2026년 11월 1일 업데이트: 조문 근거와 사례, 규칙 (EU) 2026/1744에 따른 적용일을 반영해 새로 작성했습니다.

EU AI법의 위험 등급은 시스템이 얼마나 정교한가가 아니라 어디에 쓰이는가로 정해집니다. 제5조(금지 행위), 제6조와 부속서 I·III(고위험), 제50조(투명성), 그리고 AI 리터러시 외에 별도 의무가 없는 나머지 등급의 순서로 확인하면 됩니다. 규칙 (EU) 2026/1744(AI 디지털 옴니버스)가 2026년 7월 27일 발효된 현재, 금지 규정과 대부분의 투명성 의무는 이미 적용되고 있으며, 부속서 III 시스템의 고위험 의무는 2027년 12월 2일부터 적용됩니다.

EU AI법은 어떤 경우에 적용됩니까?

시스템이 EU 시장에 들어가거나 그 출력물이 EU에서 쓰인다면 적용될 가능성이 높습니다. 제2조 제1항은 EU 시장에 AI 시스템을 내놓는 제공자를 설립지와 관계없이 적용 대상으로 삼습니다. EU 밖의 제공자와 배포자도 출력물이 EU에서 쓰이면 대상이 됩니다. 따라서 EU에 사무소가 없는 한국 기업도 이 법의 적용을 받을 수 있습니다.

역할은 둘로 나뉩니다. 제공자는 시스템을 개발하거나 개발하게 하여 자기 이름으로 내놓는 자입니다(제3조 제3호). 배포자는 자기 권한 아래 시스템을 사용하는 자이며, 개인적·비직업적 사용은 제외됩니다(제3조 제4호). 군사·국방·국가안보 목적으로만 쓰는 AI(제2조 제3항)와 과학 연구만을 위해 개발한 AI(제2조 제6항)는 적용 대상에서 빠집니다.

범용 AI 모델은 위험 등급이 아니라 별도의 규율 체계입니다. 이 모델의 제공자에게는 2025년 8월 2일부터 제53조의 의무가 적용되고 있습니다.

제5조의 금지 행위에 해당합니까?

제5조 제1항에 열거된 행위에 해당하면 금지되며, 이 규정은 2025년 2월 2일부터 적용되고 있습니다. 목록은 짧고 구체적입니다.

  • 중대한 피해를 일으키거나 일으킬 가능성이 큰 조작적·기만적 기법, 그리고 연령·장애·사회경제적 상황에서 비롯된 취약성의 악용
  • 부당하거나 무관한 영역에서 불이익으로 이어지는 사회적 점수 평가
  • 프로파일링이나 성격 특성만을 근거로 범죄 위험을 예측하는 행위
  • 인터넷이나 CCTV에서 얼굴 이미지를 무차별 수집해 얼굴 인식 데이터베이스를 만드는 행위
  • 직장과 교육기관에서의 감정 추론(의료·안전 목적 제외)
  • 인종, 정치적 견해, 종교, 성적 지향 등을 추론하는 생체정보 분류
  • 법 집행 목적의 공공장소 실시간 원격 생체 식별(좁은 예외 제외)

예를 들어 집행위원회의 금지 행위 가이드라인은 채용 과정에서 감정 인식 시스템을 쓰는 것이 금지된다고 밝힙니다. 이 가이드라인은 구속력이 없지만, 집행위원회가 조문을 어떻게 읽는지 보여 줍니다.

옴니버스는 2026년 12월 2일부터 금지 사유 두 가지를 더합니다. 식별 가능한 사람의 동의 없는 성적 이미지를 생성하는 시스템과 아동 성착취물을 생성하는 시스템입니다(제5조 제1항 (ba), (bb)). 자세한 요건은 이 사이트의 관련 글에 있습니다. 제5조를 위반하면 3,500만 유로 또는 전 세계 연간 매출액의 7% 중 높은 금액까지 과징금이 부과될 수 있습니다(제99조 제3항).

제6조의 고위험 시스템에 해당합니까?

두 경로 중 하나에 해당하면 고위험이며, 경로마다 적용일이 다릅니다.

경로 1, 제품(제6조 제1항과 부속서 I). 부속서 I의 EU 제품 법령이 규율하는 제품이거나 그 안전 부품이고, 해당 제품이 제3자 적합성 평가(외부 기관의 심사)를 받아야 하는 경우입니다. 엘리베이터, 완구, 의료기기의 안전 기능이 대표적입니다. 이 의무는 2028년 8월 2일부터 적용됩니다. 기계류가 새로 포함된 부속서 I B절 제품에는 더 좁은 규칙이 적용됩니다(제2조 제2항). 옴니버스는 이 경로도 좁혔습니다. 편의나 성능 최적화처럼 안전과 무관한 기능에만 쓰이는 AI는 그 고장이 건강과 안전을 위협하지 않는 한 안전 부품이 아닙니다(제6조 제1a항, 제1b항).

경로 2, 열거된 용도(제6조 제2항과 부속서 III). 생체정보, 핵심 기반시설, 교육, 고용, 필수 민간·공공 서비스, 법 집행, 이민·국경 관리, 사법·민주적 절차의 여덟 분야가 있습니다. 입사 지원서를 걸러 내는 도구(제4호 (a)), 신용평가(제5호 (b), 사기 탐지 제외), 생명·건강보험 가격 산정(제5호 (c)), 시험 부정행위 감독(제3호 (d))이 그 예입니다. 이 의무는 2027년 12월 2일부터 적용됩니다.

제6조 제3항은 부속서 III의 예외를 둡니다. 중대한 위험이 없고, 좁은 절차적 작업이나 이미 끝난 사람의 작업 개선, 사람의 평가를 대체하지 않는 의사결정 패턴 탐지, 준비 작업만 수행한다면 고위험이 아닙니다. 이 글의 해석으로는 이력서를 파일 형식별로 분류하기만 하는 도구는 해당할 수 있지만, 지원자 순위를 매기는 도구는 해당하기 어렵습니다. 다만 부속서 III 시스템이 사람을 프로파일링하면 언제나 고위험이고, 예외를 주장하는 제공자는 평가를 문서화하고 등록해야 합니다(제6조 제4항, 제49조 제2항).

집행위원회는 2026년 5월 19일 분류 가이드라인 초안을 공개했습니다. 고위험 평가 가이드는 이 기준을 질문 형식으로 정리했고, 일정 변경 글은 연기 내용을 설명합니다.

제50조의 투명성 의무가 적용됩니까?

시스템이 사람과 대화하거나, 합성 콘텐츠를 생성하거나, 감정 인식이나 생체정보 분류를 한다면 그렇습니다. 제50조는 2026년 8월 2일부터 적용되고 있습니다.

  • 제공자는 챗봇 상대방이 AI와 대화 중임을 알 수 있도록 설계해야 합니다. 명백한 경우는 예외입니다(제1항).
  • 생성형 시스템 제공자는 출력물에 기계 판독 가능한 표시를 해야 합니다(제2항). 2026년 8월 2일 전에 출시된 시스템의 기한은 2026년 12월 2일입니다(제111조 제4항).
  • 배포자는 감정 인식이나 생체정보 분류의 대상이 되는 사람에게 이를 알려야 합니다(제3항).
  • 배포자는 딥페이크와 공익 사안을 알리려고 게시하는 AI 생성 텍스트를 공개해야 합니다. 사람의 검토를 거치고 편집 책임자가 있는 텍스트는 예외입니다(제4항).

과징금 상한은 1,500만 유로 또는 매출액의 3%입니다(제99조 제4항). 실무 자료는 제50조 키트에 있습니다.

어디에도 해당하지 않으면 어떻게 됩니까?

나머지 등급에 속하며, 이 법은 해당 시스템에 별도 규칙을 두지 않습니다. 집행위원회는 이를 "최소 위험 또는 무위험"이라 부르며 AI 비디오 게임과 스팸 필터를 예로 듭니다. 규칙에 이런 이름의 장이 따로 있는 것은 아니고, 남은 영역을 가리키는 표현입니다.

그래도 두 가지는 남습니다. 제4조는 제공자와 배포자에게 직원의 AI 리터러시를 지원하는 조치를 요구합니다. 다만 옴니버스는 특정 수준을 보장할 필요는 없다고 덧붙였습니다. GDPR 같은 다른 법령도 계속 적용됩니다. 제95조는 자발적 행동 강령을 권장합니다.

분류에서 자주 틀리는 부분은 어디입니까?

등급을 용도별 심사가 아니라 한 번 붙이는 꼬리표로 여기는 데서 오류가 생깁니다.

  • 등급은 겹칠 수 있습니다. 고위험 채용 챗봇은 고위험 규정과 제50조 제1항을 함께 지켜야 합니다(제50조 제6항).
  • 용도는 바뀔 수 있습니다. 범용 도구를 부속서 III 용도로 전용한 배포자는 고위험 시스템의 제공자가 됩니다(제25조 제1항 (c)). 채용 AI 가이드를 참고할 수 있습니다.
  • 적용일은 면제가 아닙니다. 2027년에 고위험이 될 시스템도 지금 제5조를 위반할 수 있습니다.

자주 묻는 질문

EU AI법의 네 가지 위험 등급은 무엇입니까?

EU AI법은 흔히 금지 행위(제5조), 고위험 시스템(제6조와 부속서 I·III), 투명성 의무 시스템(제50조), 최소 위험 또는 무위험의 네 등급으로 설명됩니다. 마지막 등급은 앞의 세 등급에 해당하지 않을 때 남는 영역입니다. 범용 AI 모델은 별도 규칙을 따릅니다.

EU AI법의 고위험 규정은 언제부터 적용됩니까?

규칙 (EU) 2026/1744에 따라 부속서 III 시스템은 2027년 12월 2일부터, 부속서 I 제품의 AI는 2028년 8월 2일부터 적용됩니다. 집행위원회의 일정표에서 두 날짜를 확인할 수 있습니다. 제5조와 제50조는 연기되지 않았습니다.

EU AI법은 한국 기업에도 적용됩니까?

EU AI법은 한국 기업에도 적용될 수 있습니다. 제2조 제1항은 EU 시장에 AI 시스템을 내놓는 제공자를 설립지와 관계없이 포함하고, 제3국의 제공자와 배포자도 출력물이 EU에서 쓰이면 포함합니다. 한국 AI 기본법은 이와 별개입니다. AI 기본법 가이드를 참고할 수 있습니다.

출처: EU 관보에 게재된 규칙 (EU) 2024/1689와 (EU) 2026/1744, 집행위원회 가이드라인 C(2025) 5052와 C(2026) 5054, 2026년 5월 19일 고위험 가이드라인 초안, 집행위원회 웹페이지(2026년 11월 1일 확인). 최종 고위험 가이드라인에 따라 위 사례는 달라질 수 있습니다. 일반 정보이며 법률 자문이 아닙니다.