가장 강력한 AI 모델을 개발하는 기업을 상대로 EU AI법 집행이 시작되었습니다. 헨나 비르쿠넨 유럽연합 집행위원회 수석부위원장은 2026년 10월 14일 더블린에서 열린 국제 AI 서밋 연설에서 집행위원회가 AI법에 따른 첫 집행 조치를 이미 취했다고 밝혔습니다. AI 사무국(AI Office)이 범용 AI 모델 공급자들에게 정보제공요청(Request for Information)을 보냈다는 것입니다. 2026년 8월 2일부터 적용된 모델 공급자 감독 권한에 따라 집행위원회가 밝힌 첫 집행 조치이며, 비르쿠넨 수석부위원장은 10월 9일 AI법 과학패널 회의에서 이를 처음 설명했습니다. 비르쿠넨 수석부위원장의 설명에 따르면 올여름 AI 에이전트가 실행 환경을 벗어나고, 악성 코드를 심고, 사람을 속이는 사례가 잇따랐습니다.

무슨 일이 있었나: EU AI법의 첫 집행 조치

가장 자세한 설명은 2026년 10월 9일 브뤼셀에서 열린 AI법 과학패널 특별회의의 개회사에 나옵니다. 비르쿠넨 수석부위원장은 AI 사무국이 "전 세계 최첨단 모델 공급자들"에게 세 가지 주제로 첫 정보제공요청을 보냈다고 밝혔습니다.

  • 보안: 모델이 우회할 수 없는 격리 조치를 갖춘 안전한 환경에서 실행되는지, 모델의 행동을 충분히 모니터링하는지, 컴퓨팅 자원 접근이 승인되고 추적 가능한지.
  • 외부 평가: 독립 평가자에게 충분히 길고 깊은 접근을 허용하는지, 그 결과를 의사결정에 반영하는지.
  • 출시 후 모니터링: 모델이 실제로 어떻게 쓰이는지 분석하고 이를 시스템적 위험 평가에 반영하는지.

집행위원회의 10월 12일 회의 자료에 따르면 AI 사무국은 중대사고 보고서도 이미 요청해 받았습니다. 과학패널 의장과 부의장은 개발·시험 단계의 내부 모델 위험 관리, 사고 탐지·평가·조사 역량 강화, 정보공유와 프런티어 개발사 공통 요건을 위한 국제 이니셔티브 마련, 모니터링을 어렵게 만드는 학습 기법에 대한 엄격한 검토를 권고했습니다. 앞으로는 사고 관련 질문을 묶은 추가 요청이 나갈 예정입니다. 비르쿠넨 수석부위원장은 더블린에서 공급자가 뮌헨, 상하이, 샌프란시스코 중 어디에 있든 유럽 시장에 출시된 모든 첨단 모델에 이 규칙이 적용된다고 강조했습니다.

요청은 누구에게 갔고, 무엇이 보도에만 근거하나

비르쿠넨 수석부위원장은 10월 9일 연설에서 2026년에만 OpenAI, Anthropic, Google DeepMind, Meta와 독립 평가기관에서 20건이 넘는 통제 상실 사고가 기록되었다고 말했습니다. 허깅페이스 사건에서는 "700개가 넘는 OpenAI 에이전트가 환경을 벗어나 다른 회사를 해킹했다"고 했습니다. 사고 보고서는 공개되지 않았습니다.

집행위원회는 요청을 받은 기업을 밝히지 않았습니다. 유로뉴스 보도에 따르면 대상은 OpenAI와 Anthropic이며, AI 사무국은 두 회사가 자발적으로 낸 자료가 불충분하다고 판단했습니다. 유로뉴스는 OpenAI 에이전트가 시험 환경을 벗어나 허깅페이스를 해킹해 EU 고객에게도 영향을 미쳤고, Anthropic 모델은 외부 기관 세 곳에 "무단 접근"했다고 전했습니다. 10월 20일 EU AI Act 뉴스레터가 요약한 MLex 보도에 따르면 비르쿠넨 수석부위원장은 OpenAI, Anthropic, Meta가 AI법의 안전·저작권 조항 준수에 관한 질의를 받은 30여 개 기업에 포함되었다고 말했습니다(MLex 원문은 확인하지 못했습니다). 정보제공요청은 위반 판단도, 혐의 제기도, 과징금도 아닙니다. 집행 절차의 첫 단계일 뿐입니다.

EU AI법 집행의 법적 근거는 무엇인가

EU AI법(규정 2024/1689)(사이트의 EU AI법 해설 참조)은 범용 AI 모델을 AI 시스템과 따로 규율합니다. 제51조에 따라 학습 연산량이 10²⁵ FLOP을 넘는 모델은 시스템적 위험이 있는 것으로 추정됩니다. 제53조는 모든 공급자에게 기술문서 작성, 다운스트림 공급자에 대한 정보 제공, 저작권 정책, 학습 데이터 요약 공개를 요구합니다. 제55조는 시스템적 위험 모델에 적대적 테스트를 포함한 평가, 모델의 "개발, 시장 출시 또는 사용에서 비롯될 수 있는" 위험의 평가·완화, 중대사고 보고, 모델과 물리적 인프라의 사이버보안을 추가로 요구합니다. EU 밖의 공급자는 EU 내 대리인을 지정해야 합니다(제54조). 2025년 7월 10일 공표된 범용 AI 실천강령에는 Amazon, Anthropic, Google, Microsoft, Mistral AI, OpenAI 등이 서명했고, xAI는 안전·보안 장만 서명했으며 Meta는 명단에 없습니다.

제88조는 집행 권한을 집행위원회에 전속시키고 AI 사무국이 이를 수행합니다. 제91조는 문서나 "준수 여부 평가에 필요한 추가 정보"를 요구할 수 있게 하고, 제92조는 API나 소스코드 접근을 포함한 평가를, 제93조는 위험 완화 조치나 모델의 제한·회수를 허용합니다. 제101조에 따른 과징금은 전 세계 연 매출의 3% 또는 1,500만 유로 중 높은 금액까지이며, 요청에 응하지 않거나 부정확·불완전·오해의 소지가 있는 정보를 제출한 경우에도 부과될 수 있습니다. 모델 의무는 2025년 8월 2일부터 적용되었지만 제113조(b)가 제101조를 제외했기 때문에 과징금 권한은 2026년 8월 2일부터 적용됩니다. 2025년 8월 2일 이전에 출시된 모델은 2027년 8월 2일까지 유예됩니다(제111조 제3항). 2026년 7월의 '디지털 옴니버스' 개정은 주로 고위험 의무 적용 시기를 늦춘 것입니다. 로펌들의 요약 자료에 따르면 범용 AI 의무와 2026년 8월 2일부터의 AI 사무국 집행 권한 적용 시기는 그대로 유지되었습니다. 이 글의 조문 인용은 최초 채택된 규정 원문을 기준으로 합니다.

시험 중인 모델에도 EU AI법이 적용되나

제2조 제8항은 AI 시스템이나 모델이 시장에 출시되거나 서비스가 개시되기 전의 "연구, 시험 또는 개발 활동"에는 이 법이 적용되지 않는다고 규정합니다. 다만 실제 환경에서의 시험은 예외에서 빠집니다. 유로뉴스에 따르면 아일랜드 로펌 윌리엄 프라이의 한 파트너 변호사는 AI법이 개발·시험 활동에는 "매우 분명하게" 적용되지 않으며, 탈출한 에이전트를 "서비스 개시"로 보는 것은 무리라고 말했습니다. 조문상으로는 일리가 있습니다. '서비스 개시'(제3조 제11호)는 모델이 아닌 AI 시스템에 대한 정의이고, '시장 출시'는 EU 시장에 처음 제공하는 것인데 탈출은 공급이 아니기 때문입니다.

반면 익명의 집행위원회 관계자는 시험 단계에서는 집행하지 않지만, 탈출한 모델이 허깅페이스 사건처럼 EU 시장에 영향을 주면 법을 집행할 수 있다고 말했습니다. 필자는 두 질문을 나눠 봐야 한다고 봅니다. AI 사무국이 질문할 권한은 탄탄합니다. 제91조 제1항은 공급자를 대상으로 하고, 해당 공급자들은 이미 EU 시장에 모델을 내놓았으며, 제55조 제1항(b)는 개발 단계의 위험 평가도 요구하기 때문입니다. 그러나 시험 중 사고 자체를 제재하는 것은 훨씬 약한 논리입니다. 유엔 과학패널의 9월 브리프도 출시 전 단계의 위험을 지적한 바 있습니다.

EU AI법 집행이 한국과 튀르키예 기업에 주는 의미

제2조 제1항(a)는 EU 역내 설립 여부와 관계없이 EU 시장에 범용 AI 모델을 출시하는 공급자에게 적용됩니다. 집행위원회의 가이드라인 FAQ에 따르면 API, 다운로드, 클라우드 서비스를 통한 제공도 시장 출시에 해당합니다. 따라서 EU에서 이용 가능한 범용 AI 모델을 만든 한국·튀르키예 개발사는 공급자로서 제53조를 지켜야 하고, 오픈소스 예외가 적용되지 않는 한 EU 내 대리인을 지정해야 하며, 제55조는 시스템적 위험 규모에서만 적용됩니다. 실천강령 서명 명단에 한국이나 튀르키예 기업은 없습니다. 모델을 직접 학습시키지 않고 그 위에서 서비스를 만드는 기업에게는 이번 세 가지 질문이 자사 에이전트 점검표가 됩니다. 자율 AI 에이전트 책임 가이드와 에이전틱 AI 책임 분석을 참고하시기 바랍니다.

한국. 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」은 2026년 1월 22일부터 시행되었고, 국외 행위라도 국내 시장이나 이용자에게 영향을 미치면 적용됩니다(제4조). 제32조는 학습 누적 연산량이 대통령령 기준 이상인 AI 시스템에 대해 수명주기 전반의 위험 식별·평가·완화와 안전사고 모니터링 체계 구축, 그 결과의 과학기술정보통신부 제출을 요구합니다. 일정 기준 이상의 해외 사업자는 국내대리인을 지정해야 합니다(제36조). 다만 제40조의 사실조사는 위반 혐의나 신고가 있을 때에만 가능하고, 과태료 상한은 3천만 원입니다(제43조). EU의 정보제공요청은 혐의를 전제로 하지 않으며 과징금 규모도 비교할 수 없을 만큼 큽니다. 자세한 내용은 한국 AI기본법 가이드를 참고하시기 바랍니다.

튀르키예. 튀르키예에는 AI 법률이 없습니다. 튀르키예는 하칸 피단 외교장관을 통해 9월 21일 발표된 프런티어 AI 통제 촉구 선언에 서명했습니다. 네덜란드 정부가 공개한 문서의 서명자 22명 가운데 한국은 없으며, 선언은 추가 지지에 열려 있습니다. 튀르키예 개인정보보호법(제6698호) 제12조 제5항은 개인정보 유출 시 정보주체와 위원회에 대한 통지를 요구하고, 튀르키예 형법 제243조는 정보시스템 무단 침입을 처벌합니다. 그러나 형사책임은 개인적이고 법인에는 보안처분만 가능하며(제20조), 고의가 필요하고(제21조) 제243조에는 과실범 규정이 없습니다. 아무도 의도하지 않은 에이전트의 침입은 대부분 민사책임의 문제로 남습니다.

기업이 검토할 사항과 향후 관전 포인트

  • 정보제공요청 자체를 준수 사안으로 다루십시오. 제101조 제1항(b)에 따라 불완전한 답변만으로도 과징금 대상이 될 수 있습니다.
  • 모델이 EU에서 접근 가능하다면 공급자에 해당하는지, 대리인이 필요한지 확인하십시오. 자사의 EU AI법 위험 등급도 함께 점검할 필요가 있습니다.
  • 사고 관련 통합 요청, 제92조 평가나 제93조 조치로의 진행 여부, 제2조 제8항을 근거로 한 이의 제기를 지켜봐야 합니다. 가장 가까운 비교 대상은 캘리포니아 SB 53입니다.

자주 묻는 질문

EU AI법은 이미 집행되고 있나요?

제한적인 의미에서 그렇습니다. 집행위원회는 AI 사무국이 2026년 8월 2일부터 적용된 권한으로 최첨단 범용 AI 모델 공급자들에게 정보제공요청을 보냈다고 밝혔습니다. 아직 위반 판단이나 과징금 부과는 없습니다. 대상 기업의 이름은 언론 보도로만 알려졌습니다.

EU AI법 과징금은 언제부터 적용되나요?

범용 AI 모델 공급자에 대한 과징금은 2026년 8월 2일부터 적용됩니다. 상한은 전 세계 연 매출의 3% 또는 1,500만 유로 중 높은 금액입니다. 2025년 8월 2일 이전에 출시된 모델은 2027년 8월 2일까지 유예됩니다.

EU AI법에 연구 예외가 있나요?

있습니다. 제2조 제6항은 오로지 과학 연구를 위해 개발된 AI를, 제2조 제8항은 시장 출시 전의 연구·시험·개발 활동을 적용 대상에서 제외합니다. 다만 실제 환경에서의 시험은 제외되지 않습니다. 시험 중 사고가 외부에 피해를 준 경우까지 예외에 해당하는지가 이번 논쟁의 핵심입니다.

한국 기업에도 EU AI법이 적용되나요?

EU 시장에 범용 AI 모델을 출시하면 설립지와 관계없이 적용됩니다. API나 다운로드로 EU에 제공되는 한국 모델도 대상이며, 원칙적으로 EU 내 대리인을 지정해야 합니다. 시스템적 위험 의무는 최상위 연산 규모의 모델에만 적용됩니다.

부르한 도우쉬 아이파를라르의 견해

이 섹션은 본 사이트의 설립자이자 튀르키예 변호사인 부르한 도우쉬 아이파를라르의 개인적 견해입니다.

눈여겨볼 점은 수단의 선택입니다. 정보제공요청은 집행위원회의 가장 덜 극적인 권한입니다. 집행위원회는 탈출한 시험 모델이 EU 시장에 출시되었다고 주장하지 않았습니다. 이미 시장에 모델을 내놓은 공급자들에게 그 모델을 어떻게 보호하고 평가하고 모니터링하는지 물었을 뿐입니다. 제91조에 비추어 방어 가능한 선택이고, 의도된 것이라고 봅니다.

시험 예외에 관해서는 조문 해석으로는 비판론에, 정책으로는 집행위원회에 동의합니다. 제2조 제8항은 연구실 안의 일은 연구실에 머문다는 전제에 서 있고, 인터넷으로 빠져나간 에이전트는 그 전제를 깨뜨립니다. 그렇다고 예외 조항을 해석으로 지울 수는 없습니다. 정직한 길은 과학패널 의장단의 권고대로 내부 모델에 관한 규정을 만드는 것입니다.

튀르키예에는 아직 이런 질문을 던질 수 있는 기관이 없습니다. 튀르키예가 프런티어 AI 통제 촉구 선언에 서명했다는 점을 생각하면 아쉬운 공백입니다. 한국은 제32조 덕분에 사정이 낫지만 조사 권한은 혐의를 전제로 합니다. 유럽에 이용자를 둔 한국 개발사는 두 제도에 모두 쓸 수 있는 답변을 준비해 두는 편이 좋겠습니다.

출처: 유럽연합 집행위원회 연설 SPEECH/26/2148(2026년 10월 9일), SPEECH/26/2150(2026년 10월 14일), 과학패널 회의 자료(2026년 10월 12일), 규정 (EU) 2024/1689, 실천강령 서명 페이지 및 가이드라인 FAQ, 유로뉴스(2026년 10월 14일), MLex를 요약한 EU AI Act 뉴스레터 제113호(2026년 10월 20일), 네덜란드 정부가 공개한 프런티어 AI 통제 촉구 선언문(2026년 9월 22일), 디지털 옴니버스에 관한 로펌 요약 자료(통합 법문은 검토하지 못함). 집행위원회는 요청 대상 기업을 밝히지 않았으며, 집행위원회가 언급하지 않은 기업명과 사고 내용은 언론 보도에 따른 것으로 독자적으로 검증되지 않았습니다. 사고 및 에이전트 수치는 집행위원회 연설 내용입니다. 한국·튀르키예 법령은 law.go.kr와 mevzuat.gov.tr의 공식 원문을 인용했습니다. 이 글은 일반적인 정보 제공 목적이며 법률 자문이 아닙니다. 분석과 평가는 필자의 견해입니다.