기사 목차 펼치기 / 접기
유럽연합(EU) 인공지능기본법(AI Act, 기본법) 제50조가 시행된 지 한 달여가 지나면서 기업들이 챗봇과 AI 생성 콘텐츠의 투명성 의무를 어디까지 적용해야 하는지가 규제 대응 과제로 떠오르고 있다. EU 집행위원회(European Commission)가 시행에 앞서 내놓은 가이드라인을 실제 기업 시스템에 적용해 보면 고객용 챗봇뿐 아니라 직원이 사용하는 AI 시스템 등 당초 예상보다 폭넓은 영역이 규제 대상이 될 수 있다는 분석이 나온다.
미국 법률 정보 플랫폼 로닷컴(Law.com)은 9월 8일 제50조 가이드라인을 분석하면서 기업의 준수 문제가 법무 부서에 그치지 않고 IT와 제품, 사업 부서의 실무 문제로 확대됐다고 보도했다. 특히 기업이 예상했던 것보다 많은 AI 시스템이 투명성 의무의 적용 대상이 될 가능성이 있다는 점을 짚었다.
제50조는 AI법 전체 가운데서도 8월 2일을 전후해 기업이 당장 실행해야 하는 ‘투명성 의무’를 한데 묶은 조항이라 기업들의 관심이 특히 크다.
법 시행 이후 제50조에 따라, AI와 사람의 상호작용 고지, AI 생성·조작 콘텐츠의 표시, 딥페이크 공개 등의 의무가 발생했다. 집행위원회는 법 시행 직전인 7월20일 제50조 투명성 의무 가이드라인을 발표해 적용 범위와 예외, 이행 방법을 구체적으로 밝혔다. 시행 한 달여가 지난 현재 기업들의 관심은 법 시행 자체보다 이미 운영 중인 챗봇과 생성형 AI 서비스, 콘텐츠 제작·배포 절차 가운데 무엇을 실제로 바꿔야 하는지로 옮겨가고 있다.
가이드라인은 새로운 법적 의무를 별도로 만든 규정은 아니다. 제50조에 이미 규정된 의무의 적용 대상과 예외, 준수 방법을 집행위원회가 해석한 것이다. 집행위원회도 가이드라인의 목적에 대해 “(기업과 규제기관이) 제50조를 일관되고 효과적이며 비례적이고 통일된 방식으로 적용하도록 실무 지침을 제공하는 것”이라고 설명했다.
EU AI법 제50조, 기업이 알아야 할 5가지 투명성 의무
| 구분 | 누가 | 적용되는 경우 | 핵심 의무 |
|---|---|---|---|
| AI 상호작용 고지 (1항) | 제공자 | 챗봇·AI 에이전트 등 사람이 AI와 직접 상호작용 | 이용자가 AI와 상대하고 있다는 사실을 첫 상호작용 때까지 알 수 있게 해야 함 |
| AI 생성물 표시 (2항) | 제공자 | AI가 음성·이미지·영상·텍스트를 생성·조작 | AI 생성·조작 여부를 탐지할 수 있도록 기계 판독 가능한 형식으로 표시 |
| 감정인식·생체정보 분류 고지 (3항) | 배포자 | 사람에게 감정인식·생체정보 분류 AI를 적용 | 해당 AI 시스템의 작동에 노출되고 있다는 사실을 당사자에게 고지 |
| 딥페이크 공개 (4항) | 배포자 | AI로 실제처럼 보이는 이미지·음성·영상을 생성·조작해 공개 | AI로 생성·조작됐다는 사실을 사람이 알 수 있도록 공개 |
| 공공 관심사 AI 텍스트 공개 (4항) | 배포자 | 공공 관심사에 관한 AI 생성·조작 텍스트를 대중에게 제공 | AI 생성·조작 사실을 공개. 실질적인 인간 검토·편집 책임이 있는 경우 예외 가능 |
법 시행: 2026년 8월2일
기존 시스템 유예: 8월2일 이전 출시 시스템은 제50조 2항의 기계 판독 표시·탐지 의무에 한해 12월2일까지 유예
행정벌금: 위반 시 최대 1500만유로(약 234억원) 또는 직전 회계연도 전 세계 연간 총매출의 3% 가운데 더 높은 금액
고객 챗봇만?…직원이 쓰는 AI도 적용 가능
기업이 먼저 점검해야 할 것은 사람과 직접 상호작용하는 AI 시스템이다.
제50조는 자연인과 직접 상호작용하도록 설계된 AI 시스템의 제공자(provider)가 이용자에게 AI와 상호작용하고 있다는 사실을 알 수 있도록 시스템을 설계·개발하도록 규정한다. 다만 합리적으로 충분한 정보를 갖고 주의를 기울이는 사람이 상황과 사용 맥락을 고려할 때 AI라는 사실을 명백하게 알 수 있는 경우는 예외다.
EU 집행위원회는 제50조 가이드라인에서 챗봇(chatbot), AI 에이전트(AI agent), AI 아바타(AI avatar) 등 사람과 직접 상호작용하는 다양한 시스템을 적용 사례로 제시했다.
여기서 ‘자연인’은 소비자만을 뜻하지 않는다. 기업 내부 직원이나 전문가도 포함된다. 외부 고객을 상대하는 상담 챗봇뿐 아니라 직원이 직접 사용하는 사내 AI 시스템도 구조와 사용 방식에 따라 제50조 적용 대상이 될 수 있다는 의미다.
반면 사람과 직접 상호작용하지 않고 백그라운드에서 작동하거나 기계끼리만 데이터를 주고받는 AI 시스템에는 같은 고지 의무가 적용되지 않는다.
고지는 늦어도 첫 상호작용 또는 노출 시점에 명확하고 구별되는 방식으로 이뤄져야 한다. 이용자가 AI와 상당한 대화를 나눈 뒤 뒤늦게 알리는 것으로는 충분하지 않을 수 있다.
AI 생성물에는 ‘사람이 보는 라벨’과 ‘기계가 읽는 표시’ 구분
AI 생성 콘텐츠에는 또 다른 의무가 적용된다.
제50조 2항은 합성 음성·이미지·영상·텍스트를 생성하는 AI 시스템의 제공자에게 결과물이 AI로 생성되거나 조작됐다는 사실을 탐지할 수 있도록 기계 판독 가능한 형식(machine-readable format)으로 표시하도록 요구한다.
집행위원회는 AI 투명성 규칙 설명 자료에서 AI 생성·조작 콘텐츠에 기계가 판독할 수 있는 표시를 적용해야 한다고 설명했다.
이는 화면에 사람이 볼 수 있도록 ‘AI 생성’이라는 문구를 붙이는 것과는 다른 의무다. 메타데이터나 워터마크 등 자동화된 시스템이 AI 생성·조작 여부를 탐지할 수 있도록 하는 기술적 수단이 여기에 해당할 수 있다. 법은 “이러한 기술적 표시가 기술적으로 가능한 범위에서 효과적이고 상호운용 가능하며 견고하고 신뢰할 수 있어야 한다”고 규정한다.
모든 AI 결과물이 동일한 규제를 받는 것은 아니다. 표준적인 편집을 보조하거나 입력 데이터 또는 그 의미를 실질적으로 변경하지 않는 AI 시스템 등에는 예외가 인정될 수 있다.
딥페이크는 기계 표시만으로 부족
이 법에 따르면, AI 시스템의 ‘제공자’와 AI 시스템을 자신의 권한 아래 실제 사용하는 ‘배포자(deployer)’의 의무를 구분할 필요가 있다.
AI 생성 콘텐츠에 기계 판독 가능한 표시를 넣도록 시스템을 설계하는 것은 기본적으로 제공자의 의무다. 반면 AI 시스템을 이용해 딥페이크(deepfake)를 생성·조작한 뒤 공개하는 배포자에게는 이를 접하는 사람에게 해당 콘텐츠가 AI로 생성·조작됐다는 사실을 알릴 의무가 있다.
이 법에서 딥페이크는 실제 존재하거나 존재하는 것처럼 보이는 사람·사물·장소·단체·사건 등을 닮은 AI 생성·조작 이미지·음성·영상으로, 사람에게 진짜 또는 사실인 것처럼 잘못 인식될 수 있는 콘텐츠를 말한다.
집행위원회는 제50조 공식 Q&A에서 제공자가 콘텐츠에 넣는 기계 판독 표시와 배포자가 사람에게 해야 하는 공개 의무를 구별한다. 따라서 제공자가 기술적 표시를 해뒀다는 이유만으로 배포자의 공개 의무까지 자동으로 충족되는 것은 아니다.
영화·예술·풍자·허구 작품에는 완화된 공개 방식이 인정될 수 있다. 이 법은 명백하게 예술·창작·풍자·허구 등의 일부인 콘텐츠의 경우 작품의 전시나 감상을 방해하지 않는 적절한 방식으로 공개 의무를 이행하도록 하고 있다.
따라서 영화 제작에 AI를 사용했다는 이유만으로 모든 장면에 동일한 딥페이크 표시를 해야 하는 것은 아니다. 집행위원회도 가이드라인에서 “일반적인 영화 제작의 배경 장면이나 시각효과(VFX), 기술적인 전·후처리 등이 관객에게 실제 사실이라고 받아들여질 가능성이 없다면 딥페이크에 해당하지 않을 수 있다”고 설명했다.
AI가 쓴 뉴스·공익 정보…‘인간 검토’가 예외 가른다
언론사와 기업 콘텐츠 부서가 주목할 부분도 있다.
제50조는 공공의 관심사에 관해 대중에게 정보를 제공할 목적으로 AI가 생성하거나 조작한 텍스트를 공개할 때도 AI 생성·조작 사실을 알리도록 규정한다.
다만 AI 생성 콘텐츠가 인간의 검토 또는 편집 통제를 거쳤고 자연인이나 법인이 콘텐츠 발행에 대한 편집 책임을 지는 경우에는 예외가 인정된다.
집행위원회는 제50조 공식 Q&A에서 단순한 맞춤법·문법 검사와 실질적인 인간 검토를 구별했다. 사람이 내용을 실질적으로 판단하고 사실과 출처의 신뢰성을 확인하며 내용을 수정·승인·거부할 권한을 행사하는지가 중요하다는 설명이다.
따라서 언론사나 기업이 생성형 AI로 기사나 보고서 초안을 작성했다는 이유만으로 결과물에 일률적으로 ‘AI 생성’ 표시를 해야 하는 것은 아니다. 사람이 내용을 실질적으로 검토했는지, 최종 발행에 대한 편집 책임을 누가 지는지가 중요하다.
자율 규약 안 따르면 다른 방법으로 준수 입증
EU는 기업들이 AI 생성 콘텐츠 표시 의무를 이행할 수 있도록 자율적인 실천규약도 마련했다.
집행위원회는 지난 6월10일 AI 생성 콘텐츠 투명성 실천규약(Code of Practice on Transparency of AI-generated Content)을 공개했다. 독립 전문가들이 산업계·학계·시민사회·권리자 등과 함께 마련한 것으로, AI 생성·조작 콘텐츠의 기술적 표시와 딥페이크 등의 라벨링에 관한 구체적인 방법을 제시한다.
실천규약 가입은 의무가 아니며 가입했다고 제50조 준수가 자동으로 인정되는 것도 아니다. 다만 집행위원회와 EU AI 이사회(AI Board)는 “이 규약이 제50조 2항·4항·5항의 준수를 지원하는 적절한 수단”이라고 평가했다.
집행위원회는 가이드라인 설명에서 “규약에 참여하지 않는 제공자와 배포자도 표시·라벨 의무를 다른 적절한 수단으로 준수해야 한다”고 설명했다.
기업 입장에서는 제50조 대응이 홈페이지에 ‘AI 사용’이라는 문구를 추가하는 수준에서 끝나지 않는다는 의미다. 자신이 AI법상 제공자인지 배포자인지, AI가 누구와 상호작용하는지, 무엇을 생성하는지, 결과물이 외부에 공개되는지 등을 업무 단계별로 점검해야 한다.
기존 AI 시스템, 12월2일 유예는 일부 의무뿐
제50조가 8월2일부터 적용됐지만 기존 AI 시스템에 의무 유예가 적용됐다. 다만 모든 의무가 12월까지 유예된 것은 아니다.
집행위원회의 제50조 공식 Q&A에 따르면 8월2일 이전 시장에 출시된 AI 시스템에는 제50조 2항의 AI 생성 콘텐츠 표시·탐지 의무에 한해 12월2일까지 제한적인 유예가 적용된다.
따라서 법 시행 전에 사용하던 AI라는 이유만으로 12월까지 제50조 전체가 적용되지 않는다고 볼 수 없다. 유예는 기존 시스템에 기계 판독 가능한 표시·탐지 기능을 갖추도록 하는 제50조 2항 의무에 한정된다.
8월2일 이전에 이미 생성된 콘텐츠에 표시 의무가 소급 적용되는 것도 아니다. 집행위원회는 다만 가능한 경우 자발적으로 표시할 것을 권고했다.
위반하면 최대 1500만유로 또는 세계 매출 3%
제50조 위반에는 상당한 과징금이 부과될 수 있다.
EU AI법 제99조에 따르면, 제50조 위반에는 최대 1500만유로(약 234억원) 또는 기업의 직전 회계연도 전 세계 연간 총매출의 3% 가운데 더 높은 금액까지 행정벌금이 부과될 수 있다.
중소기업에는 별도의 상한 원칙이 적용된다. 제99조는 중소기업의 경우 정액 한도와 전 세계 연간 매출 비율로 계산한 금액 가운데 더 낮은 금액을 상한으로 정하고 있다.
제50조 집행은 주로 EU 회원국의 시장감시 당국이 맡는다. EU AI 사무국(AI Office)은 범용 AI 모델을 기반으로 한 AI 시스템을 같은 사업자가 제공하는 경우 등 AI법이 정한 범위에서 감독 권한을 행사한다.
Q&A
Q1. EU AI법 제50조 가이드라인이 새로운 의무를 만든 것인가?
아니다. 법적 의무의 근거는 AI법 제50조다. 집행위원회의 가이드라인은 제50조가 어떤 기업과 AI 시스템에 적용되는지, 예외는 무엇인지, 실제로 어떻게 준수해야 하는지를 구체적으로 해석한 지침이다.
Q2. 회사가 고객 상담용 AI 챗봇을 운영하면 어떻게 해야 하나?
AI와 직접 상호작용한다는 사실이 이용자에게 명백하지 않다면 이를 알려야 한다. 필요한 고지는 늦어도 첫 상호작용 시점까지 명확하고 구별되는 방식으로 제공해야 한다.
Q3. AI 이미지에 눈으로 볼 수 있는 ‘AI 생성’ 문구만 붙이면 되는가?
항상 그렇지는 않다. AI 생성·조작 음성·이미지·영상·텍스트를 만드는 시스템의 제공자에게는 결과물이 AI로 생성됐음을 탐지할 수 있도록 기계 판독 가능한 표시를 넣는 별도의 의무가 있다. 사람이 보는 공개 표시와 기술적 표시를 구별해야 한다.
Q4. AI로 기사나 기업 보고서 초안을 만들면 모두 AI 표시를 해야 하나?
공공의 관심사에 관한 AI 생성·조작 텍스트에는 공개 의무가 적용될 수 있다. 그러나 사람이 내용을 실질적으로 검토하거나 편집 통제를 하고 개인이나 법인이 편집 책임을 지는 경우에는 예외가 인정된다. 단순한 맞춤법 검사는 실질적인 인간 검토와 다르다.
Q5. 8월2일 이전부터 사용한 AI 시스템은 12월까지 아무 조치를 하지 않아도 되나?
아니다. 12월2일까지의 유예는 8월2일 이전 시장에 출시된 시스템 가운데 제50조 2항의 AI 생성 콘텐츠 표시·탐지 의무에 한정된다. 제50조의 다른 투명성 의무 전체가 12월까지 유예되는 것은 아니다.
