법률

EU AI법 8월 2일 발효, 한국 기업의 3,500만 유로 시험대

해시우드 2026. 8. 24. 04:07
반응형

2026년 8월 2일. 유럽연합(EU)의 AI법(AI Act, Regulation (EU) 2024/1689)이 완전한 집행 권한을 갖게 되는 날이다. 이날부터 EU AI 사무소는 법률적 조사권, 시정 명령, 모델 리콜, 그리고 최대 3,500만 유로 또는 전 세계 매출의 7%에 달하는 벌금을 부과할 수 있다(European Commission, 2026; Axis Intelligence, 2026). 이는 GDPR의 최고 벌금액(2,000만 유로 또는 매출 4%)을 75% 넘어서는 수치다.

그림: EU AI법 8월 2일 발효, 한국 기업의 3,500만 유로 시험대 — — GPAI 벌금 1,500만 유로·역외 적용·EU 대표자 의무가 만드는 이중 준법의 구조적 분수령

그림: EU AI법 8월 2일 발효, 한국 기업의 3,500만 유로 시험대 — — GPAI 벌금 1,500만 유로·역외 적용·EU 대표자 의무가 만드는 이중 준법의 구조적 분수령

더 중요한 것은 이 법의 역외 적용(extraterritorial reach)이다. EU 역내에 본사가 없는 기업이라도, AI 시스템의 산출물이 EU 시민에게 도달하면 규제 대상이 된다(Article 2). 삼성전자의 갤럭시 AI, 네이버의 하이퍼클로바, 카카오의 브레인 — 유럽 사용자에게 서비스되는 모든 한국산 AI가 이 그물망 안에 들어온다(RegulatoryAI, 2026; AIinAsia, 2026). 한국은 2026년 1월 22일 자체 AI 기본법을 시행하며 세계 두 번째 종합 AI 법률 체계를 구축했지만(Cooley LLP, 1월 27일; AIRiskAware, 8월 12일), EU AI법과의 준법 요건은 별개다.

1. EU AI법의 3단계 벌금 구조 — 3,500만 유로에서 750만 유로까지

EU AI법의 벌금 체계는 위반 유형에 따라 3단계로 나뉜다. 가장 높은 등급은 금지된 AI 관행을 위반했을 때로, 최대 3,500만 유로 또는 전 세계 연간 매출의 7% 중 큰 금액이 부과된다(JAGGAER, 2026; Axis Intelligence, 2026). 알파벳(구글)의 2024년 매출을 기준으로 7%를 계산하면 210억 유로에 달한다(Axis Intelligence, 2026).

두 번째 등급은 GPAI(범용목적 AI) 모델 의무 위반이다. 8월 2일부터 적용되며, 최대 1,500만 유로 또는 전 세계 매출의 3%가 부과된다(Beam AI, 2026; ThePlanetTools, 2026). 이는 OpenAI, 구글, 앤스로픽 등 대형 AI 모델 제공자에게 직접적으로 영향을 미친다. 세 번째는 기타 의무 위반으로 750만 유로 또는 매출 1%가 상한이다(Machine Brief, 2026).

EU AI법 벌금 3단계 구조

  • 1등급 (금지 관행): 최대 3,500만 유로 또는 매출 7% — 사회 점수 부여, 무차별 감시 등
  • 2등급 (GPAI 의무): 최대 1,500만 유로 또는 매출 3% — 8월 2일부터 집행
  • 3등급 (기타 위반): 최대 750만 유로 또는 매출 1% — 정보 제공 거부, 감사 불응 등
  • GDPR 대비: GDPR 최고 2,000만 유로/4% → AI법은 3,500만 유로/7% (75% 상향)

EU AI법의 벌금은 GDPR을 넘어서는 '규제의 새로운 천장'이다. 전 세계 매출의 7%는 다국적 빅테크에게도 무시할 수 없는 금액이며, 한국 대기업에게도 예외가 아니다.

2. GPAI 모델 규제 — 8월 2일이 바꾸는 게임의 룰

GPAI(General-Purpose AI, 범용목적 AI) 모델에 대한 규제는 8월 2일부터 완전히 시행된다. EU AI 사무소는 GPAI 모델 제공자에게 문서 제출 요구, 모델 평가, 시정 조치, 그리고 벌금 부과 권한을 갖는다(Timewell, 2026; Beam AI, 2026). 이는 GPT-4, 클로드, 제미나이 같은 대형 언어 모델뿐 아니라, 이를 기반으로 한 파생 모델까지 포함한다.

핵심 의무는 4가지다. 첫째, 기술 문서 유지 — 모델의 학습 데이터, 아키텍처, 능력 한계를 문서화해야 한다. 둘째, 저작권 준수 — 학습 데이터의 저작권 정책을 공개해야 한다. 셋째, 체계적 위험 평가 — 일정 규모 이상의 모델은 체계적 리스크(systemic risk) 평가를 수행해야 한다. 넷째, 투명성 의무(Article 50) — AI 생성 콘�츠임을 명시해야 한다(European Commission, 2026; Truescreen, 2026).

한국 기업 중 가장 직접적으로 영향을 받는 것은 네이버의 하이퍼클로바와 카카오의 브레인이다. 이 모델들이 EU 역내에서 서비스될 경우, EU AI 사무소의 문서 제출 요구와 모델 평가에 응해야 한다. 비준수 시 1,500만 유로 또는 매출 3%의 벌금이 부과된다(Beam AI, 2026).

GPAI 모델 제공자 의무 (8월 2일 시행)

  • 기술 문서: 학습 데이터·아키텍처·능력 한계 문서화 의무
  • 저작권 준수: 학습 데이터 저작권 정책 공개
  • 체계적 위험 평가: 대규모 모델 시 체계적 리스크 평가 수행
  • 투명성 (Article 50): AI 생성 콘텐츠 명시 의무
  • 비준수 벌금: 최대 1,500만 유로 또는 매출 3%

3. 역외 적용 — EU 국경을 넘나드는 규제의 팔

EU AI법의 가장 강력한 무기는 역외 적용 조항이다. EU 역내에 설립되지 않은 기업도 다음 5가지 경로 중 하나에 해당하면 규제 대상이 된다(Agent Liability, 2026; Everything-PR, 2026). 가장 중요한 것은 'AI 시스템의 산출물이 EU 역내의 사람에게 도달하는 경우'다. 이는 한국 기업이 EU 사용자에게 AI 서비스를 제공하는 모든 경우를 포괄한다.

한국 기업의 구체적 노출을 정리하면 다음과 같다. 삼성전자는 갤럭시 AI(AI 번역, 사진 편집, 요약 기능)를 EU 스마트폰 사용자에게 제공하므로 고위험 AI 시스템 준법 의무가 발생한다. 네이버는 하이퍼클로바 기반 서비스가 EU 사용자에게 노출될 경우 GPAI 모델 의무를 져야 한다. 카카오 역시 브레인 모델의 EU 진출 시 동일한 의무가 적용된다(RegulatoryAI, 2026).

또한 비EU 제공자는 EU 역내 대표자(authorised representative)를 임명해야 한다(Article 22, 54). 대표자는 서면 위임장을 통해 AI 사무소 및 권한 있는 당국과의 소통 창구 역할을 하며, 준법 의무를 이행하지 않으면 벌금이 부과된다(Verasafe, 2월 26일; Taylor Wessing, 2025). 한국 기업에게 이는 추가적인 컴플라이언스 비용을 의미한다.

EU AI법 역외 적용 5가지 경로

  • 산출물 도달: AI 시스템 결과가 EU 역내 사람에게 도달 (가장 광범위)
  • 제공자 배치: AI 시스템을 EU 시장에 배치
  • 사용자 운영: EU 역내에서 AI 시스템을 운영
  • 수입자 책임: EU 역내 수입자를 통해 유통
  • 대표자 임명: 비EU 제공자는 EU 대표자 임명 의무

역외 적용의 본질은 'EU 시민에게 영향을 미치는 AI는 누가 만들었든 규제한다'는 원칙이다. 한국 기업이 EU 시장 진입을 원하면, 준법은 선택이 아닌 필수 조건이다.

4. 한국 AI 기본법 vs EU AI법 — 두 법이 교차하는 지점

한국은 2026년 1월 22일 AI 기본법(AI Basic Act)을 시행했다. 이는 EU AI법에 이어 세계 두 번째 종합 AI 법률로, 위험 기반 접근 방식을 취한다(Cooley LLP, 1월 27일; AIRiskAware, 8월 12일). 고위험 AI를 '고영향 AI(high-impact AI)'로 규정하고, 고용·신용·의료·공공안전 분야에 엄격한 의무를 부과한다.

하지만 두 법 사이에는 중요한 차이가 있다. 첫째, 한국 AI 기본법은 벌금 집행을 2027년까지 유예했다(AIinAsia, 2026). 즉 2026년에는 법이 시행 중이지만 실제 제재는 내년부터다. 반면 EU AI법은 8월 2일 즉시 벌금 부과가 가능하다. 둘째, 한국법은 EU 대표자 임명 의무가 없지만, EU 역내 서비스를 원하는 한국 기업은 EU AI법을 별도로 준수해야 한다(Korea Business View, 2026).

즉, 한국 기업은 국내법과 EU법을 동시에 준수하는 이중 컴플라이언스 체계를 구축해야 한다. 국내법은 고영향 AI에 대한 영향평가(Article 35)와 투명성 의무를 부과하고, EU법은 GPAI 모델 문서화와 역내 대표자 임명을 요구한다. 두 법의 준법 요건이 완전히 일치하지 않기 때문에, 법무·컴플라이언스 조직의 부담이 가중된다(AIRiskAware, 8월 12일).

한국 AI 기본법 vs EU AI법 비교

  • 시행일: 한국 2026년 1월 22일 / EU 2024년 8월 1일 (단계적 적용)
  • 벌금 집행: 한국 2027년 유예 / EU 2026년 8월 2일 즉시
  • 고위험 분류: 한국 '고영향 AI' / EU 'high-risk AI system'
  • 역외 적용: 두 법 모두 명시적 역외 적용 조항 포함
  • EU 대표자: 한국법 무관 / EU법 비EU 제공자 필수 임명
  • 최고 벌금: 한국 매출 3% / EU 매출 7% (금지 관행)

5. 고위험 AI 시스템 — 2027년 12월 2일의 두 번째 분수령

EU AI법에서 가장 무거운 의무를 부과하는 고위험 AI 시스템(high-risk AI system)의 준법 의무는 2027년 12월 2일부터 적용된다(Modulos, 2026; Requesty, 2026). 이는 Annex III에 열거된 분야 — 고용·교육·필수 서비스·법 집행·이민·사법·민주적 과정 — 에서 사용되는 AI 시스템에 적용된다.

고위험 AI 시스템 제공자는 적합성 평가(conformity assessment)를 통과해야 하며, 기술 문서, 데이터 거버넌스, 투명성, 인간 감독, 정확성·견고성·사이버보안 요건을 충족해야 한다. 2027년 12월까지 준비하지 않으면 판매 중단은 물론, 3,500만 유로 벌금이 부과될 수 있다(Introl, 2026).

삼성전자의 경우, 스마트폰의 생체 인식, 얼굴 분석, 건강 예측 기능이 고위험으로 분류될 가능성이 있다. 특히 고용 관련 AI 도구나 신용 평가 시스템을 사용하는 한국 금융기관 — 신한·국민·하나은행 — 의 AI 신용평가 모델도 EU 진출 시 고위험 분류가 적용된다(AIinAsia, 2026).

고위험 AI 적용 분야 (Annex III, 2027년 12월 시행)

  • 고용: 이력서 선별, 면접 평가 AI
  • 교육: 자동 채점, 입학 선발 시스템
  • 필수 서비스: 신용 평가, 보험 가입 심사
  • 법 집행: 위험 평가, 증거 분석 도구
  • 이민: 망명 신청 심사, 국경 관리
  • 민주적 과정: 선거 캠페인, 여론 조사 AI

6. 미·EU AI 규제 분기 — 트럼프 단일 연방법 vs EU 다층 규제

EU AI법이 8월 2일 완전 집행에 들어선 시점에, 워싱턴은 반대 방향으로 움직이고 있다. 트럼프 행정부는 주(州) 단위 AI 규제를 무효화하는 단일 연방 AI 법률 추진을 시사하고 있으며, 규제 완화 기조를 명확히 하고 있다(Karsane, 2026). 이는 EU의 다층 위험 분류·벌금 체계와 정면 충돌하는 방향이다.

결과적으로 글로벌 기업은 EU 엄격 규제 vs 미국 완화 기조 사이에서 준법 전략을 분리해야 한다. 한국 기업은 미국 중심 AI 전략과 EU 컴플라이언스를 동시에 운영해야 하는 딜레마에 빠진다. 실제로는 가장 엄격한 규제(EU) 기준으로 통일하는 것이 장기적으로 비용을 줄이는 전략이다(Karsane, 2026).

미·EU AI 규제 분기는 글로벌 표준 경쟁의 시작이다. 한국은 양쪽 모두와 교역하는 입장에서, '최소 공통 분모'가 아닌 '최고 기준'에 맞추는 전략이 장기적으로 비용을 줄인다.

7. 한국 기업이 해야 할 5가지 준비

EU AI법이 8월 2일 완전 집행에 돌입한 지 3주가 지났다. 한국 기업이 즉시 점검해야 할 사항을 정리한다.

  1. AI 시스템 인벤토리 구축: EU 사용자에게 도달하는 모든 AI 시스템·모델 목록화. GPAI 모델과 고위험 AI를 구분
  2. EU 역내 대표자 임명: 비EU 제공자는 Article 22/54에 따라 서면 위임장으로 대표자 지정. 컴플라이언스 예산 확보
  3. 기술 문서 준비: 학습 데이터 출처, 아키텍처, 능력 한계, 저작권 정책을 영문으로 문서화. AI 사무소 문서 제출 요구에 대비
  4. 체계적 위험 평가: 대규모 GPAI 모델(예: 하이퍼클로바)은 체계적 리스크 평가 수행. 2027년 12월 고위험 AI 준비와 연계
  5. 투명성 메커니즘: AI 생성 콘텐츠에 명시 표시 구현. Article 50 의무 8월 2일 즉시 적용 — 지연 시 벌금 대상

8. 구조적 의미 — 규제가 만드는 새로운 무역 장벽

EU AI법은 단순한 소비자 보호 법률이 아니다. 이것은 AI 시대의 새로운 무역 장벽이다. EU는 규제 선도를 통해 글로벌 AI 표준을 사실상 설정하고 있으며 — 이른바 '브뤼셀 효과(Brussels Effect)' — 비EU 기업이 EU 시장에 진입하려면 EU 기준에 맞춰야 한다. 한국 기업에게 이는 기술적 준수 비용뿐 아니라 법무·감사·문서화 인프라에 대한 투자를 요구한다.

한국 AI 기본법이 EU와 유사한 위험 기반 접근을 취한 것은 전략적으로 유리한 선택이다. 하지만 벌금 집행 시차(2027년 유예)와 EU 대표자 의무 부재는, 한국 기업이 EU 진출 시 추가 비용을 부담하게 만든다. 8월 2일은 이 두 법이 교차하며 한국 기업에게 '이중 준법'의 구조적 분수령을 만든 날이다.

AI 규제의 본질은 기술을 통제하는 것이 아니라, 기술이 만드는 권력 관계를 법률로 재구성하는 것이다. EU는 그 기준을 먼저 세웠고, 한국은 두 번째로 따라갔다. 이제 기업의 차례다.

EU AI법 8월 2일 완전 집행은 한국 기업에게 3,500만 유로의 벽을 세운 날이다. 하지만 그 벽은 넘을 수 없다. AI 시스템 인벤토리, EU 대표자 임명, 기술 문서, 투명성 메커니즘 — 이 5가지 준비가 완료되면, 그 벽은 시장 진입의 문턱이 된다. 2027년 고위험 AI 본격 시행 이전에 준비를 마치는 것이, AI 시대 글로벌 경쟁에서 살아남는 구조적 조건이다.

참고문헌

  1. European Commission, "Shaping Europe's digital future: AI Act," digital-strategy.ec.europa.eu, 2026
  2. Axis Intelligence, "EU AI Act Enforcement 2026: The Post-Omnibus Guide," May 2026
  3. Cooley LLP, "South Korea's AI Basic Act: Overview and Key Takeaways," January 27, 2026
  4. AIRiskAware, "South Korea AI Basic Act & PIPA Guide 2026," August 12, 2026
  5. AIinAsia, "Korea's AI Basic Act Took Effect. Every Asian Enterprise Should Be Watching," April 18, 2026
  6. Beam AI, "EU AI Act 2026: GPAI Enforcement & 3% Fines Begin," August 2026
  7. ThePlanetTools, "EU AI Act Fines Hit GPAI Aug 2, 2026: What's Real," August 2026
  8. Karsane, "EU AI Act Enforcement 2026: Fines Live as US Pushes Back," August 2026
  9. Machine Brief, "EU AI Act Full Enforcement August 2 2026 Deadline," 2026
  10. Timewell, "EU AI Act 2026 August: Japanese Enterprise GPAI Fine Avoidance Guide," 2026
  11. RegulatoryAI, "The EU AI Act for South Korean Companies (2026)," 2026
  12. Korea Business View, "Korea AI Basic Act 2026: Compliance Guide," May 12, 2026
  13. JAGGAER, "EU AI Act 2026: The Complete Compliance Guide," 2026
  14. Verasafe, "Is Your Organization Required to Appoint an Authorized Representative under the EU AI Act?," February 26, 2026
  15. Taylor Wessing, "The Authorised Representative under the EU AI Act," January 17, 2025
반응형