EU AI Act 사용 조직 체크리스트: Deployer 의무와 2026년 개정 일정

2026년 8월 2일이 지났으니 EU AI Act의 모든 의무가 이미 시행됐다고 적으면 틀립니다. 고위험 AI 규칙은 2026년 개정으로 다시 미뤄졌고, 이미 적용 중인 AI 리터러시와 투명성 의무는 별도 일정으로 움직입니다.

조직은 날짜보다 역할, 실제 사용 목적, 적용 조항을 먼저 나눠야 합니다. 공급업체의 “EU AI Act 대응” 표시가 사용 조직의 교육·감독·고지 의무까지 끝내주지는 않습니다.

이 글은 2026년 8월 23일 기준 EU 공식 법령과 집행위원회 자료를 바탕으로 한 일반적인 실무 정보입니다. 특정 조직이나 시스템에 대한 법률 자문이 아닙니다. 실제 적용 여부는 관할 국가의 법률과 감독기관 지침, 개인정보보호·노동·소비자보호 규정을 함께 검토해야 합니다.

현재 적용 일정을 먼저 맞춘다

EU AI Act는 Regulation (EU) 2024/1689로 제정됐고, Regulation (EU) 2026/1744가 고위험 AI 적용 일정과 일부 조항을 변경했습니다. 최초 2024년 PDF만 보면 현재 일정을 잘못 적을 수 있습니다. 검토 기준은 2026년 7월 27일자 통합본입니다.

Regulation (EU) 2024/1689 2026-07-27 통합본 - EUR-Lex

Regulation (EU) 2026/1744 개정 원문 - EUR-Lex

적용일	조직이 확인할 내용
2025년 2월 2일	AI 리터러시와 기존 금지 AI 관행 관련 조항 적용
2025년 8월 2일	일부 거버넌스·범용 AI 모델 관련 조항 적용
2026년 8월 2일	규정의 일반 적용과 제50조 투명성 의무 적용
2026년 12월 2일	2026년 개정으로 추가된 제5조 일부 금지 관행 적용
2027년 12월 2일	제6조 제2항·부속서 III 고위험 AI 규칙 적용
2028년 8월 2일	제6조 제1항·부속서 I 관련 고위험 AI 규칙 적용

마지막 두 날짜는 통합본 제113조에 명시돼 있습니다. 시행이 미뤄졌다고 준비까지 멈출 이유는 없습니다. 시스템 분류, 계약 자료 확보, 로그 설계는 적용일 직전에 끝내기 어렵습니다.

1. 조직의 역할부터 적는다

통합본 제3조 제4호는 deployer를 자신의 권한 아래 AI 시스템을 사용하는 자연인·법인·공공기관·기관 또는 기타 단체로 정의합니다. 순수한 개인적·비직업적 사용은 제외됩니다.

외부 생성형 AI, 채용 서비스, 고객 상담 챗봇을 업무 절차에 넣었다면 계약·승인 주체, 출력이 들어가는 의사결정, 직원과 계약자를 통제하는 주체, 영향을 받는 집단을 시스템마다 기록하세요. 같은 모델도 회의 요약과 지원자 평가에서 분류가 달라질 수 있으므로 제품명 옆에 실제 사용 목적을 남겨야 합니다.

EU 밖의 조직도 확인 대상이 될 수 있다

제2조는 EU 안의 deployer뿐 아니라 제3국의 provider나 deployer가 만든 AI 출력이 EU에서 사용되는 경우도 적용 범위에 포함합니다. 한국 회사라는 이유만으로 자동 제외되지는 않습니다.

EU 지사의 인사 시스템이나 EU에서 업무에 반영되는 출력이 있다면 적용 가능성을 검토해야 합니다. EU 고객이 있다는 사실만으로 모든 시스템에 적용된다고 단정해서도 안 됩니다. 출력의 사용 위치를 확인해야 합니다.

provider로 역할이 바뀌는 순간도 있다

제25조에 따르면 고위험 AI에 자기 이름이나 상표를 붙이거나 중대한 변경을 하고, 원래 목적을 바꿔 고위험 시스템으로 만들면 provider로 간주될 수 있습니다. 자사 브랜드 재판매나 채용·신용·보험 판단으로의 용도 전환이 재검토 신호입니다. 계약서의 명칭만 보지 말고 변경 범위와 intended purpose를 함께 남겨야 합니다.

2. 이미 적용 중인 의무를 확인한다

AI 리터러시

제4조는 provider와 deployer가 직원 및 조직을 대신해 AI를 운영하는 사람의 AI 리터러시 개발을 지원하도록 합니다. 기술 지식, 경험, 훈련, 사용 맥락과 영향을 받는 집단을 고려해야 하며 2025년 2월 2일부터 적용됐습니다.

2026년 개정 통합본은 각 개인이 특정 수준에 도달하도록 보장하는 의무는 아니라고 명시합니다. 그래도 전 직원에게 같은 영상 하나를 보여주는 것으로 끝났다고 단정하기 어렵습니다. 기능과 한계, 자동화 편향, 기밀정보 입력, 결과 거부 권한, 사고 보고를 역할별로 다뤄야 합니다.

AI literacy Questions & Answers - European Commission

집행위원회 사례는 참고 자료이며 그대로 복제한다고 준수 추정이 생기지는 않습니다. 교육 대상, 날짜, 시스템별 위험과 내용을 설명할 기록이 필요합니다.

제50조 투명성

제50조는 2026년 8월 2일부터 적용 중입니다. deployer에게 직접 관련되는 항목은 다음과 같습니다.

감정 인식 또는 생체 분류 시스템에 노출되는 사람에게 작동 사실을 알린다.
AI가 생성·조작한 이미지·음성·영상이 딥페이크라면 그 사실을 공개한다.
공익 사안을 알리기 위해 게시하는 AI 생성·조작 텍스트의 공개 조건을 확인한다.

공익 텍스트는 사람의 검토나 편집 통제를 거쳤고 자연인 또는 법인이 편집 책임을 지는 경우 해당 공개 의무의 예외가 규정돼 있습니다. “직원이 한번 읽었다”만으로 충족됐다고 단정하지 마세요. 검토 절차, 편집 책임자와 게시 승인 기록이 있어야 합니다.

Transparency obligations guidelines - European Commission

3. 고위험 AI 후보를 분류한다

제6조 제1항은 부속서 I 법률이 적용되는 제품에서 AI가 안전 구성요소이거나 제품 자체이고 제3자 적합성 평가가 필요한 경우를 다룹니다.

제6조 제2항과 부속서 III에는 생체인식, 교육, 고용, 필수 서비스, 법 집행, 이민·국경 관리 등의 특정 사례가 포함됩니다. 제6조 제3항은 프로파일링을 하지 않고 결과에 중대한 영향을 주지 않는 제한적 작업 등의 예외 조건도 둡니다.

분류 기록에는 의도된 목적과 실제 목적, 관련 부속서, 프로파일링 여부, 의사결정 영향과 사람의 재검토 권한을 남기세요. 목적이 바뀌면 다시 평가합니다.

4. 제26조를 운영 절차로 바꾼다

고위험 AI deployer 의무는 부속서 III 시스템에 2027년 12월 2일, 부속서 I 관련 시스템에 2028년 8월 2일부터 적용됩니다. 제26조가 요구하는 준비는 구매 확인보다 운영 통제에 가깝습니다.

공급자가 제공한 사용 지침에 맞게 사용하는 기술적·조직적 조치
역량, 훈련, 권한과 지원을 갖춘 자연인의 감독
deployer가 통제하는 입력 데이터의 관련성과 충분한 대표성 확인
지침에 따른 운영 모니터링
위험 발견 시 공급자·유통자·당국 통지와 사용 중단
심각한 사고 발생 시 관련 주체와 당국에 보고

사람 감독자는 결과를 거부하거나 수동 처리로 돌리고 사용을 중단할 권한이 있어야 합니다.

deployer가 통제하는 자동 로그는 의도된 목적에 적절한 기간, 원칙적으로 최소 6개월 보관합니다. 다른 개인정보보호법이나 회원국법의 기간도 확인합니다.

고용주가 직장에서 고위험 AI를 사용하기 전에는 근로자 대표와 영향받는 근로자에게 알려야 합니다. 부속서 III 고위험 AI가 자연인에 관한 결정을 내리거나 보조한다면 해당 개인 고지도 검토 대상입니다.

5. 기본권 영향평가 대상을 좁힌다

제27조의 기본권 영향평가(FRIA)는 모든 deployer의 공통 의무가 아닙니다. 공법상 기관, 공공서비스를 제공하는 민간 주체, 부속서 III의 일부 신용도·생명보험·건강보험 고위험 시스템 deployer 등이 주요 대상입니다.

대상 조직은 최초 사용 전 업무 절차, 사용 빈도, 영향받는 집단, 기본권 위험, 사람의 감독과 불만 처리 절차를 평가합니다. 요소가 바뀌면 갱신합니다. 개인정보 영향평가의 관련 부분을 상호 참조할 수 있지만 두 평가가 항상 같은 것은 아닙니다.

Navigating the AI Act - European Commission

공급업체에 요청할 자료

intended purpose, 금지된 사용과 고위험 분류 근거
사용 지침, 사람 감독 방법과 알려진 한계
자동 로그의 종류, 접근·보관·내보내기 조건
사고 통지 연락처와 모델 변경 사전 통지 방식

“준수 예정”이라는 답에는 날짜와 산출물을 다시 물어야 합니다. 필요한 로그를 내보낼 수 없는 문제는 계약 후에 발견하기엔 늦습니다.

조직용 체크리스트

시스템별 목적, 영향받는 대상과 조직 역할을 기록했다.
EU 내 사용 또는 출력 사용 흐름을 확인했다.
금지 관행, 제50조와 고위험 분류 근거를 점검했다.
역할별 AI 리터러시 조치를 운영한다.
감독자에게 검토·거부·중단 권한을 부여했다.
사고 통지와 최소 6개월 로그 보관 가능성을 확인했다.
근로자·대상자 고지와 FRIA 대상 여부를 확인했다.
모델, 목적, EU 범위가 바뀌면 재평가한다.

이 글의 한계

첫째, 같은 AI도 사용 사례에 따라 분류가 달라집니다. 제품명과 공급자 설명만으로 역할이나 고위험 여부를 확정할 수 없습니다.

둘째, AI Act는 다른 법률을 대체하지 않습니다. 개인정보, 노동, 차별금지, 소비자보호, 제품안전과 회원국별 규정이 함께 적용될 수 있습니다.

셋째, 집행위원회 지침과 Q&A는 법문을 이해하는 자료이지 구속력 있는 개별 판단이 아닙니다. EUR-Lex 통합본도 문서 편의를 위한 자료이며 진정본은 Official Journal에 공표된 법령 원문입니다.

AI 시스템 목록에서 사용 목적, 조직 역할, EU 연결, 적용일 네 칸을 채워보세요. 빈칸이 남는 시스템부터 법무·개인정보·보안 담당자와 실제 적용 판단을 시작하면 됩니다.