EU에서 채용·인사평가·신용평가처럼 고위험 AI를 실제 업무에 쓰는 기업은 제품을 산 뒤 그대로 운영할 수 없습니다. 2026년 8월 31일 현재 관련 의무는 시행 전이며, Annex III 고위험 AI에는 2027년 12월 2일부터 적용될 예정입니다. 지침 준수, 권한 있는 사람의 감독, 입력데이터 점검, 사고 시 사용 중단, 자동 생성 로그 최소 6개월 보관, 근로자·영향받는 사람 고지까지 준비해야 합니다.
먼저 보는 준비 결론
- 시행 예정Annex III는 2027년 12월 2일
제품 안전 구성요소형은 2028년 8월 2일 - 운영 기록자동 생성 로그 최소 6개월
통제 가능한 범위·다른 법률 예외 확인 - 사전 고지직장 도입 전 근로자 고지
자연인 대상 의사결정에도 별도 안내
시행 상태 주의: 이 글의 제26조·제27조 의무는 2026년 8월 31일 현재 확정된 미래 규정입니다. Annex III 고위험 AI에는 2027년 12월 2일 시행 예정이고, Annex I 규제제품에 내장된 고위험 AI에는 2028년 8월 2일 시행 예정입니다. 모든 AI에 당장 적용된다고 읽으면 안 됩니다.
1. 먼저 시행일을 두 갈래로 나누세요
2026년 7월 27일 발효된 AI Digital Omnibus 개정은 고위험 AI 관련 적용 시점을 조정했습니다. 업무 분야가 Annex III에 열거된 고위험 AI와, Annex I의 규제제품에 안전 구성요소로 들어간 고위험 AI는 시작일이 다릅니다.
| 구분 | 대표 예시 | 적용 예정일 | 지금 할 일 |
|---|---|---|---|
| Article 6(2)·Annex III | 채용·근로자 관리, 교육 입학·평가, 신용평가, 생명·건강보험 위험평가 등 | 2027년 12월 2일 | 사용목적·역할·데이터·감독·로그 구조 확정 |
| Article 6(1)·Annex I | EU 제품안전 법령 대상 제품에 내장된 안전 구성요소형 AI | 2028년 8월 2일 | 제품 규제와 AI Act 적용을 함께 매핑 |
이 날짜는 ‘고위험으로 보이는 모든 AI’가 아니라 법 제6조의 분류 조건을 충족하는 시스템에 관한 것입니다. 먼저 시스템의 의도된 목적과 실제 사용 맥락을 기준으로 고위험 해당 여부를 문서화해야 합니다.
2. 우리 회사가 ‘deployer’인지부터 확인하세요
EU AI Act의 deployer는 개인의 비직업적 사용을 제외하고, 자신의 권한 아래 AI 시스템을 사용하는 자연인·법인·공공기관·기관 또는 그 밖의 단체입니다. 이 글에서는 기업 독자 설명을 위해 ‘이용기업’이라고도 쓰지만, 법상 범위는 공공기관·기관·자연인을 포함한 이용자(deployer) 전체를 뜻합니다.
EU 사업장에서 채용 AI 사용
기업이 지원서 필터링이나 후보자 평가 시스템을 업무에 쓰면 Annex III 고위험 AI 이용자 검토가 필요합니다.
한국 본사라도 EU 출력 사용
EU 밖에 설립된 제공자·이용자도 AI 출력이 EU에서 사용되면 법의 지역적 적용범위에 들어갈 수 있습니다.
직원이 개인적으로 시험
순수한 개인의 비직업적 사용은 deployer 정의에서 제외되지만, 회사 업무·의사결정에 편입되면 별도 판단이 필요합니다.
구매 후 목적을 크게 변경
상표를 붙이거나 중대한 변경을 하거나 원래 비고위험 시스템의 목적을 고위험 용도로 바꾸면 이용자가 제공자 의무까지 질 수 있습니다.
계약 전 확인: 공급사 명칭만 보고 역할을 정하지 말고, 누가 의도된 목적을 정했는지, 누가 입력데이터와 출력 사용을 통제하는지, 누가 변경·재학습·중단을 결정하는지를 업무 흐름도로 남기세요.
3. 제26조 핵심 의무를 운영 문서로 바꾸면
| 의무 | 법이 요구하는 방향 | 남겨둘 증빙 |
|---|---|---|
| 사용지침 준수 | 제공자의 사용지침에 맞게 적절한 기술적·조직적 조치를 적용 | 승인된 사용사례, 금지용도, 설정값, 변경 승인서 |
| 사람의 감독 | 필요한 역량·교육·권한과 지원을 갖춘 자연인에게 감독 배정 | 책임자 지정, 교육기록, 중지·번복 권한표 |
| 입력데이터 | 이용자가 통제하는 범위에서 목적에 관련되고 충분히 대표성 있게 관리 | 입력 기준, 결측·편향 검사, 데이터 승인 기록 |
| 운영 모니터링 | 사용지침에 따라 성능을 감시하고 위험·중대사고를 통지 | 대시보드, 임계값, 경보·에스컬레이션 기록 |
| 로그 보관 | 통제 가능한 자동 생성 로그를 목적에 적절한 기간, 최소 6개월 보관 | 로그 항목, 접근권한, 보존·삭제 일정 |
| 사전·대상자 고지 | 직장 사용 전 근로자 측에 알리고, Annex III 의사결정 대상 자연인에게 AI 사용 사실 고지 | 안내문, 발송·열람 기록, 문의·이의제기 창구 |
공공기관 이용자는 EU 데이터베이스 등록 의무도 확인해야 합니다. 사용하려는 고위험 AI가 등록되지 않았다면 사용하지 말고 제공자 또는 유통자에게 알려야 합니다. 이용자는 감독기관의 조치에도 협력해야 합니다.
4. 도입 전 6단계 실행 순서
- 시스템·역할 분류
의도된 목적, Annex III·Annex I 해당 여부, 제공자·수입자·유통자·이용자 역할을 한 장에 정리합니다. - 사용지침을 내부 통제로 변환
허용 입력, 금지 용도, 정확도 한계, 업데이트 조건을 사내 표준운영절차와 접근권한에 연결합니다. - 사람의 감독 권한을 실제로 부여
담당자에게 결과를 해석하고 자동화 편향을 경계하며, 출력을 무시·번복하거나 시스템을 중지할 권한과 지원을 줍니다. - 데이터·로그·모니터링을 설계
입력데이터 대표성 점검, 자동 생성 로그 수집, 성능·오류·차별 지표와 경보 임계값을 정합니다. - 고지·영향평가를 완료
근로자 대표와 영향을 받는 근로자 고지, 자연인 대상 안내, 필요한 경우 개인정보 영향평가와 기본권 영향평가를 연결합니다. - 사고 중단 훈련 후 승인
위험 징후나 중대사고 발생 때 통지 순서, 사용 중단, 대체 업무, 복구 승인 흐름을 모의훈련한 뒤 운영을 승인합니다.
5. 근로자 고지와 개인 고지는 서로 다릅니다
직장 고지: 고용주가 직장에서 고위험 AI를 가동하거나 사용하기 전에는 근로자 대표와 영향을 받는 근로자에게 그들이 해당 시스템의 적용을 받는다는 사실을 알려야 합니다. EU·회원국의 근로자 정보 제공 절차가 있다면 그 절차도 따라야 합니다.
개인 고지: Annex III 고위험 AI가 자연인에 관한 결정을 내리거나 의사결정을 보조한다면, 이용자는 그 자연인에게 자신이 고위험 AI의 적용을 받고 있음을 알려야 합니다. 직장 고지만 했다고 고객·지원자·보험가입자 등에 대한 개인 고지까지 자동 충족되는 것은 아닙니다.
고지는 단순 약관 한 줄로 끝내지 마세요. 시스템 목적, 어떤 결정에 보조적으로 쓰이는지, 사람의 재검토·문의·이의제기 경로를 실제 이용자가 찾을 수 있게 연결하는 편이 안전합니다. 구체적 형식은 적용되는 EU·회원국 법과 분야별 규정을 함께 확인해야 합니다.
6. ‘로그 6개월’과 사고 대응을 같은 체계로 묶으세요
이용자가 통제할 수 있는 자동 생성 로그는 시스템 목적에 적절한 기간 동안 최소 6개월 보관해야 합니다. 다만 EU·회원국 법, 특히 개인정보 보호법이 다른 기간을 정하면 그 규정을 함께 적용해야 하므로 ‘모든 로그를 무조건 6개월 이상’이라고 단순화하면 안 됩니다.
| 징후 | 즉시 행동 | 통지 대상 |
|---|---|---|
| 지침대로 써도 건강·안전·기본권 위험 가능 | 지체 없이 사용을 중단하고 영향 범위를 보존 | 제공자 또는 유통자와 관련 시장감시기관 |
| 중대사고 확인 | 사고 로그·버전·입력·출력을 보전하고 대체 절차 실행 | 먼저 제공자, 이어 수입자 또는 유통자와 관련 시장감시기관 |
로그는 단순 보관용이 아니라 언제 어떤 모델·설정·입력으로 결과가 생성됐는지, 사람이 무엇을 검토하고 어떤 결정을 내렸는지 재구성할 수 있어야 합니다. 접근권한과 삭제 책임자도 함께 정하세요.
7. 기본권 영향평가는 모든 이용기업 의무가 아닙니다
제27조의 기본권 영향평가(FRIA)는 Article 6(2)·Annex III 고위험 AI를 쓰는 주체 중 공법상 기관, 공공서비스를 제공하는 민간기관, 그리고 자연인의 신용도·신용점수를 평가하는 AI(금융사기 탐지 목적은 제외)나 생명·건강보험의 위험평가·가격결정 AI 이용자에게 적용됩니다. Annex III 제2호의 중요 인프라용 시스템은 이 조항의 대상에서 제외됩니다.
해당 이용자는 첫 사용 전에 업무 과정, 사용 기간·빈도, 영향을 받을 개인·집단, 예상 기본권 위험, 사람의 감독, 위험 현실화 시 내부 거버넌스·불만 처리 조치를 평가합니다. 평가 뒤에는 정해진 양식으로 시장감시기관에 결과를 통지하고, 사용 중 내용이 바뀌거나 낡으면 업데이트해야 합니다.
DPIA와 연결: 같은 내용이 GDPR 개인정보 영향평가에 이미 담겼다면 FRIA에서 해당 부분을 상호 참조하거나 포함할 수 있습니다. 다만 FRIA 자체가 사라지는 것은 아니므로 누락된 기본권·운영 맥락을 별도로 채워야 합니다.
8. 기존 시스템과 제재는 이렇게 구분합니다
고위험 AI 장의 적용일 전에 시장에 출시되거나 가동된 시스템은 원칙적으로 그 적용일 이후 설계가 크게 변경되는 경우에 관련 규정이 적용됩니다. 다만 공공기관이 사용하도록 의도된 고위험 AI의 제공자와 이용자는 2030년 8월 2일까지 필요한 조치를 해야 합니다.
제26조 이용자 의무를 위반하면 회원국 집행 체계에서 행정벌 대상이 될 수 있습니다. 법상 상한은 1,500만 유로 또는 기업의 전 세계 직전 회계연도 연매출 3% 중 높은 금액입니다. 중소기업·스타트업은 해당 비율과 정액 중 낮은 금액이 상한이고, small mid-cap도 제4항·제5항 위반에는 같은 낮은 값 비교 특례를 적용받습니다. 실제 부과 여부와 금액은 위반 성격·기간·피해·기업 규모·협력 정도 등 구체적 사정을 반영합니다.
기존 시스템 예외를 ‘영구 면제’로 해석하지 마세요. 설계의 중대한 변경, 의도된 목적 변경, 공공기관용 2030년 기한, 다른 EU·회원국 법 적용 여부를 각각 확인해야 합니다.
9. 자주 묻는 질문
2026년 8월 31일 현재 로그를 6개월 보관해야 하나요?
이 글에서 설명한 제26조의 고위험 AI 이용자 의무는 아직 시행 전입니다. Annex III 시스템에는 2027년 12월 2일, Annex I 제품형 시스템에는 2028년 8월 2일 시행 예정입니다. 다만 GDPR·노동법·금융법 등 다른 현행 규정이 이미 로그나 기록 보관을 요구할 수 있습니다.
일반 생성형 AI를 사내에서 쓰면 모두 고위험 AI인가요?
아닙니다. 생성형이라는 이유만으로 고위험이 되는 것은 아닙니다. 의도된 목적과 실제 사용이 Article 6 및 Annex I·III 분류에 들어가는지 확인해야 합니다. 예를 들어 단순 문안 보조와 지원자 선별·평가는 법적 위험 구조가 다릅니다.
공급사가 적합성 확인을 했으면 이용기업은 할 일이 없나요?
아닙니다. 제공자의 적합성 의무와 이용자의 운영 의무는 분리됩니다. 이용기업은 사용지침 준수, 사람의 감독, 통제하는 입력데이터, 모니터링, 로그, 고지와 사고 대응을 자체 업무에서 실행해야 합니다.
사람이 최종 승인만 누르면 감독 의무를 충족하나요?
형식적인 승인만으로는 부족할 수 있습니다. 감독자는 필요한 역량·교육·권한과 지원을 갖추고, 시스템 한계와 자동화 편향을 이해하며 결과를 해석·무시·번복하거나 시스템을 중지할 수 있어야 합니다.
모든 입력데이터를 이용기업이 대표성 있게 만들어야 하나요?
제26조는 이용자가 입력데이터를 통제하는 범위에서 의도된 목적에 관련되고 충분히 대표성 있도록 요구합니다. 공급사가 통제하는 학습데이터와 회사가 넣는 운영 입력을 구분해 책임·검증 자료를 계약에 적으세요.
기본권 영향평가는 모든 민간기업이 해야 하나요?
아닙니다. 공법상 기관, 공공서비스 제공 민간기관, 신용도·신용점수 평가 AI, 생명·건강보험 위험평가·가격결정 AI 등 제27조가 정한 이용자가 대상입니다. 개인정보 영향평가와 겹치는 부분은 상호 참조할 수 있습니다.
한국 회사도 EU AI Act 이용자 의무를 검토해야 하나요?
가능합니다. EU에 설립되거나 위치한 이용자뿐 아니라, EU 밖에 있는 제공자·이용자라도 AI가 만든 출력이 EU에서 사용되면 법의 지역적 적용범위에 들어갈 수 있습니다. 실제 사업 구조와 회원국 법을 함께 검토하세요.
한 번에 정리
Annex III는 2027년 12월 2일, Annex I 제품형은 2028년 8월 2일 시행 예정
지침·감독·입력데이터·모니터링·로그·고지를 별도 통제로 구현
통제 가능한 자동 생성 로그 최소 6개월, 사고·중단·재검토 기록 연결
실무 한 줄: AI 구매 목록보다 먼저 ‘누가 어떤 결정에서 어떤 입력과 출력을 통제하는지’를 정리하고, 사람의 중지 권한과 로그·통지 흐름을 계약서와 운영절차에 함께 고정하세요.
공식 원문 확인
'AI' 카테고리의 다른 글
| 2026 AI 맞춤형 건강리포트 확인법｜약 10만 명·8월 31일부터 5주·앱 설치 없음 (0) | 2026.09.01 |
|---|---|
| 2026 모두의 AI 실험실 경진대회 신청｜9월 6일 18시·만 15세 이상·팀 최대 4명 (0) | 2026.09.01 |
| 2026 EU AI Act AI 리터러시 의무｜7월 27일 개정·법정 교육시간·자격증 없음 (0) | 2026.08.31 |
| 2026 EU AI Act 제50조 투명성 의무｜8월 2일 시행·딥페이크 표시·1,500만 유로 또는 매출 3% (0) | 2026.08.30 |
| 2026 EU 범용 AI 제공자 의무｜8월 2일 집행·10²⁵ FLOP·1,500만유로 또는 매출 3% (0) | 2026.08.30 |
