🇪🇺 EU AI Act 2026 완전 시행: 한국 기업 핵심 체크리스트

⏱ 읽기 약 14분 | 📝 2,738자

EU AI Act compliance checklist European regulation 2026 — 💬 Reddit r/artificial: Reddit r/artificial

"우리 서비스는 한국에 있으니까 EU 규제랑 상관없겠지."

2018년, 수많은 한국 기업들이 GDPR 시행 직전에 이렇게 말했습니다. 그리고 그해 5월 25일 이후, 유럽 고객을 보유한 한국 기업들은 부랴부랴 개인정보 정책을 바꾸고, 법무팀을 확충하고, 일부는 유럽 서비스를 잠정 중단하는 혼란을 겪었죠.

지금, 그 데자뷰가 다시 시작되고 있습니다.

2026년 8월, EU AI Act의 핵심 의무 조항이 완전 발효됩니다. 이번엔 단순한 개인정보 처리 방침 수정 수준이 아닙니다. AI 시스템 설계 방식, 데이터 거버넌스 체계, 인간 감독 메커니즘, 기술 문서화까지 — 기업의 AI 운영 전반을 흔드는 규제입니다. 그리고 위반 시 전 세계 매출의 최대 7%를 과징금으로 내야 합니다.

유럽에 고객이 한 명이라도 있다면, 이 글은 지금 당장 읽어야 합니다.

이 글의 핵심: EU AI Act는 한국 기업에도 직접 적용되는 역외 규제이며, 2026년 8월 완전 시행 전 AI 인벤토리 작성부터 고위험 AI 적합성 평가까지 체계적 준비가 없으면 사업 연속성 자체가 위협받을 수 있습니다.

이 글에서 다루는 것:
- EU AI Act 타임라인과 2026년 핵심 데드라인
- 한국 기업에 적용되는 역외 조항의 실체
- AI 위험 등급 분류 기준과 판단 체크리스트
- 고위험 AI 시스템 의무 요건 완전 해부
- 실제 글로벌 기업의 대응 사례와 교훈
- 지금 당장 해야 할 단계별 액션 플랜
- 자주 묻는 질문 5가지

🗓️ EU AI Act 타임라인: 2026년, 무엇이 달라지는가

EU AI Act는 2024년 8월 1일 공식 발효됐습니다. 하지만 모든 조항이 한꺼번에 적용된 건 아닙니다. EU는 단계적 이행(Phased Implementation) 전략을 택했는데, 이 타임라인을 정확히 이해해야 어디에 집중해야 할지 알 수 있거든요.

단계별 시행 일정 한눈에 보기

시행 시점	적용 내용	핵심 의무
2024년 8월 1일	법 공식 발효	—
2025년 2월 2일	금지된 AI 관행 조항 적용	소셜 스코어링, 실시간 생체인식 금지 등
2025년 8월 2일	GPAI(범용 AI) 모델 조항 적용	GPT류 모델 투명성·안전 의무
2026년 8월 2일	고위험 AI 시스템 의무 완전 적용	적합성 평가, 등록, 기술 문서화
2027년 8월 2일	부속서 I 기존 시스템 유예 종료	기존 배포 고위험 AI까지 적용 확대

2026년 8월 2일이 가장 중요한 데드라인입니다. 이 날부터 고위험 AI 시스템(High-Risk AI Systems)을 EU 시장에 배포하거나 운용하려면 모든 의무 요건을 충족해야 합니다.

이미 시행 중인 조항들, 알고 있었나요?

많은 기업이 "2026년이 데드라인이니까 아직 여유 있다"고 생각하지만, 이미 2025년 2월부터 금지된 AI 관행 조항은 발효됐습니다. 구체적으로 다음 행위들은 지금 당장 EU 내에서 금지입니다:

무의식적 조작(Subliminal Manipulation): 사용자가 인지하지 못하는 방식으로 행동을 조작하는 AI
취약계층 착취: 어린이, 노인, 장애인의 취약성을 악용하는 AI
소셜 스코어링: 사회적 행동에 기반한 신뢰점수 산정 AI
실시간 원격 생체인식: 공공장소에서의 실시간 얼굴인식 (법 집행 예외 제외)
감정 추론 AI: 직장, 교육 현장에서의 감정 분석 AI

마케팅 AI, HR 솔루션, 고객 분석 도구를 운영하는 한국 기업이라면 이 조항부터 즉시 점검해야 합니다.

💡 실전 팁: EU AI Act 공식 AI 규제 샌드박스 정보를 활용하면 자사 서비스가 금지 범주에 해당하는지 사전 검토할 수 있습니다. 특히 HR 테크, 마케팅 자동화 분야는 금지 조항 경계선에 있는 경우가 많습니다.

🌍 역외 적용의 실체: 왜 한국 기업이 당장 움직여야 하는가

"우리 회사는 한국에 본사가 있고 한국법을 따르는데요?"

이 질문에 대한 답변은 명확합니다. EU AI Act 제2조는 적용 범위를 명시하고 있으며, 다음 중 하나라도 해당하면 적용 대상입니다.

한국 기업이 적용 대상이 되는 세 가지 경우

① EU 내 시장 출시: EU 회원국 사용자/기업에게 AI 시스템 또는 AI 탑재 제품을 판매, 임대, 제공하는 경우.

② EU 내 운용: EU 법인 또는 EU 내 고객을 위해 AI 시스템을 직접 운용하는 경우. 예를 들어 한국 본사의 AI 모델이 유럽 지사 직원의 채용 심사에 활용된다면, 해당 AI는 EU 내에서 운용되는 것으로 간주됩니다.

③ 출력물이 EU 내 영향: AI 시스템 자체는 EU 밖에 있어도, 그 결과물이 EU 내 사람에게 영향을 미치는 경우. 이 조항은 특히 B2B SaaS 기업에게 폭넓게 적용될 수 있습니다.

실제로 영향받는 한국 기업 유형

기업 유형	관련 시나리오	위험도
IT/SaaS 기업	EU 기업 고객에게 AI 기능 제공	🔴 높음
제조업	AI 품질검사 시스템 EU 공장 배포	🔴 높음
금융/핀테크	EU 고객 대상 AI 신용평가	🔴 높음
HR 테크	EU 법인 채용 AI 솔루션 공급	🔴 높음
헬스케어	EU 대상 AI 진단 보조 서비스	🔴 높음
이커머스	EU 소비자 대상 AI 추천 시스템	🟡 중간
콘텐츠/미디어	AI 생성 콘텐츠 EU 배포	🟡 중간
내수 전용 서비스	EU 고객 전혀 없음	🟢 낮음

2026년 기준 한국의 EU 수출 규모는 약 700억 달러를 상회합니다. 이 중 디지털 서비스와 AI 연계 제품의 비중이 급격히 늘고 있어, 사실상 중견기업 이상의 B2B 기업 대부분이 EU AI Act 적용 대상이라고 봐야 합니다.

💡 실전 팁: "EU 고객이 없다"고 단정 짓기 전에 CRM 데이터에서 EU 이메일 도메인(.de, .fr, .nl 등) 또는 EU 결제 주소를 확인하세요. 생각보다 많은 기업이 인지하지 못한 EU 고객을 보유하고 있습니다.

⚖️ AI 위험 등급 분류: 우리 AI는 어디에 해당할까

EU AI Act의 핵심 설계 원칙은 '위험 기반 접근법(Risk-Based Approach)'입니다. 모든 AI를 동일하게 규제하지 않고, 위험 수준에 따라 차등 의무를 부과합니다. 자사 AI가 어느 등급인지 파악하는 것이 컴플라이언스의 첫 걸음이죠.

4단계 위험 등급 구조

1단계: 허용 불가 위험 (Unacceptable Risk) — 전면 금지
앞서 언급한 소셜 스코어링, 무의식적 조작 등이 여기에 해당합니다. 이 범주에 들어가면 EU 시장에서 해당 AI는 운용 자체가 불가합니다.

2단계: 고위험 (High-Risk) — 강력한 의무 적용
EU AI Act 부속서 III에 열거된 8개 분야가 고위험 AI입니다:
- 생체인식 및 분류
- 중요 인프라 관리 (전력, 수도, 교통)
- 교육 및 직업훈련 (입학 평가, 학업 평가)
- 고용 및 인력 관리 (채용, 성과평가, 해고 결정)
- 필수 서비스 접근 (신용평가, 보험, 사회복지)
- 법 집행
- 이주 및 망명 관리
- 사법 및 민주적 과정 관련

굵게 표시된 두 분야는 한국 기업이 가장 많이 해당하는 영역입니다.

3단계: 제한적 위험 (Limited Risk) — 투명성 의무
챗봇, AI 생성 콘텐츠 등이 여기에 해당합니다. 사용자에게 "AI와 대화 중"임을 명시해야 하고, AI 생성 콘텐츠에는 레이블을 표시해야 합니다.

4단계: 최소 위험 (Minimal Risk) — 자율 규제
AI 스팸 필터, AI 게임 NPC 등 대부분의 AI는 여기에 해당합니다. 별도 의무는 없지만 자율적 행동강령(Code of Conduct) 준수를 권장합니다.

내 AI가 고위험인지 판단하는 체크리스트

✅ 자연인의 채용, 승진, 해고에 영향을 미치는가?
✅ 신용, 보험, 금융 서비스 접근 여부를 결정하는가?
✅ 교육 기회나 직업훈련 접근을 평가하는가?
✅ 의료 기기와 연동되어 진단/치료에 영향을 주는가?
✅ 생체정보(얼굴, 목소리, 지문)를 처리하는가?
✅ 사회복지 혜택의 수급 자격을 평가하는가?

하나라도 '예'라면 고위험 AI로 분류될 가능성이 매우 높습니다. 반드시 EU AI Act 전문 법률 자문을 받아야 합니다.

💡 실전 팁: AI 위험 분류는 AI 시스템의 '기술 방식'이 아니라 '사용 목적과 맥락'으로 결정됩니다. 동일한 NLP 모델이라도 고객 서비스 챗봇으로 쓰이면 제한적 위험, 채용 스크리닝에 쓰이면 고위험 AI가 됩니다.

📋 고위험 AI 7대 의무 요건: 실무 체크리스트

고위험 AI로 분류됐다면, 다음 7가지 의무를 모두 이행해야 EU 시장에서 합법적으로 운용할 수 있습니다. 각 항목의 실무적 의미를 정확히 이해하는 게 중요합니다.

의무 1~4: 시스템 설계 단계 요건

① 위험 관리 시스템 (Risk Management System)
AI 시스템의 전체 생명주기(개발→배포→운용→폐기)에 걸쳐 잠재적 위험을 식별, 평가, 완화하는 지속적 프로세스를 구축해야 합니다. 일회성 점검이 아니라 상시 운영되는 체계여야 합니다.

② 데이터 거버넌스 (Data and Data Governance)
훈련, 검증, 테스트 데이터의 품질 관리 체계가 필요합니다. 편향(Bias) 검출 및 완화 프로세스도 문서화해야 합니다. "좋은 데이터를 썼어요"가 아니라 왜, 어떻게 데이터를 선정했는지 증명해야 합니다.

③ 기술 문서화 (Technical Documentation)
AI 시스템의 목적, 설계, 기능, 성능 지표, 한계, 사용 방법을 상세히 기술한 문서를 작성해야 합니다. EU 당국이 감사를 요청할 때 즉시 제출 가능한 수준이어야 합니다.

④ 자동 로그 기록 (Record-Keeping)
고위험 AI의 운용 내역을 자동으로 기록하는 로깅(Logging) 시스템이 필요합니다. AI가 어떤 판단을 했는지 추적할 수 있어야 합니다.

의무 5~7: 운용 단계 요건

⑤ 투명성 및 정보 제공 (Transparency)
AI 시스템을 사용하는 운용자(Operator)에게 시스템의 목적, 성능, 위험, 감독 방법을 충분히 알려야 합니다.

⑥ 인간 감독 (Human Oversight)
AI가 단독으로 중요 결정을 내리지 않도록, 인간이 개입하고 감독할 수 있는 메커니즘을 설계해야 합니다. "AI가 추천하고 인간이 최종 결정"하는 구조가 대표적입니다.

⑦ 정확성, 견고성, 사이버보안 (Accuracy, Robustness, Cybersecurity)
AI 시스템이 의도한 목적에 맞게 정확하게 동작하고, 오류나 공격에도 안전하게 작동해야 합니다.

고위험 AI 의무 이행 비용 추정 (중견기업 기준)

의무 항목	필요 작업	예상 비용(초기)
위험 관리 시스템	전담팀 구성, 프로세스 수립	5,000~15,000만 원
데이터 거버넌스	데이터 감사, 편향 평가	3,000~8,000만 원
기술 문서화	문서 작성 + 법률 검토	2,000~5,000만 원
로그 시스템 구축	IT 인프라 개선	1,000~3,000만 원
인간 감독 설계	UX/프로세스 재설계	2,000~6,000만 원
적합성 평가	제3자 감사	3,000~10,000만 원
합계		1.6억~4.7억 원

비싸 보이지만, 위반 시 과징금(매출의 3~7%)에 비하면 훨씬 저렴합니다. 연 매출 100억 원 기업이라면 과징금 최대 7억 원입니다.

💡 실전 팁: 기술 문서화 작업은 AI 개발 단계부터 시작하는 게 훨씬 효율적입니다. 이미 배포된 시스템을 역추적해 문서화하는 데 드는 공수는 처음부터 문서화하는 것의 3~5배에 달한다는 게 업계 중론입니다.

🏢 글로벌 기업 대응 사례: 무엇을 배울 수 있나

실제로 글로벌 기업들은 EU AI Act에 어떻게 대응하고 있을까요? 선행 사례에서 한국 기업이 참고할 교훈을 찾아봅시다.

마이크로소프트: Responsible AI 체계를 컴플라이언스 인프라로

마이크로소프트는 EU AI Act 발효 훨씬 전인 2022년부터 'Responsible AI Standard'를 사내에 정착시켰습니다. 이 표준은 AI 시스템 개발 시 공정성, 신뢰성, 프라이버시, 보안, 포용성, 투명성, 책임의 7원칙을 의무 체크리스트로 적용하도록 설계됐습니다.

그 결과, EU AI Act 고위험 AI 의무의 상당 부분이 이미 내부 프로세스로 커버되는 상황이 됐습니다. 마이크로소프트 AI 컴플라이언스팀은 2025년 발표에서 "EU AI Act 대응에 추가로 필요한 작업이 예상의 40% 수준"이라고 밝혔습니다. 사전 투자가 얼마나 중요한지 보여주는 사례입니다.

SAP: AI 거버넌스 오피스 신설과 역할 재정의

독일 기반 ERP 대기업 SAP는 2025년 초 'AI Governance Office'를 신설하고, 기존 Chief Ethics Officer 역할을 Chief AI Ethics & Compliance Officer로 확대했습니다. SAP는 자사 제품에 내장된 AI 기능들을 전수조사해 위험 등급을 분류하고, 고위험으로 분류된 17개 기능에 대해 적합성 평가를 진행했습니다.

SAP의 고객사인 한국 대기업들도 SAP 시스템을 통해 AI 기능을 활용하는 경우, SAP가 공급하는 AI 컴포넌트와 자체 커스터마이징 AI 부분의 의무 소재를 명확히 분리해야 합니다. '공급자(Provider)'와 '운용자(Operator)' 역할에 따라 의무가 다르거든요.

국내 사례: 네이버 클로바의 EU AI Act 대응 체계

국내에서는 네이버가 가장 적극적으로 대응하고 있습니다. 네이버 클로바는 유럽 B2B 파트너에게 AI API를 제공하는 구조이기 때문에 GPAI(범용 AI) 모델 조항과 고위험 AI 의무가 모두 적용됩니다.

2025년 네이버는 EU AI Act TF를 법무실 산하에 구성하고, ①AI 인벤토리 작성, ②위험 등급 분류, ③GPAI 투명성 보고서 초안 작성의 3단계 프로젝트를 진행 중임을 연간 보고서에서 밝혔습니다. 특히 클로바 X의 학습 데이터 출처와 저작권 이슈가 EU의 GPAI 투명성 요건과 맞닿아 있어, 데이터 거버넌스 체계 정비에 집중하고 있습니다.

이처럼 글로벌 선도 기업들은 공통적으로 ①조기 착수, ②전담 조직 신설, ③기존 AI 윤리 체계와의 통합이라는 세 가지 전략을 취하고 있습니다.

⚠️ 한국 기업이 빠지기 쉬운 함정 5가지

이론은 알겠는데, 실제 준비 과정에서 어떤 실수를 하기 쉬울까요? 현장에서 자주 목격되는 함정들을 정리했습니다.

함정 1: "우리 AI는 도구일 뿐이야"라는 착각

"AI가 결정하는 게 아니라 직원이 참고만 하는 건데요"라고 말하는 기업들이 많습니다. 하지만 EU AI Act는 인간이 최종 결정을 내리더라도, AI가 그 결정에 '실질적 영향'을 미친다면 고위험으로 분류될 수 있습니다. 채용 AI가 1차 스크리닝을 한다면? 고위험입니다.

함정 2: IT팀에만 맡기는 구조

EU AI Act는 기술 요건만이 아닙니다. 법률 의무, 인사 프로세스 변경, 계약 조항 수정까지 포함합니다. IT팀 혼자 처리하려다 법무, 인사, 재무와의 협업이 늦어져 전체 일정이 지연되는 경우가 많습니다. C레벨 스폰서십 아래 크로스펑셔널 팀을 구성해야 합니다.

함정 3: 공급업체 의존 리스크 무시

"우리는 OpenAI API를 쓸 뿐인데요"라는 기업들, 주의하세요. 제3자 AI 모델을 활용해 EU 시장에 서비스를 제공하는 경우, 해당 서비스를 배포하는 기업이 '운용자(Operator)' 책임을 집니다. 공급업체 계약서에 AI Act 관련 조항(EU AI Act Compliance Clause)이 없다면 지금 당장 추가 협상을 해야 합니다.

함정 4: 한 번만 하면 된다는 오해

EU AI Act 의무는 상시(Continuous) 의무입니다. 적합성 평가를 통과했더라도, AI 모델을 업데이트하거나 사용 목적이 변경되면 재평가가 필요할 수 있습니다. 특히 LLM 기반 시스템은 모델 버전업 때마다 영향 평가를 해야 할 수 있습니다.

함정 5: 국내 AI 기본법이랑 같다는 착각

한국 AI 기본법과 EU AI Act는 방향성은 유사하지만 세부 요건이 다릅니다. 한국 AI 기본법 대응을 했다고 EU AI Act도 된 게 아닙니다. 특히 ①제3자 적합성 평가 의무 ②EU 데이터베이스 등록 ③EU 대리인(Authorized Representative) 지정 등은 EU AI Act 고유 요건입니다.

🚀 지금 당장 시작하는 단계별 액션 플랜

"뭐부터 해야 하냐"는 질문에 실용적으로 답하겠습니다. 2026년 8월까지 남은 시간, 우선순위별로 정리했습니다.

Phase 1: 현황 파악 (지금~1개월 내)

AI 인벤토리 작성이 첫 번째입니다. 회사에서 사용하거나 고객에게 제공하는 모든 AI 시스템, AI 기능, AI API 연동 서비스를 목록화하세요. 생각보다 훨씬 많다는 것에 놀랄 겁니다.

인벤토리 항목: AI 시스템 이름, 사용 목적, 적용 대상(내부/외부), EU 노출 여부, 현재 개발 단계, 담당 팀

Phase 2: 위험 분류 (1~3개월)

인벤토리를 바탕으로 각 AI 시스템의 위험 등급을 분류합니다. 이 단계에서 EU AI Act 전문 법률 자문이 필요합니다. 위험 분류는 법적 해석이 필요한 영역이므로, 내부 판단만으로 결정하면 나중에 문제가 될 수 있습니다.

Phase 3: 고위험 AI 대응 (3~8개월)

고위험으로 분류된 시스템들에 대해 7대 의무 요건을 순차적으로 이행합니다. 기술 문서화와 데이터 거버넌스 정비가 가장 시간이 많이 걸리므로 먼저 시작해야 합니다.

Phase 4: 적합성 평가 및 등록 (8~12개월)

제3자 기관 또는 자체 적합성 평가(Self-Assessment)를 완료하고, EU AI 데이터베이스에 고위험 AI 시스템을 등록합니다. EU 내 대리인(Authorized Representative)을 지정하거나 EU 법인을 활용하는 방안도 함께 검토합니다.

💡 실전 팁: 한국인터넷진흥원(KISA)과 한국정보통신기술협회(TTA)가 EU AI Act 대응 가이드라인을 제공하고 있습니다. 정부 지원 컨설팅 프로그램을 활용하면 초기 비용을 상당히 절감할 수 있습니다.

❓ 자주 묻는 질문

Q1: EU AI Act가 한국 기업에도 적용되나요?
A1: 네, 적용됩니다. EU AI Act는 역외적용(extraterritorial effect) 원칙을 채택하고 있어, EU 내 소비자나 기업을 대상으로 AI 시스템을 제공하거나 배포하는 경우 해당 기업의 소재지가 한국이더라도 규제 대상이 됩니다. 예를 들어 유럽에 SaaS 서비스를 제공하는 한국 스타트업, 유럽 법인을 통해 AI 솔루션을 판매하는 대기업 모두 해당됩니다. GDPR(개인정보보호법)과 동일한 역외 적용 방식이라고 이해하면 쉽습니다. EU 내 매출이 있거나 EU 고객이 있다면 반드시 법적 검토가 필요합니다.

Q2: EU AI Act에서 '고위험 AI'로 분류되면 어떤 의무가 생기나요?
A2: 고위험 AI(High-Risk AI)로 분류되면 시장 출시 전 적합성 평가(Conformity Assessment)를 완료해야 하고, 위험 관리 시스템 구축, 데이터 거버넌스 체계 수립, 기술 문서화, 자동 로그 기록, 인간 감독(Human Oversight) 메커니즘 설계, 투명성 및 정보 제공 의무 등을 모두 이행해야 합니다. 또한 EU 데이터베이스에 등록하고, 심각한 사고 발생 시 당국에 보고해야 하는 의무도 있습니다. 이 요건들은 CE 마킹과 유사한 방식으로 운영되며, 제3자 기관의 감사가 필요한 경우도 있습니다.

Q3: EU AI Act 위반 시 과징금은 얼마나 되나요?
A3: EU AI Act의 과징금은 위반 유형에 따라 세 단계로 나뉩니다. 가장 심각한 금지된 AI 관행(Prohibited AI Practices) 위반의 경우 전 세계 연간 매출의 7% 또는 3,500만 유로 중 높은 금액이 부과됩니다. 고위험 AI 의무 위반은 매출의 3% 또는 1,500만 유로, 당국에 잘못된 정보 제공은 매출의 1% 또는 750만 유로입니다. GDPR보다 최대 과징금 비율이 높아, 중소기업에도 치명적 영향을 줄 수 있으므로 사전 컴플라이언스 투자가 훨씬 경제적입니다.

Q4: AI Act 대응을 위한 현실적인 준비 기간은 얼마나 필요한가요?
A4: 기업 규모와 AI 활용 수준에 따라 다르지만, 일반적으로 소규모 기업은 최소 6~9개월, 중견기업은 9~18개월, 대기업은 12~24개월이 필요하다고 업계 전문가들은 조언합니다. 가장 시간이 많이 걸리는 작업은 ①AI 인벤토리 작성(현재 사용 중인 모든 AI 시스템 목록화), ②위험 분류 평가, ③고위험 시스템 대상 기술 문서 준비입니다. 2026년 8월이 핵심 데드라인이므로, 아직 준비를 시작하지 않은 기업이라면 지금 당장 착수해야 합니다.

Q5: 한국에는 EU AI Act와 유사한 AI 규제가 있나요?
A5: 2026년 4월 현재 한국은 'AI 기본법'(인공지능 발전과 신뢰 기반 조성 등에 관한 법률)이 2025년 1월 제정되어 시행 준비 단계에 있습니다. EU AI Act와 마찬가지로 고영향 AI 서비스에 대한 투명성 의무, 위험 기반 접근법을 채택하고 있습니다. 다만 EU에 비해 규제 수위가 낮고 과징금 규모도 작습니다. EU AI Act 대응 체계를 구축하면 한국 AI 기본법 대응에도 상당 부분 활용 가능하므로, 글로벌 스탠더드 기준으로 준비하는 것이 효율적입니다.

📊 EU AI Act 핵심 요약 테이블

구분	세부 내용	한국 기업 영향도	데드라인
금지된 AI 관행	소셜 스코어링, 무의식 조작, 실시간 생체인식	🔴 즉시 점검 필요	2025년 2월 (이미 시행 중)
GPAI 모델 의무	투명성 보고서, 저작권 정책, 시스템카드	🔴 AI 서비스 기업	2025년 8월
고위험 AI 의무	7대 요건 전체 (문서화, 감독, 평가 등)	🔴 대부분 기업 해당	2026년 8월 2일
과징금 (금지 위반)	전세계 매출 7% 또는 €3,500만	🔴 사업 존립 위협	즉시
과징금 (고위험 위반)	전세계 매출 3% 또는 €1,500만	🔴 대규모 타격	2026년 8월~
EU 대리인 지정	EU 외 기업은 EU 내 대리인 필수	🟡 EU 법인 없는 경우	2026년 8월
EU 데이터베이스 등록	고위험 AI 시스템 전체 등록	🟡 고위험 AI 보유 기업	2026년 8월
자율 행동강령	최소위험 AI 기업 자율 준수 권장	🟢 선택적	수시

마무리: 지금 움직이지 않으면 2027년에 후회합니다

2018년 GDPR, 2022년 디지털서비스법(DSA), 그리고 2026년 EU AI Act.

EU는 일관되게 같은 메시지를 보내고 있습니다. "우리 시장에서 비즈니스를 하고 싶다면, 우리 규칙을 따르세요." 그리고 이 규칙들은 예외 없이 역외 기업에도 적용됐고, 위반 기업들은 실제로 과징금을 맞았습니다.

EU AI Act는 규모가 다릅니다. 단순한 개인정보 처리 방침 수정이 아니라, AI 시스템의 설계 철학과 기업 문화 자체를 바꿔야 하는 요구입니다. 빠른 기업은 이미 1년 전부터 준비를 시작했습니다.

지금 여러분의 회사에는 AI 인벤토리가 있나요? 위험 등급 분류가 돼 있나요? 기술 문서화 프로세스가 있나요?

없다면, 오늘이 시작하기 가장 좋은 날입니다. 내일부터는 하루가 더 늦은 것이니까요.

이 글을 읽고 "우리 회사는 어디서부터 시작해야 할까?"라는 고민이 생겼다면, 댓글에 여러분 회사의 업종과 주요 AI 활용 사례를 남겨주세요. 구체적인 상황에 맞는 우선순위 조언을 드리겠습니다. 다음 글에서는 'GPAI(범용 AI) 모델 의무 완전 해부: LLM API 활용 기업의 생존 가이드'를 다룰 예정입니다.

이 글은 법률 자문을 대체하지 않습니다. EU AI Act 컴플라이언스와 관련된 구체적 법적 판단은 반드시 EU AI Act 전문 법률 자문을 받으시기 바랍니다.