EU AI Act 적용 일정 · 기업 준비사항 · ISO/IEC 42001
EU AI Act 적용 일정 2026~2028, 기업은 무엇을 확인해야 할까요?
내용 업데이트:
2026년 8월 2일부터 EU AI Act의 투명성 의무(제50조)가 적용되기 시작했습니다. 고위험 AI 규정은 2026년 7월 발효된 개정(AI 옴니버스)으로 2027년 12월 2일과 2028년 8월 2일로 늦춰졌습니다.
모든 AI에 같은 의무가 같은 날 적용되는 것은 아닙니다. 기업은 자사 AI의 용도와 위험, 그리고 자사가 제공자인지 배포자인지에 따라 적용되는 의무와 시점을 확인해야 합니다.
EU AI Act 적용 일정 한눈에 보기
| 시점 | 적용되는 내용 |
|---|---|
| 2024년 8월 1일 | EU AI Act 발효 |
| 2025년 2월 2일 | 금지되는 AI 관행, AI 리터러시 관련 규정 적용 |
| 2025년 8월 2일 | 범용 AI(GPAI) 모델 의무, 거버넌스 규정 적용 |
| 2026년 7월 27일 | AI 옴니버스(개정) 발효 — 고위험 AI 적용 연기, 중소·중견기업 부담 완화, AI 리터러시 규정 간소화 등 |
| 2026년 8월 2일 | 투명성 의무(제50조) 적용 — AI와 대화 중임을 알리기, AI 생성 콘텐츠 표시, 딥페이크 고지 등 |
| 2026년 12월 2일 | 2026년 8월 2일 전에 출시된 생성형 AI 시스템의 기계 판독 가능한 표시 유예 종료, 동의 없는 성적 이미지 생성 등 신규 금지 조항 적용 |
| 2027년 12월 2일 | 부속서 III 고위험 AI(채용, 교육, 신용평가, 생체인식 등 특정 용도) 규정 적용 |
| 2028년 8월 2일 | 부속서 I 고위험 AI(승강기, 완구 등 EU 제품 규제 대상에 들어가는 AI) 규정 적용 |
출처: EU 집행위원회 — AI Act 안내, EU 집행위원회 — AI 옴니버스 발효 안내. 확인일 2026년 10월 1일. 위 표는 학습용 요약이며, 개별 시스템의 적용 범위와 예외·경과조치는 원문과 전문가 검토로 확인해야 합니다.
한국 기업도 해당되나요?
EU AI Act는 기업이 어디에 있는지보다 AI를 EU 시장에 내놓거나 EU에서 사용하는지를 기준으로 적용 여부를 봅니다. 한국 기업이라도 EU 고객에게 AI 제품·서비스를 제공하거나, AI의 결과물이 EU에서 쓰인다면 적용 대상인지 확인해야 합니다. 먼저 자사의 역할부터 정리합니다.
ISO/IEC 42001은 어디까지 도움이 되나요?
규정을 확인한 뒤에는 그 요구사항을 누가 맡고, 어떤 절차로 실행하며, 이행 여부를 무엇으로 확인할지 정해야 합니다. 이용자 고지가 필요하다면 안내 문구와 표시 위치를, 사람의 감독이 필요하다면 검토 기준과 개입 권한을, 문제 대응이 필요하다면 담당자와 보고 절차를 실제 업무에 연결하는 일입니다.
ISO/IEC 42001은 이런 활동을 AI 경영시스템으로 관리하는 기준으로 활용할 수 있습니다. 다만 EU AI Act의 법적 의무를 대신하지 않으며, 인증을 받았다고 법규 준수가 자동으로 인정되지는 않습니다. 어떤 의무가 적용되는지는 법률 검토로 따로 확인해야 합니다.
이 글에서는 EU AI Act 대응을 실제 업무에 연결하는 관점에서 누가 AI의 결과를 검토하는지, 언제 개입할 수 있는지, 어떤 기록으로 운영 상태를 확인하는지 살펴봅니다. ISO/IEC 42001 심사에서 확인할 질문과 해설 영상, AI 거버넌스와 글로벌 규제 동향 강의자료(PDF)도 함께 제공합니다.
AI 운영 점검 · 책임과 권한 · 실행 증거
EU AI Act 대응, 실제 업무에서는 무엇으로 확인하나요?
적용되는 의무를 확인했다면, 그 의무가 실제 업무에서 지켜지고 있는지를 기록으로 확인해야 합니다. 누가 결과를 검토하고, 어떤 상황에서 개입하며, 문제가 생겼을 때 어떻게 조치했는지가 이어져야 정책이 실행되고 있다고 판단할 수 있습니다.
예를 들어 내부 지침에 “AI 결과는 담당자가 검토한다”고만 적혀 있다면, 무엇을 어떤 기준으로 보고, 결과를 고치거나 사용을 보류할 권한이 누구에게 있는지 알 수 없습니다. 담당자마다 다르게 처리하게 되고, 나중에 무엇을 했는지 설명하기도 어렵습니다.
누가 판단하고, 어떤 권한으로 개입하나요?
AI의 사용 목적과 위험에 맞춰 검토·승인이 필요한 지점을 정하고, 담당자가 결과를 수정하거나 사용을 보류할 권한이 있는지 확인합니다.
확인할 기록: 역할·권한 정의, 승인 기준, 실제 승인 또는 보류 기록
사람의 검토가 실제 판단으로 이어졌나요?
검토자가 AI의 한계와 판단 기준을 이해하고, 필요한 정보와 시간을 확보했는지 봅니다. 검토에서 발견한 문제와 후속 조치를 함께 확인합니다.
확인할 기록: 검토 기준, 교육·역량 기록, 검토 의견과 판단 근거
발견한 문제가 조치와 개선으로 이어졌나요?
잘못된 답변이나 개인정보 노출 같은 문제가 생겼을 때, 담당자가 영향을 확인하고 조치했는지, 같은 문제가 반복되지 않는지 봅니다.
확인할 기록: 문제 접수·운영 로그, 조치 결과, 재검증 기록
기록이 있다는 사실만으로 운영이 효과적이라고 단정할 수 없고, 설명이 부족하다는 이유만으로 곧바로 문제가 있다고 단정해서도 안 됩니다. 질문 → 증거 확인 → 요구사항과 대조한 판단의 순서로 확인합니다.
HUMAN OVERSIGHT · 사람의 감독
사람의 감독(Human Oversight)은 어떻게 확인하나요?
EU AI Act는 고위험 AI를 사람이 효과적으로 감독할 수 있도록 설계하게 하고(제14조), 이를 사용하는 배포자에게는 필요한 역량과 권한을 가진 사람에게 감독을 맡기도록 요구합니다(제26조). 고위험 AI 규정은 2027년 12월부터 적용되지만, 감독 구조를 만들고 기록이 쌓이기까지는 시간이 걸리므로 지금부터 준비하는 것이 현실적입니다.
| 확인할 질문 | 확인할 기록 | 자주 보이는 공백 |
|---|---|---|
| 어떤 경우에 AI 결과를 사람에게 넘기나요? | 검토 대상·기준, 예외 처리 조건 | “사람이 확인한다”는 선언만 있고 조건이 없음 |
| 검토자는 결과를 고치거나 멈출 수 있나요? | 권한 정의, 보류·중단 기록 | 검토자는 있지만 멈출 권한이 없음 |
| 검토자는 AI의 한계를 알고 있나요? | 교육 기록, 판단 가이드 | AI 결과를 그대로 승인하는 관행 |
| 문제가 생기면 누구에게, 어떻게 보고하나요? | 보고 경로, 사고 기록, 시정조치 | 현장에서 고치고 기록을 남기지 않음 |
ISO/IEC 42001 심사에서도 같은 질문으로 사람의 감독이 실제로 작동하는지 확인합니다. 조항별 심사 질문은 ISO/IEC 42001 요구사항 정리에서 이어서 볼 수 있습니다.
실제 사례로 보기 · UiPath 사례: AI 에이전트와 사람의 개입 · 식품안전정보원 사례: AI 서류 검토와 사람의 확인
글로벌 AI 규제 · 무료 공개 강의자료
EU AI Act와 AI 거버넌스, PDF로 함께 정리해 보세요
EU AI Act의 법적 요구사항과 ISO/IEC 42001의 관리체계는 역할이 다릅니다. 두 내용을 연결해 이해하려면 규제가 정하는 의무와 조직이 실행할 관리 활동을 구분해 살펴보는 것이 좋습니다.
국제AI교육원은 ISO/IEC 42001 인공지능경영시스템 심사원보 양성과정의 「AI 거버넌스와 글로벌 규제 동향」 강의자료를 학습과 실무 이해를 위해 무료로 공개합니다.
실제 제공되는 PDF 표지와 다를 수 있습니다.
무료 PDF · 국제AI교육원 제공
AI 거버넌스와 글로벌 규제 동향
글로벌 규제의 차이부터 조직의 책임과 운영 과제까지, 주요 내용을 강의 슬라이드로 살펴볼 수 있습니다.
- AI 윤리·법적 규제·거버넌스의 관계
- EU AI Act의 주요 규율과 적용 일정
- 미국·EU·한국의 AI 규제 접근 비교
- ISO/IEC 42001을 활용한 조직의 실무 과제
- 휴먼 오버사이트와 사람의 검토·판단·개입
실제 강의 일부 공개
EU AI Act와 AI 거버넌스, 강의로 먼저 확인해 보세요
국제AI교육원 ISO/IEC 42001 과정의 온라인 선행학습 일부입니다. AI 거버넌스, 사람의 감독, 책임 구조, 운영 통제가 어떻게 연결되는지 설명합니다. 과정의 방향과 강의 방식을 직접 보고 판단하실 수 있도록 공개합니다.
영상: EU AI Act와 AI 거버넌스 이해 — ISO/IEC 42001 과정 온라인 선행학습 일부
과정에서는 SaaS 서비스, 생성형 AI 운영 조직 같은 사례를 바탕으로 인터뷰 질문, 증거 해석, 부적합 판단을 이어서 연습합니다. 어떤 과정이 맞는지는 ISO/IEC 42001 심사원 경로 안내에서 확인할 수 있습니다.
ISO/IEC 42001 과정
규정을 아는 것과, 실제로 작동하는지 확인하는 것은 다릅니다
EU AI Act가 무엇을 요구하는지 아는 것만으로는 조직 안에서 그 요구가 지켜지는지 판단하기 어렵습니다. 국제AI교육원 ISO/IEC 42001 과정은 책임 구조, 사람의 감독, 운영 기록을 질문과 증거로 확인하는 방법을 실제 사례로 연습합니다.
FAQ · 적용 일정과 기업 준비사항
EU AI Act와 ISO/IEC 42001, 자주 묻는 질문
2026년 8월 2일부터 EU AI Act의 모든 규정이 적용되나요?
아닙니다. 2026년 8월 2일부터 적용된 것은 투명성 의무(제50조) 등입니다. 2026년 7월 발효된 개정(AI 옴니버스)에 따라 부속서 III의 고위험 AI 규정은 2027년 12월 2일, 규제 제품에 들어가는 고위험 AI 규정은 2028년 8월 2일부터 적용됩니다.
AI 옴니버스로 무엇이 바뀌었나요?
고위험 AI 규정의 적용 시점이 늦춰졌고, 중소기업 특례가 소규모 중견기업까지 넓어졌으며, AI 리터러시 규정이 간소화되었습니다. 동의 없는 성적 이미지 생성 등을 금지하는 조항이 새로 추가되어 2026년 12월 2일부터 적용됩니다. 개정은 2026년 7월 27일 발효되었습니다.
한국 기업도 EU AI Act의 적용을 받나요?
기업의 소재지가 아니라 AI를 EU 시장에 출시하거나 EU에서 사용하는지, AI의 결과물이 EU에서 쓰이는지를 기준으로 봅니다. EU 고객에게 AI 제품·서비스를 제공한다면 한국 기업도 적용 대상인지 확인해야 합니다. 구체적인 판단은 법률 검토가 필요합니다.
EU AI Act와 ISO/IEC 42001은 무엇이 다른가요?
EU AI Act는 EU의 법률이고, ISO/IEC 42001은 AI 경영시스템 국제표준입니다. EU AI Act는 적용 대상과 역할에 따른 법적 의무를 정하고, ISO/IEC 42001은 조직이 AI 관련 정책·책임·위험관리·운영·개선을 체계적으로 관리하는 기준입니다.
ISO/IEC 42001 인증을 받으면 EU AI Act도 충족하나요?
인증만으로 EU AI Act 준수가 인정되지는 않습니다. 자사에 적용되는 법적 의무와 이행 상태는 따로 확인해야 합니다. 다만 ISO/IEC 42001에 따른 관리체계는 담당자 지정, 위험관리, 운영 기록, 개선 활동을 통해 법규 대응을 뒷받침할 수 있습니다.
사람의 감독(Human Oversight)은 AI 결과를 사람이 한 번 확인하면 되나요?
확인 표시만으로는 부족합니다. 검토자가 AI의 한계를 이해하고, 필요한 정보와 시간을 확보하며, 결과를 수정하거나 사용을 보류·중단할 권한이 있어야 합니다. 구체적인 방식은 사용 목적과 위험, 적용되는 요구사항에 맞춰 정합니다.
정보 확인 기준: 2026년 10월 1일 · 공식 참고자료: EU 집행위원회 AI Act 안내 · ISO/IEC 42001 표준 소개. 이 글은 교육용 해설이며 법률 자문이 아닙니다.
