EU AI Act, 기업은 무엇부터 준비해야 할까

한국 기업이라도 유럽 사업, EU 고객, 유럽 내 서비스 운영과 관련된 AI 활용이 있다면 단순히 ‘AI를 써도 되나’가 아니라 ‘이 AI 활용이 어떤 분류에 들어가나’를 먼저 봐야 합니다.

EU AI Act가 바꾸는 실무 질문

기업의 핵심 질문은 이제 이렇게 바뀝니다.

• 예전 질문: AI를 써도 되는가?
• 지금 질문: 이 구체적인 AI 활용은 어떤 위험등급과 의무에 해당하는가?

예를 들어 사내 문서 요약 도구와 채용 지원자를 사전 분류하는 시스템은 같은 ‘AI’라고 해도 규제상 검토 포인트가 다릅니다. 성과 데이터를 평가하거나 사람에 관한 결정을 준비하는 시스템도 단순 업무 보조 도구와 동일하게 볼 수 없습니다.

제공된 자료들은 EU AI Act를 단계적 적용 구조로 설명합니다. 먼저 금지되는 AI 관행을 다루고, 그다음 범용 AI 모델인 GPAI 의무, 이후 고위험 AI 의무, 그리고 이미 규제되는 제품에 포함된 일부 AI 시스템으로 이어지는 방식입니다.

기업 실무에서는 세 가지를 먼저 확인해야 합니다.

1. 유스케이스: AI가 정확히 무엇을 하는가? 어떤 데이터를 쓰고, 어떤 의사결정에 영향을 주는가?
2. 역할: 회사가 AI 시스템을 도입·운영하는 배포자(deployer)인가, AI 시스템 제공자인가, 아니면 GPAI 모델 제공자인가?
3. 위험: 금지 관행, GPAI, 고위험 AI, 또는 상대적으로 낮은 위험의 활용 중 어디에 가까운가?

주요 적용 시점 한눈에 보기

아래 일정은 법률 검토를 대체하지는 않지만, 기업이 내부 준비 계획을 세울 때 우선 참고할 만한 기준입니다.

판단의 출발점: 유스케이스, 역할, 위험

1. 도구 이름보다 ‘무엇을 하는지’가 먼저다

AI 제품명이 유명한지, 생성형 AI인지, 사내에서만 쓰는지보다 더 중요한 질문은 목적입니다. 해당 시스템이 사람을 평가하는지, 기회나 서비스 접근에 영향을 주는지, 안전 관련 절차를 제어하는지, 아니면 단순히 내부 업무를 보조하는지부터 확인해야 합니다.

특히 민감한 영역에 쓰이는 AI는 일찍 점검하는 편이 좋습니다. 제공된 자료는 생체인식, 핵심 인프라, 교육, 고용, 공공서비스를 고위험 검토가 필요할 수 있는 분야의 예로 듭니다.

2. 회사의 역할을 구분해야 한다

같은 AI 도구라도 회사의 위치에 따라 의무가 달라질 수 있습니다.

• 외부 AI 도구를 구매해 내부에서 쓰는 경우: 주로 도입·운영자 또는 사용자에 가까울 수 있습니다.
• 자체 제품에 AI 기능을 넣어 시장에 제공하는 경우: AI 시스템 제공자 의무가 문제될 수 있습니다.
• 범용 AI 모델을 개발하거나 제공하는 경우: GPAI 모델 제공자 관련 의무를 따로 검토해야 합니다.

이 역할 구분이 중요한 이유는 의무가 시스템의 위험도뿐 아니라 회사가 AI를 제공하는지, 운영하는지, 모델 제공자로 활동하는지에 따라 달라질 수 있기 때문입니다.

3. 위험등급은 단계적으로 가늠한다

실무에서는 다음 순서로 1차 분류를 해볼 수 있습니다.

1. 금지 관행 가능성 배제: 금지 범주에 해당한다면 나중에 해결할 컴플라이언스 문제가 아니라 즉시 중대한 이슈입니다.
2. GPAI 관련성 확인: 회사가 GPAI 모델을 직접 제공하는지, 아니면 다른 모델을 특정 서비스 안에서 사용하는지 구분합니다.
3. 고위험 가능성 확인: 민감한 영역에 쓰이거나 사람에 관한 결정에 영향을 주는지 봅니다.
4. 제품 규제 여부 확인: AI가 이미 규제되는 제품에 내장되어 있어 별도 전환기간이 적용될 수 있는지 점검합니다.

지금 기업이 준비해야 할 것

AI 등록부부터 만든다

첫 번째 실무 작업은 AI 등록부입니다. 대형 AI 프로젝트만 적는 목록이 아니라, 사내 보조 도구, 구매한 SaaS 기능, 자동화, 자체 제품 기능, 사용 중인 모델까지 폭넓게 포함해야 합니다.

AI 등록부에는 최소한 다음 항목이 들어가는 것이 좋습니다.

• 도구 또는 시스템 이름
• 사용 목적과 담당 부서
• 내부 개발인지 외부 구매인지
• 사용하는 데이터 유형
• 영향을 받는 개인 또는 집단
• 의사결정에 미치는 영향
• 공급사, 내부 오너, 책임 팀
• 금지 관행 가능성, GPAI 관련성, 고위험 관련성 또는 낮은 위험이라는 1차 판단

이 목록이 있어야 유스케이스별로 역할과 위험분류를 추적 가능하게 검토할 수 있습니다.

민감한 유스케이스를 먼저 본다

모든 AI 활용에 같은 수준의 검토를 투입할 필요는 없습니다. 먼저 봐야 할 것은 사람을 평가하거나, 채용·교육·서비스 접근 같은 기회에 영향을 주거나, 민감한 영역에서 쓰이는 시스템입니다. 자료는 생체인식, 핵심 인프라, 교육, 고용, 공공서비스를 특히 주목할 수 있는 분야로 언급합니다.

실무적으로는 채용 도구, 지원자 사전 선별, 성과 평가, 안전 관련 시스템, 사람에 관한 결정을 준비하는 AI가 우선 검토 대상이 되기 쉽습니다. 다만 실제로 고위험 AI에 해당하는지는 구체적인 업무 흐름과 회사의 역할에 따라 달라집니다.

거버넌스와 문서화를 준비한다

고위험 AI 시스템에 대해서는 위험관리, 기술문서, 적합성 평가 같은 요구사항이 언급됩니다. 구체적으로 어떤 업무가 회사에 적용되는지는 역할과 시스템 성격에 따라 달라집니다. Annex III 고위험 AI 시스템의 전체 컴플라이언스 체계는 2026년 8월 2일부터 중요해집니다.

지금 할 수 있는 준비는 다음과 같습니다.

• 현업, IT, 개인정보보호, 법무, 컴플라이언스 담당자를 지정한다.
• 새 AI 도구 도입 전 승인 절차를 만든다.
• 공급사로부터 기술문서, 위험 관련 정보, 업데이트 정책, 계약상 약속을 확인한다.
• 목적, 데이터, 위험, 사람의 감독, 변경 이력을 문서화한다.
• 애매한 사례는 초기에 법률 검토를 받는다.

AI 리터러시를 낮게 보지 않는다

AI 리터러시는 고위험 시스템만의 문제가 아닙니다. 한 자료는 AI 리터러시 요구사항이 제공자와 도입·운영자에게 폭넓게 적용되며, 위험 수준과 무관하게 고려해야 한다고 설명합니다. 최소 위험 AI 시스템만 사용하는 조직도 AI 리터러시 요구사항을 충족하고 금지 관행을 피해야 한다는 설명입니다.

실무적으로는 AI를 선택하거나 설정하거나 사용하는 직원이 시스템의 한계를 알고, 흔한 오류를 이해하며, 언제 사람의 검토가 필요한지 판단할 수 있어야 합니다.

기업에서 자주 나오는 세 가지 사례

사례 1: 사내 AI 보조 도구만 쓰는 경우

핵심은 그 도구를 어디에 쓰느냐입니다. 단순 문서 작성, 요약, 조사 보조와 채용·평가·서비스 접근 결정에 쓰는 경우는 검토 포인트가 다릅니다. 낮은 위험으로 보이는 도구라도 AI 등록부에는 포함하는 것이 좋고, AI 리터러시와 명확한 사용 규칙은 여전히 중요합니다.

사례 2: AI 기능이 들어간 SaaS 제품을 만드는 경우

이 경우 회사가 AI 시스템 제공자로 볼 수 있는지, 해당 기능이 고위험 맥락에 들어갈 수 있는지 확인해야 합니다. 고위험 시스템이라면 2026년을 기준으로 위험관리, 기술문서, 적합성 평가 관련 준비가 특히 중요해집니다.

사례 3: 채용, 스코어링, 고객지원에 AI를 쓰는 경우

채용과 다른 고용 관련 맥락은 초기에 점검하는 것이 좋습니다. 제공된 자료에서 고용은 고위험 검토가 필요할 수 있는 분야로 언급됩니다. 스코어링이나 고객지원의 경우에도 AI가 단순 보조인지, 아니면 사람에 대한 결정을 준비·영향·자동화하는지에 따라 판단이 달라집니다. 업무 흐름을 구체적으로 보지 않고는 최종 분류를 단정하기 어렵습니다.

다음 단계 체크리스트

1. AI 활용 전수조사: 모든 도구, 모델, 제품 기능, 자동화를 목록화한다.
2. 유스케이스 1차 분류: 금지 관행 가능성을 먼저 배제하고, GPAI 관련성과 고위험 가능성을 차례로 본다.
3. 역할 확정: 각 활용별로 회사가 도입·운영자인지, AI 시스템 제공자인지, GPAI 모델 제공자인지 구분한다.
4. 민감 영역 우선 검토: HR, 생체인식, 핵심 인프라, 교육, 공공서비스, 의사결정에 가까운 프로세스를 먼저 본다.
5. 공급사 확인: 외부 AI를 쓰는 경우 문서, 위험 정보, 업데이트, 계약상 보장을 공급사가 어디까지 제공하는지 확인한다.
6. 내부 거버넌스 구축: 책임자, 승인 절차, 교육, 문서화 기준을 마련한다.
7. 고위험 가능성에 대비: Annex III 해당 가능성이 있는 시스템은 2026년 8월 2일을 중요한 준비 기준으로 삼는다.

결론

EU AI Act 대응의 핵심 질문은 ‘AI를 써도 되는가’가 아닙니다. ‘이 AI 활용은 어떤 유스케이스인가, 우리 회사는 어떤 역할인가, 어떤 일정과 의무가 적용되는가’입니다.

사내에서 몇 가지 AI 도구만 쓰는 기업이라면 부담이 상대적으로 작을 수 있습니다. 그래도 AI 등록부, 사용 규칙, AI 리터러시는 실무적으로 필요하며 일부 요구사항과도 연결됩니다. 반대로 민감한 영역에서 AI를 쓰거나, AI 제품을 제공하거나, GPAI 모델을 제공한다면 2026년까지 기다릴 문제가 아닙니다. 지금부터 분류, 문서화, 책임체계를 잡아야 합니다.