EU AI 법 고위험 AI 준수 체크리스트 7단계와 2026년 옴니버스 유예 타임라인 총정리
바쁜 현대인을 위한 3줄 요약
- 유럽 시장에 서비스를 배포한다면 EU AI 법 고위험 AI 준수 체크리스트 기준으로 위험 등급을 먼저 조회하고 7단계 필수 요건을 점검하십시오.
- 2026년 8월 2일에는 제50조 투명성 의무가 발효되었으며, 디지털 옴니버스 개정에 따라 부속서 III 고위험 의무는 2027년 12월 2일로 조정되었습니다.
- 자연인 프로파일링이 포함되거나 기존 모델을 파인튜닝해 배포하는 경우 자체 면제 판단을 멈추고 법률 및 적합성 평가 전문가 검토로 전환하십시오.
유럽연합 거주자를 대상으로 웹이나 앱 서비스를 운영한다면 EU AI 법 고위험 AI 준수 체크리스트 기준으로 자사 시스템의 규제 대상 여부를 명확히 판별해야 합니다. 특히 2026년 8월 2일 기점으로 즉시 시행된 제50조 투명성 규정과 디지털 옴니버스(AI Digital Omnibus) 발효로 인해 적용 시점이 조정된 EU AI 법 고위험 AI 준수 체크리스트 일정을 혼동하는 실무자가 많습니다. 이 글에서는 공식 법령 조항과 유럽연합 서비스 데스크 문서를 바탕으로 사업자 역할별 필수 이행 절차와 시점별 대응 기준을 상세히 정리해 드립니다.
내 서비스도 대상일까? 고위험 AI 분류 구조와 사전 체크리스트
유럽연합 인공지능법(EU AI Act) 제6조는 고위험 AI 시스템을 크게 두 가지 경로로 분류하며, 자사 기능이 어디에 속하는지 파악하는 작업이 EU AI 법 고위험 AI 준수 체크리스트 첫 번째 단계입니다. 첫 번째는 제6조 제1항에 따른 부속서 I(Annex I) 영역으로, 의료기기, 체외진단기기, 승강기, 산업용 기계, 민간 항공기, 자동차처럼 기존 유럽연합 조화 안전 법령에 따라 제3자 적합성 평가를 거치는 제품의 안전 부품으로 작동하거나 그 제품 자체인 인공지능입니다. 두 번째는 제6조 제2항에 따른 부속서 III(Annex III) 영역으로, 원격 생체인식 및 감정 인식, 디지털·물리적 중요 인프라 관리, 교육 및 직업훈련 입학·평가, 채용 선발 및 근로자 인사 관리, 개인 신용점수 산정 및 생명·건강보험 심사 등 필수 민간·공공 서비스 접근, 법집행, 이주·망명·국경 통제, 사법 행정 및 민주적 선거 절차 등 8대 핵심 분야에 투입되는 독립형 시스템입니다.
동일한 고위험 시스템을 다루더라도 법적 의무의 범위는 자사가 모델을 직접 설계·개발해 자기 상표로 시장에 출시하는 제공자(Provider, 제16조)인지, 아니면 외부 솔루션을 도입해 자사 권한 아래 업무나 대고객 서비스에 운영하는 배포자(Deployer, 제26조)인지에 따라 뚜렷하게 나뉩니다. 비유하자면 자동차를 설계하고 안전 인증을 받아 출고하는 완성차 제조사의 책임이 제공자 의무이고, 출고된 차량을 구매해 승객을 태우면서 일일 정비와 운행 기록을 관리하는 택시 운송사업자의 책임이 배포자 의무인 셈입니다. 본격적인 기술 문서 작업에 착수하기 전에 아래 EU AI 법 고위험 AI 준수 체크리스트 사전 점검 항목을 통해 자사 서비스의 법적 위치부터 진단해 보시기 바랍니다.
- 유럽 역외 적용(제2조 제1항) 해당 여부: 본사와 서버가 한국 등 유럽연합 외부에 있더라도, AI 시스템이 생성한 산출물(채용 합격 점수, 대출 심사 결과, 고객 응대 데이터 등)이 유럽연합 역내에서 사용되는지 EU AI 법 고위험 AI 준수 체크리스트 기준으로 확인합니다.
- 부속서 III 8대 고위험 영역 매핑 여부: 이력서 자동 필터링, 온라인 시험 감독 및 성적 채점, 개인 신용도 평가, 긴급 구조 우선순위 배정 등 시민의 건강, 안전, 기본권과 직결된 의사결정에 관여하는지 점검합니다.
- 사업자 지위(제16조 제공자 vs 제26조 배포자) 구분: 자체 이름으로 AI 모델을 시장에 내놓는 제공자인지, 글로벌 기업의 API나 상용 소프트웨어를 호출해 내부 프로세스에 적용하는 배포자인지 정의합니다.
- 제25조 가치사슬 책임 전환 발생 여부: 초기에는 단순 배포자였더라도 이미 출시된 고위험 AI 시스템에 자사 상표를 부착하거나, 원래 설계되지 않은 고위험 목적으로 시스템을 실질적으로 변경(Substantial Modification)했는지 대조합니다.
- 제50조 4대 투명성 의무 중복 해당 여부: 고위험 등급 해당 여부와 상관없이 인간과 직접 상호작용하는 AI(챗봇), 합성 오디오·이미지·비디오·텍스트 생성 기능, 감정 인식·생체 범주화 기능, 딥페이크 생성 기능이 포함되어 있는지 함께 파악합니다.
EU AI 법 고위험 AI 준수 체크리스트 7단계 실전 조치
사전 분류에서 고위험 영역과의 연관성이 확인되었다면 법령이 요구하는 기술적·관리적 통제 수단을 단계별로 구축하는 과정이 필요합니다. 아래에 정리한 EU AI 법 고위험 AI 준수 체크리스트 7단계는 유럽연합 집행위원회 산하 서비스 데스크의 공식 기준과 제9조부터 제49조까지의 핵심 조문을 실무 실행 순서로 구조화한 절차입니다.
1단계~3단계: 공식 등급 판별 및 위험·데이터 거버넌스 수립
가장 먼저 유럽연합 집행위원회가 운영하는 EU AI Act Service Desk 공식 컴플라이언스 체커에 접속해 자사 시스템의 법적 지위를 객관적으로 판별합니다. 이 공식 진단 도구는 EU AI 법 고위험 AI 준수 체크리스트 작성 시 운영 주체의 역할, 적용 산업군, 예외 조항 해당 여부를 단계별 질문 형태로 입력받아 적용 조문을 도출해 주며, 판별 직후에는 제9조(위험관리)와 제10조(데이터 거버넌스) 체계를 수립하는 것이 원칙입니다.
- 1단계 (공식 Compliance Checker 실행 및 AI 인벤토리 구축): 사내에서 운영 중이거나 출시 예정인 모든 AI 기능의 입력 데이터 종류, 알고리즘 목적, 출력 결과의 활용 부서를 인벤토리 대장으로 정리한 뒤 공식 체커에 대입해 판정 결과서를 아카이빙합니다.
- 2단계 (제9조 전 주기 위험관리 시스템 구축): 시스템이 의도된 목적(Intended Purpose)대로 작동할 때뿐만 아니라 합리적으로 예측 가능한 오남용(Reasonably Foreseeable Misuse) 상황에서 발생할 수 있는 건강, 안전, 기본권 침해 위험을 식별하고 위험 제거·완화 테스트 기록을 남깁니다.
- 3단계 (제10조 학습·검증·테스트 데이터 거버넌스 확보): 모델 개발에 투입되는 데이터셋의 설계 가정, 원천 수집 절차, 지리적·행동적·기능적 대표성을 점검하고, 건강·기본권에 부정적 영향을 미치거나 불법적 차별을 유발할 수 있는 편향성(Bias) 검출 및 완화 조치를 문서화합니다.
4단계~7단계: 기술 문서화, 로깅, 인간 감독 및 EU 데이터베이스 등록
데이터와 위험관리 체계가 잡혔다면 유럽 시장감시 당국이 요청할 때 즉시 제출할 수 있는 증빙 문서를 작성하고 시스템 내부에 추적 및 통제 장치를 마련할 차례입니다. 특히 제11조에 따른 부속서 IV(Annex IV) 기술 문서 작성과 제43조 적합성 평가는 EU AI 법 고위험 AI 준수 체크리스트 중에서도 시장 출시 전에 반드시 마쳐야 하는 핵심 절차입니다. 비유하자면 식품을 유통하기 전에 원재료 배합비와 위생 공정 기록서를 꼼꼼히 작성해 식약처 해썹(HACCP) 인증 마크를 받는 과정과 같은 원리입니다.
- 4단계 (제11조 부속서 IV 기술 문서 작성 및 제17조 품질경영시스템 편입): 시스템의 일반 설명, 하드웨어·소프트웨어 상호작용 방식, 개발 방법론 및 시스템 아키텍처, 검증에 쓰인 데이터셋 명세, 정확도·견고성·사이버보안 측정 지표(제15조)를 부속서 IV 규격에 맞춰 작성하고, 이를 제17조 품질경영시스템(QMS) 정책 아래 출시 후 10년간 보관(제18조)합니다.
- 5단계 (제12조 및 제19조·제26조 제6항 자동 로깅 및 최소 6개월 보관): 시스템 가동 기간, 참조 데이터베이스, 입력 데이터 대조 결과, 확인 작업을 수행한 자연인 식별 정보가 자동으로 기록되도록 설계하고, 제공자와 배포자 모두 통제 권한 아래 생성된 로그를 최소 6개월 이상 안전하게 보존합니다.
- 6단계 (제14조 및 제26조·제27조 인간 감독자 지정 및 기본권 영향 평가): 자동화 편향(Automation Bias)을 인지하고 AI 출력을 기각하거나 정지 버튼(Stop button)으로 시스템을 안전한 상태에서 즉시 멈출 수 있는 적격 담당자를 지정합니다. 아울러 공공기관, 공공 서비스 제공 민간 기업, 개인 신용점수 산정 및 생명·건강보험 심사 시스템을 운영하는 배포자는 첫 가동 전 제27조 기본권 영향 평가(FRIA) 6대 항목(프로세스 설명, 사용 기간·빈도, 영향받는 집단, 구체적 위해 위험, 인간 감독 조치, 위험 발생 시 내부 거버넌스 및 구제 절차)을 평가해 시장감시 당국에 통보합니다.
- 7단계 (제43조 적합성 평가, 제48조 CE 마킹 및 제49조 EU DB 등록): 내부 통제(부속서 VI) 또는 지정 인증기관(Notified Body, 부속서 VII) 심사를 거쳐 제47조 EU 적합성 선언서를 발행하고 CE 마크를 부착합니다. 이후 시장 출시 또는 서비스 투입 전에 제49조에 따라 유럽연합 통합 데이터베이스에 제공자 및 시스템 정보를 최종 등록합니다.
고위험 AI 7단계 준수 준비 체크리스트와 제6조 제3항 면제 조건 판별하는 법
부속서 III의 8대 영역에 연관된 기능을 다룬다고 해서 모든 인공지능이 예외 없이 무거운 고위험 의무를 부담하는 것은 아닙니다. 법령 제6조 제3항은 해당 시스템이 자연인의 건강, 안전 또는 기본권에 중대한 위해를 끼치지 않고 의사결정 결과에 실질적 영향을 주지 않는 4가지 보조적 조건 중 하나 이상을 충족할 경우 고위험 분류에서 면제될 수 있도록 길을 열어 두고 있습니다. 따라서 EU AI 법 고위험 AI 준수 체크리스트 실무 적용 시에는 제6조 제3항의 면제 요건과 자사의 역할(제공자·배포자)을 먼저 대조해 불필요한 인증 비용을 아끼는 전략이 중요합니다.
하지만 실무자가 가장 경계해야 할 절대 기준은 바로 자연인 프로파일링(Profiling of natural persons) 면제 불가 원칙입니다. 제6조 제3항 마지막 문단에 따라, 인공지능이 개인의 업무 성과, 경제적 상태, 건강, 개인적 선호도, 관심사, 신뢰도, 행동, 위치나 이동 경로를 분석·예측하기 위해 개인정보를 자동 처리(GDPR 제4조 제4호 정의에 따른 프로파일링)한다면 앞서 말한 4가지 보조 작업에 해당하더라도 면제 조항이 즉시 무효화되며 항상 고위험 AI로 간주됩니다. 또한 프로파일링이 없어 적법하게 고위험 면제 판정을 내린 제공자라 하더라도, EU AI 법 고위험 AI 준수 체크리스트 규정에 따라 시스템 출시 전에 면제 근거 평가서를 문서화해 보관하고 제49조 제2항에 따라 유럽연합 데이터베이스에 경량 등록을 마쳐야 하는 의무는 그대로 유지됩니다.
아래 판단표는 EU AI 법 고위험 AI 준수 체크리스트 7단계 항목별로 어떤 조건에서 면제가 성립하는지, 그리고 제공자(제16조)와 배포자(제26조)가 각각 수행할 실무 과제가 무엇인지 대조해 판별할 수 있도록 설계한 도구입니다.
| 점검 단계 및 법적 근거 | 세부 판별 조건 및 확인 기준 | 제공자(Provider, 제16조) 필수 조치 | 배포자(Deployer, 제26조) 필수 조치 | 비고 및 인용 구분 |
|---|---|---|---|---|
| 사전 면제 판별 (제6조 제3항 및 제49조 제2항) | 부속서 III 해당 시스템 중 ①좁은 절차적 작업 수행 ②인간이 이미 완료한 활동의 결과 개선 ③인간의 사전 평가 없이 기존 의사결정 패턴의 편차만 단순 감지 ④영향 평가의 사전 준비 작업 중 하나에 해당하는가? (단, 자연인 프로파일링 수행 시 무조건 면제 불가) | 프로파일링이 없고 4대 조건 충족 시 면제 근거 평가서 작성·보관(국가 관할 당국 요청 시 제출) 및 출시 전 제49조 제2항 EU DB 등록 이행 | 제공자가 발행한 등급 분류 및 사용 지침 확인 (단, 배포자가 임의로 프로파일링 용도로 개조·사용 시 제공자 책임 전환) | 공식 문서 명시 |
| 1단계: AI 인벤토리 및 공식 진단 (제6조) | 부속서 I(제품 안전 부품) 또는 부속서 III(생체인식·중요 인프라·교육·채용·필수 서비스·법집행·이주·사법 등 8대 영역)에 포함되는가? | 시스템의 의도된 목적(Intended Purpose) 확정 및 EU AI Act Compliance Checker 진단 결과서 보관 | 사내 도입 AI 도구 인벤토리 작성 및 유럽연합 역내 거주자 대상 산출물 활용 여부 점검 | 공식 문서 명시 |
| 2단계: 위험관리 시스템 (제9조) | 시스템 수명 주기 전반에 걸쳐 건강·안전·기본권 위해 요소를 식별하고 완화 테스트를 거쳤는가? | 반복적·지속적 위험 식별·평가·완화 프로세스 구축 및 출시 전 목표 성능 임계값 검증 | 제공자의 사용 지침(Instructions for use)에 명시된 위험 통제 조건 준수 및 중대 사고 발생 시 즉시 통보(제26조 제5항) | 공식 문서 명시 |
| 3단계: 데이터 거버넌스 (제10조 및 제26조 제4항) | 학습 데이터와 실제 운영 중 입력되는 데이터가 목적에 부합하고 편향성이 통제되는가? | 학습·검증·테스트 데이터셋의 통계적 대표성 확보, 편향성(Bias) 검출 및 결측치 보정 절차 문서화 | 배포자가 입력 데이터를 직접 통제하는 경우, 해당 입력 데이터가 시스템의 의도된 목적과 관련성·대표성을 갖도록 관리 | 공식 문서 명시 |
| 4단계: 기술 문서 및 QMS (제11조·제17조·부속서 IV) | 시스템 아키텍처, 알고리즘 논리, 검증 지표가 부속서 IV 규격에 맞춰 문서화되었는가? | 부속서 IV 기술 문서 작성, 품질경영시스템(QMS) 구축 및 시장 출시 후 10년간 문서 보관(제18조) | 제공자로부터 투명성 정보(제13조) 및 사용 지침서 수령·보관 (배포자 자체 QMS 구축 의무는 없음) | 공식 문서 명시 |
| 5단계: 자동 로깅 및 보관 (제12조·제19조·제26조 제6항) | 가동 시간, 참조 DB, 입력 대조 기록이 자동 생성되며 법정 보존 기간을 충족하는가? | 자동 이벤트 로그 생성 기능 탑재 및 제공자 통제 권한 범위 내 로그 최소 6개월 이상 보관(제19조) | 배포자 통제하에 자동 생성된 시스템 운영 로그를 임의 삭제하지 않고 최소 6개월 이상 보관(제26조 제6항) | 공식 문서 명시 |
| 6단계: 인간 감독 및 영향 평가 (제14조·제26조·제27조) | AI 결정을 기각·중단할 수 있는 담당자가 있으며, 근로자 고지 및 기본권 평가가 완료되었는가? | 배포자가 직관적으로 개입·중단할 수 있는 기술적 조치(정지 버튼 등)를 시스템에 내장하여 제공 | 적격 역량·권한을 갖춘 인간 감독자 지정, 사업장 도입 시 근로자 대표 사전 고지, 대상 기관인 경우 제27조 기본권 영향 평가(FRIA) 수행 | 공식 문서 명시 |
| 7단계: 적합성 평가 및 DB 등록 (제43조·제48조·제49조) | 출시 전 적합성 선언, CE 마킹 부착, 유럽연합 데이터베이스 등록을 완료했는가? | 적합성 평가 완료 후 EU 적합성 선언서(10년 보관) 작성, CE 마킹 부착, 제49조 제1항 EU DB 등록 | 도입 시스템의 CE 마킹·DB 등록 여부 확인 후 가동, 공공기관 또는 대행 기관 배포자는 제49조 제3항에 따라 자체 EU DB 등록 수행 | 공식 문서 명시 |
| 실무 점검 팁: 외부 API 파인튜닝 시 책임 전환 (제25조) | 범용 AI(GPAI) API를 호출해 자체 데이터로 파인튜닝한 뒤 채용·신용평가 서비스로 출시하는가? | 원천 모델 개발사는 GPAI 제공자 의무(제53조)를 지며, 하위 사업자에게 준수에 필요한 기술 정보 협조 제공 | 일반 목적 시스템을 고위험 목적으로 변경하거나 실질적 개조를 가한 배포자는 제25조에 따라 즉시 제공자(제16조) 지위로 전환되어 1~7단계 전부를 직접 이행 | 공식 문서 외 일반 사례 |
2026~2028년 규제 발효 시점별 의무 대조표와 위반 한계선 판단 기준
2026년 하반기 현재 실무 현장에서 가장 빈번하게 나타나는 착오는 초기 입법 당시의 일정표만 보고 모든 고위험 AI 규제가 2026년 8월 2일에 일괄 시행되었다고 단정하거나, 반대로 고위험 의무 연기 소식만 듣고 지금 당장 지켜야 할 투명성 의무까지 방치하는 것입니다. 유럽연합 AI Act 공식 시행 타임라인과 유럽연합 집행위원회가 발효시킨 디지털 옴니버스(AI Digital Omnibus) 개정 규칙을 교차 확인하면, 이미 효력이 발생해 단속 대상인 조문과 준비 기간이 연장된 조문이 명확히 구분됩니다.
가장 핵심적인 분기점은 제50조 투명성 의무(4대 상황별 AI 사용 고지 및 워터마크 표시)는 연기 없이 2026년 8월 2일에 정식 발효되어 현재 전면 시행 중이라는 사실입니다. 반면 조화 표준(Harmonised Standards) 마련과 적합성 평가 기관 지정 일정을 고려한 디지털 옴니버스 개정에 따라, 부속서 III 독립형 고위험 AI 시스템의 의무 적용일은 기존 2026년 8월 2일에서 2027년 12월 2일로 조정되었으며, 부속서 I 제품 안전 부품 고위험 AI는 기존 2027년 8월 2일에서 2028년 8월 2일로 조정되었습니다. 따라서 EU AI 법 고위험 AI 준수 체크리스트 바탕으로 사내 로드맵을 짤 때는 아래 통합 대조표를 참고해 단계별 리소스를 배분하시기 바랍니다.
| 발효 시점 및 구분 | 적용 대상 및 관련 조문 | 핵심 의무 사항 요약 | 디지털 옴니버스 개정 반영 상태 | 위반 시 과징금 상한 (제99조·제101조 기준 / 출처 구분) |
|---|---|---|---|---|
| 2025년 2월 2일 (시행 중) | 금지된 AI 관행 (제5조) 및 AI 리터러시 (제4조) | 잠재의식 조작 기법, 취약계층 착취, 사회적 점수 매기기(Social Scoring), 직장·교육기관 내 감정 추론, 무차별 안면인식 DB 스크래핑 전면 금지 및 임직원 AI 리터러시 확보 의무 | 유예 없음 (전면 시행 중) | 제99조 제3항 기준 최대 3,500만 유로 또는 전 세계 연간 매출액의 7% 중 높은 금액 (공식 문서 명시) |
| 2025년 8월 2일 (시행 중) | 범용 AI 모델 (GPAI, 제51조~제55조) 및 거버넌스·처벌 규정 | 범용 모델 제공자의 기술 문서 작성·제공, 학습 데이터 EU 저작권법 준수 정책 수립 및 학습 데이터 요약본 공개, 시스템적 위험 모델(누적 연산량 10^25 FLOPs 이상) 적대적 테스트 및 사고 보고 | 유예 없음 (시행 중, 2025년 8월 2일 이전 출시 기존 모델은 2027년 8월 2일까지 유예) | 제101조 제1항 기준 GPAI 제공자 위반 시 최대 1,500만 유로 또는 전 세계 연간 매출액의 3% (공식 문서 명시) |
| 2026년 8월 2일 (시행 중) | 특정 AI 시스템 4대 투명성 의무 (제50조 제1항~제4항) 및 규제 샌드박스 (제57조) | ①인간과 직접 상호작용하는 AI(챗봇 등) 사전 고지(제1항) ②합성 오디오·이미지·비디오·텍스트에 기계 판독 가능 워터마크 삽입(제2항) ③감정 인식·생체 범주화 시스템 작동 사실 개인 고지(제3항) ④딥페이크 및 공익 사안 AI 생성·조작 텍스트 공개(제4항) | 제50조 투명성 의무는 2026년 8월 2일 정상 발효되어 시행 중 (2026년 8월 2일 이전 출시 시스템의 제50조 제2항 기술적 워터마크 구현에 한해 일부 경과조치 적용) | 제99조 제4항 기준 최대 1,500만 유로 또는 전 세계 연간 매출액의 3% 중 높은 금액 (공식 문서 명시) |
| 2027년 12월 2일 (옴니버스 조정) | 부속서 III 독립형 고위험 AI 시스템 (제6조 제2항, 제16조, 제26조, 제27조) | 생체인식, 중요 인프라, 교육, 채용, 필수 민간·공공 서비스(신용·보험), 법집행, 이주, 사법 등 8대 영역 고위험 AI의 위험관리, 데이터 거버넌스, 부속서 IV 기술 문서, 6개월 로깅, 인간 감독, FRIA, 적합성 평가 및 EU DB 등록 | 기존 2026년 8월 2일에서 디지털 옴니버스 발효에 따라 2027년 12월 2일로 의무 적용 연기 (표준 및 지원 도구 조기 완비 시 집행위 결정으로 앞당겨질 수 있음) | 제99조 제4항 기준 최대 1,500만 유로 또는 전 세계 연간 매출액의 3% 중 높은 금액 (중소기업·스타트업은 둘 중 낮은 금액 적용, 공식 문서 명시) |
| 2028년 8월 2일 (옴니버스 조정) | 부속서 I 제품 안전 부품 고위험 AI (제6조 제1항) | 의료기기, 체외진단기기, 산업용 기계, 장난감, 승강기, 항공, 자동차 등 기존 EU 조화 안전 입법 대상 제품에 내장된 AI 안전 부품의 제3자 적합성 평가 및 통합 인증 | 기존 2027년 8월 2일에서 디지털 옴니버스 발효에 따라 2028년 8월 2일로 최종 적용일 조정 | 제99조 제4항 기준 최대 1,500만 유로 또는 전 세계 연간 매출액의 3% 중 높은 금액 (공식 문서 명시) |
과징금 수치를 검토할 때는 원문 발행 주체인 유럽연합 공식 법령 제99조(Penalties)와 제101조(GPAI Fines)의 산정 구조를 정확히 구분할 필요가 있습니다. 유럽연합 AI Act 제99조 벌칙 규정에 따르면 일반 기업은 정액 상한(금지 AI 3,500만 유로, 고위험·투명성 의무 위반 1,500만 유로, 당국에 부정확하거나 오도하는 정보 제출 시 제99조 제5항에 따라 750만 유로)과 전 세계 연간 매출액 비율(7%, 3%, 1%) 중 더 높은 금액을 부과받지만, 중소기업(SME)과 스타트업에 한해서는 두 기준 중 더 낮은 금액을 상한선으로 적용하는 특례가 보장됩니다. 다만 구체적인 과징금 부과 절차는 유럽연합 각 회원국의 국가 관할 당국이 위반의 성격, 지속 기간, 고의성 및 피해 규모를 종합해 집행하므로 회원국별 국내 이행 입법에 따라 세부 집행 기준은 달라질 수 있습니다.
마지막으로 일반 기획·개발 실무자가 사내에서 EU AI 법 고위험 AI 준수 체크리스트 문서만 가지고 자체 판단을 내리면 안 되며, 즉시 내부 해석을 멈추고 유럽연합 역내 대리인(Authorized Representative, 제22조) 선임 및 법률·인증 기관 검토로 전환할 한계선 기준은 아래 3가지입니다.
- 직장 및 교육기관 내 감정 추론 기능이 조금이라도 포함된 경우: 순수한 의료나 안전 목적(운전자 졸음 감지 등)이 아님에도 직원이나 학생의 카메라 영상·음성 톤으로 감정 상태를 추론한다면 고위험 등급이 아니라 제5조 제1항 (f)호의 금지된 AI에 해당하므로 즉시 해당 모듈을 제거하는 조치가 필수입니다.
- 부속서 III 영역에서 자연인 프로파일링이 결합된 경우: 채용 서류의 단순 오탈자 검수나 고객 상담 텍스트 요약 수준을 넘어, 지원자의 합격 순위를 매기거나 개인의 신용·보험 위험도를 자동 점수화(Scoring)한다면 EU AI 법 고위험 AI 준수 체크리스트 상의 제6조 제3항 면제가 원천 차단되므로 정식 적합성 평가와 제27조 기본권 영향 평가 절차를 준비하시기 바랍니다.
- 유럽연합 역내에 지사나 법인이 없는 한국 제공자인 경우: 제22조 제1항에 따라 유럽연합 외부에 설립된 제공자는 고위험 AI 시스템을 유럽 시장에 출시하기 전에 반드시 유럽연합 내에 설립된 대리인(Authorized Representative)을 서면 위임으로 지정해 기술 문서 보관과 당국 협조를 맡겨야 하므로 단독 서류 작업만으로는 적법한 출시가 불가능합니다.
지금까지 정리한 EU AI 법 고위험 AI 준수 체크리스트 핵심은 2026년 8월 발효된 제50조 4대 투명성 고지 및 기계 판독 워터마크 의무를 현재 서비스에 즉시 반영하고, 디지털 옴니버스 개정으로 확보된 2027년 12월 2일 기한 전까지 부속서 IV 기술 문서와 6개월 자동 로깅 체계를 완성하는 것입니다. 더 다양한 최신 IT·인공지능 실무 가이드는 애프터워크팁스(afterworktips) 메인 아카이브에서 이어서 확인하실 수 있으며, 자사 서비스가 개인정보 프로파일링을 수행하거나 외부 범용 모델을 파인튜닝해 배포하는 구조라면 자체 면제 해석을 멈추고 유럽연합 지정 대리인 및 법률 전문가의 정밀 진단을 받으시기 바랍니다. 오늘 바로 유럽연합 공식 컴플라이언스 체커에 자사 AI 기능 인벤토리를 대입해 첫 번째 등급 판정 결과서부터 확보해 보십시오(2026년 11월 1일 유럽연합 AI Act Service Desk 공식 문서 및 디지털 옴니버스 개정 기준).
