EU AI법(AI Act), 해설합니다.

AI법이 무엇인지 (그리고 무엇이 아닌지)

AI법은 EU 시장에 출시되거나 출력이 EU에서 사용되는 AI 시스템을 위한 제품 안전 스타일의 규정입니다. 「AI」라는 기술 자체를 규제하는 것이 아니라 — 위험에 따라 특정 용도를 규제합니다. 건강, 안전, 기본권에 대한 위험이 높을수록 의무가 무거워집니다. 대부분의 일상 AI(스팸 필터, 추천 위젯, 맞춤법 검사기, 생산성 도구의 AI 기능)는 최소 위험이며 새로운 의무가 전혀 생기지 않습니다.

네 가지 위험 등급

이 법의 모든 것이 이 분류에 달려 있습니다:

• 허용 불가 위험 — 2025년 2월 2일부터 전면 금지: 소셜 스코어링, 착취적이거나 조작적인 기법, 무차별 얼굴 이미지 스크래핑, 직장과 학교에서의 감정 인식(좁은 안전 예외), 민감한 속성을 추론하기 위한 생체 분류, 그리고 법 집행을 위한 공공장소 실시간 원격 생체 식별(제한적 예외). 2026년 12월 2일부터는 2026년 개정에 따라 비동의 친밀 이미지나 CSAM을 생성하는 AI 시스템도 명시적으로 금지됩니다.
• 고위험 — 허용되지만 엄격히 규제: 규제 대상 제품의 안전 구성요소로 사용되는 AI(부속서 I — 기계, 의료기기, 엘리베이터 등) 또는 민감한 사용 사례의 AI(부속서 III — 채용 및 인력 관리, 교육 평가, 신용 평가, 필수 서비스, 법 집행, 이민, 사법). 의무에는 위험 관리, 데이터 거버넌스, 기술 문서, 로깅, 인간 감독, 정확성·견고성 테스트, EU 데이터베이스 등록이 포함됩니다.
• 제한적 위험 — 투명성 의무(제50조): AI 시스템과 상호작용할 때 사람들에게 알리기(챗봇), AI가 생성하거나 조작한 이미지·오디오·비디오 콘텐츠(딥페이크) 라벨링, 합성 콘텐츠를 기계가 읽을 수 있는 방식으로 마킹, 공익 사안에 대해 대중에게 알리기 위해 게시된 AI 생성 텍스트 공개.
• 최소 위험 — 그 외 전부: 새로운 의무 없음, 자발적 행동 강령 권장.

2026년의 타임라인 — Digital Omnibus 반영 업데이트

이 법은 2024년 8월 1일에 발효되었고 2026년 8월 2일에 거의 전면 적용될 예정이었습니다. 2025년 11월, 집행위원회는 이를 단순화하고 단계화하기 위한 「AI에 관한 Digital Omnibus」를 제안했고, 의회는 2026년 6월 16일에 승인했으며 이사회는 2026년 6월 29일에 최종 승인했습니다. 이제 핵심 날짜는 다음과 같습니다:

• 2025년 2월 2일 — 허용 불가 위험 관행에 대한 금지와 AI 리터러시 의무 적용.
• 2025년 8월 2일 — 범용 AI(GPAI) 모델 공급자의 의무(기술 문서, 저작권 정책, 학습 데이터 요약; 시스템적 위험 모델에 대한 추가 의무)와 함께 EU AI Office 및 거버넌스 구조 출범.
• 2026년 8월 2일 — 법이 일반적으로 적용: 투명성 의무(제50조), 처벌, 그리고 대부분의 나머지 조항. 합성 콘텐츠의 기계 판독 가능 마킹은 2026년 8월 2일 이전에 이미 시장에 출시된 시스템에 대해 2026년 12월 2일까지 유예 기간이 있습니다.
• 2026년 12월 2일 — 비동의 친밀 이미지와 CSAM을 생성하는 AI에 대한 새로운 금지 적용.
• 2027년 12월 2일 — 부속서 III 사용 사례(채용, 신용 평가, 교육 등)에 대한 고위험 의무 — 원래의 2026년 8월에서 16개월 연기.
• 2028년 8월 2일 — 부속서 I 제품 내장 AI(의료기기, 기계 등)에 대한 고위험 의무 — 2027년 8월에서 1년 연기. 각국의 규제 샌드박스는 2027년 8월 2일까지 마련될 예정입니다.

누가 준수해야 하는가

의무는 가치 사슬의 역할에 따라 부여됩니다: 공급자(자신의 이름으로 AI 시스템을 개발하거나 EU 시장에 출시하는 자), 배포자(AI 시스템을 업무상 사용하는 자), 그리고 수입업자와 유통업자. 적용 범위는 역외까지 미칩니다 — AI 출력이 EU 안에서 사용되는 미국이나 영국 SaaS도 적용 대상입니다. 중소기업에는 일부 완화가 있습니다: 간소화된 문서, 샌드박스 우선 접근, 그리고 벌금 상한은 두 금액 중 높은 쪽이 아니라 낮은 쪽으로 제한됩니다.

AI법이 당신의 웹사이트에 의미하는 것

대부분의 회사에게 첫 번째 실질적 접점은 2026년 8월부터 적용되는 투명성 규칙입니다 — 방문자가 당신의 사이트에서 보는 것에 관한 규칙입니다:

• 사이트의 AI 챗봇과 어시스턴트는 방문자가 기계와 대화하고 있음을 분명히 해야 합니다(맥락상 명백한 경우 제외).
• 당신이 게시하는 AI 생성 또는 AI 조작 이미지, 오디오, 비디오(딥페이크)는 인공적으로 생성·조작되었음을 눈에 보이게 라벨링해야 합니다.
• 합성 미디어에는 기계가 읽을 수 있는 마킹(예: 메타데이터/워터마킹)이 있어야 합니다 — 2026년 8월 이전 시스템에 대한 마킹 의무는 2026년 12월 2일부터 적용됩니다.
• 공익 사안에 대해 대중에게 알리기 위해 게시된 AI 작성 텍스트는, 책임을 지는 인간의 편집 검토를 거치지 않았다면 AI 생성임을 공개해야 합니다.
• 채용, 신용 또는 기타 부속서 III 사용 사례에 AI를 쓴다면, 2027년 12월 2일부터 적용되는 고위험 체제에 대비하세요.
• AI 리터러시: AI를 업무상 사용하는 조직은 직원이 운영하는 시스템을 이해하도록 조치를 취해야 합니다.

처벌

벌금 구조는 의도적으로 GDPR과 유사합니다: 금지된 관행에는 최대 3,500만 유로 또는 전 세계 연간 매출의 7%(둘 중 높은 쪽); 고위험 및 GPAI 의무를 포함한 대부분의 다른 위반에는 최대 1,500만 유로 또는 3%; 당국에 부정확하거나 오해를 부르는 정보를 제공하면 최대 750만 유로 또는 1%. 중소기업의 경우 각 상한은 두 금액 중 낮은 쪽입니다. 집행은 각국 시장 감시 당국과, GPAI 모델의 경우 EU AI Office가 분담합니다.

Beacon은 어떻게 관련되는가

Beacon은 이미 검색 엔진과 AI 크롤러가 당신의 웹사이트에서 실제로 무엇을 보는지 스캔합니다 — robots.txt 정책, 렌더링된 콘텐츠, 구조화 데이터, 공개 표시. 우리는 그 기반 위에 AI법 준비도 스캔을 구축하고 있습니다: 웹사이트의 방문자 대면 투명성 신호(챗봇 공개, AI 콘텐츠 라벨링, 기계 판독 가능 마킹 및 관련 메타데이터)를 자동으로 점검하고 우선순위가 매겨진 수정 목록을 제공합니다. 법률 자문은 아니지만 — 당신의 사이트가 오늘 무엇을 노출하고 있고 무엇을 먼저 고쳐야 하는지 구체적으로 보여줄 것입니다.