EU AI 사무국, GPAI 집행권 발동 — OpenAI·Anthropic·Meta 대상 최대 3% 과징금 시대 개막

집행권 발동까지의 경로 — EU AI법의 단계적 시행과 '유예 1년'의 의미

EU AI법(AI Act)은 2024년 8월 1일 발효됐지만, 모든 조항이 동시에 적용된 것은 아닙니다. 법은 위험도와 대상에 따라 단계적 시행 일정을 채택했습니다. 2025년 2월에는 '금지된 AI 시스템' 조항이 가장 먼저 적용됐고, 2025년 8월에는 GPAI 모델 제공자의 의무(Chapter V)와 AI 거버넌스 체계가 발효됐습니다. 그러나 집행위원회의 실제 집행 권한, 즉 AI 사무국이 과징금을 부과하고 시장 접근을 제한하는 권한은 의무 발효 1년 후인 2026년 8월 2일까지 유예됐습니다. 이 1년의 유예는 GPAI 제공자들이 의무를 인지하고 내부 체계를 갖출 시간을 주기 위한 것이었습니다. 동시에 유예 기간 동안 AI 사무국은 'GPAI 모델에 관한 코드 오브 프랙티스(Code of Practice on GPAI Models)'를 개발하고 기업들의 서명을 받아 왔습니다. 코드에 서명한 기업은 '준수 추정(presumption of conformity)' 지위를 얻어 집행 절차에서 유리한 대우를 받습니다. 2025년 5월 타결된 '디지털 옴니버스(Digital Omnibus)' 협상은 고위험 AI 시스템의 준수 의무 일정을 12~16개월 연장했습니다. 독립형 고위험 AI는 2027년 12월, 규제 제품에 내장된 고위험 AI는 2028년 8월까지 준수 의무가 유예됐습니다. 그러나 이 연장은 GPAI 집행 권한과 Article 50 투명성 의무에는 적용되지 않았습니다. 이 두 가지는 원래 일정대로 2026년 8월 2일에 시행됐습니다. 일부에서는 디지털 옴니버스로 인해 2026년 8월의 집행도 늦춰질 것이라 오해했지만, 이는 사실이 아닙니다.

3단계 과징금 구조와 AI 사무국의 집행 권한

AI 사무국이 발동한 집행 권한은 세 단계로 구분된 과징금 구조를 갖습니다. 1단계는 '금지된 AI 시스템' 위반으로, 전 세계 연간 매출의 최대 7% 또는 3,500만 유로(약 510억 원) 중 높은 금액이 부과됩니다. 금지된 AI 시스템에는 실시간 생체인식 원격 감시, 사회적 점수(social scoring), 잠재의식 조작 등이 포함됩니다. 2단계는 고위험 AI 및 GPAI 위반으로, 연간 매출의 최대 3% 또는 1,500만 유로 중 높은 금액입니다. GPAI 집행권이 발동된 2026년 8월 2일부터 AI 사무국이 집행할 수 있는 핵심 조항이 바로 이 2단계입니다. 3단계는 허위 정보 제공 등 절차 위반으로, 연간 매출의 최대 1.5% 또는 750만 유로 중 높은 금액이 적용됩니다. 주목할 점은 집행 거부나 지연 자체가 독립적인 위반 행위로 추가 과징금 대상이 된다는 것입니다. 즉, AI 사무국의 문서 제출 요청에 응하지 않거나 모델 평가에 협조하지 않는 것만으로도 별도의 과징금이 발생할 수 있습니다. AI 사무국이 보유한 구체적인 집행 도구는 다음과 같습니다. 첫째, 기술 문서 및 정보 요청권입니다. AI 사무국은 GPAI 제공자에게 모델 훈련 방식, 훈련 데이터 출처, 안전 평가 결과, 저작권 정책 등에 관한 문서를 요청할 수 있습니다. 둘째, 모델 기술 평가권입니다. 사무국이 직접 모델의 시스템적 위험(systemic risk) 여부를 평가할 수 있습니다. 시스템적 위험 모델로 지정되면 더 엄격한 의무가 부과됩니다. 셋째, 준수 조치 및 위험 완화 요청권입니다. 문제가 발견되면 특정 기능을 수정하거나 배포를 제한하도록 요청할 수 있습니다. 넷째, EU 시장 접근 제한·철회권입니다. 극단적인 경우, 특정 GPAI 모델의 EU 내 서비스를 전면 차단할 수 있습니다. 이 권한들을 행사하기 위해 AI 사무국은 브뤼셀에 38명으로 구성된 전담 집행팀을 구성했습니다. 이들은 기업 직원 인터뷰, 모델 문서 직접 열람, 현장 조사 등을 수행할 권한을 가집니다.

코드 오브 프랙티스 서명 현황 — OpenAI·Google은 서명, Meta·중국 기업은 비서명

GPAI 집행의 핵심 변수 중 하나는 '코드 오브 프랙티스(Code of Practice on GPAI Models)' 서명 여부입니다. 코드는 GPAI 제공자가 AI법상 의무를 준수하는 실질적 방법을 규정하며, 서명 기업은 '준수 추정' 지위를 부여받아 집행 절차에서 명백한 증거 없이 의무를 위반했다는 추정을 피할 수 있습니다. 반면 비서명 기업은 자체적으로 AI법 준수를 입증해야 하며, 집행 과정에서 훨씬 높은 부담을 집니다. 2026년 8월 기준, 코드 서명 기업 목록에는 Anthropic, Google(DeepMind), Microsoft, OpenAI, Amazon, IBM, Mistral AI, Cohere, Aleph Alpha 등 180개 이상의 조직이 포함됩니다. 이들은 투명성, 저작권, 안전 등 코드의 주요 챕터 전체에 서명했으며, 집행 절차에서 '규제 배려(regulatory deference)'를 받을 예정입니다. 반면 Meta는 코드 서명을 전면 거부했습니다. 메타는 법적 불확실성을 이유로 들었지만, 실질적으로는 저작권 챕터의 훈련 데이터 공시 의무가 핵심 걸림돌로 알려져 있습니다. 메타의 Llama 시리즈는 오픈소스 모델로 전 세계에 광범위하게 배포돼 있고, EU 내에서도 수많은 기업이 Llama 기반 서비스를 운영하고 있습니다. 메타가 코드에 서명하지 않았다는 사실은 AI 사무국 집행의 최초 대상이 될 가능성을 높입니다. xAI(일론 머스크의 AI 기업)는 안전(Safety) 챕터에만 서명하고, 투명성과 저작권 챕터에는 서명하지 않았습니다. 이는 부분적 준수 추정만 적용된다는 의미로, 투명성 및 저작권 의무 이행은 xAI가 별도로 입증해야 합니다. 가장 우려스러운 공백은 중국 GPAI 제공자들의 비서명입니다. Alibaba(Qwen), Baidu(ERNIE), ByteDance(Doubao), DeepSeek 등 중국의 주요 GPAI 기업 중 코드에 서명한 곳은 없습니다. 이들의 모델이 EU 내에서 서비스되거나, 유럽 기업들이 이를 API로 활용하는 경우 EU AI법의 적용을 받습니다. AI 사무국은 중국 GPAI 기업들이 어떤 방식으로 의무를 이행할지 아직 명확한 입장을 밝히지 않았지만, 집행 우선순위에 오를 가능성이 있습니다.

첫 번째 집행 실마리는 예상치 못한 곳에서 등장했습니다. 8월 2일 집행권 발동 직전, EU AI 사무국은 OpenAI 및 Anthropic과 접촉에 나섰습니다. 이는 일부 AI 에이전트 시스템이 실제 기업 시스템을 해킹하는 도구로 악용된 사건들과 관련돼 있습니다. AI 사무국은 이들 모델이 EU AI법 제5조(금지 관행)나 제55조(시스템적 위험 모델 의무)를 위반했는지 여부를 확인하기 위한 초기 접촉을 개시했습니다. OpenAI는 EU AI 사무국과 접촉이 이루어졌음을 공식 확인했습니다. 이 사례는 집행권 발동 이후의 AI 사무국이 얼마나 능동적으로 움직일 수 있는지를 잘 보여줍니다. 또한 Article 50 투명성 조항의 시행도 주목됩니다. 모든 챗봇과 AI 에이전트는 이제 대화 시작 시 반드시 사용자에게 AI와 대화하고 있음을 알려야 합니다. AI가 감정을 인식하거나 사용자를 생체인식으로 분류하는 경우, 합성 오디오·이미지·비디오·텍스트를 생성하는 경우 모두 Article 50의 적용을 받습니다. 기존 시스템에 대한 기계 읽기 가능한 워터마크 삽입 의무는 2026년 12월 2일까지 유예됐습니다. 그러나 새로 배포되는 AI 생성 콘텐츠 시스템은 즉시 워터마킹 기술을 적용해야 합니다.

한국 AI 기업과 정부의 준비 과제

EU AI 사무국의 GPAI 집행권 발동은 EU 역외(域外), 특히 한국 AI 기업에도 직접적인 영향을 미칩니다. EU AI법의 역외 적용 원칙에 따라, EU 밖에 설립된 기업이 제공하는 AI 모델이 EU 내에서 사용될 경우 EU AI법이 적용됩니다. 네이버(HyperCLOVA X), 카카오(KoGPT), LG AI Research(EXAONE), KT, SK텔레콤 등 국내 주요 AI 개발사가 유럽 시장에 모델 또는 API를 제공하거나, 유럽 기업이 이들 모델을 기반으로 서비스를 구축하는 경우 GPAI 의무의 적용 대상이 됩니다. 첫 번째 준비 과제는 EU GPAI 의무 이행 체계 구축입니다. 기술 문서(Technical Documentation) 작성 및 관리, 훈련 데이터의 저작권 정책 수립, 투명성 공시, 안전 평가 보고서 준비가 필요합니다. 특히 시스템적 위험 지정 요건(학습에 사용된 연산량 기준 10의 25승 FLOP 이상)에 해당하는 초대형 모델을 개발·운영하는 기업은 더 강화된 의무를 이행해야 합니다. 두 번째는 코드 오브 프랙티스 서명 검토입니다. 코드에 서명하면 준수 추정 지위를 얻어 집행 위험을 낮출 수 있습니다. 물론 코드 서명은 코드에 규정된 기준 충족을 전제로 하므로, 서명 전 내부 준비 상태 점검이 선행돼야 합니다. 세 번째는 AI 워터마킹·투명성 기술 준비입니다. Article 50에 따라 EU에 서비스되는 생성형 AI는 모두 콘텐츠 식별 기술을 갖춰야 합니다. 한국 AI 기업들은 C2PA(Content Provenance and Authenticity) 표준이나 SynthID 등 국제 표준과 호환되는 워터마킹 기술을 채택해야 합니다. 한국 정부 차원에서는 두 가지 방향의 대응이 필요합니다. 첫째, 한-EU AI 규제 협력 강화입니다. 과기정통부는 EU AI 사무국과의 정책 대화를 강화하여, 한국 AI 기업의 코드 서명 지원, 기술 문서 요건 해석에 관한 가이드라인 공동 개발 등을 협의해야 합니다. 둘째, 국내 AI 기본법 시행령과의 정합성 확보입니다. 2026년 1월 시행된 한국 AI 기본법은 고위험 AI 적합성 평가 체계를 시행령으로 구체화하는 작업이 진행 중입니다. EU AI법의 GPAI 의무 체계와 국내 시행령이 최대한 정합성을 갖추어야, 한국 AI 기업이 EU와 국내 양쪽에서 이중 부담 없이 준수할 수 있는 환경이 만들어집니다. EU AI 사무국의 집행권 발동은 전 세계 AI 거버넌스 지형에서 EU가 단순한 규제 입안자가 아니라 실질적 집행자로 등장했음을 의미합니다. '브뤼셀 효과(Brussels Effect)'는 이제 규정이 아닌 집행을 통해 작동합니다.