11. EU AI Act 완전 정리 : 기업이 지금 준비해야 할 것
- EU AI Act는 2025년 전면 시행된 세계 최초 AI 규제법으로 EU 시장에 진출한 한국 기업도 적용 대상입니다
- AI 시스템을 4가지 위험 등급으로 분류하며 고위험 AI는 7가지 엄격한 요건을 충족해야 합니다
- 위반 시 최대 전 세계 연간 매출의 7% 과징금이 부과되며 서비스 중단 명령도 가능합니다
2025년 8월, EU AI Act가 전면 시행됐습니다. 세계 최초의 포괄적 AI 규제법이 현실이 됐습니다. 이것은 EU 내 기업만의 문제가 아닙니다. EU 시장에 제품·서비스를 판매하거나, EU 소비자 데이터를 처리하거나, EU 기업과 거래하는 모든 기업에 영향을 미칩니다. 삼성전자·현대·LG·SK 모두 해당됩니다.
EU AI Act는 GDPR(일반개인정보보호규정)의 AI 버전이라고 할 수 있지만, 규제 범위와 기술적 요건은 훨씬 복잡합니다. GDPR이 "데이터를 어떻게 처리하는가"를 규제했다면, EU AI Act는 "AI 시스템을 어떻게 설계·배포·운영하는가"를 규제합니다. 이번 편에서는 EU AI Act의 핵심 내용, 4가지 위험 등급, 고위험 AI 7대 요건, 과징금 체계, 한국 기업 영향 분석, 그리고 즉시 실행 가능한 대응 로드맵을 완전히 정리합니다.
1. EU AI Act 배경과 시행 일정
EU AI Act는 2021년 최초 발의, 3년간의 협상을 거쳐 2024년 8월 발효, 2025년 8월 전면 시행됐습니다. EU의 "디지털 주권" 전략의 핵심 법안으로, AI 기술의 발전을 막는 것이 아니라 신뢰할 수 있는 AI 생태계를 만드는 것이 목표입니다.
| 시기 | 내용 | 기업 영향 | 대응 긴급도 |
|---|---|---|---|
| 2024년 8월 | 법 발효 | 준비 기간 시작 | 준비 착수 |
| 2025년 2월 | 금지된 AI 관행 규정 적용 | 사회적 점수제·실시간 생체인식 금지 | 🔴 즉시 점검 |
| 2025년 8월 | 고위험 AI 전면 시행 | 7대 요건 전체 적용 | 🔴 즉시 대응 |
| 2026년 8월 | 범용 AI 모델(GPAI) 규정 | LLM 기반 서비스 추가 의무 | 🟠 준비 중 |
| 2027년 8월 | 레거시 시스템 유예 종료 | 기존 고위험 AI도 전면 적용 | 🟡 계획 수립 |
2025년 2월부터 금지된 AI 관행이 적용되고, 2025년 8월부터 고위험 AI 요건이 전면 적용됩니다. EU 시장에 AI 관련 제품·서비스를 공급하는 한국 기업은 이미 대응해야 할 시점입니다. 준비가 안 된 상태에서 EU 당국의 조사를 받으면 영업 중단까지 가능합니다.
2. GDPR vs EU AI Act: 무엇이 다른가
| 구분 | GDPR (2018년) | EU AI Act (2025년) |
|---|---|---|
| 규제 대상 | 개인 데이터 처리 | AI 시스템 설계·배포·운영 |
| 규제 방식 | 원칙 기반 (결과 중심) | 위험 기반 (프로세스 중심) |
| 기술 요건 | 상대적으로 기술 중립적 | 매우 구체적인 기술 요건 |
| 적용 범위 | EU 거주자 개인정보 처리 | EU에서 사용되는 AI 시스템 |
| 최고 과징금 | 전 세계 매출의 4% | 전 세계 매출의 7% |
| 준수 난이도 | 높음 | 매우 높음 |
| 감사 요건 | 데이터 처리 기록 | AI 결정 전 과정 감사 추적 |
GDPR은 "데이터를 올바르게 처리했는가"를 묻습니다. EU AI Act는 "AI 시스템을 올바르게 설계하고 운영하는가"를 묻습니다. AI 에이전트를 도입하는 기업은 두 규제를 동시에 준수해야 합니다. AI 에이전트가 개인정보를 처리한다면 GDPR + EU AI Act가 동시에 적용됩니다.
3. 4가지 위험 등급 분류 체계
EU AI Act의 핵심은 AI 시스템을 위험도에 따라 4가지 등급으로 분류하는 것입니다. 등급이 높을수록 더 엄격한 요건이 적용됩니다.
| 등급 | 분류 | 해당 AI 시스템 사례 | 규제 수준 |
|---|---|---|---|
| 🔴 Unacceptable | 허용 불가 위험 | 사회적 점수제(중국식), 실시간 원격 생체인식, 잠재의식 조작 AI, 취약계층 착취 AI | 완전 금지. 즉시 중단 의무 |
| 🟠 High Risk | 고위험 | 채용 AI, 신용 심사 AI, 의료 진단 AI, 자율주행, 사법 판단 보조, 교육 평가 AI | 7대 요건 전체 충족 의무 |
| 🟡 Limited Risk | 제한적 위험 | 챗봇, 딥페이크 생성 AI, 감정 인식 AI, AI 생성 콘텐츠 | 투명성 공개 의무 (AI임을 고지) |
| 🟢 Minimal Risk | 최소 위험 | 스팸 필터, 체스 게임 AI, 창작 보조 AI, 제품 추천 AI(비중요) | 자율 규제 (권장 사항만) |
기업에서 가장 적극적으로 도입하는 AI들이 대부분 고위험 등급에 해당합니다. 채용 스크리닝 AI, 직원 성과 평가 AI, 고객 신용도 평가 AI, 의료·보험 심사 AI가 모두 해당됩니다. 이미 이런 AI를 운영 중이거나 도입 계획이 있다면 즉시 컴플라이언스 검토가 필요합니다.
위험 등급 판단 기준: 어떤 AI 시스템이 고위험에 해당하는지는 2가지 기준으로 판단합니다. ①사용 분야: Annex III에 열거된 분야(채용·교육·공공서비스·사법·국경 관리 등)에 해당하는지. ②영향 정도: AI의 결정이 개인의 권리·기회·생계에 중대한 영향을 미치는지.
4. 금지된 AI 관행 (Prohibited AI)
2025년 2월부터 적용된 금지 조항들입니다. 이미 적용 중이므로 즉시 점검이 필요합니다.
정부나 기업이 AI를 사용하여 개인의 사회적 행동을 점수화하고 이를 기반으로 차별적 대우를 하는 시스템. 고객 행동 점수에 기반한 서비스 차별, 직원 행동 감시 점수 시스템이 해당될 수 있습니다.
한국 기업 주의점: 고객 신용도 평가는 허용되지만, 이를 넘어 사회적 행동 전반을 점수화하는 것은 금지입니다.
공개 장소에서 실시간으로 사람의 얼굴을 인식하여 신원을 파악하는 AI. CCTV + 얼굴인식 AI 조합이 해당됩니다. 단, 납치된 아동 수색, 테러 방지 등 예외적 상황은 사법 당국 승인하에 허용.
한국 기업 주의점: EU 내 오프라인 매장이나 공장에서 방문객·직원을 실시간 얼굴 인식하는 시스템은 금지됩니다.
사람이 인식하지 못하는 방식으로 행동을 조작하는 AI. 극단적으로 설계된 추천 알고리즘이 이에 해당할 수 있습니다.
어린이, 장애인, 고령자 등 취약계층의 취약점을 이용하여 착취하는 AI. 어린이를 과도한 소비로 유도하는 AI 마케팅 시스템이 해당될 수 있습니다.
5. 고위험 AI 시스템 7대 요건
고위험 AI 시스템을 개발·배포하는 기업은 아래 7가지 요건을 모두 충족해야 합니다. 이는 EU AI Act에서 가장 중요한 부분입니다.
무엇을 해야 하는가: AI 시스템의 전체 생명주기에 걸쳐 위험을 식별·평가·완화·모니터링하는 문서화된 프로세스.
구체적 요건: ①위험 식별 및 분류 ②잔여 위험 평가 ③위험 완화 조치 ④잔여 위험 사용자 고지 ⑤지속적 모니터링 계획
실무 팁: 기존 ISO 31000 위험 관리 체계가 있다면 AI 특화 내용을 추가하는 방식으로 구축합니다.
무엇을 해야 하는가: 학습·검증·테스트 데이터셋이 관련성 있고 대표성 있으며 오류가 없어야 함.
구체적 요건: ①데이터 수집·처리 관행 문서화 ②데이터 출처 명시 ③데이터 전처리 방법 기록 ④데이터 편향 평가 결과 ⑤개인정보보호 준수 확인
MDM 연계: 이 요건이 MDM(마스터 데이터 관리)이 AI 거버넌스의 핵심인 이유입니다. 데이터 품질과 출처를 문서화할 수 없으면 충족 불가합니다.
무엇을 해야 하는가: AI 시스템의 설계·아키텍처·학습 방법·성능 지표를 상세히 문서화.
구체적 요건: ①AI 시스템의 목적과 범위 ②모델 아키텍처 설명 ③학습 데이터 설명 ④성능 측정 지표 ⑤알려진 한계와 편향 ⑥사이버보안 조치
분량: Annex IV에 따르면 수십~수백 페이지 수준의 문서가 필요합니다. 기술 문서화 담당자 지정이 필수입니다.
무엇을 해야 하는가: AI 시스템의 모든 작동 이벤트를 자동으로 로깅하여 사후 감사 가능하게 함.
구체적 요건: ①시스템 시작·종료 로그 ②입력 데이터 로그 ③결정 과정 로그 ④결정 결과 로그 ⑤사용자 상호작용 로그 ⑥로그 보존 기간 (최소 6개월)
기술 구현: 감사 로그를 변경 불가능한(immutable) 형태로 저장해야 합니다. 블록체인 또는 WORM(Write Once Read Many) 스토리지 활용.
무엇을 해야 하는가: 사용자가 AI 시스템을 이해하고 올바르게 사용할 수 있도록 충분한 정보를 제공.
구체적 요건: ①AI 공급자 신원 ②AI 시스템의 능력과 한계 ③사용 목적 ④인간 감독 방법 ⑤예상되는 성능 수준
실무 팁: 기술적 설명이 아닌 일반인이 이해할 수 있는 언어로 작성해야 합니다.
무엇을 해야 하는가: 고위험 AI 결정에 인간이 개입하고 무효화할 수 있는 메커니즘 보유.
구체적 요건: ①AI를 완전히 이해하는 인간 감독자 지정 ②AI 결정 중단 기능 ③AI 결정 무효화 기능 ④감독자 적절한 역량 보유
HITL 의무화: 완전 자율형 고위험 AI는 EU에서 원칙적으로 허용되지 않습니다. Human-in-the-Loop가 법적 의무입니다.
무엇을 해야 하는가: AI 시스템이 의도한 목적에 맞게 정확하게 작동하고 악의적 공격에 견고해야 함.
구체적 요건: ①정확도 기준 명시 및 달성 ②오류에 대한 내결함성 ③적대적 공격(Adversarial Attack) 방어 ④데이터 오염(Data Poisoning) 방어 ⑤소프트웨어 취약점 관리
AI 보안: 일반 사이버보안을 넘어 AI 특화 보안(모델 탈취, 프롬프트 인젝션, 데이터 오염)까지 포함합니다.
6. 범용 AI 모델(GPAI) 규제
2026년 8월부터 적용되는 범용 AI 모델(General Purpose AI, GPAI) 규제는 GPT·Claude·Gemini 같은 대형 LLM을 직접 규제합니다.
| 구분 | 일반 GPAI | 시스템적 위험 GPAI (10²⁵ 플롭 이상) |
|---|---|---|
| 해당 모델 | 대부분의 상용 LLM | GPT-4, Claude 3 Opus, Gemini Ultra 수준 |
| 의무 사항 | 기술 문서화, 저작권 정책, 학습 데이터 요약 공개 | 기본 의무 + 모델 평가, 사이버보안 위험 감사, 심각한 사고 보고 |
| 한국 기업 영향 | 해외 GPAI API 활용 시 벤더 의무 확인 | 자체 대형 LLM 개발 시 직접 적용 (EXAONE, HyperCLOVA X 등) |
LG AI Research의 EXAONE, NAVER의 HyperCLOVA X를 EU 시장에서 제공하거나, EU 파트너에게 API로 제공하면 GPAI 규제 적용 대상이 됩니다. 자체 LLM을 EU 시장에 제공하는 한국 AI 기업은 지금 즉시 검토가 필요합니다.
7. 위반 시 과징금과 제재
| 위반 유형 | 최대 과징금 | 비교 |
|---|---|---|
| 금지된 AI 관행 운영 | 전 세계 연매출 7% 또는 3,500만 유로 (둘 중 높은 금액) |
GDPR 최고(4%)보다 높음 한국 대기업 적용 시 수천억 원 |
| 고위험 AI 요건 미준수 | 연매출 3% 또는 1,500만 유로 |
중규모 기업도 수백억 원 규모 |
| 당국에 잘못된 정보 제공 | 연매출 1.5% 또는 750만 유로 |
문서화 오류, 허위 보고 포함 |
| GPAI 규정 위반 | 연매출 3% 또는 1,500만 유로 |
LLM 서비스 제공업체에 적용 |
과징금 외 추가 제재:
- 서비스 중단 명령: EU 시장에서 해당 AI 서비스 즉시 중단 가능
- 리콜 명령: 배포된 AI 시스템 회수 명령
- 공개 경고: 위반 사실 공개 (브랜드 손상)
- 형사 처벌: 의도적 위반의 경우 개인 형사 책임 가능
EU는 2025년 특정 글로벌 HR 소프트웨어 기업의 채용 AI가 고위험 요건을 충족하지 못한다고 판단, EU 내 서비스 즉시 중단을 명령했습니다. 해당 기업의 EU 사업 복구에 8개월이 소요됐습니다. 이 기간 EU 시장 매출 손실은 수백억 원으로 추정됩니다.
8. 한국 기업 영향 분석
EU AI Act는 역외 적용(Extraterritorial Effect) 원칙을 따릅니다. 한국에 본사를 둔 기업이라도 아래 경우에 해당하면 적용됩니다.
| 상황 | 적용 여부 | 해당 기업 예시 | 긴급도 |
|---|---|---|---|
| EU 내 AI 서비스·제품 직접 판매 | ✅ 적용 | 삼성 스마트폰 AI, LG 가전 AI | 🔴 즉시 |
| EU 기업에 AI 솔루션 B2B 공급 | ✅ 적용 | 한국 AI 소프트웨어의 EU 수출 | 🔴 즉시 |
| EU 법인에서 AI를 HR·채용에 활용 | ✅ 적용 | EU 법인 보유 대기업 전체 | 🔴 즉시 |
| EU 소비자 데이터 처리 AI | ✅ 적용 | EU 고객 대상 이커머스 추천 AI | 🟠 준비 중 |
| 현대·기아 자율주행 기능 (EU 판매) | ✅ 적용 | EU ADAS·자율주행 기능 | 🔴 즉시 |
| 한국 내수용 AI (EU 무관) | ❌ 미적용 | 국내 전용 서비스 | 해당없음 |
특히 주의해야 할 한국 기업 유형:
9. 산업별 대응 수준과 우선순위
| 산업 | 위험 등급 | 주요 AI 시스템 | 즉시 해야 할 것 | 긴급도 |
|---|---|---|---|---|
| 자동차·자율주행 | 고위험 | ADAS, 자율주행 AI, 내비게이션 AI | 7대 요건 충족 인증, TÜV 검사 | 🔴 즉시 |
| HR·채용 | 고위험 | 이력서 스크리닝, 면접 평가, 성과 관리 | 편향 감사, HITL 설계, 투명성 고지 | 🔴 즉시 |
| 금융·보험 | 고위험 | 신용 심사, 보험 언더라이팅, 사기 탐지 | 설명 가능성 체계, 감사 로그 | 🔴 즉시 |
| 전자·가전 (AI 내장) | 제한적~고위험 | 스마트 기기 AI, 헬스케어 웨어러블 | 제품별 위험 등급 분류, 기술 문서화 | 🟠 3개월 내 |
| 의료기기 | 고위험 | 진단 보조 AI, 영상 분석 AI | CE 인증 재검토, 위험 관리 시스템 | 🔴 즉시 |
| 이커머스·리테일 | 최소~제한적 | 개인화 추천, 챗봇, 가격 최적화 | 챗봇 AI 고지, 추천 AI 투명성 | 🟢 6개월 내 |
10. 기업 대응 로드맵
1단계 — AI 인벤토리 작성 (즉시, 1~2개월)
→ 현재 개발·운영 중인 모든 AI 시스템 목록화
→ EU 관련성 판단 (EU 판매 제품, EU 법인 사용, EU 고객 처리)
→ 법무팀·컴플라이언스팀과 공동 진행
2단계 — 위험 등급 분류 (1~3개월)
→ 각 AI 시스템을 4가지 등급으로 분류
→ EU AI Act Annex III 기준 고위험 해당 여부 판단
→ 외부 법률 자문 활용 권장
3단계 — 고위험 AI 요건 충족 (3~12개월)
→ 7대 요건 대비 현황 갭 분석
→ 기술 문서화 작성 (Annex IV 기준)
→ 감사 로깅 시스템 구축
→ 인간 감독(HITL) 체계 설계
→ 위험 관리 시스템 구축
4단계 — 지속적 컴플라이언스 운영 (상시)
→ EU AI 감독 기관과 소통 채널 유지
→ 규제 변화 모니터링 (EU AI Office 공시)
→ 정기 자체 감사 (연 1회 이상)
→ 사고 발생 시 보고 체계 준비 (72시간 내 보고 의무)
EU AI Act 대응 조직 구성:
| 역할 | 담당 | 주요 책임 |
|---|---|---|
| AI 컴플라이언스 오피서 | 법무팀 + AI팀 겸직 | 전체 대응 총괄, 당국 소통 |
| 기술 문서화 담당 | AI 엔지니어 + 기술 작가 | Annex IV 기술 문서 작성·유지 |
| 위험 관리 담당 | 위험 관리팀 | Article 9 위험 관리 시스템 운영 |
| 감사 로그 담당 | IT 인프라팀 | Article 12 로깅 시스템 구축·운영 |
준비된 기업에게는
신뢰받는 AI를 증명하는
경쟁 우위입니다.
준비 안 된 기업에게는
수천억 원의 과징금과
시장 퇴출 위협입니다.
지금 시작하십시오."
- European Commission. (2024). Regulation (EU) 2024/1689 — Artificial Intelligence Act. Official Journal of the EU.
- European AI Office. (2025). EU AI Act Implementation Guidelines. European AI Office.
- KPMG. (2026). EU AI Act: What Korean enterprises need to know. KPMG Korea.
- Deloitte. (2026). EU AI Act Compliance Roadmap for Non-EU Companies. Deloitte Legal.
- 한국인터넷진흥원(KISA). (2026). EU AI Act 대응 가이드 for 국내 기업. KISA.
- Allen & Overy. (2026). EU AI Act: Practical Implementation Guide. A&O Shearman.
- 과학기술정보통신부. (2026). 글로벌 AI 규제 동향 및 기업 대응 방안. 과기정통부.
- 한국AI협회. (2026). EU AI Act 산업별 영향 분석 보고서. 한국AI협회.
Part 3. AI 거버넌스·규제 (연재 중)
- EU AI Act 완전 정리 (현재 글)
- 기업 AI 거버넌스 프레임워크 (예정)
- AI 보안 새로운 위협 (예정)
- 한국 AI기본법과 기업 대응 (예정)
- 책임 있는 AI (Responsible AI) (예정)
댓글
댓글 쓰기