EU AI Act가 집행되기 시작했다 — 미국 수출 규제와 함께 보는 AI 거버넌스 지도

집행의 원년

2026년은 글로벌 AI 거버넌스가 이론에서 집행으로 전환되는 해다. EU AI Act 고위험 AI 규정이 본격 발효되고, 미국 상무부 BIS가 LLM 모델 가중치와 AI 칩 수출을 능력 기반 기준으로 통제하기 시작했다. 한국도 2026년 1월 AI 기본법을 발효시키며 세 번째 주요 규제 축이 형성됐다. 기업의 AI 시스템 설계와 공급망 전략은 이제 규제 준수를 전제로 재편되고 있다.

EU AI Act, 어디까지 왔나

EU AI Act는 2024년 8월 1일 발효됐다. 이후 단계적으로 규정이 적용됐고, 2025년 2월부터 금지 AI 관행 및 AI 리터러시 의무가, 2025년 8월부터는 GPAI(범용 AI) 모델 의무와 거버넌스 규칙이 시행됐다. 2026년 8월 2일은 핵심 전환점으로 Annex III 고위험 AI 시스템(채용, 신용평가, 법 집행 등)의 준수 의무가 본격화된다.

2026년 5월 EU AI Omnibus를 통해 일부 일정이 조정됐다. Annex III 시스템의 완전 준수 기한은 2027년 12월로, 규제 제품에 내장된 Annex I 시스템은 2028년 8월로 연장됐다. 다만 투명성 요건, 감사 로그 의무, 거버넌스 체계 구축은 2026년 기준으로 이미 집행 대상이다.

EU AI Act는 위험 수준에 따라 AI를 4단계로 분류한다.

⤢✕

Annex III가 정의한 고위험 영역은 생체 인식·분류, 핵심 인프라 관리, 교육·직업훈련 판별, 채용·인사관리, 필수 서비스 접근 결정, 법 집행, 이민·망명 판별, 사법·민주 프로세스 등 8개다.

고위험 AI 시스템 제공자는 다음 기술 요건을 충족해야 한다.

감사 로그(Audit Logging)는 시스템 작동 전 기간의 로그를 자동 생성·보존해야 하며, 입력 데이터·의사결정 과정·결과값·인간 감독자의 개입 여부를 포함해야 한다. 최소 보존 기간은 6개월이고 고위험 사례는 더 길다.

설명 가능성(Explainability)은 개인에게 영향을 미치는 자동화 결정에 이해 가능한 설명을 제공해야 하며, 블랙박스 모델은 SHAP·LIME 같은 XAI 기법으로 사후 설명 시스템을 갖춰야 한다.

인간 감독(Human Oversight)은 AI 시스템이 인간의 개입·모니터링·무효화를 지원해야 한다는 요건이다. '인간 루프(Human-in-the-Loop)'가 아니더라도 '인간 온 루프(Human-on-the-Loop)' 수준의 감독 체계는 의무다.

적합성 평가(Conformity Assessment)는 대부분의 Annex III 시스템에서 자체 평가가 가능하지만, 생체 인식·핵심 인프라·법 집행 분야는 공인 기관(Notified Body)의 제3자 평가가 필요하다.

위반 시 최대 1,500만 유로 또는 전 세계 연간 매출의 3% 중 높은 금액의 과징금이 부과된다.

미국은 수출 통제로 대응한다

미국 상무부 산하 BIS(Bureau of Industry and Security)는 2026년 1월 15일 발효된 최종 규칙으로 AI 칩과 모델 가중치 수출 규제를 강화했다. 핵심은 성능 임계값(Performance Threshold) 기반 분류다.

AI 칩은 TPP(Total Processing Performance) 21,000 이상 또는 총 DRAM 대역폭 6,500 GB/s 이상이면 완전 제한 대상이 된다. 이 임계값 미만(Nvidia H200, AMD MI325X 수준)은 사례별 심사를 거쳐 엄격한 조건을 충족하면 허가받을 수 있다.

새로운 외국직접생산물규칙(FDPR)은 LLM 모델 가중치에도 적용된다. 미국산 집적회로, 서버, 컴퓨팅 장비를 이용해 훈련·파인튜닝·양자화된 외국 생산 AI 모델 가중치도 EAR(수출관리규정) 적용 대상이 된다.

사례별 심사로 허가를 받으려면 4가지 조건을 모두 충족해야 한다.

⤢✕

이 4가지 조건은 공급망 우선순위 확인, 최종 구매자 준수 이력, 독립적 보안 테스트 통과, 최종 사용자에 대한 철저한 신원 확인을 포함한다. 중국·마카오 향 수출은 거부 추정(Presumption of Denial)에서 사례별 심사로 전환됐지만 실질적 허가 기준은 여전히 엄격하다.

BIS는 향후 훈련 연산량(FLOP) 기반 LLM 능력 분류를 도입할 예정이다. 10의 26승 FLOPs를 초과하는 훈련에 사용된 모델은 고위험 AI 모델로 분류돼 추가 수출 제한을 받을 수 있다. GPT-4, Claude 3, Gemini Ultra 수준의 모델이 그 대상이다.

규제 체계를 나란히 놓고 보면

⤢✕

EU AI Act는 위험 기반 규제(Risk-Based Approach) 접근법으로 사전 적합성 평가를 의무화하는 가장 강력한 규제 모델이다. 제품 책임법과 연계된 민사 책임 체계도 함께 구축돼 있으며, 최대 3% 매출 과징금이 EU 내 서비스 모든 기업에 적용된다.

미국 EO 14110 + NIST AI RMF는 의무가 아닌 자발적 프레임워크 중심이지만 연방 조달에서는 사실상 의무로 작동한다. AI 안전 연구, 레드팀 테스트, 투명성 보고에 초점을 두며 2026년 현재 구속력 있는 단일 AI법은 없다.

한국 AI 기본법은 2026년 1월 22일 발효됐다. 19개 개별 AI 법안을 통합한 단일 프레임워크로, EU보다 유연하며 혁신 촉진과 안전 규제를 병행 추구한다. 고위험 AI에 사전 신고 의무를 두고 1년 유예 기간을 운영 중이다.

세 체계를 나란히 놓으면 다음과 같다.

구분	EU AI Act	미국 NIST AI RMF	한국 AI 기본법
제정 연도	2024년	2023년	2025년
법적 구속력	강제	자발적	강제
위험 분류	4단계	4가지 기능	고위험/일반
인증 요건	CE 마킹	없음	신고제
과징금	매출 3%	해당 없음	미정
설명가능성 의무	고위험 의무	권고	고위험 의무

규제 위험을 평가하는 방법

기업이 AI 규제 위험을 평가할 때는 다음 5단계 방법론이 효과적이다.

1단계, AI 시스템 인벤토리를 수립한다. 조직 내 모든 AI 시스템을 목록화하고 사용 목적, 데이터 유형, 의사결정 자동화 수준을 파악한다.

2단계, 위험 분류를 적용한다. EU AI Act Annex III, 한국 AI 기본법 고위험 기준, NIST AI RMF 위험 프로파일을 적용해 각 시스템의 규제 등급을 산정한다.

3단계, 관할권을 매핑한다. 서비스 제공 지역에 따라 규제 의무가 다르다 — EU 사용자가 있으면 AI Act, 미국 연방 조달이면 NIST RMF, 한국 사용자가 있으면 AI 기본법이 적용된다.

4단계, 기술 격차를 분석한다. 현재 시스템의 감사 로그, 설명가능성, 인간 감독 기능과 규제 요건 사이의 격차를 분석한다.

5단계, 준수 로드맵을 수립한다. 우선순위별 기술 개선, 문서화, 교육 계획을 세운다. 고위험 AI는 2026년 내 집중 대응이 필요하다.

글로벌 AI 서비스를 운영하는 기업은 단일 규제 대응이 아닌 지역별 컴플라이언스 레이어를 설계해야 한다.

⤢✕

감사 로그는 운영 로그와 다르다

규제 증거로서의 감사 로그는 단순 운영 로그와 구별되는 요건이 있다.

불변성(Immutability) — 로그는 사후 수정이 불가능한 형태로 저장돼야 한다. 블록체인 기반 해시 체이닝 또는 WORM(Write Once Read Many) 스토리지를 활용한다.

완전성(Completeness) — 입력 데이터, 모델 버전, 파라미터, 출력 결과, 신뢰도 점수, 타임스탬프를 모두 포함해야 한다.

접근성(Accessibility) — 규제 기관이 감사 요청 시 신속하게 제공 가능한 검색·추출 체계를 갖춰야 한다.

보존 기간은 EU AI Act가 최소 10년(고위험 AI), 한국 AI 기본법은 시행령 위임, 미국 연방 계약 AI는 조달청 규정을 따른다.

공급사와의 계약에서 책임을 나눈다

AI를 외부 공급사에서 조달하는 기업은 계약을 통한 책임 분배가 필수다. 제공자(Provider)는 AI 시스템을 시장에 출시하는 기업으로, EU AI Act에서 고위험 AI의 적합성 평가·CE 마킹·기술 문서 제공 의무를 진다. 배포자(Deployer)는 AI 시스템을 실제 사용에 투입하는 기업으로, 사용 목적에 따른 추가 리스크 관리, 인간 감독 체계 구축, 직원 AI 리터러시 교육 의무를 진다.

계약서에는 규제 준수 보증 조항, 감사 로그 데이터 접근권, 규제 위반 시 손해배상 분담, 규제 변경 시 업데이트 의무, 인시던트 신고 협력 의무를 명시해야 한다.

위원회가 필수 기구가 됐다

기업 내 AI 거버넌스 위원회(AI Governance Committee)는 2026년 규제 환경에서 필수 기구가 됐다. CTO(기술), CLO(법무), CDO(데이터), CISO(보안), CPO(개인정보), 사업 부문장으로 구성하며 외부 독립 AI 윤리 전문가 참여가 권고된다.

주요 역할은 AI 시스템 신규 도입 심의 및 위험 분류 승인, 규제 준수 현황 주기적 감사, AI 인시던트 대응 정책 수립, AI 사용 가이드라인 및 금지 행위 목록 관리, 외부 규제 기관 대응 창구다. 정책 문서는 AI 거버넌스 정책(최상위), AI 사용 가이드라인, 고위험 AI 운영 절차서, AI 인시던트 대응 매뉴얼의 4단계 계층으로 구성한다.

수렴점: 표준화와 자동화

AI 거버넌스 규제는 2026년을 기점으로 세 방향으로 수렴하고 있다.

표준화가 가속된다. ISO/IEC 42001(AI 관리 시스템) 인증이 규제 준수의 실질적 기준으로 자리잡고 있으며, EU AI Act의 적합성 평가에서 ISO/IEC 42001을 충족하면 일부 의무가 간소화된다.

상호 인정 체계가 모색된다. EU-미국 AI 무역기술위원회(TTC)를 통한 규제 상호 인정 논의가 진행 중이나 2026년 현재 구속력 있는 협정은 없다. 한-EU AI 거버넌스 협력 MOU도 논의 중이다.

거버넌스 자동화가 확산된다. 규정 준수 모니터링과 증거 수집을 자동화하는 RegTech AI 시장이 성장하고 있으며, 감사 로그 자동화, 설명가능성 리포트 생성, 규제 변경 알림 도구가 확산되고 있다.

EU AI Act, 미국 BIS 수출 규제, 한국 AI 기본법은 철학은 다르지만 AI 시스템의 투명성, 감사 가능성, 인간 통제 가능성을 요구한다는 점에서 수렴하고 있다. 글로벌 AI 서비스를 운영하는 기업에는 단일 규제 대응이 아니라 공통 코어 컴플라이언스 레이어 위에 지역별 적응 레이어를 얹는 전략이 비용 효율적이다.