EU AI Act 디지털 옴니버스: 고위험 AI 준수 기한이 2027년 12월로 바뀐다

핵심 요약

2026년 6월 16일, 유럽의회가 EU AI Act 디지털 옴니버스를 가결했다. 5월 7일 EU 이사회·의회 협상단이 합의에 이른 지 40일 만의 표결이다. 이제 이사회 정식 채택 표결 한 번이 남았다. 표결이 통과되면 관보 게재 3일 후 발효된다.

핵심 변화는 하나다. Annex III에 해당하는 독립형 고위험 AI 시스템의 준수 기한이 2026년 8월 2일에서 2027년 12월 2일로 16개월 연장된다. 채용 시스템, 입학 심사 AI, 원격 생체인식 등이 여기 해당한다. 다만 이사회 채택과 관보 게재를 거쳐 발효되기 전까지 법적 구속력은 없다. 공식 관보에 실릴 때까지 원래 8월 2일 기한은 그대로다.

관련 글: 미국 초당파 연방 AI 법안 초안: 3년 주법 유예, 프론티어 기업 감사 의무화

디지털 옴니버스가 바꾼 세 가지

1. 기한 연장: Annex III와 Annex I

고위험 AI는 크게 두 갈래로 나뉜다.

Annex III가 받은 16개월 유예는 단순한 배려가 아니다. 독립형 AI 시스템은 제품 안전 인증 체계 밖에 있어 준수 의무를 어떻게 이행할지 지침 자체가 불분명했다. 유럽위원회가 5월 19일 고위험 AI 분류 가이드라인 초안(Annex I·III 포함)을 공개했고, 이에 대한 이해관계자 의견 수렴이 진행 중이다. 지침도 확정되지 않은 상황에서 8월을 그대로 밀어붙이기는 어려웠다.

2. 새로운 금지 행위 두 가지

기한 연장과 함께 금지 행위 목록이 늘었다.

• 비동의 성적 이미지 생성 AI: 실존 인물의 성적 이미지를 동의 없이 생성·조작하는 AI 시스템(이른바 누디파이 앱)의 출시·사용 금지
• 아동 성착취물(CSAM) 생성 AI: CSAM을 생성·조작하는 AI 시스템 금지

두 금지 행위는 2026년 12월 2일까지 유예 기간이 있다. 기존 금지 행위 목록(2025년 2월 발효)에 추가되는 형태다.

3. 단순화와 중복 제거

EU 입법자들은 옴니버스를 통해 제품 안전 규정과의 중복을 줄이고(기계류 규정 적용 AI는 부문별 규정으로 일원화), 중소기업 특례를 소형 중견기업까지 넓히는 조항도 넣었다. 합의 문안은 이사회 문서로 공개돼 있고, 최종 조문은 관보 게재본으로 확정된다.

Annex III 고위험 AI: 어떤 시스템이 해당하나

Annex III의 범위는 넓다. 여덟 개 영역에 걸쳐 구체적인 시스템 유형을 나열한다.

채용 분야가 특히 중요하다. HR 담당자를 돕는 이력서 스크리닝 도구, 채용 인터뷰 분석 플랫폼, 직원 생산성 모니터링 시스템이 원칙적으로 여기 해당한다. EU에서 직원을 고용하거나 서비스를 제공하는 기업이라면 반드시 확인해야 한다.

단, 유럽위원회 가이드라인 초안은 학습 중 피드백을 주는 지능형 튜터나 오류를 바로잡아 주는 언어 학습 앱처럼 최종 성적이나 진로 결정에 쓰이지 않는 학습 지원 도구는 고위험으로 보지 않는다고 설명했다.

바뀌지 않은 것들: 이미 시행 중인 규정

옴니버스가 미룬 건 고위험 AI 기한(Annex III·Annex I)과 기존 생성형 AI의 워터마킹 의무(2026년 12월 2일까지) 같은 일부 세부 의무다. 아래 두 층은 이미 살아있다.

1. 금지 행위 (2025년 2월 2일 발효)

소셜 스코어링 AI, 서브리미널 기법을 쓰는 조작 AI, 연령·장애 등 취약성을 악용하는 AI, 직장·학교에서의 감정 인식 AI 등은 작년부터 이미 금지다. 옴니버스는 이 기존 금지 목록은 그대로 두고 새 금지 행위만 더했다.

2. GPAI 모델 규정 (2025년 8월 2일 발효)

범용 AI(GPAI) 모델 제공업체는 이미 작년 8월부터 투명성 의무와 저작권 준수 의무를 지고, 시스템적 위험이 있는 모델은 위험 평가 의무까지 진다. GPT-5, Gemini, Claude 같은 프론티어 모델이 해당하며, 이 의무는 이번 옴니버스로 바뀌지 않는다. GPAI 자율 준수 코드(Code of Practice)는 2025년 7월 공개된 자발적 프레임워크다.

지금 이 순간의 현실

유럽의회 가결(6월 16일) 이후 남은 절차는 이사회 정식 채택 표결이다. Covington 등 로펌은 6월 최종 승인, 7월 관보 게재를 예상한다. 원래 8월 2일 기한 전까지 관보에 게재해야 일정이 맞기 때문이다.

문제는 공식 발효 전까지 법적 의무는 여전히 원래 기한(2026년 8월 2일)을 따른다는 점이다. 이사회 표결이 늦어지거나 예상치 못한 차질이 생기면 기업들은 8월 2일 기준으로 준수를 평가받을 수 있다.

위반 시 제재 수준은 높다. 고위험 AI 시스템 의무 위반은 €1,500만 또는 전 세계 연 매출의 3% 중 높은 쪽까지 부과될 수 있고, 금지 행위 위반은 €3,500만 또는 7%까지 올라간다. EU 시장에서 운영되는 비EU 기업도 적용 대상이다.

전망

이번 연장이 반가운 기업이 있고 그렇지 않은 기업이 있다.

반긴다: HR 테크, 에듀테크, 채용 플랫폼처럼 이미 EU 시장을 겨냥하고 있지만 아직 준수 인프라가 부족한 기업들이다. 특히 규정 준수 팀이 작은 스케일업에게 16개월은 상당한 여유다.

반기지 않는다: 시민사회·인권 단체들이다. 시민자유단체 Liberties는 의회 가결 직후 옴니버스가 AI Act의 기본권 보호를 약화하고 핵심 조항의 집행을 늦춘다고 비판했다.

장기적으로 이번 옴니버스는 EU AI Act가 계속 진화하는 법체계임을 보여준다. 2024년 제정된 지 2년 만에 첫 개정이 마무리 단계에 들어섰다. 이후에도 고위험 AI 분류 가이드라인 확정(올해 말 목표), 기술 표준 마련 등 후속 작업이 이어진다. EU에서 AI를 운영하는 기업이라면 단기 기한 준수보다 지속적으로 업데이트되는 규제 트랙킹 체계를 갖추는 게 더 중요해진다.

참고

• EU 이사회: Council and Parliament agree to simplify and streamline AI rules
• EU AI Act 구현 타임라인
• Global Policy Watch: EU AI Act Update: Timeline Relief, Targeted Simplification, and New Prohibitions
• Dastra: New Omnibus Agreement: How the EU AI Act changes
• iubenda: Parliament adopts the AI Omnibus, Council sign-off next
• Hunton: European Commission Releases Draft Guidelines on High-Risk AI under the EU AI Act
• EU AI Act Annex III · Article 5 · Article 99
• Liberties: AI Omnibus: Fast-Tracking Deregulation, Weakening Digital Rights