EU AI법 GPAI 과징금 8월 2일 시작, 고위험 규제는 2027년 12월로 연기

AI 요약

• 무슨 일: 2026년 8월 2일부터 European Commission과 AI Office가 범용 AI(GPAI) 모델 제공자에게 직접 과징금을 물릴 수 있습니다.
  • GPAI 의무 자체는 2025년 8월 2일부터 있었지만, 집행 권한은 1년 적응 기간을 두고 이제야 발동됩니다.
  • 상한은 전 세계 연매출 3% 또는 1500만 유로 중 높은 금액(Article 101).
• 같이 시작되는 것: Article 50 투명성 의무. 챗봇은 AI임을 알려야 하고, AI 생성·조작 콘텐츠에는 표시가 붙어야 합니다.
  • 워터마크 같은 기계 판독 표시는 2026-12-02까지 유예됩니다. 사람이 읽는 고지는 유예 없이 지금부터입니다.
• 미뤄진 것: 채용·신용평가·법 집행 등 Annex III 고위험 시스템 의무가 2027년 12월 2일로 16개월 밀렸습니다.
  • 제품 내장형(Annex I)은 2028년 8월 2일. 규제 샌드박스 설치는 2027년 8월 2일.
  • 근거는 회원국 관할 당국 지정 지연과 적합성 평가를 뒷받침할 조화 표준 미비입니다.
• 한국 팀 기준: 국내 AI 기본법은 계도 기간이라 과태료가 유예되지만, EU 시장에 모델이나 기능을 내놓는다면 8월 2일이 실제 집행 시작일입니다.

2026년 8월 2일은 EU AI법이 두 번째로 크게 적용되는 날입니다. 다만 이날 시행될 예정이던 항목 중 가장 무거운 부분은 빠졌습니다. 채용 심사, 신용평가, 법 집행 같은 고위험 용도의 AI 시스템 의무가 2027년 12월 2일로 16개월 미뤄졌기 때문입니다. 2026년 7월 발효한 "Digital Omnibus on AI" 개정법이 날짜를 옮겼습니다.

그래서 국내 보도 상당수가 이 날짜를 "규제 연기"로만 다뤘습니다. 그런데 미뤄지지 않은 조항이 두 개 남아 있고, 둘 다 AI 제품을 만드는 팀에 직접 붙습니다. 하나는 GPAI 모델 제공자에 대한 과징금 권한이고, 다른 하나는 챗봇과 AI 생성물에 붙는 고지 의무입니다.

8월 2일부터 실제로 작동하는 두 가지

첫째, AI Office가 모델 제공자에게 강제력을 행사할 수 있게 됩니다. GPAI 모델 제공자의 의무(기술 문서, 저작권 정책, 학습 데이터 요약, 시스템 리스크 관리)는 2025년 8월 2일부터 이미 있었습니다. 다만 제공자에게 1년의 적응 기간을 주면서 Commission의 감독·집행 권한만 2026년 8월 2일로 미뤄져 있었습니다. 그 유예가 오늘 끝납니다.

AI Office가 오늘부터 쓸 수 있는 수단은 네 가지입니다.

• 기술 문서를 내라고 요구할 수 있습니다(Article 91).
• 모델에 접근해 직접 평가할 수 있습니다(Article 92).
• 위험 완화 조치를 명령할 수 있습니다(Article 93).
• EU 시장에서 모델을 제한하거나 회수시킬 수 있고, 과징금을 매길 수 있습니다.

둘째, Article 50 투명성 의무가 유예 없이 적용됩니다. 사용자가 AI 시스템과 대화 중이라는 사실을 알려야 하고(맥락상 명백한 경우는 제외), AI가 생성하거나 조작한 이미지·오디오·영상에는 그렇다는 표시가 붙어야 합니다. 공익 사안을 다루는 AI 생성 텍스트도 표시 대상이며, 사람 편집자가 편집 책임을 지는 경우에만 빠집니다. 3초면 목소리를 복제하는 음성 사기가 확산된 뒤 나온 조항이라 딥페이크가 명시적으로 포함됩니다.

표시 방식에 따라 기한은 갈립니다. 사람이 눈으로 확인하는 고지는 오늘부터지만, 워터마크나 프로비넌스 메타데이터 같은 기계 판독 표시는 2026년 12월 2일까지 유예됩니다. 2026년 8월 2일 이전에 시장에 나와 있던 시스템이 대상입니다. 당장 필요한 것은 화면에 보이는 고지입니다. 파일에 심는 표식은 넉 달 더 준비할 시간이 있습니다.

고위험 의무는 왜 2027년 12월로 갔나

규제를 지킬 방법이 아직 없다는 것이 공식 사유입니다. 고위험 시스템 제공자는 적합성 평가를 받고 CE 마킹을 붙인 뒤에야 제품을 시장에 낼 수 있습니다. 그런데 그 평가의 기준이 되는 조화 표준(harmonised standards)이 완성되지 않았고, 평가를 수행할 회원국 관할 당국과 인증기관 지정도 늦어졌습니다. 기준도 심사기관도 없는데 기한만 남아 있었습니다.

아래는 Commission이 공개한 고위험 AI의 적합성 절차입니다. 이번에 2027년 12월로 미뤄진 것이 바로 이 4단계 전체입니다.

법 개정 속도는 빨랐습니다. Commission이 2025년 11월 Digital Omnibus 패키지를 제안했고, 2026년 4월 28일 3자 협의가 한 차례 결렬된 뒤 5월 초 잠정 합의에 이르렀습니다. European Parliament가 6월 16일, Council이 6월 29일 채택했고 7월에 발효했습니다.

개정은 연기만 담지 않았습니다. 비동의 성적 이미지(NCII)와 아동 성착취물(CSAM)을 생성하는 AI 시스템이 금지 관행(Article 5)에 새로 추가됐습니다. 기술적 안전장치 이행에는 2026년 12월 2일까지 시간이 주어지지만, 금지 관행 위반의 과징금 상한은 3500만 유로 또는 전 세계 매출 7%로 AI법에서 가장 높습니다. 편향 탐지·완화 목적으로 민감 개인정보를 처리할 수 있는 법적 근거도 넓어졌습니다. 공정성 테스트를 하려면 민감 속성이 필요한데 GDPR이 그 처리를 막아 온 문제를 푼 조항입니다.

반론도 실재합니다. EDRi를 비롯한 시민사회 조직과 독립 감독기관 60곳은 투명성 조항 약화에 반대하는 공동 서한을 냈고, ECNL은 6월 분석에서 이번 개정을 "적용되기도 전에 이뤄진 안전장치 후퇴"로 규정했습니다. Corporate Europe Observatory는 빅테크 로비가 조문 단위로 반영된 과정을 추적했습니다. Malta처럼 검토 시간이 부족하다며 추가 기간을 요청한 회원국도 있었습니다.

과징금은 누구에게, 얼마나

과징금은 전 세계 연매출 3%와 1500만 유로 중 높은 쪽이 상한입니다. 매출 100억 달러 규모 기업이라면 위반 유형 하나당 3억 달러 선이 됩니다. 그리고 Article 101은 위반 경로를 네 갈래로 나눠 두었습니다. 실체적 의무 위반, 문서 제출 거부, 평가 접근 거부, 시정 명령 불이행이 각각 독립적인 제재 사유입니다. 조사에 협조하지 않는 것 자체가 별도의 과징금 대상이라는 뜻입니다.

적용 범위는 출시 시점으로 갈립니다. 2025년 8월 2일 이후 EU 시장에 나온 GPAI 모델은 오늘부터 집행 대상이고, 그 이전에 나온 모델은 2027년 8월 2일까지 준수하면 됩니다. 학습 연산이 10²⁵ FLOP을 넘으면 시스템 리스크가 있는 것으로 추정되어 적대적 테스트, 중대 사고 보고, 사이버보안 의무가 추가되고, 임계값을 넘은 시점부터 2주 안에 Commission에 통지해야 합니다.

GPAI 실천 강령(Code of Practice) 서명 여부는 집행 강도를 바꿉니다. Commission은 서명자에게는 강령 준수 모니터링에 집행을 집중하고, 과징금을 산정할 때 강령 이행을 감경 요소로 고려한다고 밝혀 왔습니다. 서명이 면책은 아니지만 조사 방식이 달라집니다. 최신 모델을 만드는 기업 대부분이 서명했고, Meta와 중국 소재 기업은 빠져 있습니다. 중국은 자체 AI 에이전트 가이드라인을 따로 내놓았습니다. EU 시장에 모델을 내놓는 팀은 강령 서명 여부부터 확인하는 편이 낫습니다.

한국 팀이 지금 확인할 것

국내 AI 기본법은 2026년 1월 22일 시행됐고, 생성형 AI 결과물 표시 의무를 이미 담고 있습니다. 다만 정부가 1년 이상 계도 기간을 운영하기로 해 최대 3000만 원의 과태료가 실제로 부과되는 것은 빨라도 2027년 이후로 예상됩니다. 국내 기준으로만 준비했다면 EU 쪽 시계는 훨씬 빠릅니다.

실무에서 오늘 확인할 항목은 네 가지로 좁혀집니다.

1. EU 사용자에게 노출되는 챗봇과 어시스턴트에 AI 고지가 있는지. 온보딩 화면 한 줄이 아니라 대화 진입 지점에서 확인되어야 합니다.
2. AI가 만든 이미지·오디오·영상에 표시가 붙는지. 파일에 심는 워터마크는 12월 2일까지 시간이 있지만, 화면에 보이는 표시는 지금 필요합니다.
3. 자체 모델을 EU에 제공한다면 학습 연산이 10²⁵ FLOP 임계값 아래인지, 기술 문서와 학습 데이터 요약이 제출 가능한 상태인지.
4. 다른 회사 모델을 파인튜닝해 서비스한다면 계약상 지위가 무엇인지. 상당한 변경을 가하면 제공자 의무가 따라올 수 있고, 기반 모델 버전이 2025년 8월 2일 이후 세대로 올라가는 순간 준수 기한이 2027년에서 오늘로 당겨집니다.

고위험 분류를 피하는 것과 오늘 시작된 의무를 지키는 것은 별개 문제입니다. California가 조달 인증으로 AI 규제를 밀어붙인 사례처럼, 규제는 분류 논쟁보다 문서 제출 요구에서 먼저 체감됩니다. AI Office가 8월 2일 이후 가장 먼저 보낼 것도 문서 제출 요구입니다.