ISO 42001 인증을 받은 기업이 다시 따져 봐야 할 일이 생겼습니다. EU 인공지능법(AI Act)의 첫 조화표준(harmonised standard)인 EN 18286이 2026년 10월 14일 집행위원회 시행결정 (EU) 2026/2274를 통해 EU 관보에 게재되었습니다. 집행위원회는 10월 19일 이를 공식 발표했습니다. EN 18286은 품질경영시스템(QMS) 표준입니다. 고위험 AI 시스템 제공자가 이 표준을 적용하면, 표준이 다루는 범위에서 AI법 제17조의 품질경영시스템 요건에 대한 적합성 추정을 받습니다. 지난 2년간 ISO/IEC 42001 인증을 받은 많은 기업이 "ISO 42001로 충분한가, EN 18286도 필요한가"를 묻고 있습니다. 이 글은 두 표준의 차이와 적합성 추정의 범위, 그리고 EU에 제품과 서비스를 수출하는 한국·튀르키예 기업에 주는 의미를 정리합니다.

EN 18286이란 무엇이며 왜 지금 중요한가

EN 18286:2026의 정식 명칭은 "인공지능 — EU AI법 규제 목적을 위한 품질경영시스템"입니다. 집행위원회의 2025년 6월 23일자 표준화 요청 C(2025) 3871에 따라 유럽표준화기구 CEN과 CENELEC이 마련했습니다. 집행위원회 발표의 핵심은 세 가지입니다.

  • EN 18286은 고위험 AI 시스템 제공자가 제17조의 QMS 요건을 충족할 수 있는 경로를 제공하며, 조직이 아니라 AI 시스템의 수명주기를 중심으로 짜여 있습니다.
  • 집행위원회는 이를 적합성 추정을 부여하는 "유일한 AI QMS 표준"이라고 설명합니다.
  • ISO/IEC 42001, ISO 9001, ISO 13485 같은 기존 체계를 대체하지 않고 그 위에 얹도록 설계되었습니다.

시점도 의미가 있습니다. 디지털 옴니버스 이후 부속서 III 고위험 시스템 의무는 2027년 12월 2일부터, 부속서 I 제품에 내장된 AI 의무는 2028년 8월 2일부터 적용됩니다. AI법 전반은 EU AI 법 해설을 참고하시기 바랍니다.

무엇이 언제 공표되었나

  • 2026년 중반: CEN·CENELEC이 EN 18286:2026을 승인했고, CEN-CENELEC은 2026년 7월 31일 발간 사실을 알렸습니다. 승인 시점은 자료마다 달라, CEN-CENELEC 뉴스레터는 6월, 한 소프트웨어 업체의 표준 요약은 7월 12일로 적고 있습니다.
  • 2026년 10월 12일: 집행위원회가 시행결정 2026/2274를 채택했습니다. 부속서에는 제한 조건 없이 EN 18286:2026 하나만 실려 있습니다.
  • 2026년 10월 14일: 결정이 EU 관보(L 시리즈)에 게재되었고, 결정 제2조에 따라 같은 날 발효되었습니다. 전문 제6항은 적합성 추정이 표준 목록 게재일부터 생긴다고 밝힙니다.

따라서 법적으로 적합성 추정은 집행위원회 발표일(10월 19일)이 아니라 10월 14일부터 적용됩니다.

EN 18286은 무엇을 다루나

표준 원문은 유료이며 공개되어 있지 않습니다. 컴플라이언스 소프트웨어 업체 Modulos가 공개한 조항 분석에 따르면 구성은 다음과 같습니다. 제4조는 적용 규제 요건의 식별과 준수 전략, 제5~7조는 리더십·계획·지원, 제8조는 위험, 설계, 검증·확인, 데이터, 문서화를 포함한 수명주기 전반을 다룹니다. 제9조(운영 및 통제)는 시장 출시, 공급망, 변경, 시판 후 모니터링, 중대 사고 보고와 규제 미준수, 제10조(성과 평가)는 경영 검토와 변경 계획입니다. 부속서 C는 ISO/IEC 42001과의 조항 대응표이고, 부속서 ZA는 각 조항을 제17조 제1항 (a)~(m)호 및 제11조 제1항 첫 문장과 연결합니다. 다만 대응표는 관련 조항을 보여 줄 뿐, 두 표준이 같다는 뜻은 아닙니다. 같은 자료에 따르면 EN 18286은 결함을 ISO식 '부적합(nonconformity)'이 아니라 충족되지 않은 규제 요건, 즉 '규제 미준수(non-compliance)'로 정의하며, ISO/IEC 42001과 달리 일반적인 지속적 개선 조항도 두지 않습니다.

ISO 42001 인증과 EN 18286은 어떻게 다른가

ISO/IEC 42001:2023은 인공지능경영시스템(AIMS)에 관한 국제표준입니다. CEN은 이를 EN ISO/IEC 42001:2026으로 채택했습니다. AI를 개발·제공·이용하는 모든 조직에 적용되며 인증을 받을 수 있습니다. 2025년 7월 발간된 ISO/IEC 42006:2025는 AIMS 인증기관에 대한 추가 요건을 정합니다.

  • ISO/IEC 42001: 조직이 자신의 목표와 위험 성향에 따라 AI를 책임 있게 관리하는지를 봅니다. 적용 범위는 대체로 조직이 정합니다.
  • EN 18286: 제공자의 QMS가 EU 시장에 출시하는 고위험 시스템에 대해 AI법 준수를 보장하는지를 봅니다. 적용 범위는 법이 정합니다.

ISO/IEC 42001은 AI법상 EU 관보에 게재된 표준이 아니므로 적합성 추정이 없습니다. ISO 42001 인증은 거버넌스 성숙도를 보여 주는 좋은 증거이고 준비 기간도 크게 줄여 주지만, 제17조 준수의 법적 증명은 아닙니다.

AI법 제40조의 적합성 추정은 어떻게 작동하나

제40조 제1항에 따르면 관보에 게재된 조화표준에 부합하는 고위험 AI 시스템은 표준이 다루는 범위에서 제3장 제2절 요건에 적합한 것으로 추정됩니다. 실무상 이는 대체로 당국이 미비점을 보여야 하는 구조로 이어집니다. 다만 다음과 같은 한계가 있습니다.

  • 범위의 한계: QMS 표준은 위험관리·데이터관리 '절차'를 갖추라고 요구할 뿐, 시스템의 위험관리(제9조), 데이터 거버넌스(제10조), 정확성·견고성·사이버보안(제15조)이 실제로 요건을 충족한다고 추정하지 않습니다. 집행위원회 표준화 페이지에 따르면 집행위원회가 CEN·CENELEC에 표준을 요청한 분야는 10개이고, 품질경영은 그중 하나일 뿐입니다.
  • 부분 적용: 일부 조항만 적용하면 추정도 그 조항에만 미칩니다.
  • 조문상의 쟁점(필자의 분석): 제40조 제1항은 문언상 제2절(제8~15조) 요건을 언급하지만, 제17조는 제공자 의무를 정한 제3절에 있습니다. 그런데도 집행위원회는 EN 18286 적용 시 제17조 요건에 대해 적합성 추정이 부여된다고 밝히고 있고, 시행결정은 제40조를 근거로 표준 목록을 게재했습니다. 필자는 당국이 이 해석을 따를 가능성이 크다고 보지만 법원에서 다투어진 적은 없으므로, 추정은 면책이 아니라 강력한 입증상의 이점으로 이해하는 편이 안전합니다.

인증과 적합성 추정은 다릅니다

AI법이 요구하는 것은 인증서가 아니라 제43조의 적합성평가, EU 적합성 선언, CE 마킹입니다.

  • 부속서 III 제2~8호(핵심 기반시설, 교육, 고용, 필수 서비스, 법 집행, 이민, 사법): 부속서 VI의 내부 통제 절차를 따르며, 피통보기관(notified body)이 관여하지 않습니다. 제공자가 스스로 QMS의 제17조 적합성을 확인하는데, EN 18286은 바로 이 자체 확인을 위한 표준입니다.
  • 부속서 III 제1호(생체인식): 조화표준을 적용하지 않았다면 QMS 평가를 포함한 부속서 VII 절차가 필수입니다. 제2절 요건에 관한 표준이 게재되기 전까지는 부속서 VII를 전제로 준비하는 것이 합리적입니다.
  • 부속서 I 제품(AI 안전 부품을 갖춘 기계·의료기기 등): 개별 분야 법령의 적합성평가 절차를 따르며, 그 법령상 피통보기관이 AI법 제2절 요건도 함께 심사합니다. 제17조 제3항에 따라 이미 분야별 QMS 의무가 있는 제공자는 AI 요소를 ISO 13485 기반 체계 같은 기존 QMS에 통합할 수 있습니다.

QMS 문서는 제18조에 따라 10년간 보관해야 합니다. 적합한 QMS가 없으면 제16조 위반이 되어 제99조 제4항에 따라 최대 1,500만 유로 또는 전 세계 연간 매출액의 3% 중 높은 금액(중소기업·스타트업은 낮은 금액)의 과징금이 부과될 수 있습니다.

디지털 옴니버스(규칙 (EU) 2026/1744)로 달라진 점

AI 디지털 옴니버스는 2026년 7월 24일 관보에 게재되어 7월 27일 발효되었습니다. 개정된 제113조에 따라 고위험 의무는 부속서 III 시스템에 2027년 12월 2일부터, 부속서 I 시스템에 2028년 8월 2일부터 적용됩니다(관련 분석: EU AI법 고위험 의무 적용 시기 연기, 그래도 속도를 늦추지 마십시오). 제17조 제2항의 비례성 원칙에는 중소기업, 스타트업, 소규모 중견기업(SMC)이 명시되었습니다. 개정 제63조 제1항에 따라 파트너 기업이나 연계 기업이 없는 중소기업은 집행위원회 지침에 근거해 QMS 일부 요소를 간소화할 수 있습니다.

한국 기업과 AI기본법

한국 기업도 EU 시장에 AI 시스템을 출시하거나 그 산출물이 EU에서 사용되면 AI법의 적용을 받습니다(제2조). EU 밖에 있는 제공자는 제22조에 따라 서면 위임으로 EU 역내 대리인을 지정해야 합니다. 수입업자는 제23조에 따라 출시 전에 적합성평가, 기술문서, CE 마킹, 대리인 지정 여부를 확인해야 합니다. 국내에서는 2026년 1월 22일 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(법률 제20676호, 이하 AI기본법)이 적용됩니다(한국 AI기본법 가이드 참조). ISO 42001 인증과 관련해 눈여겨볼 조항은 다음과 같습니다.

  • 제34조 제1항: 고영향 인공지능을 제공하는 사업자는 위험관리방안, 설명 방안, 이용자 보호 방안, 사람의 관리·감독, 문서의 작성과 보관 등의 조치를 이행해야 합니다. 시행령 제27조 제2항에 따른 문서 보관 기간은 5년으로, AI법(10년)보다 짧습니다.
  • 제34조 제3항: 다른 법령에 따라 준하는 조치를 이행하면 이행한 것으로 봅니다. 시행령 별표 1은 「디지털의료제품법」상 품질관리체계, 자율주행자동차 성능인증, 「개인정보 보호법」상 조치 등을 열거하지만, ISO/IEC 42001 인증은 포함하지 않습니다.
  • 제30조 제3항·제4항: 고영향 인공지능을 제공하는 사업자는 사전에 검·인증등을 받도록 노력해야 하고, 국가기관등이 고영향 인공지능을 이용하려는 경우 검·인증등을 받은 AI 기반 제품·서비스를 우선 고려해야 합니다. 법률이 특정 인증을 지정하지는 않지만, ISO 42001 인증이 국내에서 의미를 가질 수 있는 근거입니다.
  • 제14조: 정부는 제정된 표준을 고시하여 준수를 권고할 수 있고, 국제표준기구와 협력해야 합니다.

한국경제의 2025년 6월 보도에 따르면 한국인정지원센터(KAB)는 1년간의 시범 운영 끝에 ISO 42001 인정·인증제도를 정식 도입했습니다. 같은 보도는 국가기술표준원이 2025년 하반기 KS 제정을 마칠 예정이라고 전했지만, 실제 KS 제정 여부는 확인하지 못했습니다. 결국 한국 기업에는 그룹 공통 ISO/IEC 42001, 국내용 AI기본법 제34조·제30조 대응, EU용 EN 18286이라는 세 층위의 구조가 필요합니다.

튀르키예 기업에 주는 의미

튀르키예에는 AI법에 상응하는 법률이 없습니다. 그러나 EC-튀르키예 연합이사회 결정 제1/95호 제8조에 따라 튀르키예는 무역기술장벽 제거에 관한 EU 법령을 국내법에 반영하기로 약속했습니다. 튀르키예 표준청(TSE)은 CEN·CENELEC 회원이며, CEN-CENELEC 규칙상 모든 유럽표준은 회원국에서 국가표준의 지위를 가져야 합니다. TS EN 18286의 발간 여부는 확인하지 못했습니다. Modulos 자료는 국가 채택 기한을 2027년 1월로 제시하지만, 공식 기록으로 확인하지는 못했습니다. 또한 제품안전 및 기술규정법(제7223호) 제2조 제2항은 EU 회원국으로 수출되는 제품을 같은 법상 시장에 출시된 것으로 봅니다. 자세한 배경은 EU AI법과 튀르키예 국가 AI 전략을 참고하시기 바랍니다.

실무 로드맵: ISO 42001에서 EU AI법 품질경영시스템으로

  1. 분류: 어떤 시스템이 어느 부속서에 따른 고위험인지, 누가 제공자인지 먼저 확정합니다(고위험 평가 도구, 귀사는 EU AI법의 어느 위험 등급에 속합니까?).
  2. 기한 확인: 부속서 III는 2027년 12월 2일, 부속서 I은 2028년 8월 2일입니다.
  3. 격차 분석: ISO 42001 인증이 있다면 대응표를 색인으로 쓰되 동등성의 증거로 여기지 않습니다. 규제 요건 식별, 시판 후 모니터링, 중대 사고 보고(제73조), 당국과의 소통이 주요 격차 영역입니다.
  4. 전면 적용 여부 결정: 추정은 실제로 적용한 조항에만 미칩니다.
  5. 통합: 제17조 제3항을 활용해 기존 분야별 QMS에 통합합니다.
  6. 증거 관리: EU 10년, 한국 5년의 보관 기간을 정리하고, 역내 대리인 지정과 수입업자 제출 자료를 준비합니다.
  7. 내부 정책 정비: QMS는 제공하는 시스템을, AI 사용 정책은 임직원의 AI 이용을 다룹니다. 두 문서가 서로 연결되어야 합니다.

자주 묻는 질문

ISO 42001 인증이란 무엇인가요?

ISO/IEC 42001:2023은 AI를 개발·제공·이용하는 조직을 위한 인공지능경영시스템 국제표준이며, 인정받은 인증기관의 심사를 거쳐 인증을 받을 수 있습니다. 한국에서는 한국인정지원센터(KAB)가 2025년 인정·인증제도를 정식 도입했다고 보도되었습니다. 이 인증은 거버넌스 체계를 보여 주지만, 그 자체로 EU AI법 준수를 뜻하지는 않습니다. EU에서는 CEN이 이를 EN ISO/IEC 42001:2026으로 채택했습니다.

ISO 42001 인증만으로 EU AI법을 준수할 수 있나요?

아닙니다. ISO/IEC 42001은 AI법상 EU 관보에 게재된 조화표준이 아니므로 적합성 추정이 없습니다. 고위험 시스템 제공자는 제17조를 충족하는 품질경영시스템이 필요하며, EN 18286은 기존 ISO 42001 체계 위에 얹어 그 격차를 메우도록 설계되었습니다. 다만 두 표준 사이의 조항 대응표는 동등성을 뜻하지 않으므로 조항별 격차 분석이 필요합니다.

EN 18286 인증을 반드시 받아야 하나요?

AI법은 인증서를 요구하지 않습니다. 대부분의 부속서 III 시스템은 제공자가 부속서 VI의 내부 통제로 자체 확인합니다. 피통보기관은 생체인식 시스템에 QMS 평가를 포함한 부속서 VII 절차가 적용되는 경우와 부속서 I 제품의 분야별 절차에서 관여합니다. 법적 추정은 인증서가 아니라 게재된 표준을 적용한 데서 생깁니다. 인증서는 거래처 요구 대응이나 분쟁 시 증거로는 여전히 쓸모가 있습니다.

AI기본법에서 ISO 42001 인증은 어떤 의미가 있나요?

AI기본법 제30조 제3항은 고영향 인공지능 사업자가 사전에 검·인증등을 받도록 노력해야 한다고 정하고, 같은 조 제4항은 국가기관등이 검·인증을 받은 AI를 우선 고려하도록 합니다. 다만 시행령 별표 1의 '이행 간주' 목록에 ISO 42001 인증은 없으므로, 제34조 조치를 대신하지는 않습니다. 따라서 인증을 받더라도 위험관리방안, 설명 방안, 문서 보관 등은 별도로 갖추어야 합니다.

부르한 도우쉬 아이파를라르의 견해

EN 18286은 겉보기에 소박한 문서이지만, 그 효과는 결코 작지 않습니다. 지금까지 AI 거버넌스는 대체로 ISO/IEC 42001, 즉 기업이 스스로 정한 속도와 범위로 도입하는 조직 중심 체계를 뜻했습니다. 이제 유럽 규제당국은 AI를 전반적으로 잘 관리하는지가 아니라, 이 고위험 시스템이 법 준수를 보장하는 QMS 아래에서 출시되었는지를 묻게 됩니다. 이 질문이 더 좁고 더 어렵습니다.

ISO 42001 작업은 헛되지 않습니다. EN 18286으로 가는 가장 효율적인 경로이기 때문입니다. 그러나 ISO 42001 인증을 "AI법 준수"로 홍보하는 것은 이제 분명히 잘못입니다. 적합성 추정도 시스템의 실질적 성능이 아니라 경영시스템에 대한 것입니다. 한국 기업에는 AI기본법의 검·인증 노력 의무와 EU의 EN 18286을 하나의 체계로 묶는 설계가 가장 현실적인 답이라고 봅니다.

이 글은 일반적인 정보 제공을 위한 것이며 법률 자문이 아닙니다. 2026년 10월 12일자 집행위원회 시행결정 (EU) 2026/2274(EU 관보 L, 2026년 10월 14일), 2026년 10월 19일자 집행위원회 발표, 집행위원회 AI Act Service Desk에 게시된 규칙 (EU) 2026/1744에 의한 개정 후 AI법(규칙 (EU) 2024/1689) 조문을 근거로 했습니다. 한국 법령은 law.go.kr, 튀르키예 법령은 mevzuat.gov.tr에서 2026년 10월 20일에 확인했습니다. EN 18286 원문은 공개되지 않아 조항 구성은 2차 자료(주로 Modulos의 조항 요약)에 의존했으므로 표준 원문과 대조가 필요하며, CEN·CENELEC의 승인일도 자료마다 다릅니다. TSE의 EN 18286 국가표준 채택 여부와 ISO/IEC 42001의 KS 제정 여부는 작성 시점에 확인하지 못했습니다. 분석과 평가는 필자 개인의 견해입니다.