기사 목차 펼치기 / 접기
유럽연합(EU)이 세계 최초의 포괄적 인공지능(AI) 규제법인 ‘EU AI법(EU AI Act)’을 실제 집행하는 단계로 들어선 지 한 달이 됐다. 가장 먼저 나타난 변화는 AI 기업의 제품과 규제기관의 행동이다. 앤트로픽(Anthropic)은 EU 규제에 맞추기 위해 생성 텍스트에 보이지 않는 워터마크를 넣기로 했고, 유럽연합 집행위원회(European Commission)는 최첨단 AI 모델 개발사들에 사이버보안과 안전 관리 자료를 요구하며 새 조사 권한을 처음 행사했다.
그러나 규제가 계획대로 일제히 가동된 것은 아니다. EU는 시행 직전 가장 부담이 큰 고위험 AI 규제 일정을 2027~2028년으로 연기했고, 일부 회원국은 아직 감독기관을 제대로 갖추지 못했다. EU AI법 시행 첫 한 달은 세계 최초의 AI 규제가 기업 행동을 실제로 바꿀 수 있다는 점과 법을 집행할 제도와 인력이 이를 따라갈 수 있느냐는 문제를 동시에 드러냈다.
EU AI법은 2024년 8월 1일 발효됐다. 이후 조항별로 적용 시점을 나눴다. 금지 AI와 AI 리터러시 관련 규정은 지난해부터 적용됐다. 범용 AI 모델(GPAI·General-Purpose AI model) 제공자의 주요 의무도 지난해 8월부터 적용되기 시작했다.
분기점은 이달 2일이었다. EU 집행위는 7월 31일 공식 발표를 통해 8월 2일부터 EU AI오피스(AI Office)와 회원국 당국이 AI법 집행을 본격 시작한다고 밝혔다. 이날부터 챗봇 등 일부 AI 시스템은 이용자에게 AI와 대화하고 있다는 사실을 알려야 하고, AI가 만든 이미지·음성·영상·텍스트에는 일정한 경우 기계가 판독할 수 있는 표시를 넣도록 한 제50조도 적용되기 시작했다.
앤트로픽은 전 세계 클로드에 워터마크…EU 규제가 제품을 바꿨다
기업의 변화가 가장 직접적으로 나타난 곳은 AI 생성물 표시다.
미국 AI 기업 앤트로픽은 8월 14일 공식 발표에서 앞으로 출시하는 클로드(Claude) 모델의 텍스트에 워터마크를 넣겠다고 밝혔다. 회사는 “EU AI법을 준수하기 위해” 이를 시행한다고 명시했다.
앤트로픽의 워터마크는 글에 보이지 않는 문자나 별도의 꼬리표를 붙이는 방식이 아니다. 대규모언어모델(LLM)이 다음 단어를 선택할 때 의미에 영향을 주지 않는 범위에서 특정 통계적 패턴을 남긴다. 긴 글을 분석하면 클로드가 작성 과정에 관여했을 가능성을 판별할 수 있도록 한 것이다.
더 주목할 부분은 적용 지역이다. 앤트로픽은 EU에서만 워터마크를 적용하지 않고 지원되는 클로드 모델의 결과물에 세계적으로 적용하기로 했다. 회사는 현재 이를 지역별로 안정적으로 분리할 방법이 없기 때문이라고 설명했다. EU에서 만들어진 규제가 기술기업의 글로벌 제품 설계를 바꾸는 이른바 ‘브뤼셀 효과(Brussels effect)’가 나타난 사례로 볼 여지가 있다.
EU AI법 제50조 제2항은 합성 음성·이미지·영상·텍스트를 생성하는 AI 시스템 제공자에게 결과물이 AI에 의해 생성되거나 조작됐다는 사실을 탐지할 수 있도록 기계 판독 가능한 형식으로 표시하도록 한다. 다만 일반적인 편집을 보조하는 정도라면 표시 의무에서 제외될 수 있다. EU 집행위의 제50조 투명성 가이드라인은 소스코드나 짧은 숫자·기호·문자열 등도 일정한 경우 적용 대상에서 제외한다고 설명한다.
기업들이 각자 해법을 찾도록 방치한 것도 아니다. EU 집행위는 AI 생성물 표시와 공개 방법을 구체화한 ‘AI 생성 콘텐츠 투명성 행동규범(Code of Practice on Transparency of AI-generated Content)’을 마련했다.
8월 시행 직전인 7월 말까지 약 190개 기관이 참여했다. AI 제공자 쪽에는 오픈AI(OpenAI), 구글(Google), 메타(Meta), 마이크로소프트(Microsoft), 앤트로픽, 미스트랄(Mistral), 코히어(Cohere) 등이 포함됐다. 기업뿐 아니라 통신·교육·유통 등 다양한 업종이 참여했고 약 절반은 소규모 또는 신생 기업이었다고 EU 집행위는 7월 31일 발표에서 밝혔다.
행동규범 가입 자체가 법적 의무는 아니다. 그러나 EU 집행위가 적정하다고 인정한 행동규범을 따르면 법 준수 방법을 규제기관에 설명하기가 쉬워진다. 반대로 가입하지 않은 기업은 자체적인 방법으로 법을 준수하고 있음을 입증해야 한다. 자발적인 행동규범이 실제 시장에서는 기업의 규제 대응을 표준화하는 역할을 하는 구조다.
“AI판 쿠키 배너 될라”…투명성 규제 놓고 반응 엇갈려
이용자에게 직접 보이는 규제인 만큼 반발도 나왔다.
파이낸셜 타임스(Financial Times)는 이달 기업들이 제50조 적용을 준비하는 상황을 AI의 ‘쿠키 배너 순간’에 비유했다. 유럽 개인정보보호 규제가 웹사이트 곳곳에 쿠키 동의 창을 만들었던 것처럼 AI법도 인터넷 서비스 곳곳에 AI 이용 사실을 알리는 표시를 만들어낼 수 있다는 의미다.
일부 기업들은 적용 대상과 표시 방식이 복잡하고 구체적인 지침이 늦게 나왔다며 부담을 제기했다. 반면 부킹닷컴(Booking.com), 체스닷컴(Chess.com) 등 일부 기업은 AI 이용 사실을 분명히 알리는 것이 이용자의 신뢰를 높일 수 있다는 입장을 보였다.
앤트로픽의 텍스트 워터마크도 논쟁을 불렀다. AI가 단순히 문장을 고쳤는데도 AI 작성물로 오인될 가능성이나 모델의 문장 선택 자체를 왜곡할 수 있다는 우려가 제기됐다.
그러나 앤트로픽은 문법·구두점만 고치는 정도의 교정에는 워터마크를 남길 수 있는 단어 선택이 적어 탐지하기 어려울 수 있다고 설명했다. 워터마크가 발견돼도 그것은 “클로드가 어느 단계에서 관여했을 가능성”을 의미할 뿐, 클로드가 글 전체를 작성했다는 증거는 아니라고 했다.
유럽의 AI 투명성 규범 제정에 참여한 전문가들도 워터마크가 곧바로 글의 품질을 떨어뜨린다는 주장에는 선을 그었다. 유랙티브(Euractiv)는 8월 21일 전문가들을 인용해 일정 길이 이상의 텍스트에서는 현재 방식의 워터마크가 글의 품질을 본질적으로 훼손한다고 보기 어렵다고 보도했다. 다만 워터마크를 제거하려는 도구도 등장하고 있어 표시 기술과 이를 우회하려는 기술 사이의 경쟁은 계속될 전망이다.
EU 집행위, 한 달도 안 돼 첫 조사권 행사
제품 변화보다 더 중요한 움직임은 규제기관에서 나왔다.
유랙티브는 8월 26일 헤나 비르쿠넨(Henna Virkkunen) EU 집행위 기술주권·안보·민주주의 담당 수석부위원장을 인용해 EU 집행위가 가장 발전된 AI 모델을 개발하는 일부 기업에 사이버보안과 안전 관리 상황에 관한 정보를 요구했다고 보도했다.
비르쿠넨은 새 AI법에 따른 집행 권한을 실제 사용한 것은 처음이라고 밝혔다. 대상 기업의 이름은 공개하지 않았다.
집행위가 요구한 내용에는 모델과 이를 운영하는 물리적 인프라를 탈취로부터 어떻게 보호하는지, 외부 평가자에게 어느 정도 접근을 허용하는지, 외부 안전성 평가에서 나온 권고를 어떻게 반영하는지 등이 포함됐다. 별도로 30곳이 넘는 AI 기업에는 EU 저작권 규정을 어떻게 준수하고 있는지도 설명하도록 요구했다.
이는 AI법의 범용 AI 규제가 서류상의 의무에서 실제 감독으로 넘어갔다는 신호다.
AI법 제53조는 범용 AI 모델 제공자에게 모델의 기술문서를 작성·유지하고 EU 저작권법을 준수하기 위한 정책을 마련하며 학습에 사용한 콘텐츠에 관한 충분히 상세한 요약을 공개하도록 한다. 제53조 원문·해설에 따르면 저작권자가 데이터 마이닝을 거부하기 위해 표시한 권리유보도 식별하고 준수해야 한다.
특히 ‘시스템 위험(systemic risk)’이 있는 범용 AI 모델에는 더 강한 의무가 붙는다. 제55조에 따라 모델 평가와 적대적 테스트를 실시하고 EU 차원의 시스템 위험을 평가·완화해야 한다. 중대한 사고를 AI오피스 등에 보고하고 모델과 물리적 인프라에 적절한 사이버보안 수준도 확보해야 한다.
집행위가 기업 내부로 들어갈 수 있는 법적 수단도 생겼다. 현행 AI법 제91조는 집행위가 범용 AI 모델 제공자에게 제53조와 제55조에 따른 문서뿐 아니라 법 준수 여부를 판단하는 데 필요한 추가 정보까지 요구할 수 있도록 한다.
정보 요구에는 법적 근거와 목적, 필요한 정보와 제출기한을 명시해야 한다. 불완전하거나 잘못된 정보를 제출하는 경우의 제재도 알려야 한다. 자료만으로 충분하지 않으면 제92조에 따라 모델 평가로 넘어갈 수도 있다.
범용 AI 모델 제공자가 관련 의무를 위반하거나 정당한 정보 요구에 응하지 않을 경우 집행위는 제101조에 따라 전 세계 전년도 연간 매출의 최대 3% 또는 1500만유로(약 241억원) 가운데 큰 금액까지 과징금을 부과할 수 있다. 원화 환산은 8월 28일 기준 1유로 약 1609원을 적용했다.
강력한 법과 달리 회원국 집행망은 아직 미완성
문제는 브뤼셀에서 만들어진 집행력이 EU 27개 회원국 전체에서 똑같이 작동하느냐다.
AI오피스가 범용 AI 모델 등에 대한 핵심 집행권을 갖지만 AI법 집행의 상당 부분은 회원국 당국이 담당한다. 특히 금지된 AI 사용이나 개별 산업의 AI 시스템을 감독하려면 각국이 권한 있는 기관과 법적 절차, 전문 인력을 갖춰야 한다.
하지만 시행 한 달째에도 격차가 크다.
유랙티브는 8월 12일 회원국의 AI법 집행 준비 상황을 조사해 루마니아가 감독기관의 역할을 정하는 계획을 만들었지만 필요한 법률은 아직 통과시키지 못했다고 보도했다. 룩셈부르크와 리투아니아 규제기관도 관련 국내 법제 정비가 완전히 끝나지 않았다고 밝혔다.
인력 문제도 있다. 리투아니아 통신 규제기관에는 올해 AI법 업무를 위한 정규직 인력 2명이 배정됐다. 독일 연방네트워크청(Bundesnetzagentur)은 약 20명이 AI법 관련 업무를 맡고 있다고 밝혔다. 독일 국내 이행법은 이 기관에 모두 43개 직위를 두도록 하고 있다.
세계에서 가장 포괄적인 AI 규제체계를 만들었지만 이를 글로벌 AI 기업을 상대로 집행할 전문 인력과 조직이 충분한지는 별개의 문제라는 의미다.
규제 시작 직전 EU가 고위험 AI 규제를 미룬 이유
또 하나의 역설도 있다. EU가 AI법의 집행을 본격 시작하기 불과 엿새 전 오히려 핵심 규제 일부의 시행을 뒤로 미뤘다는 점이다.
EU의 AI 옴니버스(AI Omnibus)는 7월 27일 발효됐다. EU 집행위는 공식 발표에서 기업의 행정부담을 줄이고 규제 준수에 필요한 기술표준과 지원 수단이 마련될 시간을 주기 위한 조치라고 설명했다.
이에 따라 생체정보, 핵심 인프라, 교육, 고용, 이민·망명·국경관리 등 이른바 Annex III 고위험 AI에 대한 주요 규정은 2027년 12월 2일부터 적용된다. 기계·장난감·승강기 등 규제 제품에 포함되는 Annex I 고위험 AI는 2028년 8월 2일부터 적용된다.
원래 AI법은 위험 수준에 따라 규제를 달리하는 구조다. 사람의 행동을 조작하거나 사회적 점수를 매기는 등 일부 AI는 금지하고, 건강·안전·기본권에 큰 영향을 미칠 수 있는 AI에는 엄격한 고위험 AI 규제를 적용한다. 그 아래에는 생성형 AI 등에 대한 투명성 의무가 있고, 위험이 낮은 대부분의 AI에는 상대적으로 가벼운 규제가 적용된다.
그런데 가장 복잡한 고위험 AI 규제에 필요한 기술표준과 가이드라인을 제때 완성하기 어려워지자 EU가 일정을 늦춘 것이다.
이는 AI법 시행 한 달의 평가를 단순한 ‘규제 강화’로만 볼 수 없게 한다. EU는 한쪽에서는 워터마크와 범용 AI 감독을 현실화하면서 다른 한쪽에서는 기업 부담이 큰 규제의 속도를 늦췄다.
한 달 만에 성공·실패 판단은 일러…12월 또 하나의 시험대
EU AI법의 성패를 한 달 만에 판단하기는 어렵다. 아직 대규모 과징금 사례도 없고 AI법의 핵심 쟁점을 다룬 법원 판례도 축적되지 않았다. 가장 강력한 고위험 AI 규제는 적용 자체가 2027~2028년으로 미뤄졌다.
그러나 초기 효과는 확인되고 있다.
앤트로픽처럼 글로벌 AI 기업이 EU 규제 때문에 제품 설계를 바꿨고 약 190개 기관이 투명성 행동규범에 참여했다. EU 집행위는 실제로 AI 기업에 내부 안전·보안과 저작권 준수 자료를 요구하기 시작했다. 규제가 기업의 행동을 바꾸는 단계와 규제기관이 이를 검증하는 단계가 동시에 시작된 것이다.
다음 분기점은 12월 2일이다. EU AI법 공식 시행 일정에 따르면 8월 2일 이전 시장에 출시된 AI 시스템은 제50조 제2항의 AI 생성물 표시·탐지 의무를 이때까지 맞춰야 한다. 비동의 성적 이미지와 아동성착취물(CSAM)을 생성·조작하는 AI에 대한 새 금지 규정도 이날부터 적용된다.
내년 12월에는 Annex III 고위험 AI, 2028년 8월에는 규제 제품에 포함된 Annex I 고위험 AI 규제가 뒤따른다.
결국 2026년 8월은 EU AI법의 완성이 아니라 ‘집행의 시작’에 가깝다. 첫 한 달 동안에는 AI 생성물을 표시하고 범용 AI 기업의 내부를 들여다보는 규제가 먼저 움직였다. 앞으로의 시험대는 더 어렵다. 세계 최대 AI 기업을 상대로 실제 위반을 적발하고 제재할 수 있는지, 27개 회원국의 집행 격차를 줄일 수 있는지, 동시에 AI 산업의 경쟁력을 지나치게 훼손하지 않을 수 있는지가 EU AI법의 실효성을 가르게 된다.
Q&A
Q1. EU AI법은 2026년 8월 2일 발효된 법인가.
아니다. EU AI법은 2024년 8월 1일 발효됐고 조항별로 순차 적용되고 있다. 2026년 8월 2일은 제50조 투명성 의무가 적용되고 AI오피스와 회원국 감독기관의 주요 집행 권한이 본격적으로 작동하기 시작했다는 점에서 중요한 시점이다.
Q2. 앞으로 챗GPT나 클로드가 만든 모든 글에 눈에 보이는 ‘AI 작성’ 표시가 붙나.
그렇지는 않다. 제공자에게 요구되는 제50조 제2항의 핵심은 AI 생성·조작 콘텐츠를 기계가 탐지할 수 있도록 표시하는 것이다. 반면 딥페이크나 사람이 검토하지 않은 공익 관련 AI 생성 텍스트 등에는 이용자가 알아볼 수 있는 공개 의무가 별도로 적용될 수 있다. 일반적인 편집 보조 등에는 예외도 있다.
Q3. 앤트로픽은 왜 EU가 아닌 한국이나 미국 이용자의 클로드 텍스트에도 워터마크를 넣나.
앤트로픽은 EU AI법 준수를 위해 워터마크를 도입하지만 현재 이를 지역별로 안정적으로 분리하기 어렵기 때문에 세계적으로 적용한다고 설명했다. 한 지역의 규제가 글로벌 제품 설계를 변화시키는 효과가 나타난 셈이다.
Q4. EU AI법은 이미 모든 고위험 AI에 적용되고 있나.
아니다. AI 옴니버스로 일정이 연기됐다. 고용·교육·생체정보·핵심 인프라 등 Annex III 고위험 AI의 주요 규정은 2027년 12월 2일, 규제 제품에 포함되는 Annex I 고위험 AI는 2028년 8월 2일부터 적용될 예정이다.
Q5. 앞으로 가장 주목해야 할 것은 무엇인가.
첫째는 8월 시작된 정보 요구가 실제 조사·시정명령·과징금으로 이어지는지다. 둘째는 12월 기존 AI 시스템까지 생성물 표시 체계를 갖추면서 워터마크가 업계 표준으로 자리 잡는지다. 셋째는 회원국들이 감독기관과 전문 인력을 확보할 수 있는지다. 장기적으로는 2027~2028년 고위험 AI 규제가 실제 기업의 채용·교육·금융·인프라·제품 개발에 어떤 영향을 미치는지가 가장 큰 시험대가 된다.
