유럽 매출 있으면 역외 기업도 규제권
2026년 11월 현재 유럽연합(EU)의 인공지능(AI) 법은 더 이상 먼 규제 일정표가 아니다. 한국 기업이 서울에서 개발한 챗봇, 의료 보조 소프트웨어, 인사 평가 알고리즘이라도 그 결과물을 유럽 고객이 쓰면 규제망 안으로 들어간다. 핵심은 유럽에 법인이 있느냐가 아니다.
AI 시스템의 산출물이 EU 내에서 쓰이느냐가 기준이다. 이 변화는 유럽 수출 기업의 법무 이슈를 넘어 제품 설계, 데이터 거버넌스, 투자 우선순위를 다시 짜게 만드는 산업 비용의 재편이다. 2026년 7월 개정으로 일부 마감일은 늦춰졌지만 기업이 안심할 공간은 크지 않다.
금지 조항과 AI 리터러시 관련 의무는 2025년 2월부터 이미 적용에 들어갔고, 일반 목적 인공지능(AI) 규칙은 2025년 8월부터 효력을 발했다. 투명성 규칙과 법의 상당 부분은 2026년 8월 2일부터 적용 단계에 들어갔다.
고위험 AI 시스템 의무만 독립형은 2027년 12월 2일, 규제 제품 내장형은 2028년 8월 2일로 미뤄졌다. 이 연기는 'EU 규정 2026/1744', 즉 디지털 옴니버스(Digital Omnibus)로 불리는 개정 패키지를 통해 이루어졌다.
일정 유예는 규제 후퇴가 아니라 기업에 내부 통제 체계를 구축할 시간을 추가로 준 조정으로 읽어야 한다. 산업 관점에서 가장 큰 변화는 규제의 적용 범위다.
EU AI 법은 EU 외부 제공자와 배포자라도 결과물이 EU에서 사용되면 적용 대상으로 삼는다. GIG, shattered.io, TechGDPR, Lewis Silkin LLP 등 전문 매체의 2026년 11월 10일 보도에 따르면, EU 고객에게 서비스를 제공하는 스위스 기업도 해당될 수 있다.
한국 소프트웨어 기업, 제조업체, 헬스케어 스타트업도 같은 논리에서 적용 대상이 될 수 있다. 유럽에 직접 지사를 세우지 않아도 유럽 고객사, 현지 파트너, 클라우드 기반 서비스 공급망을 통해 규제 의무가 발생할 수 있다.
광고
이 지점에서 AI 법은 국경을 넘는 디지털 서비스의 수출 인증 장벽으로 작동한다. 기술 자체가 아니라 위험도를 기준으로 삼는 구조도 기업 전략을 바꾼다. EU AI 법은 AI 시스템을 금지, 고위험, 투명성 의무, 최소 위험이라는 4단계로 나눈다.
같은 생성형 인공지능(AI)이라도 사용처가 고객 상담인지, 채용 평가인지, 의료기기 보조 기능인지에 따라 비용 구조가 달라진다. 한국 기업 입장에서는 모델 성능 경쟁만으로는 유럽 시장에서 충분하지 않다.
제품 기획 단계에서 어떤 위험 범주에 속하는지 판단하고, 문서화·모니터링·인적 감독 요건을 가격 정책에 반영해야 한다. 규제를 뒤늦게 검토하면 출시 일정이 밀리고, 현지 유통 파트너와의 계약도 흔들릴 수 있다. 고위험 AI 시스템의 마감일 연기는 단기 부담을 낮추는 효과가 있다.
독립형 고위험 시스템은 2027년 12월 2일, 규제 제품에 내장된 시스템은 2028년 8월 2일까지 시간이 생겼다. 하지만 이 유예는 개발비 절감보다 투자 순서 조정에 가깝다.
의료, 산업 장비, 교통, 채용, 금융 심사처럼 고위험 분류 가능성이 큰 영역에서 사업을 하는 기업은 지금부터 데이터 품질 관리, 로그 기록, 위험 관리, 설명 가능성 문서를 제품 개발 체계 안에 넣어야 한다. 2027년 말에 맞춰 문서를 사후 작성하는 방식은 제품 아키텍처를 다시 건드릴 가능성을 키운다.
유예 기간을 연구개발(R&D) 연장으로만 해석하면 비용은 뒤로 밀릴 뿐 사라지지 않는다.
고위험 유예가 준 투자 재배치 시간
새로 추가된 금지 조항은 생성형 AI 산업에 더 직접적인 제약을 건다. 동의 없는 음란 또는 성적으로 노골적인 이미지 생성·조작, 아동 성적 학대 자료 생성은 금지 대상에 포함됐다. 이 조항은 2026년 12월 2일부터 적용된다.
이미지 생성 모델, 편집 도구, 소셜 플랫폼, 게임 제작 도구를 운영하는 기업은 필터링과 신고 대응만으로 충분하다고 보기 어렵다.
광고
서비스 약관, 프롬프트 차단, 콘텐츠 탐지, 사용자 제재, 기록 보존 체계를 함께 설계해야 한다. 특히 기업 간 거래(B2B)용 도구라도 최종 사용자가 어떤 방식으로 산출물을 만들 수 있는지 검증해야 계약 리스크를 줄일 수 있다. 합성 콘텐츠 표시 의무는 생성형 AI 시장의 원가 구조를 바꾼다.
생성형 AI 시스템 제공자는 합성 콘텐츠를 기계가 판독할 수 있는 방식으로 표시해야 한다. 2026년 8월 2일 이전에 시장에 출시된 시스템에는 2026년 12월 2일까지 유예 기간이 주어졌다. 이는 단순한 워터마크 문구 삽입 문제가 아니다.
콘텐츠가 이미지, 음성, 영상, 텍스트로 확장될수록 표시 기술과 탐지 기술, 메타데이터 관리, API 연동 체계가 필요하다. 중소 AI 기업에는 이 비용이 매출총이익률을 압박할 수 있다. 반대로 규제 대응 기능을 제품화한 보안·컴플라이언스 기업에는 새 수요가 생긴다.
벌금 규모는 경영진이 이 문제를 법무팀에만 맡길 수 없게 만든다. 위반 시 최대 3,500만 유로 또는 전 세계 매출의 7%에 해당하는 벌금이 부과될 수 있다. 3,500만 유로라는 정액 상한도 크지만, 글로벌 매출의 7%라는 비율은 대기업에 더 큰 압박을 준다.
매출이 큰 플랫폼, 제조사, 클라우드 사업자는 유럽 내 AI 기능 하나의 오류가 그룹 차원의 재무 리스크로 번질 수 있다. 투자자 관점에서도 유럽 매출 비중이 있는 AI 기업의 기업가치 평가에는 규제 준비 비용, 출시 지연 가능성, 벌금 리스크를 반영해야 한다. 반론도 있다.
고위험 의무 마감일이 뒤로 밀렸고, 유럽연합 이사회가 데이터 보호, 개인정보 보호, 사이버 보안 규칙 일부를 간소화하는 제안에 합의했기 때문에 규제 부담이 완화됐다는 해석이다. 일정이 늦춰진 것은 사실이다.
그러나 핵심 규칙은 유지됐다.
광고
금지 조항, AI 리터러시, 일반 목적 AI 규칙, 투명성 의무는 이미 적용됐거나 2026년 중 적용 단계에 들어갔다. 기업이 체감할 변화는 규제 철회가 아니라 시행 속도의 재조정이다.
유예를 이유로 투자를 미루는 기업은 2027년 이후 인증, 문서화, 고객 실사 요구가 한꺼번에 몰릴 때 더 비싼 비용을 치를 수 있다. 한국 기업에 필요한 대응은 거창한 선언보다 제품별 분류 작업이다.
유럽 고객에게 제공하는 AI 기능을 목록화하고, 각 기능이 금지·고위험·투명성 의무·최소 위험 중 어디에 가까운지 먼저 가려야 한다. 이어 데이터 출처, 모델 업데이트 기록, 사용자 고지 방식, 사람이 개입하는 절차를 계약서와 기술 문서에 연결해야 한다.
특히 소프트웨어를 완제품에 내장해 수출하는 제조사는 AI 기능을 부가 기능으로 취급하면 안 된다. 제품 인증, 사이버 보안, 개인정보 보호 체계와 AI 규제를 한 묶음으로 관리해야 유럽 납품 협상에서 시간을 줄일 수 있다.
본지 분석에 따르면, 위험 분류표를 사내 공유 문서로 만들어 제품 관리자·데이터 책임자·법무·영업팀이 동일한 기준으로 의사결정을 내리는 구조가 가장 효율적인 출발점이다.
합성콘텐츠 표시가 새 원가 변수
이번 변화는 AI 산업 생태계의 수익 배분도 흔든다. 본지 분석에 따르면, 대형 클라우드와 모델 제공자는 규제 대응 도구를 표준 패키지로 묶어 고객 이탈을 막는 방향으로 움직일 가능성이 크다.
반면 애플리케이션 기업은 고객별 위험 분류와 문서 요구를 직접 떠안는 구조가 된다. 스타트업에는 부담이지만, 동시에 기회도 있다.
합성 콘텐츠 표시, 모델 모니터링, 데이터 계보 관리, AI 리터러시 교육, 고위험 시스템 문서화 같은 영역은 독립 솔루션 시장으로 커질 여지가 있다. 유럽 규제를 단순 비용으로만 보는 기업은 방어에 머물지만, 이를 제품 기능으로 전환하는 기업은 규제를 영업 언어로 활용할 수 있다.
필자는 EU AI 법을 유럽의 지역 규제로만 해석하는 접근이 한국 기업에 가장 위험하다고 본다.
광고
EU는 개인정보보호규정(GDPR) 때처럼 시장 접근 조건을 통해 글로벌 표준을 만들려 한다. 이번 AI 법도 같은 경로를 밟을 가능성이 있다.
글로벌 고객사는 공급업체에 EU 수준의 AI 관리 체계를 요구할 수 있고, 투자자는 규제 대응 능력을 기술 실사의 일부로 볼 수 있다. AI 성능이 구매 결정을 이끌던 국면에서 벗어나, 규제 설명 가능성과 운영 통제가 매출 전환율을 좌우하는 단계로 산업이 이동하고 있다. 따라서 한국 기업은 2026년 11월 현재 남은 유예 기간을 비용 절감의 여백이 아니라 사업 모델을 재설계할 시간으로 써야 한다.
유럽 매출이 작더라도 글로벌 고객과 거래한다면 같은 요구를 받을 수 있다. 법무 검토는 출발점일 뿐이다. 제품 관리자, 데이터 책임자, 보안 조직, 영업팀이 같은 위험 분류표를 공유해야 한다.
AI 법은 규제를 잘 피하는 기업보다 규제를 제품 신뢰의 일부로 흡수하는 기업에 유리한 환경을 만든다. 한국 AI 기업이 유럽 시장에서 가격 경쟁을 넘어 신뢰 경쟁으로 전환할 준비를 갖추는 것, 그것이 2027년 이후 성장의 갈림길이 될 것이다. ※ 이 기사는 GIG, shattered.io, TechGDPR, Lewis Silkin LLP, European Union의 2026년 11월 10일 보도 및 자료를 참조하여 작성하였다.
FAQ
Q. 한국 기업이 유럽에 법인이 없어도 EU AI 법 적용을 받을 수 있나?
A. 적용을 받을 수 있다. EU AI 법은 제공자나 배포자가 EU 밖에 있더라도 AI 시스템의 결과물이 EU 안에서 사용되면 규제 대상으로 본다. GIG, shattered.io, TechGDPR, Lewis Silkin LLP 등 전문 매체의 2026년 11월 10일 보도에 따르면, EU 고객에게 서비스를 제공하는 스위스 기업도 해당될 수 있다는 점이 대표적 사례다. 한국 기업은 유럽 고객사, 현지 파트너, 클라우드 서비스 경로를 통해 자사 AI 기능이 EU에서 쓰이는지 먼저 확인해야 한다. 확인이 완료되면 해당 기능의 위험 분류를 거쳐 계약서에 의무 이행 조항을 삽입하는 순서로 대응하는 것이 현실적이다.
Q. 2026년 7월 개정(디지털 옴니버스)으로 기업 부담이 실제로 줄었나?
A. 일부 고위험 AI 시스템의 마감일이 늦춰졌다는 점에서 단기 일정 부담은 줄었다. EU 규정 2026/1744에 따라 독립형 고위험 시스템은 2027년 12월 2일, 규제 제품 내장형은 2028년 8월 2일로 의무 적용 시점이 조정됐다. 그러나 금지 조항, AI 리터러시, 일반 목적 AI 규칙, 투명성 의무는 이미 2025년 2월~2026년 8월 사이에 순차적으로 발효됐다. 기업은 유예를 투자 보류 사유가 아니라 내부 통제와 문서화 체계를 앞당겨 정비할 시간으로 활용해야 하며, 2027년 말에 모든 준비를 몰아서 하려다 제품 아키텍처를 재설계해야 하는 더 큰 비용을 치를 수 있다는 점을 유의해야 한다.
Q. 생성형 AI 기업이 가장 먼저 점검해야 할 항목은 무엇인가?
A. 합성 콘텐츠 표시 의무와 금지 콘텐츠 통제 체계를 가장 먼저 확인해야 한다. 생성형 AI 제공자는 합성 콘텐츠를 기계 판독 가능한 방식으로 표시해야 하며, 2026년 8월 2일 이전 출시 시스템도 2026년 12월 2일까지 대응해야 한다. 동의 없는 성적 이미지 생성·조작과 아동 성적 학대 자료 생성은 같은 날짜부터 적용되는 금지 조항에 포함됐다. 기업은 프롬프트 차단, 산출물 표시, 사용자 신고, 로그 보존, 계약 조항을 하나의 운영 체계로 묶어 설계해야 하며, B2B 도구라도 최종 사용자의 산출물 생성 방식을 계약 조건으로 통제하지 않으면 공동 책임 리스크가 발생할 수 있다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
