EU AI 법 2026: 기업 자동화 준수 체크리스트

의사결정 요약: 2026년 8월 2일 이후 역할·위험·투명성·사람의 감독·공급업체 통제·안전한 파일럿을 점검하는 실무 가이드입니다.

· · 7 분 분량

결론: 도구가 아니라 사용 방식을 분류

구매한 모델 이름보다 시스템이 하는 일과 기업의 역할이 중요합니다. 같은 보조 도구도 내부 초안에서는 영향이 작지만 사람에 대한 결정을 실행하면 민감해집니다. 목적, 영향받는 사람, 데이터, 자동 행동, 사람의 개입 지점을 기록하세요.

이 글은 법률 자문이 아닙니다. 의무는 국가, 산업, 위험, 역할에 따라 달라집니다. 되돌릴 수 있고 측정 가능하며 사람이 승인하는 파일럿부터 시작하고 핵심 판단은 최신 EU 공식 자료로 확인하세요.

2026년 8월 2일 무엇이 바뀌었나

유럽위원회에 따르면 유럽 AI 사무국(AI Office)과 각국 당국이 특정 조항의 집행을 시작했습니다. 일부 대화형 AI와 합성 콘텐츠에는 제50조 투명성 요구가 적용되어 AI와 상호작용한다는 고지나 특정 딥페이크·생성물 표시가 필요할 수 있습니다. 고위험 시스템 일정은 더 늦을 수 있습니다.

각 사용 사례에 목적, 역할, 시장, 데이터, 사람, 출력, 적용일을 기록하고 조달·법률 결정 전 공식 일정을 다시 확인하세요.

역할 파악하기

자기 이름으로 시스템을 출시하면 제공자, 직원이나 고객에게 사용하면 배포자가 될 수 있습니다. 범용 모델을 자사 제품에 넣으면 해당 모델을 기반으로 제품을 제공하는 하위 사업자의 역할이 생길 수 있습니다. 누가 목적·변경·데이터·사용자 책임을 실제로 통제하는지 보세요.

사업/기술 책임자, 공급업체, 버전, 목적, 데이터, 행동, 승인, 고지, 데이터 보유 기간, 중단, 검토일을 기록하고 변경 시 재평가하세요.

네 가지 위험 분류

첫째, 금지 관행 가능성이 있으면 중단하고 전문가 검토. 둘째, 고용·신용·교육·핵심 인프라·필수 서비스면 고위험 평가. 셋째, 챗봇·합성 미디어면 투명성 확인. 넷째, 저영향 내부 도구도 데이터·보안·정확성·사람 감독이 필요합니다.

연결 시스템, 되돌림, 인원, 개인정보, 오류 비용, 개입 시간을 함께 평가하세요. 불확실하면 자동 실행을 끄고 추천 모드로 둡니다.

제50조 투명성 체크

필요한 고지는 적시에 명확하고 이해하기 쉬우며 접근성을 갖춘 방식으로 표시해야 합니다. 개인정보 처리방침에만 숨겨 두어서는 안 됩니다. 이미지, 음성, 영상, 공익 목적의 텍스트는 눈에 보이는 표시나 기계가 읽을 수 있는 표시가 필요한지, 예외가 있는지 확인하세요.

현지 언어, 스크린 리더, 내보낸 파일의 표시 유지 여부, 담당자에게 연결되는 지원 경로, 버전 증거를 시험하세요. 기존 시스템의 전환 규칙은 공식 지침으로 확인하세요.

기술·운영 통제

NIST AI RMF를 거버넌스, 맥락 파악, 측정, 관리의 순환 과정으로 활용하세요. 파일럿 전에 성공 기준, 허용 가능한 오류, 중단 조건을 정의하고, 누락된 문서, 충돌하는 지시, 다른 언어, 무단 데이터 요청과 장애를 시험하세요.

AI 에이전트에는 OWASP 원칙을 적용하세요. 필요한 기능만 허용하고 처음에는 읽기 전용으로 운영하세요. 전송, 지급, 삭제에는 사람의 승인을 받으세요. API 키나 비밀번호 같은 인증 정보는 모델에 입력하지 말고, 모든 실행을 기록하세요. 프롬프트 인젝션, 데이터 유출, 잘못된 출력, 공급업체 장애에 대비한 복구 절차도 준비하세요.

30일 실행 계획

1~5일에는 사용 중인 시스템 목록과 책임자를 정하고, 6~10일에는 역할과 위험을 검토하세요. 11~15일에는 고지, 담당자에게 인계하는 절차, 권한, 데이터 보유 기간, 계약을 점검하세요. 16~23일에는 정상 및 적대적 사례를 시험하고, 24~30일에는 범위를 제한한 파일럿을 운영하며 결정을 기록하세요.

이 일정은 규정 준수 인증서가 아닙니다. 되돌릴 수 있고 측정 가능하며 책임자가 명확한 프로세스를 선택하세요. 프로세스 매핑과 RPA-AI 비교도 활용하세요.

공급업체·파일럿 결정표

모델 및 데이터 처리에 관여하는 하위 처리업체, 데이터 저장 위치와 보유 기간, 학습 목적의 사용 여부, 보안 보고서, 사고 통지 기한, 버전 정책, 표시 방식, 감사 로그, 데이터 이동성과 계약 종료 조건에 관한 정보를 서면으로 요청하세요. “AI Act 준수”라는 말만으로는 증거가 되지 않습니다. 어떤 통제가 어떤 역할의 어떤 의무를 뒷받침하는지 확인하세요.

예시 시나리오: 중소기업이 이메일을 분류하고 답변 초안을 작성합니다. 직원이 전송 전에 내용을 승인하며, 민감한 사례는 사람이 처리하도록 넘깁니다. AI에는 CRM 데이터를 삭제하거나 비용을 지급할 권한이 없습니다. 오분류, 사람의 수정, 데이터 사고, 복구 시간을 측정하세요. 이는 가정에 따른 시나리오이며 실제 고객 성과가 아닙니다.

방법론

실행 가능성, 비용, 위험, 측정 가능성을 기준으로 주장을 평가합니다. 예시 계산은 가정이며 법률·보안·투자 결정에는 1차 출처 확인이 필요합니다.

출처 안내

본문 링크와 언급된 규제·기술 문서는 출발점입니다. 검증되지 않은 고객 성과는 게시하지 않습니다.

최종 업데이트:

자주 묻는 질문

모든 AI 시스템이 고위험인가요?

아닙니다. 목적, 분야, 실제 기능에 따라 다르며 저영향 도구에도 투명성·개인정보·보안 의무가 있을 수 있습니다.

챗봇이 AI라고 알려야 하나요?

제50조는 특정 대화형 시스템에 고지를 요구합니다. 역할, 사용, 예외를 최신 공식 지침으로 확인하세요.

EU 밖 기업도 영향을 받나요?

EU 시장 제공, EU 사람 대상 사용, 가치사슬 역할은 적용 범위 분석이 필요할 수 있습니다.

어떤 문서를 보관하나요?

목적, 책임자, 역할/위험, 데이터 흐름, 사람 감독, 시험, 버전/공급업체, 고지, 사고, 변경 기록입니다.

평가 완료 전 파일럿이 가능한가요?

범위가 제한되어 있고 되돌릴 수 있으며 사람이 승인하는 시험은 가능할 수 있습니다. 불확실성이 남아 있다면 실제 운영 환경에서 중대한 영향을 미치는 자동 실행을 활성화하지 마세요.