유의사항
본 글은 2026년 8월 3일 기준 공개된 EU AI Act 제50조, Digital Omnibus on AI 개정 내용, 유럽연합 집행위원회의 「AI 시스템 제공자와 배포자를 위한 투명성 의무 가이드라인」 및 관련 공식 안내를 바탕으로 작성되었습니다. DANA NOTES의 분석이 함께 포함되어 있습니다.
이 글에서 다루는 내용
2026년 8월 2일부터 EU AI Act 제50조에 따른 AI 투명성 의무가 적용되기 시작했습니다.
AI 시스템을 제공하는 기업은 이용자가 AI 시스템과 직접 상호작용하고 있다는 사실을 알 수 있도록 제품을 설계해야 합니다. 생성형 AI가 만든 이미지·음성·영상·텍스트에는 원칙적으로 해당 콘텐츠가 AI로 생성되거나 조작됐음을 탐지할 수 있는 기계 판독 가능 표시를 적용해야 합니다.
AI 시스템을 실제 업무와 서비스에 사용하는 기업에도 별도의 의무가 적용됩니다. 딥페이크를 공개하거나, 일부 공익 관련 AI 생성 텍스트를 게시하거나, 감정 인식 또는 생체정보 분류 시스템을 사용하는 경우에는 관련 사실을 사람들에게 알려야 합니다.
다만 모든 의무가 모든 AI 시스템에 2026년 8월 2일부터 동일하게 적용되는 것은 아닙니다.
2026년 8월 2일 이전에 EU 시장에 출시되거나 사용에 투입된 생성형 AI 시스템에는 제50조 제2항의 기계 판독 가능 표시 의무를 2026년 12월 2일까지 이행할 수 있는 전환기간이 적용됩니다.
이는 표시 의무가 면제됐다는 의미가 아닙니다. 기존 시스템에 표시 기능을 추가할 수 있도록 준비기간을 부여한 것입니다.
AI 상호작용 고지, 딥페이크 공개, 일부 공익 관련 AI 생성 텍스트 공개, 감정 인식 및 생체정보 분류 시스템에 대한 고지 등 나머지 투명성 의무는 예정대로 2026년 8월 2일부터 적용됩니다.
이번 규제의 핵심은 모든 AI 콘텐츠에 같은 라벨을 붙이는 것이 아닙니다.
기업이 AI 시스템을 직접 제공하는지, 다른 기업의 AI를 사용하는지에 따라 책임이 달라집니다. 같은 기업이라도 AI를 내부 업무에 사용하는지, 고객과 일반 대중에게 제공되는 서비스나 콘텐츠에 사용하는지에 따라 준비해야 할 사항이 달라집니다.
AI 결과물이 생성되고, 검토되고, 배포되며, 사람들에게 노출되는 전체 과정에서 누가 어떤 책임을 맡는지를 구분하는 규제라고 볼 수 있습니다.
먼저 알아둘 용어 — 기계 판독 가능 표시
기계 판독 가능 표시란 사람이 화면에서 직접 읽는 안내 문구가 아니라, 플랫폼과 탐지 시스템이 해당 콘텐츠의 AI 생성 여부를 확인할 수 있도록 정보를 삽입하는 방식입니다.
콘텐츠의 메타데이터에 생성 정보를 기록하거나 디지털 워터마크와 같은 기술을 적용하는 방식이 포함될 수 있습니다.
EU AI Act 제50조 제2항은 생성형 AI 시스템의 제공자가 AI로 생성되거나 조작된 이미지·음성·영상·텍스트를 기계 판독 가능한 형식으로 표시하고, 해당 콘텐츠의 AI 생성 여부를 탐지할 수 있도록 요구합니다.
표시에 사용되는 기술은 기술적으로 가능한 범위에서 효과적이고, 상호운용이 가능하며, 견고하고 신뢰할 수 있어야 합니다. 콘텐츠의 특성과 한계, 구현 비용, 현재의 기술 수준도 함께 고려됩니다.
다만 AI가 일반적인 편집을 보조하거나 이용자가 입력한 데이터의 의미를 실질적으로 변경하지 않는 경우에는 표시 의무가 적용되지 않을 수 있습니다.
기존 생성형 AI 시스템에는 전환기간이 있다
기계 판독 가능 표시 의무의 기본 적용일은 2026년 8월 2일입니다.
그러나 2026년 8월 2일 이전에 EU 시장에 출시되거나 사용에 투입된 생성형 AI 시스템의 제공자는 2026년 12월 2일까지 해당 의무를 이행할 수 있습니다.
기존 생성형 AI 시스템을 운영하는 기업에는 표시 기능을 개발하고 기존 제품에 반영할 시간이 추가로 주어진 것입니다.
반면 2026년 8월 2일 이후 새로 EU 시장에 출시되거나 사용에 투입되는 생성형 AI 시스템에는 이러한 전환기간이 적용되지 않습니다.
이 전환기간은 제50조 제2항의 기계 판독 가능 표시 의무에 한정됩니다.
AI와의 상호작용 고지, 딥페이크 공개, 공익 관련 AI 생성 텍스트 공개, 감정 인식과 생체정보 분류 시스템에 대한 고지 의무 전체가 2026년 12월로 연기된 것은 아닙니다.
또한 2026년 8월 2일 이전에 이미 생성된 콘텐츠를 소급해 표시해야 하는 것은 아닙니다. 다만 유럽연합 집행위원회는 가능한 경우 자발적으로 표시할 것을 권장하고 있습니다.
기계 판독 가능 표시와 사람이 보는 라벨은 다르다
기계 판독 가능 표시와 이용자에게 직접 보이는 안내는 서로 다른 의무입니다.
AI 시스템 제공자가 콘텐츠 내부에 기계가 읽을 수 있는 정보를 넣더라도, 딥페이크를 실제로 공개하는 사용 사업자는 사람이 알아볼 수 있는 방식으로 해당 콘텐츠가 AI로 생성되거나 조작됐다는 사실을 알려야 합니다.
예를 들어 AI가 만든 영상 파일에 메타데이터가 들어 있다고 해도 일반 이용자가 별도의 탐지 도구 없이 그 정보를 확인하기는 어렵습니다.
따라서 딥페이크처럼 사람의 오인을 방지해야 하는 콘텐츠에는 화면 문구, 아이콘, 음성 안내 등 사람이 인식할 수 있는 표시가 별도로 필요합니다.
기계 판독 가능 표시는 시스템과 플랫폼이 AI 생성 여부를 탐지하도록 만드는 장치이고, 사람이 보는 라벨은 실제 이용자가 AI 사용 사실을 인식하도록 만드는 장치입니다.
AI 제공자와 AI 사용 사업자는 무엇이 다른가
EU AI Act에서는 AI 가치사슬에 참여하는 기업의 역할을 제공자와 사용 사업자로 구분합니다.
AI 제공자
AI 제공자, 즉 프로바이더(provider)는 AI 시스템을 직접 개발하거나 다른 기업에 개발을 맡긴 뒤 자신의 이름이나 상표로 시장에 공급하거나 사용하는 주체입니다.
AI 모델을 처음 개발한 기업만 제공자가 되는 것은 아닙니다.
외부 AI 모델을 이용해 새로운 AI 시스템을 만들고 이를 자사 이름으로 고객에게 제공한다면, 해당 기업도 자신이 제공하는 최종 AI 시스템의 제공자로 판단될 수 있습니다.
AI 제공자에게는 크게 두 가지 투명성 의무가 적용됩니다.
- 사람이 AI 시스템과 직접 상호작용할 때 AI와 대화하고 있다는 사실을 알 수 있도록 시스템을 설계해야 합니다.
- 생성형 AI 시스템이 만든 이미지·음성·영상·텍스트에 기계 판독 가능 표시를 적용해야 합니다.
다만 이용자가 상황상 AI와 상호작용하고 있다는 사실을 명백히 알 수 있다면 별도의 반복 고지가 필요하지 않을 수 있습니다.
AI 사용 사업자
AI 배포자, 즉 이 글에서 말하는 AI 사용 사업자(deployer)는 자신의 권한과 책임 아래 AI 시스템을 실제 업무나 서비스에 사용하는 기업·기관·사업자를 의미합니다.
외부 생성형 AI 서비스를 구독해 사용하는 광고회사, 언론사, 온라인 플랫폼, 금융회사, 병원, 공공기관과 일반 기업도 AI 사용 사업자가 될 수 있습니다.
직원이 회사의 업무 지시와 관리 아래 AI를 사용한다면 개별 직원이 각각 별도의 사용 사업자가 되는 것이 아니라, 일반적으로 해당 기업이 사용 사업자의 위치에 놓입니다.
AI 사용 사업자는 다음과 같은 시스템이나 콘텐츠가 제50조의 적용 요건을 충족하는 경우 관련 사실을 사람들에게 알려야 합니다.
- 감정 인식 시스템을 사용하는 경우
- 생체정보 분류 시스템을 사용하는 경우
- 딥페이크 이미지·음성·영상을 공개하는 경우
- 실질적인 인간 검토나 편집 통제 없이 공익 관련 AI 생성·조작 텍스트를 게시하는 경우
EU 집행위원회도 제공자에게는 AI 상호작용 고지와 기계 판독 가능 표시 의무를, 사용 사업자에게는 감정 인식·생체정보 분류·딥페이크·일부 공익 관련 텍스트에 대한 공개 의무를 구분해 설명하고 있습니다.
같은 기업이 제공자와 사용 사업자가 될 수도 있다
AI 제공자와 AI 사용 사업자는 반드시 서로 다른 기업이어야 하는 것은 아닙니다.
한 기업이 외부의 범용 AI 모델을 이용해 자사 고객센터용 AI 상담 시스템을 만들었다고 가정해 보겠습니다.
외부 모델을 완성된 서비스 형태로 구독해 직원이 내부에서 사용하는 데 그친다면 해당 기업은 일반적으로 AI 사용 사업자에 가깝습니다.
반면 외부 모델을 자사 시스템과 결합하고 자사 이름으로 고객에게 AI 상담 서비스를 제공한다면, 최종 AI 시스템에 대해서는 제공자의 역할을 맡을 수 있습니다. 동시에 그 시스템을 실제 고객 상담에 사용하는 사업자이기도 합니다.
이 경우 기업은 외부 AI 모델을 사용했다는 이유만으로 모든 책임을 원래 모델 개발사에 넘길 수 없습니다.
외부 모델에 기계 판독 가능 표시 기능이 있더라도, 최종 서비스가 이용자에게 AI와의 상호작용 사실을 제대로 안내하는지, 생성 콘텐츠를 적절하게 관리하는지는 최종 서비스를 구성하고 운영하는 기업이 별도로 점검해야 합니다.
기업은 AI 도입 단계에서 다음 세 가지를 구분해야 합니다.
- 외부 AI 서비스를 완성된 형태로 그대로 사용하는가
- 외부 AI를 기존 업무 시스템에 연결해 사용하는가
- 외부 AI를 기반으로 자사 이름의 새로운 제품이나 서비스를 제공하는가
세 번째에 가까워질수록 단순한 AI 사용 사업자를 넘어 AI 시스템 제공자로 판단될 가능성이 커집니다.
기업 내부에서 AI를 사용할 때
기업 내부 활용은 직원이나 조직 구성원이 업무를 수행하기 위해 AI를 사용하는 경우입니다.
사내 문서 작성, 회의록 요약, 번역, 보고서 초안 작성, 내부 검색, 코드 작성, 교육자료 제작과 사내 AI 챗봇 등이 포함됩니다.
기업 내부에서 AI를 사용한다는 이유만으로 모든 결과물에 AI 생성 라벨을 붙여야 하는 것은 아닙니다.
다만 내부 사용이라고 해도 직원이 AI와 직접 상호작용하거나, 딥페이크 콘텐츠에 노출되거나, 감정 인식 또는 생체정보 분류 시스템의 대상이 된다면 별도의 의무가 적용될 수 있습니다.
사내 AI 챗봇과 업무용 AI 도우미
기업이 외부 AI 서비스를 도입해 직원용 챗봇이나 업무 도우미로 사용하는 경우 해당 기업은 일반적으로 AI 사용 사업자의 위치에 있습니다.
직원이 AI와 직접 대화하는 시스템이라면 AI 제공자는 직원이 AI 시스템과 상호작용하고 있다는 사실을 알 수 있도록 설계해야 합니다.
업무용 서비스의 명칭과 화면에서 AI 시스템이라는 사실이 명확하다면 별도의 반복 고지가 필요하지 않을 수 있습니다.
반대로 일반적인 사내 메신저나 사람의 상담 창구처럼 보이지만 실제로는 AI가 직접 답변하는 구조라면 직원이 사람의 응답으로 오해하지 않도록 안내가 필요할 수 있습니다.
AI를 도입하는 기업도 공급업체가 필요한 고지 기능을 제공하는지 확인해야 합니다.
기업이 공급업체의 AI 안내 문구를 제거하거나 사람이 응답하는 것처럼 서비스를 변경한다면 운영 과정에서 별도의 규제 위험이 생길 수 있습니다.
내부 보고서와 업무 문서
직원이 생성형 AI로 사내 보고서 초안을 작성하거나 회의 내용을 요약했다고 해서 모든 내부 문서에 반드시 AI 생성 표시를 붙여야 하는 것은 아닙니다.
공익 관련 AI 생성 텍스트의 공개 의무는 대중에게 공익 관련 정보를 알리기 위해 게시되는 텍스트를 대상으로 합니다.
조직 내부에서만 사용하는 보고서, 개인 업무 메모, 내부 회의자료처럼 대중에게 공개되지 않는 문서는 이 공개 의무와 직접적으로 같은 범주에 들어가지 않습니다.
그러나 내부 문서가 나중에 보도자료, 홈페이지 게시물, 정책 안내, 투자정보, 뉴스 기사나 대외 보고서로 공개된다면 다시 판단해야 합니다.
중요한 기준은 AI 결과물이 처음 만들어진 장소가 아니라 최종적으로 누구에게 어떤 목적으로 공개되는가입니다.
내부 교육용 이미지·음성·영상
기업이 AI로 가상의 강사 영상이나 음성을 만들어 내부 교육에 사용하는 경우에도 콘텐츠의 성격을 확인해야 합니다.
실제로 존재하는 사람·사물·장소·기관·사건과 유사해 직원이 진짜라고 오인할 수 있는 이미지·음성·영상은 딥페이크에 해당할 수 있습니다.
예를 들어 실제 경영진의 얼굴과 목소리를 합성해 내부 교육 영상을 만들었다면 직원에게 실제 촬영 영상이 아니라 AI 합성 콘텐츠라는 사실을 알려야 할 수 있습니다.
반면 처음부터 가상 캐릭터나 일러스트라는 점이 명확하고 실제 인물이나 사건으로 오인할 가능성이 없다면 일반적인 딥페이크와는 구분될 수 있습니다.
직원 감정 인식과 생체정보 분류
기업이 직원의 표정, 목소리나 생체정보를 분석하는 AI를 사용하는 경우에는 더 주의해야 합니다.
AI 사용 사업자는 감정 인식이나 생체정보 분류 시스템의 대상이 되는 사람에게 해당 시스템이 작동하고 있다는 사실을 알려야 합니다.
그러나 직장에서 사용하는 감정 인식 AI는 단순히 고지만 하면 사용할 수 있는 영역이 아닙니다.
EU AI Act는 의료 또는 안전 목적과 같은 제한적인 경우를 제외하고 직장과 교육기관에서 사람의 감정을 추론하는 AI 시스템 사용을 금지된 AI 관행으로 분류합니다.
따라서 기업 내부의 감정 인식 시스템은 제50조의 투명성 의무를 검토하기 전에 해당 사용 자체가 금지되는지를 먼저 확인해야 합니다.
고객과 외부 이용자에게 AI를 사용할 때
기업 외부 활용은 고객, 시민, 구독자, 플랫폼 이용자 또는 일반 대중이 AI 시스템이나 AI 생성 콘텐츠를 접하는 경우입니다.
고객상담 챗봇, AI 음성 상담, 광고, SNS 게시물, 뉴스 기사, 공공 안내문, AI 아바타와 생성형 AI 콘텐츠 서비스 등이 포함됩니다.
외부 활용에서는 AI가 실제 사람이나 실제 콘텐츠처럼 보일 가능성이 높아지고 결과물이 넓게 유통될 수 있기 때문에, 투명성 의무가 직접적인 제품·콘텐츠 운영 문제로 연결됩니다.
고객상담 챗봇과 AI 상담원
고객이 AI 챗봇, AI 에이전트나 AI 아바타와 직접 대화한다면 AI 시스템 제공자는 고객이 AI와 상호작용하고 있다는 사실을 알 수 있도록 시스템을 설계해야 합니다.
AI가 상담원을 보조하기만 하고 실제 답변은 상담원이 전달하는 경우와, AI가 고객에게 직접 답변하는 경우는 구분해야 합니다.
AI가 시스템의 배경에서 분석만 수행하거나 사람이 중간에서 내용을 검토한 뒤 고객에게 전달한다면 AI가 사람과 직접 상호작용하는 경우와는 적용 구조가 달라질 수 있습니다.
외부 AI 상담 솔루션을 도입한 기업은 계약서와 기능 설명만 확인해서는 충분하지 않습니다.
실제 고객 화면, 전화 연결 안내, 음성 메시지와 상담 흐름에서 AI 사용 사실이 언제 어떤 방식으로 전달되는지도 점검해야 합니다.
광고와 SNS 콘텐츠
기업이 생성형 AI를 이용해 광고 문구나 SNS 게시물을 만들었다고 해서 모든 콘텐츠에 반드시 눈에 띄는 AI 라벨을 붙여야 하는 것은 아닙니다.
공익 관련 AI 생성 텍스트 공개 의무는 대중에게 공익 관련 정보를 알리기 위해 게시되는 텍스트를 대상으로 합니다. 일반적인 상품 광고 문구는 내용과 목적에 따라 이 범주에 포함되지 않을 수 있습니다.
그러나 AI로 만든 광고 이미지·음성·영상이 실제 인물이나 사건처럼 보이는 딥페이크라면 별도의 공개 의무가 적용될 수 있습니다.
예를 들어 실제 유명인의 얼굴이나 음성을 합성한 광고, 존재하지 않았던 사건을 실제 촬영물처럼 표현한 광고는 AI로 생성·조작됐다는 사실을 이용자가 알 수 있도록 표시해야 할 가능성이 큽니다.
반대로 AI가 만든 모든 이미지가 딥페이크가 되는 것은 아닙니다.
추상적인 그래픽, 인포그래픽, 명백한 일러스트, 실제 인물이나 사건을 재현하지 않은 대표 이미지는 일반적으로 딥페이크와 구분됩니다.
뉴스와 공익 관련 콘텐츠
정치, 행정, 사법, 공공안전, 공중보건, 환경, 소비자 안전, 경제, 금융, 과학과 문화 등 공적 논의와 관련된 정보를 대중에게 전달하는 AI 생성·조작 텍스트에는 공개 의무가 적용될 수 있습니다.
다만 AI가 일부 사용됐다는 이유만으로 모든 뉴스 기사, 분석 글과 블로그 게시물에 반드시 AI 생성 라벨을 붙여야 하는 것은 아닙니다.
해당 텍스트가 실질적인 인간 검토 또는 편집 통제를 거쳤고, 개인이나 법인이 게시물에 대한 편집 책임을 지는 경우에는 공익 관련 AI 생성 텍스트 공개 의무의 예외가 될 수 있습니다.
여기서 인간 검토는 단순한 맞춤법 검사나 형식 확인을 의미하지 않습니다.
구체적인 판단은 콘텐츠와 편집 구조에 따라 달라질 수 있지만, 기업과 매체는 최소한 다음 사항을 확인할 필요가 있습니다.
- 사실관계와 수치를 검토했는가
- 출처의 신뢰성을 확인했는가
- 글의 내용과 논리를 실질적으로 검토했는가
- 내용을 수정·삭제하거나 게시를 거부할 권한이 있는가
- 최종 게시물에 대한 편집 책임을 지는 주체가 있는가
맞춤법과 문법을 고치는 정도의 형식적 검토만으로는 실질적인 인간 검토나 편집 통제로 인정되기 어렵습니다. 최종 게시물에 대한 법적 편집 책임을 지는 사람이나 법인이 존재해야 합니다.
AI가 작성한 초안을 거의 검토하지 않고 자동으로 게시하거나, 맞춤법과 문장 표현만 간단히 수정해 대량으로 게시한다면 인간 검토 예외를 인정받기 어려울 수 있습니다.
반면 운영자나 편집자가 주제를 정하고, 자료와 사실관계를 확인하며, 글의 구조와 내용을 실질적으로 수정하고, 최종 게시 여부를 결정하며 게시물에 대한 책임을 진다면 별도의 AI 생성 표시가 요구되는 경우와 구분될 수 있습니다.
따라서 언론사, 기업 홍보팀, 공공기관, 리서치 회사와 정보형 블로그는 단순히 AI를 사용했는지만 기록할 것이 아니라, 사람이 무엇을 검토했고 누가 최종 편집 책임을 지는지 설명할 수 있는 구조를 갖추는 것이 중요합니다.
법적 의무와 별개로 기업이나 매체가 사이트의 편집 원칙 또는 AI 활용 정책을 통해 AI 사용 방식을 자율적으로 공개할 수는 있습니다. 다만 이는 모든 게시물에 동일한 문구를 반복해서 붙이는 것과는 다른 문제입니다.
AI로 만든 대표 이미지는 모두 표시해야 하나
AI로 만든 이미지라고 해서 모두 사람이 볼 수 있는 AI 라벨을 붙여야 하는 것은 아닙니다.
이미지·음성·영상과 관련해 외부에 콘텐츠를 공개하는 사용 사업자의 사람이 볼 수 있는 표시 의무는 딥페이크에 적용됩니다.
실제 인물, 장소나 사건을 재현하지 않은 추상적인 대표 이미지, 정보 그래픽, 아이콘 중심의 기술 이미지는 실제 기록물로 오인될 가능성이 낮습니다.
따라서 실제 인물이나 사건을 재현하지 않은 추상적인 기술 대표 이미지와 인포그래픽에 매번 사람이 볼 수 있는 AI 생성 라벨을 표시해야 한다고 보기는 어렵습니다.
반면 다음과 같은 경우에는 표시가 필요할 가능성이 높습니다.
- 실제 EU 관계자가 발표하는 것처럼 만든 합성 사진
- 실제 시위·사고·재난 현장처럼 보이는 가상 이미지
- 특정 기업 CEO의 얼굴이나 음성을 합성한 콘텐츠
- 존재하지 않은 사건을 실제 보도사진처럼 표현한 이미지
기계 판독 가능 표시를 삽입하는 제50조 제2항의 의무는 기본적으로 생성형 AI 시스템 제공자에게 있습니다.
콘텐츠를 게시하는 기업이나 블로그 운영자가 이미지마다 직접 디지털 워터마크 기술을 개발해 넣으라는 의미는 아닙니다.
다만 이미지 압축, 파일 변환, WebP 변환과 플랫폼 업로드 과정에서 AI 제공자가 삽입한 메타데이터가 사라질 수 있다는 점은 향후 실무적으로 확인할 필요가 있습니다.
외부 이용자 대상 감정 인식과 생체정보 분류
기업이 매장, 플랫폼, 상담센터, 행사장 또는 온라인 서비스에서 감정 인식이나 생체정보 분류 AI를 사용한다면 이용자에게 해당 시스템이 작동하고 있다는 사실을 알려야 합니다.
예를 들어 고객의 목소리나 표정을 분석해 감정 상태를 추론하거나, 생체정보를 바탕으로 사람을 특정 범주로 분류하는 시스템을 운영한다면 이용자가 관련 시스템의 대상이 된다는 사실을 확인할 수 있어야 합니다.
다만 고지 의무를 이행했다고 해서 개인정보 보호와 생체정보 처리에 관한 다른 법적 요구사항까지 충족되는 것은 아닙니다.
AI Act의 투명성 의무와 GDPR 등 개인정보 보호 규정은 별도로 검토해야 합니다.
내부와 외부를 구분하는 핵심은 최종 노출 방식이다
기업 내부와 외부의 AI 활용을 구분할 때는 AI를 처음 사용한 장소보다 결과물이 최종적으로 누구에게 어떤 목적으로 노출되는지를 확인해야 합니다.
내부 보고서로 작성된 AI 텍스트도 홈페이지나 보도자료로 공개되면 공익 관련 텍스트 공개 의무를 다시 검토해야 합니다.
내부 교육용 콘텐츠라도 실제 인물이나 사건으로 오인될 수 있는 딥페이크라면 내부 사용이라는 이유만으로 표시 의무에서 자동으로 제외되지는 않습니다.
따라서 기업은 AI 콘텐츠의 생성부터 최종 노출까지 다음 단계를 연결해 관리할 필요가 있습니다.
- 생성 단계: 어떤 AI 시스템으로 어떤 콘텐츠를 만들었는지 기록합니다.
- 검토 단계: 사람이 내용과 출처를 실질적으로 검토했는지 확인합니다.
- 승인 단계: 최종 사용과 게시에 책임을 지는 담당자를 정합니다.
- 배포 단계: 내부용인지 외부 공개용인지 구분합니다.
- 노출 단계: 사람이 보는 라벨이나 안내가 필요한지 확인합니다.
- 보존 단계: 기계 판독 가능 표시가 편집·변환·업로드 과정에서 유지되는지 점검합니다.
콘텐츠가 생성될 당시에는 공개 의무의 대상이 아니었더라도 사용 목적과 배포 범위가 바뀌면 다시 판단해야 합니다.
표시 의무는 제품과 업무 절차의 문제가 된다
AI 표시 의무는 콘텐츠가 완성된 뒤 담당자가 문구 하나를 추가하는 방식만으로 대응하기 어렵습니다.
AI 제공자는 생성 단계에서부터 기계 판독 가능 정보를 삽입할 수 있도록 시스템을 설계해야 합니다.
기존 생성형 AI 시스템을 운영하는 제공자는 전환기한 안에 표시 기능의 개발·적용·테스트를 마쳐야 합니다.
AI를 사용하는 기업도 해당 정보가 이미지 편집, 영상 인코딩, 파일 변환과 플랫폼 업로드 과정에서 유지되는지 확인해야 합니다.
사람이 직접 확인해야 하는 라벨이 있다면 어느 화면과 시점에 표시할지도 정해야 합니다.
제품 개발
- AI 상호작용 고지 화면
- 콘텐츠 생성 정보 삽입
- 기계 판독 가능 표시의 유지
- 표시 기능 작동 여부 테스트
- 기존 시스템의 전환기한 관리
- 제품 업데이트 이후 재검증
콘텐츠 운영
- AI 생성 콘텐츠 분류
- 딥페이크 여부 판단
- 공익 관련 텍스트 여부 판단
- 인간 검토와 편집 승인 절차
- 내부용 콘텐츠의 외부 공개 전환 관리
- AI 콘텐츠 기록과 증빙 보존
공급업체 관리
- 외부 AI 서비스의 표시 기능 확인
- 표시 정보의 형식과 호환성 확인
- AI 제공자와 사용 사업자의 책임 구분
- 모델과 기능 변경에 대한 통보
- 규제기관 요청에 대응할 자료 확보
조직과 책임
- AI 시스템별 제공자·사용 사업자 판단
- 법무·컴플라이언스 검토
- 콘텐츠 담당자와 개발자의 역할 구분
- 최종 편집 책임자 지정
- AI 사용 직원에 대한 교육
모든 AI 콘텐츠에 같은 라벨을 붙이는 방식은 답이 아니다
기업이 규제 대응을 단순화하기 위해 모든 AI 관련 콘텐츠에 동일한 라벨을 붙이는 방식을 선택할 수도 있습니다.
그러나 이 방식이 항상 가장 적절한 것은 아닙니다.
과도한 표시는 이용자가 중요한 경고와 일반적인 안내를 구별하기 어렵게 만들 수 있습니다.
AI가 맞춤법, 노이즈 제거, 배경 제거와 같은 보조적 편집만 수행한 경우에도 딥페이크와 같은 수준의 표시를 붙인다면 라벨의 의미가 약해질 수 있습니다.
반대로 표시가 필요한 콘텐츠를 단순한 AI 보조 결과로 잘못 분류하면 규제 대응에 문제가 생길 수 있습니다.
기업에는 AI 사용 여부를 단순히 예·아니오로 구분하는 방식보다 다음 기준에 따라 콘텐츠를 분류하는 체계가 필요합니다.
- AI가 기존 입력의 의미를 실질적으로 변경했는가
- 실제 인물·사건·장소로 오인될 수 있는가
- 공익 관련 정보를 대중에게 전달하는가
- 실질적인 인간 검토와 편집 책임이 존재하는가
- 콘텐츠가 누구에게 어떤 방식으로 노출되는가
이 기준이 제품과 콘텐츠 운영 절차에 반영돼야 규제를 일관되게 적용할 수 있습니다.
자율적인 실천규약이 법적 의무를 대신하지는 않는다
유럽연합은 기업이 AI 생성 콘텐츠의 표시와 라벨 의무를 이행할 수 있도록 AI 생성 콘텐츠 투명성 실천규약을 마련했습니다.
실천규약 참여는 자발적입니다.
그러나 AI Act 제50조의 투명성 의무 자체는 법적 의무입니다.
실천규약에 참여하는 기업은 규약에 규정된 조치를 통해 준수 사실을 보다 예측 가능한 방식으로 입증할 수 있습니다.
참여하지 않는 기업도 다른 기술과 절차를 이용할 수 있지만, 해당 방식이 규제 요구 수준에 맞는다는 사실을 별도로 입증해야 합니다.
EU 집행위원회는 실천규약에 참여하지 않은 기업에는 준수 방식이 상대적으로 덜 투명하기 때문에 추가적인 정보 요청이 이뤄질 수 있다고 설명합니다.
기업의 선택은 규제를 따를지 여부가 아닙니다.
공통 실천규약을 활용해 대응 부담을 낮출지, 자체적인 표시·라벨·검증 체계를 구축하고 그 적절성을 입증할지를 선택하는 문제입니다.
투명성 의무를 위반하면 어떤 제재를 받을 수 있나
EU AI Act 제50조의 투명성 의무는 권고사항이 아니라 법적 의무입니다.
AI와의 상호작용 사실을 제대로 알리지 않거나, AI 생성·조작 콘텐츠에 필요한 표시를 적용하지 않거나, 딥페이크와 일부 공익 관련 AI 생성 텍스트를 적절하게 공개하지 않은 경우에는 행정벌금이 부과될 수 있습니다.
EU AI Act 제99조에 따르면 제50조를 포함한 기타 의무 위반에는 다음 한도까지 행정벌금이 부과될 수 있습니다.
- 최대 1,500만 유로
- 기업인 경우 직전 회계연도 전 세계 연간 총매출액의 3%
일반 기업에는 두 기준 가운데 더 높은 금액이 최대 벌금 한도로 적용됩니다.
예를 들어 직전 회계연도 전 세계 매출액이 10억 유로인 기업이라면 매출액의 3%는 3,000만 유로입니다.
이 경우 정액 기준인 1,500만 유로보다 높은 3,000만 유로가 최대 벌금 한도가 될 수 있습니다.
다만 위반이 발생했다고 해서 언제나 최대 금액이 부과되는 것은 아닙니다.
실제 벌금 수준은 다음과 같은 요소를 고려해 결정됩니다.
- 위반의 성격·심각성·지속기간
- 영향을 받은 사람과 피해의 범위
- 기업의 규모와 전 세계 매출액
- 고의 또는 과실 여부
- 위반으로 얻은 경제적 이익과 피해 완화 조치
- 규제기관 조사 협조와 과거 위반 이력
따라서 표시 기능에 일시적인 기술 장애가 발생했지만 기업이 이를 즉시 발견하고 수정한 경우와, 표시 의무를 알고도 장기간 의도적으로 이행하지 않은 경우는 동일하게 평가되지 않을 수 있습니다.
중소기업에는 다른 상한 계산 방식이 적용된다
중소기업에는 일반 대기업과 같은 방식으로 두 기준 중 높은 금액을 적용하지 않습니다.
중소기업에는 각 위반 유형에 정해진 정액 한도와 매출액 비율 가운데 더 낮은 금액이 최대 벌금 한도로 적용됩니다.
예를 들어 중소기업의 직전 회계연도 전 세계 매출액이 1,000만 유로라면 매출액의 3%는 30만 유로입니다.
제50조 의무 위반의 정액 한도인 1,500만 유로보다 낮으므로, 해당 중소기업에는 원칙적으로 30만 유로가 최대 한도가 될 수 있습니다.
이는 기업의 규모와 지급 능력을 고려하기 위한 장치입니다. 그러나 중소기업이라는 이유만으로 제50조의 투명성 의무 자체가 면제되는 것은 아닙니다.
벌금만이 기업의 부담은 아니다
기업이 부담할 수 있는 비용은 행정벌금에 그치지 않습니다.
규제기관이 위반 상태의 시정을 요구하면 기업은 제품과 콘텐츠를 다시 표시하거나 시스템을 수정해야 할 수 있습니다.
이에 따라 다음과 같은 추가 비용이 발생할 수 있습니다.
- 제품과 AI 표시 기능의 긴급 수정
- 기존 콘텐츠의 회수·재게시와 고객 안내
- 공급업체 계약과 내부 절차의 재검토
- 법무·규제 대응 비용과 기업 신뢰 하락
특히 AI 생성 콘텐츠가 여러 플랫폼을 통해 대규모로 유통된 뒤 표시 문제가 발견되면 개별 콘텐츠를 수정하거나 회수하는 비용이 커질 수 있습니다.
따라서 기업에는 최대 벌금 액수만 계산하는 것보다, 표시와 검토 절차를 제품 설계 단계에서 반영해 사후 수정 비용을 줄이는 것이 더 중요합니다.
DANA NOTES 해설
AI 규제의 중심이 모델을 어떻게 개발하고 학습했는지를 관리하는 단계에서, AI가 만든 결과물이 어떤 경로로 생성·검토·배포되고 누가 그 결과에 책임을 지는지를 관리하는 단계로 확장되고 있습니다.
이 변화는 생성형 AI 기업만의 문제가 아닙니다.
외부 AI 서비스를 구독해 사용하는 일반 기업도 자신이 AI 사용 사업자에 해당하는지 확인해야 합니다. 외부 모델을 자사 제품과 결합해 고객에게 제공한다면 최종 AI 시스템의 제공자 역할까지 맡게 될 수 있습니다.
기업이 AI를 도입할 때 확인해야 할 질문도 달라지고 있습니다.
이전에는 어떤 AI 모델을 사용할지, 생성 품질과 비용이 어느 정도인지가 주요 판단 기준이었다면, 앞으로는 누가 제공자이고 누가 사용 사업자인지, 결과물이 어디까지 유통되는지, 누가 최종적으로 검토하고 책임지는지도 함께 설계해야 합니다.
특히 AI 생성 여부를 안정적으로 표시하고, 편집과 플랫폼 유통 과정에서도 표시 정보를 유지하며, 기업 고객이 규제 준수 사실을 입증할 수 있도록 지원하는 기능은 AI 제품의 경쟁력이 될 수 있습니다.
따라서 AI 투명성 규제는 라벨 하나를 붙이는 규제가 아닙니다.
AI를 사용하는 기업의 제품 설계, 콘텐츠 운영, 공급업체 계약과 내부 승인 체계를 다시 정리하도록 요구하는 규제에 가깝습니다.
앞으로 확인해야 할 변수
첫째, 어떤 기존 생성형 AI 시스템이 전환기간 대상에 해당하며 2026년 12월 2일까지 실제 표시 기능을 적용할 수 있는지 확인해야 합니다.
기업은 시스템의 개발일이나 계약일만 볼 것이 아니라 EU 시장에 실제로 출시되거나 사용에 투입된 시점을 확인해야 합니다.
기존 시스템을 크게 업데이트하거나 외부 모델을 자사 서비스에 새롭게 결합한 경우에도 동일한 기존 시스템으로 인정되는지, 새로운 시스템의 출시로 판단되는지는 제품 변경 범위에 따라 추가적인 검토가 필요할 수 있습니다.
둘째, 기계 판독 가능 표시 기술이 서로 다른 플랫폼과 서비스 사이에서도 유지되는지 확인해야 합니다.
콘텐츠가 생성된 시스템에서는 표시가 정상적으로 들어가더라도 이미지 압축, 영상 인코딩, 파일 변환과 플랫폼 업로드 과정에서 정보가 제거된다면 실제 탐지 기능은 약해질 수 있습니다.
셋째, 실질적인 인간 검토와 형식적인 검토를 규제기관이 실제 사례에서 어떻게 구분하는지 살펴봐야 합니다.
공익 관련 콘텐츠를 다루는 언론사, 기업, 공공기관과 정보 플랫폼에는 누가 무엇을 어느 수준까지 확인해야 편집 통제로 인정되는지가 중요한 운영 기준이 됩니다.
넷째, 기업이 외부 AI를 자사 시스템에 연결하거나 자체 이름으로 제공할 때 제공자와 사용 사업자의 경계가 어떻게 판단되는지 확인해야 합니다.
모델 개발사, 시스템 통합업체와 최종 서비스 운영사 사이에서 책임이 어떻게 나뉘는지는 실제 계약과 제품 구조에 영향을 줄 수 있습니다.
다섯째, 실천규약에 참여하지 않은 기업이 자체 준수 방식을 입증하는 과정에서 어느 정도의 문서화와 추가 정보 제출을 요구받는지 확인해야 합니다.
여섯째, 실제 감독과 제재 사례가 어느 영역에서 먼저 등장하는지도 중요합니다.
고객상담 AI, 딥페이크 광고, 공익 관련 자동 생성 콘텐츠, 감정 인식 시스템 중 어떤 분야가 우선적인 감독 대상이 되는지에 따라 기업의 대응 우선순위도 달라질 수 있습니다.
