EU AI법 고위험 AI 규정, 2027년 전까지 무엇을 준비해야 하나

EU의 AI법(EU AI Act)상 고위험 AI 시스템 의무는 이미 전면 적용된 상태가 아니다. 적용 시점이 연기됐다. 부속서 III에 열거된 독립형 고위험 AI 시스템은 2027년 12월 2일부터, 특정 규제 제품의 구성요소로 사용되는 고위험 AI는 2028년 8월 2일부터 관련 의무를 적용받을 예정이다. 18

EU 시장에 이 시스템을 출시하려는 기업에는 유예가 곧 면제가 아니다. 출시 이전부터 안전성, 추적성, 책임성을 입증할 수 있는 제품 거버넌스 체계를 구축해야 한다는 의미다.

어떤 AI가 ‘고위험’으로 분류되나

고위험 AI는 크게 두 부류로 나뉜다.

• 부속서 I의 특정 EU 제품 규제법 적용을 받는 제품 또는 그 안전 부품에 사용되고, 해당 제품이 제3자 적합성 평가를 받아야 하는 AI 시스템
• 법의 조건과 예외를 전제로, 부속서 III의 특정 사용 영역에 포함되는 AI 시스템 15

고위험 분류 여부는 매우 중요하다. 일반적인 AI 도구보다 훨씬 엄격한 전 생애주기 관리 의무가 발생하기 때문이다.

공급자가 준비해야 할 핵심 준수 의무

위험관리와 데이터 거버넌스

공급자는 위험을 평가하고 줄이기 위한 체계를 마련해야 한다. 차별적 결과의 위험을 낮추기 위해 충분한 품질의 데이터를 사용해야 하며, 학습·검증·시험 데이터가 의도된 목적에 비춰 관련성 있고 대표성을 갖추도록 관리해야 한다. 115

기술문서와 추적 가능성

고위험 AI 시스템은 결과의 추적 가능성을 뒷받침하는 활동 로그를 유지해야 한다. 또한 시스템의 기능과 사용 목적 등을 담은 상세 기술문서를 작성해, 당국이 법 준수 여부를 평가할 수 있도록 해야 한다. 1

인간 감독과 운영상 안전성

적절한 인간 감독 조치를 설계하고, 높은 수준의 정확성·견고성·사이버보안을 확보해야 한다. 시스템을 실제 사용하는 배포자(deployer)에게는 의도된 사용 방식과 한계를 이해할 수 있도록 명확하고 충분한 정보를 제공해야 한다. 1

적합성 평가, 등록, 출시 후 모니터링

고위험 AI를 EU 시장에 출시하기 전에는 적용 대상에 맞는 적합성 평가를 거쳐야 한다. 필요한 경우 시스템 등록도 해야 하며, 출시 후 성능을 계속 모니터링하고 중대한 사고를 보고해야 한다. 준수는 한 번의 승인 절차가 아니라 제품 운영 전반에 걸친 지속적 업무가 된다. 115

2027·2028년 적용에 대비하는 실무 점검표

1. 정말 고위험 AI인가? 사용 사례를 부속서 I 및 부속서 III 범주와 대조한다.
2. 책임자는 누구인가? 제품 안전, 법규 준수, 문서화, 사고 대응의 책임 주체를 정한다.
3. 위험을 증명하고 완화할 수 있는가? 시험 결과와 판단 기록을 포함한 반복 가능한 위험관리 절차를 유지한다.
4. 데이터 관리가 설명 가능한가? 데이터셋의 관련성, 대표성, 품질 점검, 알려진 한계를 문서화한다.
5. 감사에 대응할 수 있는가? 로그, 기술문서, 사용 목적과 제약을 설명한 사용자 안내 자료를 보존한다.
6. 인간 감독이 실제로 작동하는가? 사람이 개입·재정의·중단할 수 있는 상황과 권한을 구체화한다.
7. 출시 후 관리가 준비됐는가? 성능 모니터링, 시정 조치, 사고 보고 절차를 운영 가능하게 만든다.

위반 시 과징금은 어느 정도인가

AI법의 제재는 고정 금액과 전 세계 연간 매출액을 기준으로 정해진다. 금지된 AI 관행에 대한 가장 높은 단계의 과징금은 **최대 3,500만 유로 또는 전 세계 연간 매출액의 7%**에 이를 수 있다. 그 밖의 법 위반에는 **최대 1,500만 유로 또는 전 세계 연간 매출액의 3%**가 부과될 수 있다. 3

따라서 고위험 AI 준수는 법무팀 검토만으로 끝낼 일이 아니다. 제품, 보안, 데이터 과학, 구매, 컴플라이언스, 운영 부서가 보호 조치가 실제로 작동한다는 증거를 함께 확보해야 한다.

마감 연기가 지금 중요한 이유

새 일정은 준비 시간을 늘렸지만 요구 수준을 낮춘 것은 아니다. 2027년 말까지 기다렸다가 움직이면 문서화 체계 구축, 모델 개발 관행 수정, 로깅 구현, 인간 감독 절차 검증, 출시 후 보고 체계 마련을 촉박한 시간 안에 처리해야 할 수 있다.

가장 현실적인 접근은 EU AI법을 제품 거버넌스 기준으로 다루는 것이다. 고위험 사용 사례를 일찍 식별하고, 시스템을 만드는 단계부터 증거를 축적하며, 안전성·추적성·인간 통제를 출시 절차의 기본 요소로 편입해야 한다. 115