정확히 6일 뒤인 2026년 8월 2일, 인공지능에 관한 유럽연합 규정인 AI Act가 거의 전면적으로 적용됩니다. 수년간의 협상 끝에 2024년 채택된 이 기본 법규는 이제 유럽에서 AI 시스템의 개발과 이용을 규율합니다. 규모와 관계없이 프랑스 기업들은 이론적인 질문에 머물 단계가 지났습니다. 이제 실제로 어떤 규정이 적용되고 어떤 결과가 발생하는지 이해해야 합니다.

단계적 적용 일정이 본격적인 단계에 진입

AI Act는 한 번에 모두 적용된 것이 아닙니다. 2024년 8월 발효 이후 단계적으로 적용되어 왔습니다.

  • 2025년 2월: 시민에 대한 사회적 점수 부여나 당사자가 모르는 심리적 조작 등 허용할 수 없는 것으로 간주되는 AI 시스템 금지.
  • 2025년 8월: 범용 AI 모델(GPAI)에 대한 구체적인 의무 적용. GPT나 Claude 같은 대규모 언어 모델은 특히 투명성과 저작권 관련 규칙을 준수해야 합니다.
  • 2026년 8월 2일: 제50조의 투명성 의무가 적용되고, 고위험 AI 시스템의 상당 부분에 대해서도 적용이 시작됩니다.

이 날짜부터는 투명성 규칙을 위반할 경우 규제 체계에 따라 본격적으로 제재할 수 있습니다.

8월 2일부터 적용되는 두 가지 핵심 의무

1. 사용자가 AI와 대화하고 있음을 알릴 것

가장 직접적인 의무이며 매우 많은 기업이 대상입니다. 웹사이트나 애플리케이션에 챗봇, 가상 비서 또는 기타 대화형 시스템을 배치하는 경우, 사용자가 사람이 아니라 기계와 상호작용하고 있다는 사실을 명확하게 알려야 합니다. 합리적으로 혼동할 가능성이 있는 경우 이 요건이 적용됩니다.

실무적으로는 “현재 AI 비서와 대화하고 있습니다”와 같은 간단한 배너나 안내 문구로 충분한 경우가 많습니다. 반대로 챗봇이 실제 사람인 것처럼 보이도록 의도적으로 설계하는 것은 허용되지 않습니다.

2. AI 생성 콘텐츠를 표시할 것

대중을 오도할 수 있는 상황에서 AI가 만든 딥페이크와 합성 콘텐츠(이미지, 동영상, 텍스트)는 AI가 생성한 콘텐츠임을 표시해야 합니다. 특히 정치, 정보, 상업 목적의 콘텐츠가 이에 해당합니다. 이러한 콘텐츠를 호스팅하는 플랫폼도 제도상 일정한 책임을 집니다.

고위험 시스템: 단계적인 규정 준수

AI Act는 잠재적 위험 수준에 따라 AI 시스템을 분류합니다. 고위험 시스템은 사람에게 중대한 영향을 미치는 결정을 내리거나 그 결정에 영향을 주는 시스템입니다. 채용과 지원자 평가, 신용 점수 산정, 학교 성적 평가, 출입 통제, 의료 결정 등이 포함됩니다.

기업에 긍정적인 점은 이러한 시스템에 적용되는 가장 무거운 의무의 상당 부분, 즉 문서화된 위험 관리, 의무적인 인간 감독, 의사결정 추적 가능성이 연초 채택된 “Digital Omnibus” 협상 이후 2027년 12월로 연기되었다는 것입니다. 이에 따라 해당 솔루션을 개발하거나 배치하는 사업자는 조금 더 시간을 확보하게 됩니다. 다만 대응은 막판이 아니라 지금 시작해야 합니다.

프랑스에서 구체적으로 누가 대상인가?

AI Act는 조직의 규모나 설립 국가와 관계없이 유럽 내에서 AI 시스템을 배치하거나 판매하는 모든 조직에 적용됩니다. 프랑스에서 자주 해당하는 사례는 다음과 같습니다.

  • 전자상거래와 고객 서비스: 지원용 챗봇, 추천 에이전트, 개인화 도구.
  • 인사와 채용: 이력서 선별 소프트웨어, 지원자 평가 도구, 성과 관리 시스템.
  • 금융과 신용: 자동 점수 산정, 사기 탐지, 개인 맞춤형 자문.
  • 마케팅과 커뮤니케이션: 일반 대중에게 공개되는 AI 생성 이미지, 텍스트 또는 동영상.
  • 의료: 진단 지원 도구, 분류 시스템, AI가 탑재된 의료기기.

초소형 기업과 중소기업도 예외는 아니지만, 규정은 기업 규모를 고려합니다. 제재가 부과될 때는 고정 상한액과 전 세계 매출액 비율 중 더 낮은 금액이 적용되므로, 실제로는 당장의 재정적 부담이 제한됩니다.

규정을 준수하지 않으면 어떤 제재를 받는가?

AI Act는 억제력 있는 제재 체계를 두고 있습니다. 최대 금액은 다음과 같습니다.

  • 3,500만 유로 또는 전 세계 매출액의 7%: 금지된 시스템과 관련된 가장 중대한 위반.
  • 1,500만 유로 또는 전 세계 매출액의 3%: 고위험 시스템, GPAI 또는 투명성 규칙에 관한 의무 위반.
  • 750만 유로 또는 전 세계 매출액의 1.5%: 당국에 잘못된 정보를 제공한 경우.

프랑스에서는 특히 개인정보와 관련된 의무를 포함한 일부 분야에서 CNIL이 관할 감독기관으로 지정되었습니다. 분야에 따라 다른 산업별 당국이 관여할 수도 있습니다.

8월 2일 전에 구체적으로 무엇을 해야 하는가?

아직 규정 준수 절차를 시작하지 않았다면 다음 조치를 우선해야 합니다.

  • AI 시스템 목록 작성: 내부 개발 여부나 외부 공급업체 구매 여부와 관계없이 조직에서 AI를 사용하는 모든 도구와 애플리케이션을 정리합니다.
  • 위험 수준 평가: 각 시스템이 AI Act 기준에 따라 “고위험” 범주에 들어가는지 판단합니다. 특히 민감한 분야에서 개인에게 영향을 미치는 결정을 내리는지 확인해야 합니다.
  • 대화형 인터페이스 업데이트: 챗봇과 가상 비서에 AI임을 명확히 알리는 표시를 추가합니다.
  • 팀 교육: AI Act 제4조는 기업이 이러한 시스템을 다루는 사람들에게 충분한 “AI 리터러시”를 갖추도록 요구합니다.
  • 업무 관행 문서화: 조직 내 AI 거버넌스에 관한 기록을 만들기 시작해야 합니다. 이는 향후 의무 이행에 필수적입니다.

지속적인 변화의 일부가 되는 법규

당장의 의무를 넘어 AI Act는 패러다임의 변화를 보여 줍니다. 인공지능은 더 이상 규칙이 없는 영역이 아닙니다. 사회에 큰 영향을 주는 다른 기술과 마찬가지로 책임과 보호 장치를 갖춘 기술로 다뤄집니다. 미리 대응하는 기업에는 책임 있는 AI 활용 방식을 보여 줌으로써 고객과 파트너의 신뢰를 얻을 기회이기도 합니다.

2026년 8월 2일은 끝이 아니라 출발점입니다. 진지하게 준비하는 기업은 기술 자체와 함께 계속 진화할 규제 체계의 다음 단계에서 한발 앞서 나갈 수 있습니다.