미뤄진 의무, 살아남은 의무

EU 이사회가 지난 6월 29일 최종 승인한 '디지털 옴니버스' 개정안은 AI Act 고위험 시스템 의무의 시계를 크게 늦췄습니다. 독립형 고위험 시스템(부속서 III)의 적용 시점은 원래 2026년 8월 2일이었으나 2027년 12월 2일로 16개월 밀렸고, 제품 내장형 고위험 시스템(부속서 I)은 2028년 8월 2일로 늦춰졌습니다.

그러나 제50조 투명성 의무는 이 유예 대상에서 빠졌습니다. 챗봇·음성 에이전트가 사람과 상호작용할 때 AI임을 밝혀야 하는 조항은 원래 일정대로 8월 2일 발효됐고, 유럽 AI청(AI Office)의 집행 권한도 같은 날 가동을 시작했습니다. 고위험 의무 유예 소식만 보고 안심한 팀이라면, 지금 당장 점검이 필요한 항목을 놓치고 있을 가능성이 큽니다.

세 갈래 고지 의무의 실제 내용

실제로 발효된 의무는 세 갈래입니다. 첫째, 사람이 AI 시스템과 대화하고 있다는 사실을 문맥상 명백하지 않은 한 알려야 합니다. 둘째, 합성 오디오·이미지·영상·텍스트는 기계가 인식 가능한 방식으로 AI 생성물임을 표시해야 합니다. 셋째, 딥페이크 콘텐츠는 별도로 라벨링해야 합니다.

다만 8월 2일 이전에 이미 시장에 나와 있던 시스템에 한해, 기계 판독 가능한 표시·탐지 의무만 2026년 12월 2일까지 유예됩니다. 사람에게 직접 고지하는 의무는 이 유예에서 제외되므로 지금 바로 적용됩니다. 위반 과징금은 전 세계 연매출 3% 또는 1,500만 유로 중 큰 금액이고, 집행은 2025년 8월 이후 위반까지 소급될 수 있습니다.

시행일 이후 실무 체크리스트: 챗봇·보이스 에이전트 고지 설계부터 감사까지

EU 시장 이용자에게 서비스를 제공한다면 본사 소재지와 무관하게 이 의무가 적용되므로, 국내 기업도 예외가 아닙니다. 운영팀은 배포 전 목표를 수치로 못박아야 합니다. 전체 대화 세션의 100%에서 첫 응답 이전에 AI 식별 고지가 노출되는지, 사람으로 오인했다는 사용자 신고율이 1% 이하로 유지되는지, 서비스가 지원하는 EU 공식어 전체에서 고지 문구 번역 누락이 0건인지를 배포 게이트 지표로 삼습니다.

흔히 놓치는 실패는 위젯 벤더가 제공하는 기본 스크립트에 고지 문구가 아예 빠져 있거나, 다국어 배포 시 번역 파일 하나가 누락돼 특정 언어권 사용자만 고지를 못 받는 경우입니다. 이런 사고는 배포 파이프라인에 언어별 스냅샷 테스트를 넣어 사전에 걸러야 하며, 테스트가 실패하면 해당 언어 배포만 자동으로 보류하는 축소 배포로 대응합니다.

합성 콘텐츠 마킹 쪽 실패 양상은 다릅니다. 워터마킹 API가 일시 장애를 일으키면 표시 없는 콘텐츠가 그대로 나갈 위험이 있으므로, 마킹 실패 시 콘텐츠 발행을 멈추는 회로차단기를 걸어두고 3회 재시도 후에도 실패하면 사람 검수 큐로 넘기는 백오프 규칙을 운영 문서에 명시해 둡니다.

배포 전 검증에서는 다국어·음성·이미지 세 채널을 각각 시나리오 테스트로 통과시켜야 하고, 로그에는 고지 노출 시각·사용자 동의 여부·워터마킹 성공 여부를 표준 필드로 남깁니다. 대화 로그에 담긴 개인정보는 마스킹 후 보관해, 감사 요청이 들어와도 원본 발화 없이 소명 가능한 구조를 유지합니다.

감사 대응력은 결국 로그 하나로 갈립니다. AI청이 소급 조사에 나서면 2025년 8월 이후 이력을 요구할 수 있으므로, 고지·마킹 이벤트 로그의 보관 기간을 최소 1년으로 잡고 정기 삭제 배치 작업에서 이 로그만 제외 목록에 넣어둡니다. 부속서 III 고위험 의무가 2027년 12월로 밀렸다고 손을 놓을 계제는 아니므로, 매주 규제 변경을 추적하는 담당자를 지정하고 표시·고지 위반 사례가 공개될 때마다 벌금 규모와 위반 유형을 변경 로그에 남겨 다음 분기 우선순위 조정 근거로 씁니다.

한눈에 보는 적용 포인트

고위험 시스템 의무가 2027년 12월과 2028년 8월로 미뤄진 사이에도, 챗봇·음성 에이전트의 AI 고지와 합성 콘텐츠 마킹은 8월 2일부로 실제 효력을 가진 규제입니다. 사람 대상 고지는 유예 없이 지금 적용되고, 기계 판독 표시만 기존 시스템에 한해 12월 2일까지 유예됩니다. 위반 과징금이 매출 3%에 달하는 만큼, 배포 게이트에 고지 노출률과 번역 커버리지를 지표로 넣고 로그 보관 기간부터 늘려두는 조치가 우선입니다.

참고 링크

Council of the EU — Artificial Intelligence: Council gives final green light to simplify and streamline rules (2026-06-29)

European Commission — Transparency obligations under Article 50 of the AI Act