EU AI Act 제4조의 AI 리터러시 의무는 폐지되지 않았습니다. AI 시스템 제공자와 배포자는 직원과 자신을 대신해 AI를 운용·사용하는 사람의 AI 이해를 높이기 위한 조치를 해야 합니다. 다만 2026년 7월 27일 시행된 개정으로 모든 개인이 특정 수준에 도달하도록 보장할 의무는 사라졌고, 법정 교육시간·통일 시험·의무 자격증도 정해져 있지 않습니다. 회사가 쓰는 도구, 담당자의 역할, 위험, 영향을 받는 사람에 맞춘 교육과 내부 기록이 핵심입니다.
먼저 보는 실무 결론
- 의무 대상AI 시스템 제공자·배포자가 직원과 회사 대신 AI를 다루는 외부 수행자까지 살핍니다.
- 교육 방식일률적인 시간·시험이 아니라 도구·역할·위험·사용 맥락에 맞춰 구성합니다.
- 증빙 방법자격증은 필요 없고 교육·가이드·참석·개정 이력을 내부 기록으로 남길 수 있습니다.
‘충분한 수준 보장’ 삭제는 의무 폐지가 아닙니다
2026년 7월 개정은 모든 개인에게 특정한 AI 리터러시 수준을 보장하라는 문구를 없앴습니다. 그러나 제공자와 배포자가 AI 리터러시의 발전을 지원하는 조치를 할 의무는 그대로 남았습니다. 아무 조치 없이 도구 사용설명서만 전달하는 방식은 사용 맥락과 위험에 따라 부족할 수 있습니다.
1. 2026년 7월 개정으로 무엇이 달라졌나
EU AI Act의 일반 적용 시점과 별개로 제4조가 포함된 제1장은 2025년 2월 2일부터 먼저 적용됐습니다. 이후 Regulation (EU) 2026/1744가 2026년 7월 24일 관보에 게재됐고, 관보 게재 후 셋째 날인 2026년 7월 27일부터 개정 문구가 효력을 가졌습니다.
| 판단 항목 | 개정 전 | 2026.7.27부터 |
|---|---|---|
| 기본 의무 | 최선을 다해 충분한 수준의 AI 리터러시를 보장하는 조치 | AI 리터러시의 발전을 지원하는 조치 |
| 개별 수준 | ‘충분한 수준’이라는 표현 때문에 해석 부담이 큼 | 어떤 개인에게도 특정 수준을 보장할 필요가 없음을 명시 |
| 대상 주체 | AI 시스템 제공자·배포자 | AI 시스템 제공자·배포자로 동일 |
| 고려 요소 | 지식·경험·교육·훈련, 사용 맥락, 영향을 받는 사람 | 같은 요소를 계속 고려 |
| 지원 체계 | 집행위의 Q&A·사례 저장소 중심 | 집행위·회원국의 지원, 단일 정보 플랫폼 사례, AI Board 권고를 법문에 명시 |
개정의 방향은 획일적인 결과 보장에서 위험과 맥락에 맞는 지원 조치로 무게를 옮긴 것입니다. 따라서 ‘전 직원이 같은 시험에서 몇 점을 받아야 한다’는 접근보다, 누가 어떤 AI를 무슨 결정에 사용하는지에 따라 필요한 지식과 안전수칙을 다르게 설계하는 편이 법문과 집행위 설명에 가깝습니다.
2. 누가 의무 주체이고, 누구를 교육해야 하나
제공자는 AI 시스템을 개발하거나 개발시켜 자기 이름·상표로 시장에 내놓거나 직접 서비스하는 주체입니다. 배포자는 개인적인 비직업 활동을 제외하고 자기 권한 아래 AI 시스템을 사용하는 기업·기관·개인사업자 등을 뜻합니다.
| 구분 | 포함 판단 | 실무 확인 |
|---|---|---|
| 직원 | 조직에서 AI를 직접 운용·사용하면 대상 | 개발자, 관리자, 현업 사용자, 결과 검토자 역할을 구분 |
| 계약자·서비스 제공자 | 조직을 대신해 AI를 다루면 포함될 수 있음 | 업무위탁 범위, 접근권한, 사용 도구와 위험을 계약·교육에 반영 |
| 고객·클라이언트 | 조직의 관리 범위와 구체적 위험에 따라 관련될 수 있음 | AI 기능을 대신 운용하는지, 안전한 사용 안내가 필요한지 확인 |
| 순수 개인 사용자 | 개인적·비직업적 활동의 배포자 의무는 적용 제외 | 회사 계정·업무 목적 사용과 개인 사용을 구분 |
| EU 밖 사업자 | EU 시장에 AI를 제공하거나 산출물이 EU에서 쓰이면 범위에 들어갈 수 있음 | 한국 법인 소재지만 보지 말고 EU 고객·서비스·산출물 사용지를 확인 |
대상자 목록을 만들 때 확인할 항목
- AI 시스템을 개발·설정·배포하는 사람
- 프롬프트를 입력하고 초안을 만드는 현업 사용자
- AI 산출물을 승인하거나 고객·시민에게 전달하는 사람
- 사람의 감독, 이의제기, 오류·사고 대응을 맡는 사람
- 회사를 대신해 AI를 사용하는 계약자·위탁업체 인력
3. 교육·가이드에 넣을 최소 판단 항목
EU 집행위원회 Q&A는 하나의 고정 교안을 제시하지 않습니다. 대신 조직이 아래 질문을 순서대로 검토해 조치를 설계하도록 안내합니다.
- 조직의 AI 기본 이해를 맞춥니다.
AI가 무엇인지, 어떤 방식으로 작동하는지, 회사가 실제로 어떤 AI를 쓰는지, 기회와 위험이 무엇인지 공통 언어를 만듭니다. - 제공자인지 배포자인지 역할을 구분합니다.
직접 개발해 시장에 내놓는지, 다른 사업자가 만든 도구를 업무에 쓰는지에 따라 알아야 할 의무와 통제 지점이 달라집니다. - 시스템별 위험을 평가합니다.
오류·환각, 편향, 개인정보·기밀 유출, 저작권, 자동화 의존, 보안, 영향을 받는 사람의 권리를 실제 사용 사례와 연결합니다. - 사람별 기존 역량을 반영합니다.
기술지식·경험·교육·훈련 수준이 다른 개발자, 관리자, 상담원, 마케팅 담당자에게 같은 깊이의 교육을 강요하지 않습니다. - 사용 맥락과 영향을 받는 사람을 반영합니다.
내부 문서 초안과 채용·대출·의료처럼 사람의 권리와 안전에 영향을 줄 수 있는 사용은 위험과 감독 강도가 다릅니다.
고위험 AI의 사람 감독 교육은 별도 의무와 연결됩니다
제4조는 모든 관련 AI 시스템에 대한 기본적인 리터러시 조치입니다. 고위험 AI를 실제로 다루는 인력은 사람의 감독을 적절히 수행할 역량을 갖추도록 하는 별도 요건과 연결되므로, 단순 사용 안내만으로 끝내기보다 오류 개입·중단·기록·에스컬레이션 훈련을 추가해야 합니다. 고위험 AI 관련 세부 적용 시점과 업종별 규정은 별도로 확인하세요.
4. 법정 교육시간·자격증은 없지만 기록을 남겨 두는 것이 좋습니다
집행위원회는 모든 회사에 동일한 교육 형식이나 필수 교육과정을 요구하지 않으며, 특정 자격증도 필요하지 않다고 설명합니다. AI 전담 임원이나 GDPR의 DPO와 같은 별도 거버넌스 조직도 제4조만을 위해 의무적으로 둘 필요는 없습니다.
법이 정하지 않은 것
- 전 직원 공통 법정 교육시간
- 통일된 시험·합격점
- 의무 AI 자격증
- 필수 AI Officer 또는 위원회
내부 기록으로 남겨 둘 수 있는 항목
- AI 시스템·사용 목적 목록
- 대상 직무와 위험 분석
- 교육자료·가이드 버전
- 참여·배포·확인 이력
- 사고·변경 후 보완 이력
인증서가 없어도 교육과 가이드 활동의 내부 기록은 남길 수 있습니다. 실무적으로는 ‘누가, 어느 시스템을, 어떤 목적으로, 어떤 위험 아래 사용했는지’와 ‘그에 맞춰 무엇을 안내했고 언제 갱신했는지’를 한 묶음으로 보관하는 방식이 설명 가능성을 높입니다.
증빙 파일 한 묶음 예시
- AI 사용정책과 승인 도구 목록
- 직무별 위험·역량 매트릭스
- 교안, 짧은 실습, 금지·주의 사례
- 교육 대상·완료일·확인 방식
- 모델·기능·사용목적 변경 시 재검토 기록
- 오류·사고·불만에서 나온 개선조치
5. 상황별로 교육 수준을 다르게 잡는 방법
광고문·번역에 생성형 AI 사용
업무에 AI를 쓰는 회사라면 제4조 범위를 검토해야 합니다. 사용자는 환각, 사실확인, 기밀 입력, 저작권, 최종 승인 책임을 알아야 하며 ‘사람이 나중에 본다’는 이유만으로 교육이 끝난 것은 아닙니다.
AI 전공 개발자
학위와 경험으로 기술 기초를 이미 갖췄을 수 있지만, 회사가 쓰는 구체적 시스템의 위험·제한·법적·윤리적 요구까지 아는지는 다시 확인해야 합니다. 도구와 규정이 바뀌면 업데이트도 필요합니다.
고객상담 위탁업체
회사를 대신해 AI 상담 도구를 쓰는 계약자·서비스 제공자도 적절한 기술을 갖춰야 합니다. 계약서에 교육 책임, 승인된 사용법, 오류 보고, 접근권한 회수 기준을 연결하면 범위가 선명해집니다.
채용·신용·의료 관련 AI
사람의 권리·기회·안전에 미치는 영향이 큰 사용은 더 깊은 역할별 교육이 필요합니다. 출력 해석, 편향, 사람 감독, 중단·이의제기·기록 절차를 단순 기능 설명과 분리해 연습합니다.
한국 본사에서 EU 고객 지원
EU 밖에 있다는 이유만으로 자동 제외되지 않습니다. AI를 EU 시장에 제공하거나, EU 밖 제공자·배포자의 AI 산출물이 EU에서 사용되는 구조라면 적용 범위를 검토해야 합니다.
개인이 취미로 AI 사용
순수하게 개인적·비직업적 활동으로 AI를 쓰는 자연인에게는 배포자 의무가 적용되지 않습니다. 다만 회사 계정이나 업무 산출물에 쓰기 시작하면 같은 판단을 유지할 수 없습니다.
6. 오늘 바로 실행하는 6단계 체크리스트
- AI 시스템 목록을 만듭니다.
공식 도입 도구뿐 아니라 팀별 SaaS, API, 생성형 AI, 자동추천·분류 기능까지 사용 목적과 담당자를 적습니다. - 회사 역할과 EU 연결점을 판단합니다.
제공자·배포자 여부, EU 시장 제공, EU 소재 사용자, 산출물의 EU 사용 여부를 기록합니다. - 대상자를 역할별로 나눕니다.
일반 사용자, 승인자, 개발자, 관리자, 사람 감독자, 외부 수행자로 구분하고 접근권한을 연결합니다. - 위험에 맞는 학습 내용을 정합니다.
기본 원리와 기회·위험, 올바른 사용, 출력 검증, 개인정보·기밀, 보안, 법·윤리, 사고 보고를 실제 도구 사례로 구성합니다. - 실행하고 기록을 정리합니다.
교안 버전, 대상, 날짜, 참여·배포 방식, 실습이나 확인 방법은 내부 기록으로 남겨 두는 것이 좋습니다. 불필요한 개인정보 수집은 피합니다. - 변경·사고 때 다시 평가합니다.
새 모델·기능·사용목적·대상자가 추가되거나 오류·민원이 발생하면 위험 분석과 교육 내용을 갱신합니다.
7. 감독·제재는 어떻게 이뤄지나
제4조의 감독과 집행은 원칙적으로 회원국의 국가 시장감시기관이 담당합니다. AI Act의 일반 집행 권한은 2026년 8월 2일부터 작동하며, 제4조 위반에 대한 제재와 그 밖의 집행조치는 회원국이 마련한 국내법에 근거합니다.
따라서 제4조 위반에 일률적으로 적용되는 하나의 고정 교육시간이나 단일 EU 벌금액을 임의로 단정하면 안 됩니다. 제재는 효과적·비례적·억지적이어야 하고, 사안의 성격·중대성·고의·과실 등을 고려합니다. 특히 적절한 교육·안내 부족과 실제 사고 사이의 관련성이 드러나면 위험이 커질 수 있다는 것이 집행위원회 설명입니다.
공식 Q&A의 8월 2일·3일 표기가 혼재합니다
같은 집행위원회 Q&A 안에 감독 규칙을 2026년 8월 3일부터라고 적은 문장과 국가 시장감시기관이 8월 2일부터 집행한다고 적은 문장이 함께 있습니다. 이 글은 현행 통합법 제113조와 집행위원회의 별도 집행 프레임워크가 명시한 2026년 8월 2일을 기준으로 정리했습니다. 실제 대응은 관할 회원국 기관의 최신 안내를 함께 확인하세요.
감독 문의가 왔을 때 준비할 자료
- 적용 범위와 제공자·배포자 판단 기록
- AI 시스템·사용 목적·사용자 목록
- 역할·위험별 교육 설계 근거
- 교육·가이드 실행 및 개정 이력
- 사고·오류·불만과 후속 보완조치
8. 자주 묻는 질문
Q1. 2026년 개정으로 직원 AI 교육 의무가 없어졌나요?
아닙니다. 제공자와 배포자가 AI 리터러시의 발전을 지원하는 조치를 할 의무는 유지됩니다. 다만 개인마다 특정한 수준을 보장하라는 요구가 삭제됐습니다.
Q2. 모든 직원이 같은 시간을 교육받아야 하나요?
아닙니다. 법정 공통 교육시간은 정해져 있지 않습니다. 기술지식·경험·역할, 사용 도구와 맥락, 시스템 위험에 맞춰 깊이와 형식을 달리할 수 있습니다.
Q3. 공인 AI 자격증이나 수료증이 있어야 하나요?
특정 자격증은 요구되지 않습니다. 집행위원회는 교육과 다른 가이드 활동의 내부 기록을 보관할 수 있다고 설명합니다.
Q4. AI Officer나 별도 위원회를 반드시 둬야 하나요?
제4조 준수만을 위해 특정 거버넌스 구조를 의무적으로 만들 필요는 없습니다. 기존 정보보호·법무·인사·현업 책임체계에 역할을 배분할 수 있습니다.
Q5. ChatGPT로 광고문이나 번역만 해도 대상인가요?
회사가 업무에 생성형 AI를 사용하고 AI Act 적용 범위에 있다면 제4조를 검토해야 합니다. 집행위원회는 이런 경우 환각 같은 구체적 위험을 사용자에게 알려야 한다고 설명합니다.
Q6. 사용설명서를 읽으라고 하면 충분한가요?
항상 그렇지는 않습니다. 위험과 사용 맥락에 따라 단순 설명서 배포가 효과적이지 않을 수 있으므로 역할별 안내·실습·사람 감독 절차 같은 추가 조치가 필요할 수 있습니다.
Q7. 외주 직원도 교육해야 하나요?
회사를 대신해 AI 시스템을 운용·사용하는 계약자나 서비스 제공자도 범위에 들어갈 수 있습니다. 실제 업무와 위험에 맞는 역량·가이드·계약상 책임을 확인하세요.
Q8. 집행위 사례 저장소를 그대로 따라 하면 준수로 인정되나요?
자동으로 준수 추정이 생기지는 않습니다. 사례는 참고 자료이며, 회사의 역할·도구·위험·사용 맥락에 맞춰 조정한 근거가 필요합니다.
Q9. 한국 회사도 적용될 수 있나요?
그럴 수 있습니다. EU 시장에 AI를 제공하거나, EU 밖 제공자·배포자의 AI 산출물이 EU에서 사용되는 구조라면 소재지만으로 제외되지 않습니다.
Q10. 직원 지식을 시험으로 측정해야 하나요?
제4조는 직원의 AI 지식 수준을 반드시 측정하라고 요구하지 않습니다. 다만 위험이 큰 역할에서는 짧은 실습·시나리오 확인으로 실제 수행 가능성을 점검하는 것이 실무상 도움이 됩니다.
Q11. 기술 전문가라면 추가 교육이 전혀 필요 없나요?
기술 기초는 충분할 수 있지만 회사의 특정 도구, 최신 위험, 법적·윤리적 요구를 알고 있는지는 별도입니다. 시스템·사용목적·규정이 바뀌면 보완이 필요할 수 있습니다.
Q12. 제4조 위반 벌금은 얼마인가요?
제4조만의 단일 고정 EU 벌금액으로 안내하기 어렵습니다. 국가 시장감시기관이 회원국 국내법에 따라 비례적인 제재와 다른 집행조치를 적용하므로 관할국 규정을 확인해야 합니다.
한 번에 정리
- EU AI Act 제4조의 AI 리터러시 의무는 2025년 2월 2일부터 적용됐습니다.
- 2026년 7월 27일 개정 후에도 제공자·배포자의 지원 조치 의무는 유지됩니다.
- 개인마다 특정 수준을 보장할 의무, 공통 법정 교육시간, 통일 시험, 의무 자격증은 없습니다.
- 직원뿐 아니라 회사를 대신해 AI를 운용·사용하는 계약자·서비스 제공자도 살펴야 합니다.
- 교육 내용은 기술지식·경험·역할·도구·위험·사용 맥락·영향을 받는 사람에 맞춰 달라져야 합니다.
- 자격증 대신 시스템 목록, 위험 분석, 교안·가이드, 실행·개정 이력을 내부 증빙으로 남겨 두는 것이 좋습니다.
- EU 밖 사업자도 EU 시장에 제공하거나 산출물이 EU에서 쓰이는 구조라면 적용될 수 있습니다.
- 감독·제재는 관할 국가 시장감시기관과 회원국 국내법을 함께 확인해야 합니다.
공식 원문 확인
'AI' 카테고리의 다른 글
| 2026 모두의 AI 실험실 경진대회 신청｜9월 6일 18시·만 15세 이상·팀 최대 4명 (0) | 2026.09.01 |
|---|---|
| 2027 EU Annex III 고위험 AI 이용기업 의무｜12월 2일 시행 예정·로그 6개월·근로자 사전고지 (0) | 2026.08.31 |
| 2026 EU AI Act 제50조 투명성 의무｜8월 2일 시행·딥페이크 표시·1,500만 유로 또는 매출 3% (0) | 2026.08.30 |
| 2026 EU 범용 AI 제공자 의무｜8월 2일 집행·10²⁵ FLOP·1,500만유로 또는 매출 3% (0) | 2026.08.30 |
| 2026 EU 사이버복원력법 신고 의무｜9월 11일 시행 예정·24시간·72시간·기존 제품 (0) | 2026.08.30 |
