첫 명단 약 190곳, 국내 주요 AI 기업은 보이지 않았다: 8월 2일 EU AI법에서 시작된 것

2026년 8월 2일 유럽연합(EU) AI법 제50조의 투명성 의무가 적용되기 시작했고, 범용 AI(GPAI) 의무를 집행하고 제재할 권한도 같은 날 생겼습니다. 원래 2026년 8월 2일 시작될 예정이던 부속서 III 고위험 규제는 7월 27일 발효한 개정 규정으로 2027년 12월로, 회원국 규제 샌드박스 기한은 2027년 8월로 미뤄졌습니다. 적용이 시작되기 이틀 전인 7월 31일 EU 집행위원회가 공개한 투명성 행동강령 서명자 약 190곳의 명단에서 국내 주요 AI 기업의 이름은 확인되지 않았습니다.

8월 2일 일요일, EU AI법의 새 조항들이 적용되기 시작했습니다. 뉴스 제목만 보면 간단해 보이는 사건입니다. 그런데 이날 실제로 시작된 일은 몇 달 전까지만 해도 예정되어 있던 것과 다릅니다. 고위험 규제와 회원국 샌드박스 기한은 막판에 미뤄졌고, 남은 투명성 의무를 두고는 법이 강제하기 전에 약 190곳이 먼저 서명에 나섰습니다. 여기에 1년 전부터 적용되어 온 범용 AI 의무도 이날부터는 집행할 수 있게 됐습니다.

이날부터는 금지행위 등 다른 조항에 대한 집행도 함께 시작됐습니다. 이 글은 그중 두 가지를 따라갑니다. 제50조 투명성 의무가 적용되기 시작한 것, 그리고 범용 AI 모델 제공자의 의무를 집행할 권한이 생긴 것입니다. 이어서 개정으로 연기된 세 일정과 의무보다 먼저 움직인 서명 명단을 확인하고, 마지막에는 같은 성격의 의무를 먼저 시행한 한국의 시간표를 나란히 놓습니다. 규제를 읽을 때도 통계를 읽을 때와 같은 질문이 필요하다는 것이 이 글의 결론입니다. ‘규제가 시작됐다’는 한 문장이 가리키는 날짜는 하나가 아닙니다.

시작된 것 하나: AI와 AI 생성물임을 알리라는 의무

이날 적용이 시작된 것은 AI법 제50조, 투명성 의무입니다. 무엇이 달라지는지는 EU 집행위원회가 7월 31일 낸 보도자료에서 세 가지로 정리했습니다. 챗봇 같은 대화형 AI는 상대가 사람이 아니라 AI임을 이용자에게 알려야 하고, 실존 인물이나 사건을 실제처럼 보이게 AI로 합성·조작한 이미지·영상·음성, 이른바 딥페이크에는 표시를 붙여야 하며, 대상 시스템은 AI 생성물에 기계 판독 가능 표식을 심어 탐지할 수 있게 해야 합니다. 이때 표식에 쓰는 기술 수단은 콘텐츠 유형·구현 비용·통상 인정되는 기술 수준을 고려해, 기술적으로 가능한 범위에서 효과적이고 상호운용이 가능하며 견고하고 신뢰할 수 있는 것이어야 합니다.

의무를 지는 쪽도 하나가 아닙니다. 표식을 심는 의무는 시스템을 만드는 제공자에게, 딥페이크 표시 의무는 그것을 쓰는 배포자에게 각각 부과됩니다. 예외도 있습니다. 이용자 입장에서 상대가 AI임이 명백한 경우 등에는 고지 의무가 면제됩니다. 집행위가 적용이 시작되기 13일 전인 7월 20일에야 채택한 이행 가이드라인은 여기에 더해 감정인식·생체분류 시스템에 대한 고지 의무, 그리고 사람의 실질적 검토·편집 책임 없이 공개되는, 공익 사안을 다룬 AI 텍스트의 표시 의무까지 다룹니다. 적용일은 2년 전에 정해져 있었는데, 세부 규칙은 마지막 2주 사이에야 나온 셈입니다.

다만 모든 의무가 이날부터 곧바로 적용되는 것은 아닙니다. 2026년 8월 2일 이전에 이미 시장에 나와 있던 생성형 AI 시스템에는 제50조 2항의 기계 판독 가능 표식 의무에 한해 2026년 12월 2일까지 넉 달의 경과기간이 있습니다. 이 예외는 뒤에서 살펴볼 7월 개정 규정이 새로 만든 것입니다. 2026년 8월 2일 이후 새로 EU 시장에 출시되거나 EU에서 사용되기 시작한 시스템에는 곧바로 적용됩니다.

과징금 상한도 정해져 있습니다. AI법 제99조에 따르면 투명성 의무를 어긴 사업자에게는 일반 기업 기준 최대 1,500만 유로 또는 전 세계 연매출의 3% 중 높은 쪽까지 과징금을 물릴 수 있습니다. 중소기업(스타트업 포함)과 소규모 중견기업(SMC)이 제50조를 위반한 경우에는 둘 중 낮은 쪽이 상한입니다. 금지된 AI 활용(제5조)에 적용되는 상한인 3,500만 유로 또는 연매출 7%와는 별개의 규정입니다. 제50조의 집행은 주로 각 회원국의 시장감시당국이 맡습니다.

시작된 것 둘: 이미 있던 의무를 집행할 권한

이날 시작된 것이 하나 더 있습니다. 새 의무가 아니라, 이미 있던 의무를 어겼을 때 실제로 책임을 물을 수 있는 권한입니다.

범용 AI(GPAI) 모델 제공자에게는 기술문서 작성, 저작권 정책 수립, 학습데이터 요약 공개 같은 의무가 1년 전인 2025년 8월 2일부터 적용되어 왔습니다. 일정 요건을 충족한 무료·오픈소스 모델에는 기술문서·하위 제공자 정보 등 일부 의무가 면제되지만, 시스템적 위험이 있는 모델은 제외되고 저작권 정책·학습데이터 요약 의무는 남습니다. 다만 그동안은 이를 집행할 권한이 마련되어 있지 않았습니다. 2026년 8월 2일부터 집행위 산하 AI사무국(AI Office)이 기술문서를 요구하고, 모델을 직접 평가하고, 시정조치를 요구할 수 있으며, 과징금을 물릴지는 집행위원회가 결정합니다. 상한은 투명성 의무 위반과 같은 최대 1,500만 유로 또는 전 세계 연매출의 3%이고, 근거 조항은 제101조입니다.

정리하면 의무가 적용된 날과 집행이 시작된 날 사이에는 1년의 간격이 있었습니다. 2025년 8월 2일 이후 EU 시장에 출시된 모델에는 이날부터 그 간격이 사라졌습니다. 그보다 앞서 출시된 모델에는 2027년 8월 2일까지 의무를 준수하면 되는 경과기간이 남아 있습니다.

미뤄진 것: 엿새 전에 확정된 새 일정표

원래 2024년 제정 당시의 일정표에서 2026년 8월 2일은 개시일 세 개가 겹치는 날이었습니다. 투명성 의무(제50조), 채용·신용평가·법집행 등 고위험 AI에 대한 본격 규제(부속서 III), 그리고 모든 회원국이 규제 샌드박스(감독기관과 합의한 계획에 따라 통제된 환경에서 AI를 개발·시험·검증할 수 있게 하는 제도)를 가동해야 하는 기한(제57조)이 모두 같은 날로 잡혀 있었습니다.

같은 날 겹치던 세 일정 가운데 둘이 막판에 미뤄졌고, 원래 2027년 8월 예정이던 부속서 I(제품 내장형) 일정도 1년 더 밀렸습니다. 이른바 ‘디지털 옴니버스’로 불리는 개정 규정(Regulation (EU) 2026/1744)은 7월 8일 채택됐지만 EU 관보에 실린 것은 7월 24일, 발효한 것은 7월 27일이었습니다. 옛 일정이 적용되기 엿새 전에야 새 일정이 법적으로 확정된 것입니다.

항목	종전 일정	개정 후 일정
투명성 의무 (제50조)	2026-08-02	2026-08-02 유지
고위험 AI, 독립형 (부속서 III)	2026-08-02	2027-12-02
고위험 AI, 제품 내장형 (부속서 I)	2027-08-02	2028-08-02
회원국 규제 샌드박스 (제57조)	2026-08-02	2027-08-02
기존 시스템의 기계 판독 가능 표식 (제50조 2항, 경과규정)	2026-08-02	2026-12-02

샌드박스 행은 의무가 적용되는 날이 아니라 회원국이 샌드박스를 설치·가동해야 하는 기한이고, 마지막 행은 개정 규정이 새로 둔 경과기간입니다.

개정 규정은 부속서 III 고위험 규제를 2027년 12월로, 부속서 I을 2028년 8월로, 샌드박스 기한을 2027년 8월로 미뤘고 제50조 투명성 의무만 예정대로 남았다 — 그림 1: EU AI법 주요 일정, 종전과 개정 후 비교. 회색 점이 종전 일정, 파란 점이 2026년 7월 27일 발효한 개정 규정(Regulation (EU) 2026/1744) 기준 일정이다. 세로 점선은 2026년 8월 2일 일반 적용일. 마지막 행은 2026년 8월 2일 이전 출시된 생성형 AI 시스템의 기계 판독 가능 표식 의무(제50조 2항)에 적용되는 경과기간이다. (자료: EUR-Lex, EU 집행위원회)

그림 1 원본 크게 보기

집행위는 이행을 단순하게 하고 기업 부담을 덜기 위해서라고 연기 이유를 밝혔습니다. 이 연기는 준비가 덜 된 규제의 속도 조절로 읽을 수도, 법의 핵심인 고위험 규제의 후퇴로 읽을 수도 있습니다. 개정안 논의 단계이던 2026년 2월, 유럽 디지털권리단체 EDRi를 포함한 60개 단체·개인은 공동성명에서 고위험 규제의 적용 연기에 반대하며 후자 쪽에 섰습니다. 이 글에서 어느 해석이 맞는지 가리지는 않겠습니다. 다만 결과는 분명합니다. 8월 2일에 예정대로 남은 것은 세 일정 가운데 투명성 의무 하나뿐입니다.

의무보다 먼저 움직인 것: 행동강령 서명 명단

적용이 시작되기 이틀 전인 7월 31일, 집행위는 ‘AI 생성 콘텐츠 투명성 행동강령’의 최초 서명자 명단을 공개했습니다. 모두 약 190곳입니다. 모델·시스템 제공자가 서명하는 섹션에 83건, 배포자(이용하는 쪽)가 서명하는 섹션에 152건의 서명이 올라 있고(양쪽 모두 서명한 곳이 있어 서명 수 합계는 서명자 수보다 많습니다), 집행위 설명으로는 서명자의 절반가량이 소규모·신생 기업입니다.

제공자 쪽 명단에는 앤스로픽, 구글, 메타, 마이크로소프트, 미스트랄, 오픈AI가 있습니다. 배포자 쪽에는 게티이미지, 레노버, 루프트한자, 명품 브랜드 불가리처럼 전업 AI 모델 개발사가 아닌 이름도 여럿 들어 있습니다.

행동강령은 법적 의무가 아니라, 제50조의 표시·라벨링 의무(2·4·5항) 이행을 돕기 위해 마련된 자발적 수단입니다. 집행위와 AI위원회(AI Board)는 평가 의견에서 이 강령을 해당 의무 이행에 적정한 수단으로 평가했지만, 서명이나 강령 준수가 법 준수 여부를 자동으로 확정하지는 않습니다. 그래도 서명은 집행위와 AI위원회가 적정하다고 평가한 공통 경로에 참여한다는 신호이고, 규정을 지켰음을 증명하는 비용을 낮추는 길이기도 합니다. 의무가 시작되기 전에 그 경로부터 확보하려는 움직임이 약 190곳 규모로 나타난 것입니다.

이 명단에서 국내 주요 AI 기업의 이름은 보이지 않습니다. 이 블로그는 7월 31일 공개된 최초 명단을 2026년 8월 2일 12시 45분(한국시각)에 저장했습니다. 분석을 위해 국내 AI 생태계와 관련된 기업·서비스 29개를 검색 그룹으로 정하고, 각각의 법인명·영문명·브랜드명을 서명 235건 전체와 대조했습니다. 카카오, 네이버, 삼성, LG, SK, 업스테이지를 포함해 어느 것도 확인되지 않았습니다. 다만 명단에는 국적 정보가 없어 약 190곳 전체의 국적을 하나하나 가려낸 것은 아니고, 이 29개 검색 그룹에 없는 기업이나 해외 법인명으로 서명한 계열사는 놓칠 수 있으며, 명단은 계속 갱신되므로 이후 달라질 수 있습니다.

카카오의 이름은 다른 곳에서 등장합니다. 구글이 7월 24일 강령 서명을 발표한 공식 블로그 글에서, 자사 워터마킹 기술 신스ID(SynthID)를 이용한 상호운용 워터마킹 도구가 산업 전반에 채택되도록 함께 추진하는 협력사로 애플, 일레븐랩스, 카카오, 엔비디아, 오픈AI 다섯 곳을 들었습니다. 워터마킹 기술 협력과 행동강령 서명은 성격이 다른 일입니다. 전자는 표식을 심는 도구를 함께 확산하는 협력이고, 후자는 집행위가 적정하다고 평가한 이행 경로에 이름을 올리는 일입니다. 카카오는 전자의 명단에 있고 후자의 명단에는 없습니다.

서명이 없다고 해서 무풍지대라는 뜻은 아닙니다. AI법은 역외에도 적용됩니다. 제3국에 있는 제공자·배포자라도 시스템이 만든 결과물이 EU 안에서 사용되면 적용 대상이 될 수 있다고 AI법 제2조가 정하고 있습니다. EU에 법인이 없는 한국 기업도 예외가 아니라는 점은 국내 매체 임팩트온도 7월 29일 짚었습니다.

한국의 시간표: 시행은 빨랐고, 제재는 미뤘다

한국의 AI기본법은 2026년 1월 22일 시행됐습니다. EU AI법의 일반 적용일(2026년 8월 2일)보다 6개월여 빠릅니다. 다만 이 비교에는 한계가 있습니다. EU AI법 자체는 2024년 8월 발효했고, 금지행위와 GPAI 의무는 2025년부터 단계적으로 적용되어 왔습니다.

AI기본법의 의무 조항과 제재 조항은 시행일부터 법적 효력이 있습니다. 다만 정부는 최소 1년 이상의 계도기간 동안 조사·과태료 등 제재를 원칙적으로 최소화하고 안내·지원 중심으로 운영하겠다고 밝혔습니다. 중대한 사회적 피해가 우려되면 제한적으로 조사·제재할 수 있다는 여지는 남겨뒀으므로, 계도기간 중이라고 집행이 법적으로 불가능한 것은 아닙니다. 계도기간이 언제 끝날지도 확정되어 있지 않습니다. 최소 기간대로라면 2027년 1월이지만, 정부는 해외 동향과 기술 발전을 고려해 연장할 가능성을 열어뒀습니다.

한국 AI기본법은 시행일이 EU 일반 적용일보다 6개월여 빨랐지만 정부는 계도기간 동안 제재를 원칙적으로 최소화하기로 했고, EU는 2026년 8월 2일부터 집행에 들어간다 — 그림 2: 한국 AI기본법과 EU AI법의 시행·집행 시간표. EU는 2024년 8월 1일 발효, 2025년 8월 2일 범용 AI 의무 적용을 거쳐 2026년 8월 2일 일반 적용과 함께 집행·제재가 가능해졌다. 한국은 2026년 1월 22일 시행으로 의무·제재의 법적 효력이 생겼지만, 정부는 최소 1년 이상의 계도기간 동안 제재를 원칙적으로 최소화한다고 밝혔고 연장 가능성을 열어뒀다. (자료: EU 집행위원회, EUR-Lex, 과학기술정보통신부·대한민국 정책브리핑)

그림 2 원본 크게 보기

같은 기간 정부는 제재보다 지원을 먼저 가동했습니다. 7월 21일 시행된 개정 AI기본법은 업무 특성상 AI 활용이 적합하지 않은 경우를 제외하고, 국가기관 등이 구매·용역 발주 때 대통령령으로 정한 AI 제품·서비스를 우선 고려하도록 했습니다. 개정 시행령은 그 대상을 과기정통부가 확인한 제품·서비스로 구체화했습니다. 확인서를 받은 제품에는 다수공급자계약 요건 완화와 적격심사 가점 등 조달상 우대가 적용됩니다.

한국 AI기본법의 법정 시행일(2026년 1월 22일)은 EU AI법 일반 적용일(2026년 8월 2일)보다 6개월여 빠르지만, 2026년 8월 2일 이후의 공식 집행 방침은 다릅니다. EU에서는 과징금을 물릴 수 있는 권한이 생겼고, 한국 정부는 계도기간(최소 1년) 동안 제재를 원칙적으로 최소화하기로 했습니다. 서명하지 않았다는 사실만으로 기업이 준비하지 않고 있다고 판단할 수는 없습니다. 다만 EU가 마련한 공통 이행 경로에 참여했다는 공개 신호는 이번 명단에서 확인되지 않았습니다. 규제의 무게는 시행일 하나로는 잴 수 없고, 집행 방침과 그 전에 기업이 스스로 움직이는 정도까지 함께 봐야 잴 수 있습니다.

‘규제가 시작됐다’는 말 뒤의 네 날짜

정리하겠습니다. 이 글이 따라간 2026년 8월 2일의 두 변화는, 제50조 투명성 의무가 적용되기 시작한 것과 범용 AI 의무를 집행할 권한이 생긴 것입니다. 같은 날 금지행위 등 다른 조항에 대한 집행도 함께 시작됐습니다. 개정으로 연기된 일정은 셋입니다. 부속서 III 고위험 규제는 2027년 12월로, 제품 내장형(부속서 I) 고위험 규제는 2028년 8월로, 회원국 샌드박스 기한은 2027년 8월로 각각 미뤄졌습니다. 그리고 의무가 시작되기 전에 약 190곳이 자발적 강령에 서명했고, 그 최초 명단에서 국내 주요 AI 기업의 이름은 확인되지 않았습니다.

법률에서 ‘발효’는 규정이 법적 효력을 얻는 날짜 하나를 가리킵니다. EU AI법의 발효일은 2024년 8월 1일이었습니다. 그런데 뉴스가 ‘규제가 시작됐다’고 요약하는 사건 안에는 법이 발효한 날, 의무가 적용되는 날, 집행과 제재가 시작되는 날이라는 법적 날짜 세 개가 따로 들어 있고, 그 곁에 기업이 먼저 움직인 날이 하나 더 있습니다. 통계를 읽을 때 ‘무엇을 세는 숫자인가’를 물어야 하듯이, 규제를 읽을 때는 어느 날짜에 무엇이 구속력을 얻는지, 그리고 그 전에 누가 움직였는지를 물어야 합니다.

다음에 확인할 날짜도 이미 정해져 있습니다. 2026년 9월에는 행동강령 이행을 지원하는 집행위 태스크포스 두 개가 출범할 예정이고, 2026년 12월 2일에는 기존 시스템에 적용되는 기계 판독 가능 표식 의무의 경과기간이 끝납니다. 한국의 계도기간은 최소 1년이며 연장될 수 있습니다. 이 날짜들에 실제로 무엇이 시작되는지, 이 블로그에서 이어 확인하겠습니다.

참고자료

서명자 명단의 원문 스냅샷(2026-08-02 12:45 KST, SHA-256 대장), 국내 주요 기업·서비스 검색 그룹 29종 사전, 추출·대조 스크립트와 결과 파일은 저장소 docs/03-analysis/eu-ai-act-article50/에 보존되어 있습니다.