수 있다. EU 집행기구의 최신 안내와 관련 표준, 국가별 집행 체계를 도입 직전에 다시 확인해야 한다.
FAQ
사내 챗봇도 고위험 AI인가?
사내 문서 검색과 요약만으로 바로 고위험 AI가 되지는 않는다. 다만 채용 후보자 순위, 직원 성과 판단, 근태 감시, 징계 추천처럼 고용 기회와 근로 조건에 영향을 주면 별표 III 분류를 먼저 검토하는 편이 안전하다.
외부 AI SaaS를 쓰면 공급사가 모두 책임지나?
공급사의 역할이 크지만 이용 조직의 확인 업무가 없어지는 구조는 아니다. 조직이 어떤 목적으로 입력하고 어떤 결과를 실제 의사결정에 반영하는지에 따라 배포자 의무와 내부 통제 필요성이 달라진다. 계약서와 운영 정책을 함께 봐야 한다.
생성형 AI는 모두 투명성 표시가 필요한가?
표시 의무는 도구 이름보다 사용 장면에 따라 검토한다. 사람과 상호작용하는 AI라는 사실, 합성 콘텐츠 여부처럼 이용자 오인을 막기 위한 요구가 중심이다. 면제와 세부 조건이 있으므로 서비스 화면과 대상 이용자를 기준으로 확인하는 편이 좋다.
고위험 분류 기록은 무엇을 남겨야 하나?
서비스명만 적어서는 부족하다. 목적, 대상자, 입력 데이터, 출력 결과, 최종 결정자, 사람의 개입 방식, 공급사 문서, 분류 근거, 재검토 날짜를 남긴다. 모델이나 기능이 바뀌면 같은 기록을 다시 검토해야 한다.
관련 글
이 글은 일반적인 정보 제공과 참고 목적으로 작성되었으며, 법률 자문·보안 컨설팅·컴플라이언스 판단을 대체하지 않습니다. 소개하는 설정과 절차는 소프트웨어 버전이나 조직 환경에 따라 다르게 동작할 수 있으며, 어떤 보안 조치도 완전한 안전을 보장하지는 않습니다. 실제 적용 전에는 반드시 소속 조직의 정책과 담당 부서(보안·IT·법무)의 확인을 거치고, 중요한 시스템에는 백업과 사전 테스트 후 적용하시기 바랍니다. 규제 해석과 합법·불법 여부는 사안과 시점마다 달라질 수 있으므로 공식 규정과 전문가 상담으로 확인이 필요합니다. 본 사이트는 내용의 정확성과 최신성을 보장하지 않으며, 이 글의 내용을 적용하여 발생하는 어떠한 결과에 대해서도 책임을 지지 않습니다.