← 블로그무료 검색
AI 윤리/플랫폼 자율규제EU AI법 투명성GPAI 행동강령

EU AI법 제50조 투명성 가이드라인 관보 게재·GPAI 행동강령 26개 서명 — 딥페이크 라벨링 새 기준

2026-11-13·13분 읽기
EU AI 행동강령 문서화 — AI 인터페이스와 데이터 차트를 조작하는 사람

2026년 11월 12일, 유럽연합 집행위원회는 EU AI법(EU AI Act) 제50조에 따른 투명성 의무 이행 가이드라인을 유럽연합 관보(Official Journal) C/2026/6005호에 게재했습니다. 같은 날 관보에 실린 이 최종 문서는 대화형 AI 시스템이 AI임을 고지해야 하는 조건, 합성 콘텐츠에 기계 판독 가능한 워터마크를 삽입해야 하는 기술 요건, 감정인식·생체 분류 시스템의 고지 의무, 딥페이크 및 AI 생성 공익 텍스트 공개 의무 등 4가지 핵심 시나리오를 세부적으로 규정합니다. 이 가이드라인은 법적으로 비구속적이지만, 집행위원회 해석 기준으로 사실상 준수가 필요한 "연성 법(soft law)" 성격을 띱니다. 같은 시기, EU AI 사무소가 주도하는 범용 AI(GPAI) 행동강령에는 2026년 8월 집행 개시 시점을 전후해 Amazon, Anthropic, Google, IBM, Microsoft, OpenAI, Mistral AI 등 26개 기업이 서명했습니다. 그러나 메타(Meta)는 공개적으로 서명을 거부했고, xAI(일론 머스크)는 안전·보안 장(章)에만 선택적으로 서명했습니다. 거대 AI 기업들의 엇갈린 선택은 AI 플랫폼 자율규제와 강제적 법적 집행의 긴장 관계를 새로운 국면으로 이끌고 있습니다.

제50조 4대 투명성 시나리오 — 관보 C/2026/6005의 핵심

EU AI법 제50조는 2026년 8월 2일부터 적용되기 시작했으나, 집행위원회는 이날 함께 발효된 조문의 구체적 이행 기준을 기업들이 충분히 이해하고 준비할 수 있도록 가이드라인을 추가 작성해왔습니다. 11월 12일 관보에 게재된 최종 가이드라인(C/2026/6005)은 집행위원회 커뮤니케이션 "C(2026) 7702 final"을 기반으로 하며, 네 가지 의무 시나리오를 명확히 구분합니다. 첫째, 대화형 AI 시스템 공개 의무입니다. 챗봇, 가상 비서 등 자연어로 사람과 상호작용하도록 설계된 AI 시스템을 제공하는 사업자는 이용자가 AI와 대화하고 있다는 사실을 첫 번째 상호작용 시점에 명확하고 구별 가능한 방식으로 고지해야 합니다. 단, 맥락상 이미 AI임이 명백한 경우는 예외입니다. 둘째, 합성 콘텐츠 기계 판독 마킹 의무입니다. 오디오, 이미지, 동영상, 텍스트 콘텐츠를 생성하는 AI 시스템 제공자는 출력물을 기계 판독 가능한 형식으로 표시해야 합니다. 가이드라인은 "효과적이고 상호운용 가능하며 견고하고 신뢰할 수 있는" 기술적 솔루션을 요구합니다. 구체적으로 온라인 콘텐츠의 경우, 디지털 서명 메타데이터와 비가시적(imperceptible) 워터마크 두 겹의 접근법이 의무화됩니다. 감지 메커니즘은 무료로 제공되어야 합니다.

셋째, 감정인식·생체분류 시스템 고지 의무입니다. 감정인식 AI 시스템을 사용하는 배포자(deployer)는 해당 시스템에 노출되는 자연인에게 이를 사전에 고지해야 합니다. 생체분류 시스템에도 동일한 의무가 적용됩니다. 넷째, 딥페이크 및 AI 생성 공익 텍스트 공개 의무입니다. AI를 사용해 딥페이크 콘텐츠(이미지, 오디오, 동영상)를 생성하거나 배포하는 자는 해당 콘텐츠가 인공적으로 생성 또는 조작되었음을 최초 노출 시점에 공개해야 합니다. AI가 생성한 텍스트가 공적 관심 사안을 다루고 대중에게 공표된 경우에도 AI 생성 사실을 고지해야 하며, 단 편집 책임이 명확히 확립된 인간의 편집 감수를 거친 콘텐츠는 예외로 인정됩니다. 가이드라인은 공개 방법에 대해서도 세부 기준을 제시합니다. 공개는 기술적 도구나 별도 조치 없이 인식 가능해야 하고, 콘텐츠 말미가 아닌 시작 시점에 나타나야 하며, 웹 콘텐츠 접근성 지침(WCAG 2.1 Level AA)을 충족해야 합니다. 집행위원회는 표준화된 EU 아이콘 "AI GENERATED" 또는 "AI MODIFIED" 사용을 권고하고 있습니다. 가이드라인이 법적 구속력이 없다는 점에서, 기업들은 법원이 최종 해석권을 보유하고 있음을 인지하면서도 집행위원회 기준에 사실상 맞춰야 하는 위치에 놓였습니다.

GPAI 행동강령 — 26개 서명 기업과 Meta의 공개 거부

EU AI법은 범용 AI(GPAI) 모델 제공자에게 별도의 의무를 부과합니다. AI 사무소는 이 의무를 이행하는 방법으로 GPAI 행동강령(Code of Practice)을 마련했으며, 2025년 7월 최종본을 공개한 뒤 2026년 8월 2일 집행 개시와 함께 서명 기업 목록이 확정됐습니다. 행동강령은 투명성(Transparency), 저작권(Copyright), 안전·보안(Safety and Security) 세 개의 장(章)으로 구성됩니다. 2026년 11월 현재 26개 조직이 서명했습니다. 주요 서명 기업으로는 Amazon, Anthropic, Google, IBM, Microsoft, OpenAI, Mistral AI, Aleph Alpha, Cohere, ServiceNow, Samsung Electronics 등이 있습니다. 이들은 각 GPAI 모델에 대해 "모델 문서화 양식(Model Documentation Form)"을 작성·유지해야 하며, 모델을 시장에 출시하기 전 "안전·보안 모델 보고서(Safety and Security Model Report)"를 AI 사무소에 제출해야 합니다. 행동강령 서명의 실질적 인센티브는 집행 시 "준수 추정(presumption of conformity)" 효과와 과태료 산정의 "완화 요인(mitigating factor)" 처우입니다. 집행위원회는 서명 기업이 행동강령을 준수한 경우 과태료 수준을 낮출 수 있다고 명시했습니다.

그러나 주요 AI 기업들이 모두 서명한 것은 아닙니다. 가장 주목받는 사례는 메타(Meta)의 공개 거부입니다. 메타는 행동강령이 의미 있는 "준수 추정" 효과를 제공하지 않으면서 과도한 행정 부담과 경쟁 정보 노출 위험을 초래한다는 이유를 들어 서명을 거부했습니다. 메타는 행동강령 없이도 EU AI법의 개별 의무를 별도 경로를 통해 충족할 수 있다고 주장했습니다. xAI(일론 머스크가 설립한 AI 기업)는 세 개 장 중 안전·보안 장에만 선택적으로 서명했습니다. 행동강령이 세 개 장 중 일부에만 서명하는 것을 허용한다는 사실 자체가, 이 메커니즘이 완전한 자율규제라기보다 전략적 선택이 가능한 "메뉴판 규정(menu regulation)" 성격을 띤다는 비판의 근거가 됩니다. 서명 기업과 비서명 기업의 차이는 집행 환경에서 실질적인 의미를 가집니다. 비서명 기업인 메타는 EU AI법상 동일한 GPAI 의무를 충족해야 하지만, 그 충족 방법을 AI 사무소가 직접 조사해 검증해야 합니다. 집행위원회가 메타에 대해 별도 조사를 개시할 경우, 메타는 자신의 의무 준수를 스스로 증명해야 하는 반면, 서명 기업들은 행동강령 준수를 통해 준수 추정의 혜택을 누립니다. 2026년 11월 현재 AI 사무소는 첫 번째 GPAI 집행 사례를 처리 중이며, 그 결과는 메타의 비서명 전략이 얼마나 현실적으로 유효한지를 판가름하는 중요한 선례가 될 것입니다.

투명성 의무의 현실 — 비EU 사업자와 플랫폼 집행 과제

EU AI법의 투명성 의무는 역외 적용 원칙에 따라 EU 시장에 AI 시스템 또는 AI 생성 콘텐츠를 제공하거나 그 출력물이 EU에서 사용되는 모든 사업자에게 적용됩니다. 이는 미국·중국·기타 비EU 국가에 소재한 AI 기업들도 EU 이용자를 대상으로 서비스를 제공하는 한 제50조 의무를 준수해야 한다는 의미입니다. 집행위원회는 AI 생성 광고 콘텐츠와 관련해 비EU 광고주가 딥페이크 또는 AI 생성 광고 소재를 EU 시장에 미표시 상태로 유통할 경우 최대 전 세계 연간 매출의 3%에 해당하는 과태료가 부과될 수 있다고 명시했습니다. 이 비율은 EU AI법상 "기타 위반" 카테고리에 해당하는 과태료 상한선입니다. 더 높은 위험을 초래하는 위반(예: 허용 금지 AI 시스템 사용)에는 최대 전 세계 연간 매출의 7%의 과태료가 부과될 수 있습니다. 집행 과제도 현실적입니다. AI 사무소는 집행을 위해 회원국 국가 감독 당국과 협력해야 하며, 비EU 사업자에 대한 집행 경로는 복잡합니다. EU AI법은 집행 목적상 비EU 사업자가 "EU 내 담당자(authorized representative in the EU)"를 지정하도록 요구합니다. 대형 AI 기업들은 이 요건을 대체로 충족하고 있으나, 중소 규모의 비EU AI 서비스 제공자들은 여전히 이 의무를 간과하는 경우가 많습니다.

투명성 의무의 준수는 단순한 규정 충족의 문제가 아니라 AI 플랫폼과 사용자 간 신뢰 구조의 문제입니다. 퀴니피악 대학교(Quinnipiac University)가 2026년 9월에 실시한 설문조사에 따르면, 응답자의 74%가 AI 기업 경영진을 거의 또는 전혀 신뢰하지 않는다고 밝혔으며, 86%가 독립적인 감시와 함께 AI 개발에 가드레일을 설치하는 것을 지지했습니다. 이 수치는 AI 기업들의 자발적 약속만으로는 사회적 신뢰를 회복하기 어렵다는 현실을 보여줍니다. EU AI법 제50조와 GPAI 행동강령의 조합은 "강제 집행 가능한 외부 기준 + 자발적 준수 인센티브"라는 하이브리드 구조를 도입했습니다. 메타처럼 행동강령 서명을 거부할 자유는 있지만, 그 선택은 더 엄격한 집행 감시라는 대가를 치를 수 있습니다. 미국 연방거래위원회(FTC)도 10월 오픈AI와 앤트로픽에 AI 보안 사고 및 안전 조치 문서를 요구하는 소환장을 발부하면서, 미국에서도 자율규제 시대가 저물고 있음을 시사했습니다. AI 콘텐츠 투명성 의무의 국제적 수렴은 이제 단순한 추세가 아닌 현실이 되고 있습니다. 한국은 2026년 현재 AI 생성 콘텐츠 표시 의무를 명시한 별도 법률은 없으나, 방통위가 "AI 생성 콘텐츠 표시 가이드라인"을 2024년에 발표한 바 있으며, EU 기준이 사실상의 국제 표준으로 부상하면서 국내 법제화 논의가 가속화될 것으로 보입니다. 피해자 관점에서 볼 때, 딥페이크 가이드라인은 특히 성적 딥페이크 피해자들에게 직접적인 함의를 갖습니다. 가해자가 AI 생성 성적 딥페이크를 배포할 때 AI 생성 사실을 숨기는 것은 이제 EU 내에서 단독으로 AI법 위반이 될 수 있으며, 이는 형사 처벌과는 별개로 행정 제재 경로를 열어줍니다. 플랫폼이 사용자 신고에 따라 AI 표시가 없는 성적 딥페이크를 제거해야 하는 의무와 결합될 경우, 이 조항은 피해자 구제 수단으로서의 실질적 가치를 가질 수 있습니다.

참고 자료 / References