EU AI법 8월 2일 시행 — 챗봇은 AI라고 밝혀야 하고, 고위험은 2027년입니다

EU AI법이 8월 2일부터 집행 단계에 들어갔습니다. 요약 글을 몇 개 읽어보니 "고위험 시스템 요건까지 그날 발효"라고 적힌 게 많았는데, 유럽위원회 공식 페이지를 열어보니 고위험 준수 시점은 2027년 12월 2일로 적혀 있었습니다. 8월 2일에 실제로 시작된 건 집행 권한과 투명성 의무입니다. 개인 개발자가 당장 신경 쓸 것도 그쪽입니다.

📌 30초 요약

• 8월 2일에 시작된 것 — 유럽위원회 AI 사무국과 각국 당국의 집행, 그리고 투명성 의무.
• 투명성 의무 세 가지 — ①챗봇은 사람이 아니라 AI임을 알려야 함 ②딥페이크는 라벨 ③AI로 만들거나 고친 콘텐츠에는 기계가 읽을 수 있는 표시.
• 고위험은 지금이 아닙니다 — 공식 정책 페이지에 2027년 12월 2일로 적혀 있습니다. 집계 글 여러 곳이 8월 2일로 써놨습니다.
• 제가 못 찾은 것 — EU 밖 개발자에게 적용되는 조건과 벌금 액수. 공식 두 경로 어디에도 없었습니다.
• 기계 판독 표시의 규격 이름도 이 두 문서에는 없었습니다.
• 이 글은 법률 자문이 아닙니다. 문서에 적힌 문장과 못 찾은 것을 갈라 놓은 기록입니다.

8월 2일에 실제로 시작된 것

"From 2 August 2026, the European Commission's AI Office, together with national authorities, will begin enforcing the Artificial Intelligence (AI) Act."

2026년 8월 2일부터 유럽위원회 AI 사무국이 각국 당국과 함께 인공지능법 집행을 시작한다 — 유럽위원회 공식 보도자료

같은 날 새 투명성 규칙도 적용되기 시작했습니다. 원문이 요구하는 건 세 가지입니다.

대상	요구 사항	내가 만든 앱에 해당되나
챗봇·대화형 시스템	사람이 아니라 AI를 상대하고 있다고 알려야 함	상담·문의 봇이면 해당
딥페이크	AI로 만들거나 편집한 이미지·영상·음성은 라벨	얼굴·목소리 다루면 해당
AI 생성·변경 콘텐츠	탐지할 수 있도록 기계가 읽을 수 있는 표시	범위가 제일 넓습니다

세 번째가 개발자에게 제일 껄끄럽습니다. 챗봇 고지는 화면에 문구 한 줄 넣으면 되고 딥페이크는 해당 없는 서비스가 많은데, "AI로 생성하거나 변경한 콘텐츠"는 범위가 훨씬 넓습니다. 글을 써주는 기능, 이미지를 만들어 주는 기능, 사진을 보정해 주는 기능이 다 걸릴 수 있습니다.

"AI-generated or altered content will also have to carry machine-readable marks so it can be detected more easily."

AI로 생성되거나 변경된 콘텐츠에는 더 쉽게 탐지할 수 있도록 기계 판독 가능한 표시를 담아야 한다 — 유럽위원회 공식 보도자료

그런데 어떤 규격으로 표시하라는지는 이 보도자료에 없습니다. 메타데이터에 무엇을 어떻게 넣으라는 이름이 안 적혀 있습니다. 보도자료는 실천 강령과 지침 문서를 따로 언급하며 그쪽으로 넘깁니다. 그러니 지금 단계에서 "이 라이브러리를 쓰면 됩니다"라고 말할 수 있는 사람은 없습니다. 저도 못 찾았습니다.

고위험은 8월 2일이 아니라 2027년입니다

제가 읽은 요약 글 여러 곳이 "8월 2일부터 부속서 III 고위험 시스템 요건, 적합성 평가, CE 마킹이 발효"라고 썼습니다. 그래서 공식 정책 페이지를 열어봤는데 다르게 적혀 있었습니다.

위험 등급	공식 페이지가 적은 내용	시점
허용 불가	안전·생계·권리에 명백한 위협이 되는 AI는 금지	이미
고위험	위험 평가·완화 체계, 차별을 줄이기 위한 고품질 데이터셋	2027년 12월 2일
투명성	챗봇을 쓸 때 기계를 상대한다는 걸 알려야 함	8월 2일
최소 또는 없음	AI법이 규칙을 두지 않음	해당 없음

고위험 준수 시점이 2027년 12월 2일이라는 건 공식 페이지에 적힌 문장입니다. 요약 글들이 왜 8월 2일이라고 썼는지는 모르겠습니다. 여러 조항이 다른 날짜에 순차 적용되는 법이라 어느 항목을 가리키느냐에 따라 날짜가 달라지는 구조이긴 합니다. 다만 이런 경우엔 내가 해당되는 항목의 날짜를 직접 확인하는 것 말고 방법이 없습니다.

반대 방향의 안심 요소도 있습니다. 대부분의 개인 프로젝트는 최소 위험에 속하고, 그 칸에 대해서는 공식 페이지가 "AI법이 규칙을 두지 않는다"고 명시합니다. 겁먹기 전에 내 서비스가 어느 칸인지부터 보는 게 순서입니다.

한국 개발자에게 적용되나 — 두 경로에서 못 찾았습니다

이게 한국에서 서비스를 만드는 사람에게 가장 중요한 질문입니다. EU에 법인도 없고 서버도 없는데 내 앱을 유럽 사람이 쓰면 대상인가. 두 공식 페이지를 다 읽었지만 역외 적용 조건이 적힌 문장을 찾지 못했습니다.

⚠️ 제가 확인한 범위와 못 찾은 것

연 경로는 유럽위원회 보도자료와 규제 프레임워크 정책 페이지 둘입니다. 여기서 못 찾은 항목은 이렇습니다.

• EU 밖 개발자·회사에 적용되는 조건 — 어떤 경우에 대상이 되는지
• 벌금 액수 — AI 사무국이 과징금을 부과할 수 있다고만 적혀 있고 금액은 없습니다
• 공급자와 배포자의 구분 — 만든 쪽과 갖다 쓰는 쪽 중 누가 의무를 지는지
• 유예 기간 — 8월 2일에 바로 집행인지, 계도 기간이 있는지

그래서 "적용 안 된다"가 아니라 "이 두 경로에서 못 찾았다"고 씁니다. 두 문서 모두 규정 원문과 별도 상담 창구로 넘기고 있으니, 실제로 판단이 필요한 분은 그쪽을 보셔야 합니다. 이 습관을 왜 들였는지는 문서가 안 열린다고 없다고 쓰면 안 됩니다에 적어 뒀습니다.

참고로 서비스 지역이 갈리는 문제는 이 블로그에서 한 번 겪었습니다. 전 세계에 무료로 풀렸다는 영상 AI가 한국은 적용 지역에서 빠져 있던 경우였는데, 규제는 그 반대 방향으로도 작동합니다 — 내가 그 나라에 없어도 그 나라 사용자를 받으면 걸릴 수 있는 구조요. 다만 이번 건은 그 조건을 제가 확인하지 못했습니다.

🚫 이 글은 법률 자문이 아닙니다

저는 개발자이지 법률가가 아닙니다. 이 글은 공식 문서에 적힌 문장과, 제가 못 찾은 것을 갈라 놓은 기록입니다. 실제로 서비스를 운영하며 판단이 필요하다면 규정 원문과 전문가 확인이 필요합니다. 특히 얼굴·목소리를 다루거나 채용·신용·교육 같은 영역에 걸친다면 더 그렇습니다.

📰 2차 출처에만 있는 것들

검색하면 나오지만 제가 공식 문서에서 확인하지 못한 내용도 정리해 둡니다. 참고는 하되 근거로 쓰지는 마세요.

떠도는 내용	제 확인 결과
8월 2일에 고위험 요건·적합성 평가·CE 마킹까지 발효	공식 페이지는 고위험 준수를 2027년 12월 2일로 적음
캘리포니아는 생성형 AI 개발자에게 학습 데이터 공개를 요구하며 본사 위치를 안 따진다	📰 2차만. EU 문서와 별개 사안이라 이번에 1차 확인 안 함
조직 78%가 준비 안 됨, 대기업 대응 비용 수백억 원	📰 2차만. 조사 주체와 표본을 못 찾음

🗺️ AI 지출 전체 지도

규제 대응도 결국 비용입니다. 무료로 시작해서 결제하고 상한을 걸고 회사로 넘어가기까지, 순서대로 묶어 둔 지도가 있습니다.

AI 지출 완전 정복 — 7단계 지도 보기 →

🔁 「한국 개발자에게 적용되나」의 답은 국내법 쪽에 있었습니다

본문에서 유럽 법이 한국 개발자에게 적용되는지를 두 경로로 찾다 못 찾았다고 적었는데, 정작 국내 AI 기본법이 2026년 7월 21일부터 시행 중입니다. 고지와 생성물 표시 의무는 이미 확정이고, 같은 법에 공공 조달 기술점수 1.5점을 주는 제품·서비스 확인 제도까지 함께 들어 있습니다. 다만 「영향이 큰 AI」의 범위와 과태료는 여전히 고시 대기라, 인터넷에 도는 수치 요약은 입법예고 초안이 섞여 있으니 원문으로 확인하세요.

🔁 국내법은 구조가 다릅니다 — 등급 대신 문턱

유럽 쪽이 위험 등급을 촘촘히 나눠 등급마다 의무를 붙이는 방식이라면, 국내법은 문턱 몇 개를 세우고 계도 기간으로 완충하는 모양입니다. 「영향이 큰가」와 「많이 학습했는가」가 서로 다른 잣대이고, 내부 업무용만 쓰면 고지 의무에서 빠지는 예외도 있습니다. 과태료 상한은 3천만 원으로 유럽 쪽보다 훨씬 낮지만 시정명령 불이행이 따로 걸립니다. 둘 다 해당되는 서비스라면 각각 확인하셔야 합니다.

자주 묻는 것

Q. 개인이 만든 토이 프로젝트도 대상인가요?

대부분은 최소 위험 칸에 들어가고, 그 칸에는 AI법이 규칙을 두지 않는다고 공식 페이지가 적었습니다. 다만 챗봇을 붙였다면 투명성 쪽은 따로 봐야 합니다. 그리고 EU 밖 개발자에게 어떤 조건으로 적용되는지는 제가 확인하지 못했습니다.

Q. 챗봇에 문구 한 줄 넣으면 되나요?

보도자료가 요구하는 건 "사람이 아니라 AI를 상대하고 있음을 알리는 것"입니다. 형식이나 문구 위치를 지정하지는 않았습니다. 어떻게 보여야 충분한지는 별도 지침 문서 쪽으로 넘기고 있어서, 이 보도자료만으로는 판단하기 어렵습니다.

Q. 기계 판독 표시는 어떻게 붙이나요?

규격 이름이 이 두 문서에 없습니다. 지금 인터넷에 도는 "이렇게 하면 된다"는 글들은 대부분 추정이거나 업계 관행입니다. 저도 확인하지 못했으니 이 글을 근거로 구현하지 마세요. 실천 강령과 지침 문서가 나온 뒤에 다시 보는 게 맞습니다.

Q. 회사에서 AI를 도입 중인데 뭘 먼저 봐야 하나요?

규제보다 먼저 계약서와 데이터 조항일 가능성이 큽니다. 개인 요금제에는 없는 조항이 무엇인지는 저작권 소송을 막아준다는 그 조항에, 보안 검토 질문지에 답할 때 확인할 것은 데이터가 한국에 남는지에 정리해 뒀습니다.

✨ 정리하면

8월 2일에 시작된 건 집행과 투명성 의무입니다. 챗봇은 AI라고 밝히고, 딥페이크는 라벨을 달고, AI로 만든 콘텐츠에는 기계가 읽을 표시를 붙이라는 것. 고위험 요건은 2027년 12월 2일이라고 공식 페이지에 적혀 있습니다.

정작 한국 개발자에게 제일 중요한 역외 적용 조건과 벌금 액수는 두 공식 경로에서 못 찾았습니다. 그러니 "안 걸린다"고도 "걸린다"고도 쓰지 않겠습니다. 지금 할 수 있는 건 내 서비스가 네 칸 중 어디인지 보고, 챗봇이 있다면 고지 문구부터 확인하는 것까지입니다.

📎 출처와 주의

• 1차 확인 — 유럽위원회 공식 보도자료(8월 2일 집행 개시·투명성 세 항목)와 규제 프레임워크 정책 페이지(위험 4등급·고위험 준수 2027년 12월 2일·AI 사무국 권한)에서 2026년 8월 15일에 직접 확인했습니다. 인용한 영문 문장은 원문 그대로입니다.
• 못 찾은 것 — EU 밖 적용 조건, 벌금 액수, 공급자와 배포자의 구분, 유예 기간, 기계 판독 표시의 규격. "없다"가 아니라 이 두 경로에서 못 찾았다는 뜻입니다.
• 📰 2차 출처만 — "8월 2일에 고위험 요건까지 발효", 캘리포니아 학습 데이터 공개 의무, 조직 78% 미대응과 대응 비용 추정치. 표에 따로 표시해 뒀습니다.
• 법률 자문이 아닙니다. 개발자가 공식 문서를 읽고 정리한 글이며, 실제 판단에는 규정 원문과 전문가 확인이 필요합니다.
• 규제는 조항마다 적용 시점이 다르고 지침이 추가로 나옵니다. 결정 전에 반드시 최신 원문을 다시 확인하세요.