유의사항
이 글은 2026년 7월 29일 기준 EU 집행위원회와 EU 공식 법령 자료를 바탕으로 작성했습니다. AI Act의 세부 적용 범위와 기업별 의무는 AI 시스템의 유형과 사업자의 역할 등에 따라 달라질 수 있습니다. 미국과 EU의 AI 규범 및 향후 국제 기준 형성에 관한 내용은 현재의 제도와 산업 흐름을 바탕으로 한 분석입니다.
이 글에서 다루는 내용
2026년 7월 27일, EU AI Omnibus가 공식 발효됐습니다.
EU는 이미 AI Act를 통해 인공지능의 개발과 사용에 관한 포괄적인 법적 체계를 만들었습니다.
그런데 이번에는 이미 만들어진 AI Act의 일부 적용 일정과 기업의 준수 절차, 감독 체계 등을 다시 조정했습니다.
가장 큰 변화는 고위험 AI에 대한 주요 의무의 적용 시점이 크게 뒤로 조정됐다는 점입니다.
교육, 고용, 생체인식, 핵심 인프라, 이민·망명·국경관리 등 특정 영역에서 사용되는 고위험 AI는 2027년 12월 2일부터 관련 의무가 적용되고, 기계·승강기 등 기존 EU 제품안전 규제를 받는 제품에 내장되는 고위험 AI는 2028년 8월 2일부터 관련 규칙이 적용됩니다.
반면 AI를 이용해 당사자의 동의 없이 성적으로 노골적이거나 친밀한 콘텐츠를 생성·조작하는 시스템 등에 대해서는 새로운 금지 규칙이 추가됐습니다.
또 국가별 규제 샌드박스 운영 일정도 조정됐고, 이와 별도로 EU 차원의 규제 샌드박스를 운영할 수 있는 근거도 마련됐습니다.
이번 AI Omnibus를 이해할 때 중요한 것은 단순히 몇몇 일정이 바뀌었다고 보는 것이 아닙니다.
EU가 이미 만든 AI 규칙을 실제 산업에서 작동할 수 있도록 다시 조정하고 있다는 점을 볼 필요가 있습니다.
AI Omnibus는 무엇인가
AI Omnibus는 기존 AI Act를 대체하는 새로운 AI 법률 체계가 아닙니다.
AI Act라는 기본적인 틀은 유지하면서 실제 시행 과정에 필요한 일정과 절차, 기업 의무와 감독체계 등을 다시 조정한 것입니다.
EU 집행위원회는 2025년 11월 Digital Omnibus 패키지의 일부로 AI 관련 조정안을 제안했고, 이후 입법 절차를 거쳐 2026년 7월 27일 공식 발효됐습니다.
AI Act가 EU의 기본적인 AI 규칙을 만들었다면, 이번 AI Omnibus는 그 규칙을 실제로 적용하기 위해 필요한 부분을 다시 정비한 것으로 볼 수 있습니다.
AI Office의 감독 역할도 확대된다
이번 AI Omnibus는 동일한 제공자가 제공하는 범용 AI 모델(GPAI)을 기반으로 한 특정 AI 시스템과, 디지털서비스법(DSA)상 초대형 온라인 플랫폼(VLOP)·초대형 온라인 검색엔진(VLOSE)에 통합된 일부 AI 시스템에 대해 EU AI Office의 감독 역할을 확대했습니다.
여러 회원국에 걸쳐 제공되는 AI 시스템을 EU 차원에서 보다 일관되게 감독할 수 있도록 하는 방향입니다.
가장 큰 변화는 고위험 AI의 적용 일정이다
이번 AI Omnibus에서 가장 먼저 볼 부분은 고위험 AI 규칙의 적용 일정입니다.
기존 AI Act에서는 주요 고위험 AI 규칙이 2026년부터 단계적으로 적용될 예정이었습니다.
하지만 AI Omnibus를 통해 일정이 크게 조정됐습니다.
교육, 고용, 생체인식, 핵심 인프라, 이민·망명·국경관리 등 Annex III에 해당하는 고위험 AI 시스템은 2027년 12월 2일부터 관련 규칙이 적용됩니다.
또 기계, 승강기, 의료기기 등 기존 EU 제품안전 규제를 받는 제품에 AI가 내장되는 Annex I 유형의 고위험 AI는 2028년 8월 2일부터 관련 규칙이 적용됩니다.
이는 단순히 기업에 준비 시간을 더 주는 문제만은 아닙니다.
고위험 AI 규칙을 실제 적용하려면 기업이 무엇을 충족해야 하는지를 판단할 수 있는 세부 기술 표준과 적합성 평가 체계가 필요합니다.
그런데 관련 조화표준과 적합성 평가 인프라가 당초 일정에 맞춰 충분히 준비되지 못했다는 문제가 제기됐습니다.
표준이 불명확한 상태에서는 기업이 무엇을 준비해야 하는지 판단하기 어렵고, 감독기관도 무엇을 기준으로 적합성을 평가해야 하는지 불확실해질 수 있습니다.
결국 규칙만 먼저 시행하는 것이 아니라 기업과 감독기관이 실제로 사용할 수 있는 표준과 지원체계가 함께 준비될 수 있도록 적용 시점을 조정한 것입니다.
새로운 금지 대상도 추가됐다
일정만 조정된 것은 아닙니다.
이번 AI Omnibus는 AI Act가 금지하는 AI 사용에도 새로운 내용을 추가했습니다.
대표적인 것이 이른바 AI ‘누디파이(nudification)’ 시스템입니다.
당사자의 동의 없이 성적으로 노골적이거나 친밀한 이미지·영상·음성 등을 생성하거나 조작하는 AI 시스템과 아동 성착취물을 생성·조작하는 AI 시스템이 금지 대상에 추가됐습니다.
해당 금지 규칙은 2026년 12월 2일부터 적용됩니다.
이는 이번 AI Omnibus가 단순히 시행 일정이나 행정절차를 정리한 것이 아니라 새롭게 나타나는 AI 위험에 대응해 금지 영역도 추가했다는 점을 보여줍니다.
AI 규제 샌드박스도 다시 정비된다
기업이 AI 규칙을 실제로 적용할 수 있도록 하는 시험 환경도 확대됩니다.
AI 규제 샌드박스란?
규제 샌드박스(Regulatory Sandbox)는 기업이 규제기관의 감독 아래 실제 환경에 가까운 조건에서 새로운 기술이나 서비스를 시험할 수 있도록 하는 제도입니다.
기업은 새로운 AI 시스템을 본격적으로 시장에 출시하기 전에 실제 환경에서 시험하면서 규제 요건을 확인할 수 있습니다.
규제기관 역시 문서만으로 새로운 AI 기술을 판단하는 것이 아니라 실제 시스템이 어떻게 작동하고 어떤 문제가 발생하는지 확인할 수 있습니다.
국가별 샌드박스 운영 기한도 조정됐다
기존 AI Act는 각 회원국이 최소 하나의 AI 규제 샌드박스를 운영하도록 요구하고 있습니다.
이번 AI Omnibus에서는 회원국별 AI 규제 샌드박스 설치·운영 기한이 2027년 8월 2일로 조정됐습니다.
이는 각 회원국이 자체적으로 운영하는 국가 차원의 샌드박스에 대한 일정입니다.
EU 차원의 샌드박스도 별도로 마련된다
이와 별도로 EU AI Office가 EU 차원의 규제 샌드박스를 설치할 수 있는 근거도 새로 마련됐습니다.
이 제도는 회원국별 샌드박스를 대체하는 것이 아닙니다.
회원국 단위에서 운영되는 샌드박스와 별도로, EU 차원에서 감독되는 특정 AI 시스템이나 여러 회원국과 관련된 사례 등을 다룰 수 있는 구조를 만드는 것입니다.
즉 샌드박스 정책도 하나의 제도로 단순화된 것이 아니라,
회원국별 시험 인프라를 준비하는 일정 조정과 EU 차원의 별도 시험체계 신설이 동시에 진행되고 있습니다.
중소기업과 일부 중견기업의 준수 절차도 조정됐다
이번 AI Omnibus에는 기업 규모와 현실적인 대응 능력을 고려한 조정도 포함됐습니다.
기존에 중소기업을 중심으로 적용되던 일부 지원과 간소화 조치가 일정 범위의 중견기업까지 확대됩니다.
AI Act는 대규모 글로벌 기업부터 자원이 제한된 중소기업까지 같은 시장에서 적용됩니다.
따라서 기업 규모와 대응 역량에 따라 동일한 절차가 실제로는 매우 다른 부담으로 작용할 수 있습니다.
이번 조정은 AI 규칙을 실제 기업이 적용할 수 있는 형태로 만드는 과정의 일부로 볼 수 있습니다.
8월 2일부터 AI 투명성 의무도 적용된다
AI Omnibus 발효 직후 또 하나의 중요한 일정이 있습니다.
2026년 8월 2일부터 AI Act 제50조의 일부 투명성 의무가 적용됩니다.
대표적으로 AI 시스템 제공자는 사람이 AI와 직접 상호작용할 때 상대가 AI라는 사실을 알 수 있도록 해야 합니다.
AI가 생성하거나 조작한 콘텐츠의 출처를 확인할 수 있도록 기계가 판독할 수 있는 표시를 적용해야 하는 경우도 있습니다.
AI 시스템을 사용하는 사업자에게도 일정한 의무가 있습니다.
딥페이크, 감정인식 및 생체분류 시스템, 사람의 충분한 검토 없이 AI가 생성·조작해 공개한 일부 공익 관련 텍스트 등에는 투명성 의무가 적용될 수 있습니다.
다만 여기에는 중요한 전환 규칙이 있습니다.
2026년 8월 2일 이전에 이미 시장에 출시된 생성형 AI 시스템은 AI 생성 콘텐츠의 표시·탐지와 관련된 제50조 제2항 의무에 대해 2026년 12월 2일까지 전환기간이 주어집니다.
따라서 8월 2일부터 투명성 규칙이 시작된다는 것과 일부 기존 생성형 AI 시스템에 추가 전환기간이 적용된다는 것을 구분해서 볼 필요가 있습니다.
EU는 왜 이미 만든 AI Act를 다시 손봤을까
AI처럼 빠르게 발전하는 기술을 대상으로 처음부터 완성된 규칙을 만드는 것은 어렵습니다.
법을 만들 때는 적절해 보였던 일정도 실제 시행을 준비하면서 문제가 발견될 수 있습니다.
기업이 규칙을 준수하기 위해 필요한 기술 표준이 준비되지 않을 수도 있고, 여러 법률이 동시에 적용되면서 절차가 중복될 수도 있습니다.
새로운 AI 기술이 등장하면서 처음 법을 만들 당시 예상하지 못했던 위험이 나타날 수도 있습니다.
이번 AI Omnibus에서는 이러한 문제가 여러 방향에서 동시에 나타났습니다.
고위험 AI 규칙은 필요한 표준과 평가체계를 준비할 수 있도록 적용 일정을 조정했습니다.
회원국별 샌드박스의 준비 일정도 다시 정했고, EU 차원의 새로운 샌드박스도 마련했습니다.
비동의 친밀 콘텐츠와 아동 성착취물을 생성·조작하는 AI에는 새로운 금지 규칙을 추가했습니다.
즉 이미 만들어진 AI Act를 그대로 두는 것이 아니라 실제 산업과 기술 변화에 맞춰 다시 조정하기 시작한 것입니다.
이번 뉴스에서 더 중요한 것은 ‘두 번째 단계’다
AI Act가 처음 만들어졌을 때 가장 주목받았던 것은 EU가 세계에서 가장 먼저 포괄적인 AI 법적 체계를 만들었다는 사실이었습니다.
하지만 이번 AI Omnibus에서는 조금 다른 부분을 볼 필요가 있습니다.
EU는 이미 규칙을 만들었습니다.
이제 기업이 그 규칙에 맞춰 제품과 서비스를 준비하고 있고, 규제기관은 감독과 집행 체계를 구축하고 있습니다.
그 과정에서 표준이 충분히 준비되지 않았다는 문제도 확인됐고, 기업이 실제 규칙을 적용하면서 발생할 수 있는 부담도 나타났습니다.
동시에 새로운 AI 기술이 가져오는 위험도 등장했습니다.
그리고 EU는 이러한 문제를 다시 법과 제도에 반영하기 시작했습니다.
제정 → 적용 준비 → 문제 발견 → 조정 → 집행 → 안정화
규범은 법률 하나를 만들었다고 바로 완성되는 것이 아닙니다.
기업이 실제로 적용하고, 규제기관이 판단하고, 기술 표준과 사례가 쌓이고, 필요한 부분을 다시 조정하는 과정에서 구체적인 기준이 만들어집니다.
이번 AI Omnibus의 중요한 의미는 EU가 AI 규범을 만드는 단계를 넘어 실제로 운영하면서 정교화하는 단계에 들어갔다는 데 있습니다.
AI 기술은 미국이 주도하지만 규범에서는 다른 흐름이 나타난다
현재 글로벌 AI 기술과 산업을 주도하는 곳은 미국입니다.
OpenAI, Google, Microsoft, Meta 등 주요 AI 기업이 미국에 기반을 두고 있고, AI 반도체와 클라우드, 플랫폼에서도 미국 기업의 영향력은 매우 큽니다.
따라서 AI 기술과 산업의 영향력에서 미국의 위치는 분명합니다.
하지만 AI 규범에서는 조금 다른 흐름이 나타나고 있습니다.
EU는 27개 회원국에 적용되는 단일시장과 법체계를 기반으로 AI Act를 만들었고, 이제 실제 적용과 제도 조정 과정까지 경험하고 있습니다.
미국이 AI 기술과 시장에서 강력한 영향력을 가지고 있다면, EU는 AI 규범을 법제화하고 실제 운영하는 과정에서 먼저 경험을 축적하고 있는 것입니다.
현재 상황을 미국과 EU의 규범 경쟁이라고 단정하기에는 아직 이릅니다.
미국은 연방정부와 주정부, 규제기관, 민간기업 등 여러 주체가 AI 규칙과 표준 형성에 참여하고 있습니다.
다만 AI 기술의 발전과 함께 그 기술을 어떤 규칙으로 운영할 것인가를 결정하는 과정도 빠르게 진행되고 있다는 점은 분명합니다.
시장의 표준과 법의 표준은 결국 만나게 된다
미국의 AI 기업들이 세계 시장에 공급하는 모델과 서비스는 시장에서 사실상의 표준이 될 수 있습니다.
이를 사실상의 표준(de facto standard)이라고 합니다.
반대로 EU는 AI Act와 같은 법률을 통해 기업이 따라야 하는 법적 기준을 만들고 있습니다.
이를 법적 표준(de jure standard)의 관점에서 볼 수 있습니다.
두 표준은 만들어지는 방식이 다릅니다.
하나는 기술과 시장에서 만들어지고, 다른 하나는 법과 제도를 통해 만들어집니다.
하지만 글로벌 AI 기업의 입장에서는 둘을 완전히 분리할 수 없습니다.
미국에서 개발한 AI 모델과 서비스라도 EU 시장에서 제공하려면 EU의 규칙을 충족해야 하기 때문입니다.
결국 기술을 만드는 시장의 기준과 기술을 운영하는 법적 기준은 실제 제품과 서비스 안에서 만나게 됩니다.
규칙이 서로 다른 것 자체가 기업에는 비용이다
여기서 글로벌 AI 기업의 비용 문제가 중요해집니다.
미국과 EU에서 AI 시스템의 위험을 분류하는 방법이나 사용자 고지 방식, AI 생성 콘텐츠 표시 방법, 문서화 기준 등이 크게 달라진다고 가정해 보겠습니다.
기업은 같은 AI 서비스를 제공하면서도 시장별로 서로 다른 대응 체계를 구축해야 할 수 있습니다.
제품 설계뿐 아니라 모델 평가, 데이터 거버넌스, 법무와 컴플라이언스, 내부통제, 문서화, 감사, 사용자 인터페이스까지 영향을 받을 수 있습니다.
여러 국가가 각각 다른 기준을 만든다면 이러한 비용은 더 커질 수 있습니다.
기업의 비용을 결정하는 것은 규칙의 내용만이 아닙니다. 서로 다른 시장에서 서로 다른 기준을 동시에 충족해야 한다는 것 자체도 비용이 됩니다.
따라서 글로벌 AI 산업에서는 어떤 규칙을 만들 것인가뿐 아니라 서로 다른 국가와 지역의 규칙이 얼마나 호환될 수 있는지도 중요합니다.
회계기준에서도 비슷한 문제를 경험했다
이러한 문제는 AI 산업만의 이야기는 아닙니다.
회계에서도 국가와 시장마다 서로 다른 회계기준을 사용할 경우 기업과 투자자가 추가적인 비용을 부담해야 하는 문제가 있었습니다.
서로 다른 기준으로 작성된 재무제표를 비교하려면 투자자는 기준의 차이를 파악하고 숫자를 다시 분석해야 합니다.
기업 역시 여러 자본시장에 접근하면서 서로 다른 공시와 회계기준에 대응해야 한다면 추가적인 비용이 발생합니다.
국제회계기준인 IFRS가 여러 국가에서 활용되는 과정에서도 기업의 재무정보를 같은 기준에서 비교할 수 있는 비교가능성은 중요한 의미를 가졌습니다.
AI에서도 구조적으로 비슷한 문제가 나타날 수 있습니다.
AI 위험평가, 투명성, 문서화, 데이터 관리 기준이 시장마다 크게 달라지면 글로벌 기업은 각각의 기준에 맞춰 별도의 관리체계를 운영해야 합니다.
결국 기준의 차이는 비교 비용과 준수 비용으로 이어질 수 있습니다.
AI에서도 ‘브뤼셀 효과’가 나타날까
EU 규제가 EU 밖의 기업과 시장에까지 영향을 미치는 현상을 설명할 때 자주 등장하는 개념이 브뤼셀 효과(Brussels Effect)입니다.
글로벌 기업이 EU 시장에서 사업하려면 EU 규칙을 충족해야 합니다.
그런데 EU 시장만을 위한 별도의 제품과 관리체계를 만드는 것보다 EU 기준을 글로벌 제품과 운영체계 전체에 적용하는 편이 효율적이라고 판단할 수도 있습니다.
이 경우 EU 법률이 다른 국가에 직접 적용되는 것은 아니더라도 결과적으로 글로벌 기업의 운영 기준에 영향을 미칠 수 있습니다.
개인정보보호와 제품·환경 관련 규제 등에서는 이러한 현상이 이미 관찰됐습니다.
그렇다면 AI에서도 비슷한 현상이 나타날까요?
아직은 결론을 내리기 어렵습니다.
AI 산업에서는 미국의 기술과 시장 영향력이 매우 크기 때문입니다.
EU의 법적 기준이 글로벌 기업의 공통 기준으로 확산될 수도 있고, 미국 AI 산업에서 만들어진 사실상의 표준이 국제적인 기준 형성에 더 큰 영향을 미칠 수도 있습니다.
또 두 체계가 서로 영향을 주면서 일정한 공통 기준으로 수렴할 가능성도 있습니다.
중요한 것은 글로벌 AI 산업이 성장할수록 서로 다른 규칙을 동시에 충족해야 하는 비용 역시 커질 수 있다는 점입니다.
어떤 기준이 글로벌 기업의 공통 운영 기준으로 자리 잡는지는 결국 기업의 비용 구조와 시장 진입 전략에도 영향을 줄 수 있습니다.
앞으로 봐야 할 것은 무엇인가
첫 번째는 고위험 AI 규칙을 적용하기 위해 필요한 기술 표준과 적합성 평가체계가 실제로 얼마나 빠르게 마련되는지입니다.
이번 일정 조정의 중요한 배경 중 하나가 관련 표준과 평가 인프라의 준비 문제였기 때문에 2027년까지 EU가 구체적인 기준을 얼마나 정교하게 만들 수 있는지가 중요합니다.
두 번째는 회원국별 AI 규제 샌드박스와 EU 차원의 샌드박스가 실제로 어떻게 역할을 나누는지입니다.
국가별 실험 환경과 EU 차원의 실험 환경이 서로 보완적으로 작동한다면 AI 규칙을 실제 산업에 적용하면서 쌓이는 경험도 더 빠르게 축적될 수 있습니다.
세 번째는 8월 2일부터 글로벌 AI 기업들이 투명성 의무를 실제 제품에 어떻게 구현하는지입니다.
사용자가 AI와 상호작용하고 있다는 사실을 어떤 방식으로 알리고, AI 생성·변형 콘텐츠를 어떤 방식으로 표시하는지 실제 서비스에서 확인할 수 있습니다.
네 번째는 EU 대응을 위해 만들어진 기능이 EU 시장에만 적용되는지입니다.
글로벌 AI 기업들이 EU 규칙에 대응하기 위해 만든 기능이나 관리체계를 다른 국가의 서비스에도 공통으로 적용하기 시작한다면 AI 분야에서 브뤼셀 효과가 나타나는지를 판단할 수 있는 하나의 신호가 될 수 있습니다.
다섯 번째는 미국과 EU의 AI 관련 기준이 장기적으로 얼마나 수렴하는지입니다.
두 시장의 기준 차이가 커질수록 글로벌 기업의 대응 비용도 증가할 가능성이 있습니다.
반대로 주요 원칙과 기술적 기준이 서로 호환되는 방향으로 발전한다면 글로벌 AI 산업의 공통 규범이 만들어질 가능성도 있습니다.
DANA NOTES 해설
이번 AI Omnibus는 EU가 AI Act의 몇몇 행정절차를 손본 뉴스로만 보기에는 변화의 범위가 큽니다.
EU는 고위험 AI 규칙의 적용 시점을 크게 조정하면서 실제 시행에 필요한 표준과 평가체계를 준비할 시간을 확보했습니다. 회원국별 샌드박스 일정도 다시 조정했고, EU 차원의 새로운 샌드박스도 마련했습니다. 동시에 새로운 AI 위험에 대해서는 금지 대상을 추가했습니다.
이러한 변화는 EU가 이미 만든 AI 규칙을 실제 산업에서 작동시키는 과정에 들어갔다는 것을 보여줍니다.
AI 기술과 산업에서는 미국 기업들이 세계 시장을 주도하고 있습니다.
반면 규범의 법제화와 실제 적용에서는 EU가 먼저 경험을 축적하고 있습니다.
EU는 이미 AI 규칙을 만드는 단계를 지나 적용하고, 문제를 확인하고, 다시 조정하는 과정을 경험하고 있습니다.
그리고 이 과정은 EU 내부에서만 끝나는 문제가 아닐 수 있습니다.
글로벌 AI 기업은 미국과 EU를 비롯한 여러 시장에서 동시에 사업하기 때문입니다.
시장마다 서로 다른 AI 관리체계를 구축해야 한다면 제품 개발부터 데이터 관리, 법무, 내부통제, 감사까지 추가적인 비용이 발생합니다.
따라서 앞으로 AI 규범을 볼 때는 어느 지역이 더 강한 규칙을 만드는지만 볼 것이 아니라 어떤 기준이 실제 글로벌 기업들의 공통 운영 기준으로 자리 잡는지도 함께 볼 필요가 있습니다.
AI 기술 경쟁과 함께 AI를 어떤 규칙으로 운영할 것인가를 둘러싼 국제규범 형성도 진행되고 있습니다.
이번 AI Omnibus는 그 과정에서 EU가 규칙의 제정을 넘어 실제 적용과 조정, 그리고 규범을 안정화하는 단계로 이동하고 있다는 점에서 주목할 필요가 있습니다.
