무엇이 언제부터 적용되는가
EU AI법(Regulation (EU) 2024/1689)은 2024년 8월 1일 발효 이후 단계적으로 적용되어 왔습니다. 금지 관행 조항은 2025년 2월 2일, 범용 AI(GPAI) 모델 의무는 2025년 8월 2일에 시작되었고, Annex III 고위험 AI 시스템에 대한 공급자·배포자 의무는 2026년 8월 2일부터 적용됩니다.
다만 이른바 디지털 옴니버스(AI 옴니버스) 패키지를 통해 Annex III 일부 용례의 적용 시점을 2027년 12월로 미루는 조정안이 논의되고 있습니다. 여기서 반드시 구분해야 합니다.
유예안은 최종 확정 전까지 법적 효력이 없습니다. 이를 전제로 준비를 늦추는 것은 위험이 큽니다. 고위험 의무 위반 제재는 최대 1,500만 유로 또는 전 세계 연매출 3% 중 높은 금액입니다.
우리 제품이 고위험인지 판별하기
고위험 판정 경로는 두 갈래입니다. Annex I은 기계류 규정, 의료기기 규정(MDR) 등 EU 조화 법령의 적용을 받는 제품에 안전 부품으로 내장된 AI이고, Annex III은 생체인식, 핵심 인프라, 교육, 고용, 필수 서비스 접근, 법 집행 등 8개 영역의 독립형 용례입니다.
국내 수출 기업이 오판하기 쉬운 경계 사례는 다음과 같습니다.
공급자가 갖춰야 할 것
이후 적합성평가(Annex VI 내부통제 또는 Annex VII) → EU 적합성 선언(Art. 47) → CE 마킹(Art. 48) → EU 데이터베이스 등록(Art. 49) 순으로 진행합니다. 비EU 공급자는 역내 대리인 선임이 의무입니다(Art. 22).
실무상 3~6개월이 소요됩니다. 문서 격차 진단에 4~6주, 데이터 거버넌스 정비에 6~10주가 들고, 인증기관이 개입하면 더 길어집니다.
배포자(사용 기업)의 의무
EU 현지법인이나 파트너가 AI를 사용만 하더라도 Art. 26 의무를 집니다. 사용지침 준수, 통제 범위 내 입력 데이터의 적절성 확보, 운영 모니터링, 로그 최소 6개월 보존, 근로자 대상 사용 시 사전 고지가 포함됩니다. 심각한 사고 발생 시에는 공급자와 시장감시당국에 통지해야 하며(Art. 73), 공공기관 등 일부 배포자는 기본권 영향평가(Art. 27)도 수행해야 합니다.
지금 시작하는 90일 준비 계획
비용을 줄이는 핵심은 재사용입니다. 2026년 1월 22일 시행된 국내 인공지능 기본법의 고영향 AI 관련 산출물, 개인정보 영향평가, ISMS-P 인증 자료는 상당 부분 겹칩니다. 특히 ISO/IEC 42001 AI 경영시스템 인증은 Art. 17 품질경영시스템 요건에 직접 대응됩니다.
POLYGLOTSOFT와 함께 준비하세요
적합성평가에서 기업이 가장 크게 지출하는 부분은 심사 비용이 아니라 사후에 문서와 로그를 소급 복원하는 개발 재작업입니다. POLYGLOTSOFT는 AI 시스템을 구축할 때 데이터 계보 추적, 감사 로그 스키마, 인간 감독 지점, 모델 버전 관리를 설계 단계부터 아키텍처에 반영합니다. 스마트공장 비전 검사, 물류 자동화 예측, 기업용 생성 AI 등 실제 운영 사례에서 축적한 문서 체계를 기반으로, 규제 대응 부담을 초기 설계로 흡수하는 방식입니다. EU 수출을 준비 중이시거나 기존 AI 시스템의 규제 격차가 궁금하시다면 언제든 문의해 주시기 바랍니다.