고위험 AI 규제는 미뤄졌지만 딥페이크 라벨링은 오늘부터, EU AI법 투명성 의무 시행

2026년 8월 2일, EU AI법(AI Act)의 투명성 조항인 제50조가 유럽연합 27개 회원국 전역에서 동시에 시행됐다. 챗봇처럼 사람과 대화하는 AI 시스템, 감정 인식·생체 분류 시스템, 딥페이크를 포함한 합성 미디어, 공공의 관심사를 다루는 AI 생성 텍스트가 모두 이번 규정의 적용 대상이다. 흥미로운 점은 원래 이날 시행 예정이었던 '고위험 AI 시스템' 관련 의무는 실제로는 뒤로 미뤄졌다는 사실이다. 즉 규제의 핵심 축 하나는 유예됐지만, 투명성 의무만큼은 예정대로 살아남은 셈이다.

원래 계획과 달라진 8월 2일

당초 2026년 8월 2일은 고위험 AI 시스템에 대한 적합성 평가, EU 데이터베이스 등록, 품질관리체계 구축 등의 의무가 전면 적용되는 날짜로 잡혀 있었다. 그런데 2026년 5월, EU는 '디지털 옴니버스(Digital Omnibus on AI)'를 통해 이 일정을 크게 조정하는 데 잠정 합의했다. 그 결과 단독형(standalone) 고위험 AI 시스템에 대한 의무는 2027년 12월 2일로, 제품에 내장된 형태의 고위험 AI 시스템에 대한 의무는 2028년 8월 2일로 각각 연장됐다. 기업들의 준비 부담과 실무적 혼란을 감안한 조치라는 설명이다. 다만 이 연장은 챗봇·딥페이크 등을 규율하는 제50조의 투명성 의무에는 적용되지 않았다. 유럽 집행위원회는 투명성 규정만큼은 애초 일정대로 강행하기로 했다.

챗봇은 이제 스스로를 밝혀야 한다

제50조의 핵심은 명확하다. 사용자가 AI와 대화하고 있다는 사실을, 대화가 시작되는 그 시점에 분명하게 알려야 한다는 것이다. 약관이나 개인정보 처리방침 어딘가에 문구를 묻어두는 방식은 인정되지 않는다. 메타데이터에 워터마크만 심어두는 것도, '어시스턴트'라는 모호한 표현만으로 대체하는 것도 고지 의무를 충족하지 못한다. 실제 대화 화면이나 음성 안내 등 사용자가 상호작용하는 그 접점에서 정보가 인지 가능해야 한다는 것이 규정의 취지다. 대형 언어모델 기반 챗봇 서비스를 운영하는 사업자라면 이제 첫 화면이나 첫 응답에서부터 'AI와 대화 중'이라는 사실을 눈에 보이게 안내해야 한다.

딥페이크와 합성 콘텐츠에 붙는 라벨

딥페이크와 합성 미디어에 대한 규정은 한층 엄격하다. 실제 인물처럼 보이거나 들리는 이미지·영상·음성 콘텐츠는 눈에 보이거나 들리는 방식으로 명확히 표시해야 한다. 여기서 중요한 대목은, 속이려는 의도가 없었더라도 규정 위반이 성립할 수 있다는 점이다. 재미나 풍자를 목적으로 만든 합성 콘텐츠라도 실제 인물과 닮아 있다면 라벨링 대상이 된다. 편집 저널리즘에 대해서는 예외가 있지만 그 문턱도 낮지 않다. 사람이 AI가 만든 결과물을 단순히 '확인'만 하는 정도로는 예외를 인정받지 못하며, 실질적인 편집적 감수와 명확한 책임 소재가 뒤따라야만 라벨링 의무에서 벗어날 수 있다.

위반하면 얼마를 물어야 하나

제재 수위는 결코 가볍지 않다. 규정을 위반한 기업은 최대 1500만 유로(약 220억 원)와 전 세계 연간 매출의 3% 중 더 높은 금액을 과징금으로 물어야 한다. 스타트업을 포함한 중소기업의 경우에는 이보다 낮은 한도가 적용되지만, 매출 규모가 큰 빅테크 입장에서는 매출 3%도 결코 작은 금액이 아니다. 이 때문에 유럽에서 서비스를 운영하는 주요 AI 기업들은 이미 지난 몇 달간 고지 문구와 라벨링 체계를 손보는 작업에 착수한 것으로 알려졌다.

EU 밖 기업도 예외가 아니다

제50조는 지역이 아니라 '결과물이 어디서 쓰이는가'를 기준으로 적용 범위를 정한다. EU 역외에 본사를 둔 기업이라도 AI 시스템을 EU 시장에 내놓거나, 그 결과물이 EU 내에서 사용된다면 규정의 적용을 받는다. 예를 들어 영국에 서버를 둔 챗봇이 EU 고객에게 서비스를 제공하거나, EU 역외에서 제작된 합성 콘텐츠가 EU 이용자에게 노출된다면 이 역시 규제 대상이 된다. 유럽 시장에 AI 기반 서비스나 제품을 수출하는 기업이라면, 본사가 어디에 있든 대화형 AI 공개 절차와 딥페이크 탐지·라벨링 기능, 생체 인식 관련 투명성 절차를 8월 2일 이전에 갖춰야 한다는 요구를 받아온 배경이다.

기술이 규제를 따라가지 못하는 딜레마

현장에서 나오는 우려도 있다. 워터마킹과 라벨링을 의무화하는 규정이 먼저 확정됐지만, 이를 안정적으로 구현할 기술 표준은 아직 성숙 단계에 이르지 못했다는 지적이다. 합성 콘텐츠를 만드는 도구는 빠르게 발전하는 반면, 그것을 탐지하고 표시하는 기술은 상대적으로 뒤처져 있다는 것이다. 그럼에도 규정은 시행에 들어갔고, 기업들은 완벽하지 않은 도구로라도 당장 대응책을 마련해야 하는 상황에 놓였다.

남은 쟁점과 전망

결국 이번 8월 2일은 '규제가 전면적으로 시작된 날'이라기보다 '규제의 우선순위가 재조정된 날'로 읽는 편이 정확하다. 고위험 시스템에 대한 무거운 의무는 뒤로 미뤄졌지만, 이용자가 AI와 상호작용한다는 사실을 알 권리와 딥페이크로부터 개인을 보호하겠다는 원칙만큼은 유럽이 양보하지 않았다는 신호이기도 하다. 챗봇, 이미지 생성 도구, 음성 합성 서비스를 유럽에서 운영하거나 유럽 이용자를 상대하는 국내 기업들은 이 변화를 남의 나라 일로 보기 어렵다. 앞으로 몇 달간 유럽에서 서비스 화면 문구가 어떻게 바뀌고, 첫 사례의 제재가 어떤 방식으로 나올지가 이 규정의 실효성을 가늠하는 척도가 될 것으로 보인다.