EU AI Act란

EU AI Act는 인공지능을 위험 수준에 따라 규제하는 세계 최초의 포괄적 AI 법으로, 2024년 유럽연합(EU)에서 통과됐다. 이 법은 AI 시스템을 위험도에 따라 네 등급으로 나누고, 위험이 클수록 더 엄격한 의무를 부과하는 위험 기반(risk-based) 접근을 핵심으로 삼다. 적용 대상은 EU 내에서 AI를 출시하거나 사용하는 모든 사업자이며, EU 밖 기업이라도 EU 시장에 AI 제품·서비스를 제공하면 규제를 받다. 2026년 현재 EU AI Act는 등급별로 의무가 단계적으로 발효되고 있어, 한국을 포함한 글로벌 기업의 대응 과제로 떠올랐다.

EU AI Act의 핵심 내용

EU AI Act의 핵심은 AI를 위험 수준으로 분류해 차등 규제하는 위험 기반 접근이다. 2024년 통과된 이 법은 AI 자체를 금지하지 않고, AI가 사람의 안전과 기본권에 미치는 위험의 크기에 비례해 의무를 부과한다. 위험이 가장 큰 시스템은 아예 금지하고, 위험이 큰 시스템에는 엄격한 사전·사후 의무를 지우며, 위험이 낮은 시스템에는 최소한의 투명성만 요구하는 구조다.

법의 주요 기둥은 다음과 같다.

위험 기반 4단계 분류: 허용 불가(unacceptable)·고위험(high)·제한적(limited)·최소(minimal)
고위험 AI에 대한 위험 관리, 데이터 품질, 문서화, 인간 감독 등 엄격한 의무
제한적 위험 AI(예: 챗봇)에 대한 투명성 의무, 즉 사용자에게 AI와 상호작용 중임을 알릴 것
EU 시장에 제품을 내놓는 역외 기업에도 적용되는 광범위한 적용 범위

왜 '위험 기반' 접근을 택했나

이 법의 설계를 이해하는 열쇠는 규제 대상을 '기술'이 아니라 '용도'로 잡았다는 점이다. 같은 얼굴 인식 알고리즘이라도 사진 앱의 자동 태그에 쓰이면 최소 위험이고, 공공장소 실시간 신원 감시에 쓰이면 허용 불가에 가까워진다. 기술 자체를 금지하면 혁신을 통째로 막고 금세 낡은 규제가 되지만, 용도별 위험에 비례해 의무를 매기면 기술 발전을 허용하면서도 해악이 큰 사용처만 걸러낼 수 있다. EU가 개별 알고리즘을 쫓아다니는 대신 '어디에 쓰느냐'를 규율 축으로 삼은 이유가 여기에 있다.

이 접근에는 분명한 의도가 읽힌다. EU는 미국식 자율 규제나 중국식 국가 통제와 다른 '제3의 길', 즉 시장을 열어두되 기본권을 규제의 상수로 두는 모델을 표준화하려 한다. 규제 부담을 소수의 고위험·금지 영역에 몰아주고 대다수 AI는 사실상 자유롭게 둔 구조는, 규제가 산업 전체를 짓누른다는 비판을 피하려는 정치적 균형점이기도 하다. 다만 '용도'라는 기준은 경계가 유동적이어서, 실제 등급 판정에서 해석 다툼이 잦을 수밖에 없다는 약점도 함께 안고 있다.

AI 위험 등급 분류

EU AI Act는 AI 시스템을 위험도에 따라 네 개 등급으로 분류한다. 분류 기준은 해당 AI가 사람의 안전·권리에 미치는 잠재적 해악의 크기이며, 등급이 높을수록 규제 강도가 강해진다. 2024년 확정된 이 분류 체계는 같은 기술이라도 어디에 어떻게 쓰이느냐에 따라 등급이 달라진다는 점이 특징이다.

위험 등급	의미	규제 강도
허용 불가(Unacceptable)	기본권을 심각하게 침해하는 용도	원칙적 금지
고위험(High)	채용·교육·의료 등 중요 영역에 쓰이는 AI	엄격한 사전·사후 의무
제한적(Limited)	챗봇 등 사용자와 직접 상호작용	투명성 고지 의무
최소(Minimal)	스팸 필터·게임 등 대부분의 AI	별도 의무 거의 없음

이 표에서 보듯 규제 부담은 고위험 등급 이상에 집중되며, 실제 시중 AI의 다수는 최소 위험에 해당한다.

등급표를 읽는 법: 부담은 어디에 몰리는가

이 등급표에서 실무자가 주목해야 할 지점은 규제 강도의 분포가 균등하지 않다는 사실이다. 네 등급이 나란히 놓여 있지만 실질적 부담은 사실상 고위험 한 칸에 집중된다. 허용 불가는 애초에 하면 안 되는 소수의 용도라 대부분의 기업과 무관하고, 최소 위험은 별도 의무가 거의 없으며, 제한적 위험은 'AI임을 알린다'는 비교적 가벼운 고지 의무에 그친다. 결국 무겁고 돈이 드는 의무는 고위험 등급에서 발생한다.

그래서 기업 입장에서 실제 승부처는 '우리 AI가 고위험이냐 아니냐'의 경계선이 된다. 채용·교육·의료처럼 사람의 삶에 큰 영향을 주는 영역에 AI가 개입하면 고위험으로 빨려 들어갈 가능성이 커지고, 그 순간 위험 관리·데이터 거버넌스·기술 문서·인간 감독이라는 무거운 짐이 한꺼번에 붙는다. 등급표를 단순한 분류표가 아니라 '비용이 어디서 급증하는 계단'으로 읽어야 하는 이유다.

기업이 준비해야 할 것

기업이 가장 먼저 준비해야 할 것은 자사 AI가 어느 위험 등급에 속하는지 파악하는 일이다. 2026년 현재 EU AI Act 의무가 단계적으로 발효되는 만큼, EU 시장과 접점이 있는 기업은 등급 진단과 문서화부터 착수해야 한다. 준비 순서는 다음과 같다.

자사 AI 시스템을 목록화하고 각각의 위험 등급을 분류한다.
고위험에 해당하면 위험 관리 체계, 데이터 거버넌스, 기술 문서를 구축한다.
챗봇 등 제한적 위험 AI에는 AI 사용 사실을 알리는 투명성 고지를 적용한다.
인간 감독 절차와 사고·오류 대응 프로세스를 마련한다.
시행 일정에 맞춰 내부 컴플라이언스 담당과 점검 주기를 정한다.

EU AI Act 시행 일정

EU AI Act는 한 번에 전면 시행되지 않고 의무별로 단계적으로 시행된다. 2024년 법이 발효된 뒤, 금지 대상 AI에 대한 규정이 먼저 적용되고 고위험 시스템 의무 등 나머지 규정이 순차적으로 효력을 갖는 방식이다. 2026년 시점에도 일부 의무는 이미 적용 중이고 일부는 이후 단계에서 발효를 앞두고 있어, 기업은 자사에 적용되는 조항의 발효 시기를 개별적으로 확인해야 한다.

단계적 시행의 일반적 흐름은 다음과 같다.

법 발효 직후: 허용 불가(금지) 등급에 대한 규정 우선 적용
중간 단계: 범용 AI 모델 등에 대한 투명성·문서화 의무 적용
후속 단계: 고위험 시스템에 대한 엄격한 의무가 본격 시행

단계적 시행이 만드는 함정

시행 일정이 등급별로 쪼개져 있다는 사실은 단순한 행정 편의가 아니라 대응 전략을 바꾸는 변수다. 금지 규정이 먼저 켜지고 고위험 의무가 뒤에 온다는 순서 때문에, '아직 우리 의무는 발효 전이니 나중에 준비하면 된다'는 판단을 하기 쉽다. 하지만 고위험 시스템의 위험 관리 체계·데이터 거버넌스·기술 문서는 발효일에 맞춰 하루아침에 만들 수 있는 서류가 아니다. 데이터 이력을 소급해 정리하고 감독 절차를 실제 조직에 심는 데는 수개월에서 수년이 걸린다.

따라서 기업이 확인해야 할 것은 '법이 언제 다 시행되느냐'가 아니라 '우리에게 걸리는 조항이 정확히 언제 켜지느냐'다. 발효일을 역산해 준비 기간을 확보하지 못하면, 규정 자체는 유예됐어도 실무는 이미 늦은 상황이 벌어진다. 단계적 시행은 완충 장치처럼 보이지만, 실은 조항별 데드라인을 개별 관리하지 못하는 기업에는 오히려 방심을 유도하는 함정에 가깝다.

한국 기업에 미치는 영향

한국 기업도 EU 시장에 AI 제품·서비스를 제공하면 EU AI Act의 규제를 받다. EU AI Act는 사업자의 소재지가 아니라 AI가 EU 시장에서 쓰이는지를 기준으로 적용되므로, 한국에 본사를 둔 기업이라도 EU 고객을 대상으로 하면 의무 대상이 된다. 2026년 현재 EU에 진출했거나 진출을 계획하는 한국 IT·제조·플랫폼 기업은 자사 AI의 위험 등급과 그에 따른 의무를 미리 점검하는 것이 안전한다.

특히 다음과 같은 영향이 예상된다.

EU 수출 AI 제품의 등급 분류와 기술 문서 준비 부담 증가
고위험으로 분류될 경우 인증·문서화 등 추가 컴플라이언스 비용 발생
GDPR에 이어 EU AI 규제가 글로벌 표준으로 확산되며 국내 규제 정비에도 영향

GDPR의 데자뷔: 왜 한국이 남 일이 아닌가

한국 기업이 이 법을 남의 나라 규제로 넘길 수 없는 이유는, 적용 기준이 '기업이 어디에 있느냐'가 아니라 'AI가 EU 시장에서 쓰이느냐'이기 때문이다. 이 역외 적용 구조는 이미 GDPR에서 겪은 시나리오의 반복이다. GDPR 당시 많은 한국 기업이 '우리는 유럽 회사가 아니다'라며 대응을 미뤘다가, EU 고객 데이터를 다룬다는 이유로 뒤늦게 개인정보 처리 체계를 뜯어고쳐야 했다. EU AI Act는 이 방식을 AI 영역으로 확장한 것이며, GDPR을 겪은 기업이라면 결말을 이미 알고 있다.

더 중요한 파장은 국내 규제로의 역류다. GDPR이 한국 개인정보보호법 개정에 사실상 참조 표준이 됐듯, EU AI Act 역시 향후 한국의 AI 규율 정비에 청사진을 제공할 가능성이 크다. 다시 말해 지금 EU 대응으로 갖춰 두는 위험 등급 진단·문서화·인간 감독 체계는 EU 수출용 일회성 비용이 아니라, 머지않아 국내에서도 요구될 역량의 선행 투자일 수 있다. EU 진출 계획이 없는 기업이라도 이 흐름을 미리 관찰해 둘 실익이 있는 셈이다.