EU AI Act 집행 시작…직장 챗봇도 투명성 의무를 만난다

유럽연합(EU)은 2026년 8월 2일부터 AI Act의 적용 대상 조항을 실제로 집행하기 시작했다. EU 집행위원회의 공식 발표 에 따르면 AI Office와 회원국 당국의 집행 권한이 이날 가동됐고, 사람과 대화하는 AI와 생성·변형 콘텐츠에 관한 새로운 투명성 규칙도 적용되기 시작했다.

이번 변화는 AI Act의 모든 의무가 한꺼번에 시행됐다는 뜻은 아니다. 현재 집행되는 범위에는 챗봇의 AI 상호작용 고지, 생성 콘텐츠 표시, 범용 AI 모델(GPAI) 제공자에 대한 감독 권한 등이 포함되지만, 채용·교육·근로자 관리 등 주요 고위험 AI 규칙은 2027년 이후 별도 일정으로 남아 있다.

직장 챗봇도 이용자가 직원이라는 이유로 제외되지 않는다

Article 50의 챗봇 고지는 소비자용 서비스에만 한정되지 않는다. AI 시스템이 자연인과 직접 양방향으로 대화하고 상대방에게 AI라는 사실이 명백하지 않다면, 제공자는 첫 상호작용부터 이를 명확하고 구별 가능한 방식으로 알려야 한다. 여기서 자연인에는 소비자뿐 아니라 직원과 같은 전문 사용자도 포함된다.

집행위원회의 Article 50 해설 은 사람과 직접 대화하는 챗봇·AI 에이전트·아바타를 적용 사례로 들면서, 백그라운드 시스템과 기계 간 통신, 사람의 입력을 수집하기만 하는 기능은 구분한다. AI와 대화한다는 사실이 평균적인 이용자에게 명백한 경우에는 별도 고지가 필요하지 않을 수 있지만, 이 예외는 좁게 해석된다.

책임 주체도 나뉜다. 시스템을 개발하거나 개발을 맡긴 뒤 자기 이름 또는 상표로 EU 시장에 내놓는 조직은 제공자가 되고, 조직의 권한 아래 시스템을 사용하는 법인은 배포자가 될 수 있다. 회사의 지시와 통제를 받아 도구를 쓰는 직원 개인은 별도의 배포자로 보지 않는다.

따라서 외부 업체의 챗봇을 사내에 도입했다고 해서 Article 50(1)의 설계 의무가 자동으로 고용주에게 이전되는 것은 아니다. 다만 기업이 외부 모델을 자체 브랜드의 대화 서비스로 구성해 제공하거나 시스템의 법적 지위를 바꿀 정도로 수정한다면 단순 이용자보다 넓은 책임을 검토해야 한다.

생성 콘텐츠에는 두 종류의 투명성이 적용된다

생성형 AI 제공자는 합성 음성·이미지·영상·텍스트가 AI로 생성되거나 변형됐음을 탐지할 수 있도록 결과물에 효과적이고 신뢰할 수 있으며 상호운용 가능한 기계 판독 표시를 넣어야 한다. 이는 화면에 표시하는 안내 문구와 달리 콘텐츠의 출처를 기술적으로 판별할 수 있게 하는 제공자 측 의무다.

배포자에게는 사람이 인식할 수 있는 별도의 공개 의무가 생길 수 있다. 딥페이크는 자연인이 처음 접할 때까지 명확하게 고지해야 하며, 공익 사안을 알리기 위해 공개하는 AI 생성·변형 텍스트도 원칙적으로 표시 대상이다. 기계 판독 표시만으로 딥페이크 공개 의무를 대신할 수는 없다.

다만 관련 지식과 전문적 판단을 갖춘 사람이 텍스트의 내용을 실질적으로 검토하고 편집 주체가 법적 책임을 지는 경우에는 공개 라벨 의무의 예외가 가능하다. 맞춤법이나 문법만 확인하는 형식적 검수는 이러한 인간 검토나 편집 통제로 인정되지 않는다.

모든 AI 산출물이 같은 표시 대상인 것도 아니다. 짧은 숫자·기호·문자열, 소스 코드, 사람에게 노출되지 않는 기계 간 결과물, 표준적인 편집을 보조하는 기능 등은 적용 범위에서 제외될 수 있다. 제한된 기업 간 또는 산업 환경에도 조건부 예외가 있어 실제 판단에서는 산출물의 형식과 노출 대상, 사용 환경을 함께 봐야 한다.

집행 권한은 열렸지만 첫 제재 사례가 나온 것은 아니다

Article 50의 준수 여부는 주로 회원국의 관할 시장감시 당국이 감독한다. AI Office는 동일한 사업자가 GPAI 모델과 그 모델을 기반으로 한 시스템을 함께 제공하는 경우 등 제한된 범위에서 Article 50을 감독하며, GPAI 모델 제공자에게 정보나 모델 접근을 요구할 수 있다.

Axios의 8월 28일 집행 상황 보도 에 따르면 당시까지 AI Office가 위법 행위를 이유로 대상 기업을 제재한 사례는 알려지지 않았다. 따라서 ‘집행 시작’은 당국이 조사와 정보 요구 등 권한을 행사할 수 있게 됐다는 의미이지, 특정 기업에 이미 과징금이 부과됐다는 뜻은 아니다.

Article 50 위반에 대한 과징금은 최대 1천500만 유로 또는 직전 회계연도 전 세계 총매출의 3%를 기준으로 정해질 수 있다. 이는 위반 기업마다 상한액이 자동 부과된다는 의미가 아니며, 실제 금액과 책임은 사업자의 역할, 위반의 성격, 기업 규모와 관할 당국의 절차에 따라 달라진다.

현재 의무와 고위험 AI 일정을 분리해야 한다

2026년 8월 2일부터 Article 50의 투명성 의무가 적용되고, GPAI 모델 제공자에 대한 집행위원회의 본격적인 집행 권한도 가동됐다. 다만 2026년 8월 2일 전에 시장에 출시된 시스템은 AI 생성 콘텐츠의 기계 판독 표시·탐지 의무에 한해 2026년 12월 2일까지 제한적인 유예를 받는다. 이 유예는 챗봇의 상호작용 고지나 Article 50 전체를 미루는 조치가 아니다.

2027년 12월 2일에는 Annex III에 열거된 독립형 고위험 AI 규칙이 적용될 예정이다. 일정한 조건을 충족하는 채용, 근로자 관리, 교육, 생체인식, 필수 서비스 접근, 사법·이민 분야의 시스템이 여기에 포함된다. 사내 챗봇이 모두 고위험 AI인 것은 아니지만, 지원자 선별이나 직원 평가·승진 결정에 사용되는 시스템은 별도의 분류가 필요하다.

2028년 8월 2일에는 규제 대상 물리적 제품에 내장된 고위험 AI 규칙이 적용될 예정이다. 이 단계의 위험관리, 문서화, 품질관리와 적합성 관련 의무는 현재 시행 중인 챗봇 고지와 법적 근거와 적용 시점이 다르다.

한국 기업은 EU에서 결과물이 쓰이는 지점을 봐야 한다

한국에 본사가 있다는 사실만으로 AI Act의 적용 가능성이 사라지지는 않는다. EU 밖의 제공자도 해당 AI 시스템의 결과물이 EU에서 사용되면 법의 적용을 받을 수 있다. 한국에서만 사용하는 내부 도구와 EU 법인 직원이나 유럽 고객이 직접 이용하는 서비스를 같은 조건으로 판단해서는 안 된다.

업무용 챗봇에서는 누가 시스템을 자기 이름으로 제공하는지, EU의 직원·고객이 AI와 직접 대화하는지, 첫 상호작용에서 고지가 이뤄지는지를 구분해야 한다. 생성 콘텐츠에서는 제공자가 넣는 기계 판독 표시와 배포자가 사람에게 보여 주는 공개 라벨을 따로 확인해야 한다.

현재 확인된 상태는 분명하다. 챗봇과 생성 콘텐츠의 투명성 의무는 이미 적용되고 당국의 집행 권한도 열렸지만, 채용을 포함한 독립형 고위험 AI 규칙은 2027년 12월, 규제 제품 내장형 AI 규칙은 2028년 8월에 적용될 예정이다. 앞으로는 회원국 감독기관이 실제 사건에서 AI 상호작용의 명백성, 제한적 기업 간 예외, 인간의 실질적 편집 통제를 어떻게 해석하는지가 집행의 경계를 구체화하게 된다.