게시일: 2026-07-09
수정일: 2026-07-09
EU AI법은 유럽에서 AI를 개발하고 활용하는 방식을 바꾸는 중요한 규제입니다. 다만 이 법이 AI 자체를 금지하거나 모든 AI 도구를 같은 기준으로 규제하는 것은 아닙니다. 핵심은 위험 기반 접근입니다. 안전, 기본권, 고용, 교육, 신용 접근성, 공공 서비스 등에 영향을 줄 수 있는 AI 시스템일수록 더 엄격한 요건을 적용하는 방식입니다.AI 기업과 투자자 입장에서 중요한 쟁점은 결국 컴플라이언스와 투명성, 모델 거버넌스입니다. EU AI법이 유럽 내 AI 사업의 비용 구조와 출시 속도, 확장 전략에 어떤 영향을 미칠지가 앞으로의 핵심 관전 포인트입니다.
EU AI법은 단계적으로 시행되며, 2026년 8월 2일이 주요 분수령이 될 전망입니다. 이 시점부터 핵심 의무가 본격 적용되기 시작하고, 일부 세부 요건은 이후 단계적으로 도입됩니다.
모든 AI를 동일한 기준으로 규제하지 않습니다. 대신 AI 시스템이 초래할 수 있는 위험 수준에 따라 네 단계로 구분하고, 위험이 클수록 더 엄격한 의무를 적용합니다.
범용 AI(GPAI)와 파운데이션 모델 제공자에게는 별도의 의무가 적용됩니다. 특히 시스템적 위험이 큰 모델에는 일반 모델보다 더 강화된 요건이 부과됩니다.
투자자에게 EU AI법은 단순한 매수·매도 신호라기보다, 기업의 비용 구조와 제품 출시 일정, 신뢰도, 마진 가시성에 간접적으로 영향을 미치는 변수로 볼 수 있습니다.
또한 EU AI법은 역외 적용 원칙을 포함하고 있어, EU 시장에 AI 제품이나 서비스를 제공하는 한국 기업도 규제 대상이 될 수 있습니다.
EU AI법은 EU 시장에 제공되거나 EU 안에서 사용되는 AI 시스템과 모델을 대상으로 합니다. 회사 본사가 어디에 있든 상관없이, 제품이 어디에서 제공되고 쓰이는지가 적용 범위를 정합니다. 전 세계 AI 개발사가 이 법을 주시하는 이유입니다. 한국을 비롯한 여러 나라가 AI 거버넌스 체계를 짤 때 EU 기준을 참고하고 있다는 점도 이 법의 영향력을 보여줍니다.
법은 기술 자체를 추상적으로 규제하기보다 AI가 어떻게 쓰이는지에 초점을 둡니다. 건강, 안전, 기본권, 필수 서비스, 인생을 좌우하는 결정에 영향을 줄 수 있는 시스템에는 더 상세한 의무가, 영향이 작은 도구에는 가벼운 요건이 적용됩니다. 책임도 공급망 전반에 나뉘어, AI를 개발하는 제공자, 이를 사용하는 배포자, 수입·유통업자에게 각각 부여되며 가장 무거운 의무는 대체로 제공자가 집니다.
EU AI법은 한꺼번에 적용되는 규제가 아닙니다. 발효 당시 정해진 단계별 시행 일정에 따라 의무가 순차적으로 적용되고 있습니다. 따라서 기업 입장에서는 이미 적용된 의무와 앞으로 도입될 요건을 구분해 살펴보는 것이 중요합니다. 그래야 규제 대응 시점과 필요한 준비 수준을 보다 명확하게 파악할 수 있습니다.
| 시점 | 적용 내용 |
|---|---|
| 2024. 8. 1. | AI법 발효, 이후 모든 기한의 기준점 |
| 2025. 2. 2. | 금지 관행과 AI 리터러시 의무 적용 시작 |
| 2025. 8. 2. | 범용 AI(GPAI) 모델 제공자 의무 적용 시작 |
| 2026. 8. 2. | 주요 단계 적용, 투명성 의무 발효, GPAI 집행권 개시 |
| 2026. 12. 2. | 기존 시스템 워터마킹 의무, 합성 성착취물 등 신규 금지 적용 |
| 2027. 12. 2. | 사용 기반 고위험 시스템(부속서 III) 의무 적용(옴니버스 조정) |
| 2028. 8. 2. | 제품 내장형 고위험 시스템(부속서 I) 의무 적용(옴니버스 조정) |
일부 고위험 시스템의 일정은 '디지털 옴니버스' 간소화 패키지를 통해 조정됐습니다. 고위험 규제의 일부를 뒷받침 기술 표준의 준비 상황과 연동한 결과입니다. 이에 따라 사용 기반 고위험 시스템 의무는 2027년 12월로, 특정 EU 조화 법령이 적용되는 제품 내장형 AI는 2028년 8월로 미뤄졌습니다. 정리하면 2026년은 분명한 분수령이지만 단일한 마감선은 아니며, 의무마다 적용 시점이 다릅니다.
EU AI법의 구조는 AI 시스템을 위험 수준에 따라 네 단계로 구분하는 데서 출발합니다. 각 단계마다 적용되는 의무의 강도가 다르며, 위험이 클수록 더 엄격한 요건이 부과됩니다.
| 등급 | 대상 | 핵심 의무 |
|---|---|---|
| 허용 불가 | 권리·안전을 명백히 위협하는 소수 용도 | EU 시장에서 금지 |
| 고위험 | 민감하거나 중대한 결과를 낳는 용도 | 거버넌스·테스트·문서화·인적 감독·모니터링 |
| 투명성(제한적) | 사람과 상호작용하거나 콘텐츠를 생성하는 시스템 | AI 또는 AI 생성물임을 이용자에게 고지 |
| 최소·무위험 | 일상적으로 쓰는 대다수 AI 도구 | 가볍거나 별도 의무 없음 |
실제로 사용되는 대부분의 AI는 최소 위험 범주에 속해 특별한 규제 요건이 거의 적용되지 않습니다. EU AI법은 규제 강도가 AI 시스템의 잠재적 영향에 비례하도록 설계돼 있습니다. 따라서 같은 법이 스팸 필터와 신용평가 도구에 모두 적용되더라도, 각 시스템에 요구되는 의무 수준은 크게 달라집니다.
제재 수준 역시 위험 등급과 위반 내용에 따라 달라집니다. 벌금은 정해진 금액과 글로벌 연매출의 일정 비율 가운데 더 큰 금액을 기준으로 부과됩니다.
| 위반 유형 | 상한(둘 중 큰 금액) |
|---|---|
| 금지된 AI 관행 | 3,500만 유로 또는 글로벌 매출 7% |
| 고위험 요건 미준수 | 1,500만 유로 또는 글로벌 매출 3% |
| 투명성 의무(제50조) 위반 | 750만 유로 또는 글로벌 매출 1.5% |
| 부정확한 정보 제공 | 750만 유로 또는 글로벌 매출 1.5% |
중소기업과 스타트업의 경우 벌금 상한이 더 낮은 비율로 조정될 수 있습니다. 다만 평판 훼손과 서비스 출시 지연, 운영 차질까지 고려하면 규제 위반의 부담은 기업 규모와 관계없이 작지 않습니다.
유럽에서 AI를 만들거나 배포하는 기업에 이 법은 단순한 체크 항목이 아니라 내부 관행의 정비를 뜻합니다. 다루는 시스템에 따라 더 탄탄한 기술 문서, 명확한 데이터 거버넌스, 이용자 대상 투명성, 지속적인 위험 모니터링, 사이버보안 조치, 저작권 처리 절차, 내부 컴플라이언스 워크플로가 필요할 수 있습니다.
이 요건들은 운영 비용과 제품 출시 일정에 영향을 줍니다. 특히 유럽에 AI를 판매하거나 민감한 분야에 쓰는 기업일수록 그렇습니다. 문서를 준비하고 적합성 점검을 수행하며 거버넌스 절차를 세우는 데는 시간과 자원이 듭니다. 컴플라이언스 조직을 이미 갖춘 대형 제공자와 소규모 기업이 같은 작업을 다르게 감당하는 이유입니다. 다만 이 가운데 어느 것도 유럽에서 AI를 못 쓰게 만드는 것은 아닙니다. 일부 시스템이 시장에 나오기 전에 갖춰야 할 준비의 폭을 넓힐 뿐입니다.
여러 작업을 수행하며 수많은 하위 제품에 내장되는 대형 파운데이션 모델, 즉 범용 AI는 별도 규정의 적용을 받습니다. 이들 모델의 제공자는 기본 의무로 기술 문서를 유지하고, 모델을 통합하는 하위 개발자에게 정보를 제공하며, EU 저작권법을 존중하는 정책을 마련하고, 학습에 사용한 콘텐츠의 개요를 충분히 상세하게 공개해야 합니다.
여기에 더해 시스템적 위험을 지닌 것으로 판단되는 모델, 대체로 가장 성능이 높거나 가장 널리 쓰이는 모델에는 추가 의무가 붙습니다. 모델 평가와 위험 평가·완화, 중대 사고 보고, 사이버보안 보호가 여기에 해당합니다.
의무가 가장 무거운 영역이 고위험 AI입니다. 다만 이 표현은 정확히 이해할 필요가 있습니다. 고위험은 금지를 뜻하지 않습니다. 허용되되 더 엄격한 거버넌스와 테스트, 문서화, 인적 감독, 상시 모니터링의 대상이 된다는 의미입니다.
여기에 해당하는 것은 대체로 잘못될 경우 파장이 큰 영역에 쓰이는 AI입니다. 채용, 교육, 신용이나 필수 서비스 접근, 핵심 인프라, 공공 행정, 이민, 일부 법 집행 분야가 대표적입니다. EU 집행위원회 지침은 시스템의 등급이 서비스 약관의 문구가 아니라, 마케팅과 문서에 드러난 '의도된 용도'에 따라 정해진다고 밝힙니다. 해당 분야에서 활동하는 기업이라면, 시스템이 안전하고 잘 문서화됐으며 적절히 감독되고 있음을 입증하기 위한 사전 작업이 더 많아집니다.
이 법은 매매 신호가 아닙니다. 특정 AI 주식을 사라거나 팔라고 말하지 않고, 그 자체로 주가를 올리거나 내리지도 않습니다. 다만 밸류에이션 밑에 깔린 변수들을 조금씩 움직입니다.
1. 비용 — 법률 검토와 안전 테스트, 문서화, 모니터링이 영업비용으로 잡힙니다. 고위험 시스템에서는 이 지출이 일회성이 아니라 반복적으로 발생하는 경향이 있습니다.
2. 시점 — 유럽 출시 전에 더 많은 검토가 필요하면 매출이 한 분기에서 다음 분기로 밀릴 수 있습니다. 종착점이 같아도 성장 곡선의 모양이 달라집니다.
3. 도입 — 규제 산업의 기업 고객은 계약 전에 법적 명확성을 원하는 경우가 많습니다. 이때 믿을 만한 컴플라이언스 역량은 비용이라기보다 고객이 계약에 서명하는 이유가 됩니다.
따라서 관건은 규제의 존재 여부가 아니라, 누가 마진을 훼손하지 않고 이 작업을 감당할 수 있느냐입니다. 대형 플랫폼은 컴플라이언스 조직과 고정비를 넓은 매출 기반에 나눠 담을 수 있어 매출 대비 부담이 거의 드러나지 않습니다. 반면 소규모 기업은 같은 규정을 훨씬 적은 매출로 감당해야 하므로 현금흐름에 더 무겁게 작용하고 성장 속도가 늦어질 수 있습니다. 이렇게 보면 이 법은 마진과 성장 가정에 들어가는 하나의 변수이지, 독립된 촉매가 아닙니다.
가장 직접적인 영향을 받는 곳은 파운데이션 모델 개발사입니다. 범용 AI(GPAI) 관련 의무가 이들 기업에 직접 적용되기 때문입니다. 아래 내용은 업종별 영향을 가늠하기 위한 예시로, 특정 기업의 주식에 대한 매수·매도 판단이 아니라 규제 영향을 이해하기 위한 참고 자료입니다.
| 영역 | 예시 기업 | 성격 |
|---|---|---|
| 파운데이션 모델 | 오픈AI, 구글(알파벳), 앤스로픽, 메타 | GPAI 규정 직접 적용 |
| 클라우드·기업용 | 마이크로소프트, 아마존(AWS), 세일즈포스, 오라클 | API·코파일럿으로 AI 배포 |
| 핀테크 | 페이팔, 블록 | 신용 관련 판단에 AI 활용 |
| HR 테크 | 워크데이, 링크트인 | 채용 등 결정에 AI 개입 |
| 교육 | 듀오링고, 코세라 | 평가에 AI 활용 |
| 헬스케어 SW | 템퍼스, 지멘스 헬시니어스 | 고위험 용도에 근접 |
| 보안·거버넌스 | 팔로알토, 크라우드스트라이크, 서비스나우 | 모니터링·감사 수요로 수혜 가능 |
정리하면 규제 부담이 곧바로 악재인 업종이 있는가 하면, AI 모니터링과 컴플라이언스, 감사 수요가 늘며 오히려 기회가 되는 업종도 있습니다. 영향은 용도에 따라 갈리므로, 결국 개별 기업 단위로 따져보는 것이 정확합니다.
EU AI법 2026은 단순한 법 개정도, 즉각적인 매매 신호도 아닙니다. 유럽에서 AI 기업이 사업을 운영하는 방식에 거버넌스, 문서화, 투명성, 위험 통제를 기본 요소로 포함시키는 새로운 규제 환경에 가깝습니다. 또한 여러 해에 걸쳐 단계적으로 적용되기 때문에, 기업은 의무별 시행 시점을 구분해 대응해야 합니다.시장 관점에서는 AI 주식을 평가할 때 고려해야 할 변수가 하나 더 늘어난 셈입니다. 앞으로는 모델 성능과 매출 성장뿐 아니라, 규제 대응 능력과 컴플라이언스 역량도 함께 살펴봐야 합니다. 결국 핵심은 EU AI법을 유럽 AI 시장의 운영 환경으로 받아들이는 것입니다. 단일한 시장 효과를 기대하기보다는, 개별 기업이 이 규제에 얼마나 빠르고 효율적으로 적응하는지를 지켜보는 편이 현실적입니다.
EU AI법은 이미 시행 중인가요?
네. EU AI법은 2024년 8월 1일 발효됐지만, 모든 의무가 한꺼번에 적용되는 것은 아닙니다. 일부 금지 관행과 AI 리터러시 관련 규정은 2025년 2월부터 적용됐고, 범용 AI(GPAI) 관련 의무는 2025년 8월부터 시행됐습니다. 이후 2026년 8월 2일부터 주요 의무가 본격 적용되며, 일부 고위험 AI 관련 요건은 그 이후 단계적으로 도입됩니다.
EU AI법은 AI를 금지하나요?
아닙니다. 소수의 '허용 불가' 관행만 금지하고, 대부분의 AI 시스템은 관련 규정을 지키면 허용됩니다. 위험 기반 구조를 채택해, 잠재적 영향이 큰 시스템에만 더 엄격한 요건을 둡니다.
비유럽 기업에도 적용되나요?
적용될 수 있습니다. AI 시스템이나 모델이 EU 시장에 제공되거나 EU 안에서 사용되면 본사 소재지와 무관하게 적용됩니다. EU 시장에 AI를 공급하는 한국 기업도 대상이 될 수 있습니다.
왜 이 법이 AI 주식에 영향을 주나요?
컴플라이언스 비용, 출시 시점, 기업 고객의 신뢰, 위험 통제, 마진 전망 같은 요소에 영향을 줄 수 있기 때문입니다. 그 자체가 매수·매도 신호는 아니지만, AI·클라우드·소프트웨어·핀테크 업종을 볼 때 고려할 위험 요인입니다.
범용 AI(GPAI)에는 무엇이 요구되나요?
기술 문서 유지, 하위 개발자에 대한 정보 제공, EU 저작권 존중 정책, 학습 콘텐츠 개요 공개가 기본 의무입니다. 시스템적 위험이 큰 모델에는 모델 평가와 위험 완화, 중대 사고 보고, 사이버보안 보호가 추가됩니다.
유럽연합 집행위원회 인공지능법(인공지능 규제 체계), 유럽의 디지털 미래를 형성하다.
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
유럽 위원회 - 인공지능법 이해하기(자주 묻는 질문/일정), 유럽의 디지털 미래 설계.
https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
유럽 위원회 - 인공지능법에 따른 일반적인 인공지능 의무, 유럽의 디지털 미래 형성.
https://digital-strategy.ec.europa.eu/en/factpages/general-purpose-ai-obligations-under-ai-act
유럽 위원회 - 유럽의 디지털 미래를 만들어가는 범용 인공지능 실천 강령.
https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai
유럽 위원회 - 범용 AI 모델 제공업체를 위한 가이드라인, 유럽의 디지털 미래 설계.
https://digital-strategy.ec.europa.eu/en/policies/guidelines-gpai-providers
유럽 위원회 - 인공지능 고위험 시스템 제공업체 및 배포자를 위한 지침, 유럽의 디지털 미래 설계.
https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems
