EU AI법 고위험 의무 2027년 12월로 연기: 한국 기업이 지금 판별해야 할 3단계

2026-10-07 수정 2026년 7월 EU AI법 개정(Regulation (EU) 2026/1744)으로 바뀐 고위험 의무 적용일을 반영했습니다.

3줄 요약
1. EU AI법(AI Act)의 고위험 AI 의무 적용일이 2027년 12월 2일로 연기됐습니다(제품 탑재형은 2028년 8월 2일). 의무가 없어진 것이 아니라 준비 기간이 생긴 것입니다.
2. EU에 서비스·제품을 공급한다면 한국 기업도 대상입니다. 소재지가 아니라 시장이 기준입니다.
3. 요구사항의 절반 이상이 보안·기록·검증 항목이라, ISMS-P 체계가 있으면 상당 부분 재활용할 수 있습니다.

1. 무슨 일이 있었나

EU AI법은 AI 시스템을 위험도에 따라 나누고, 고위험(High-Risk) 등급에 강한 의무를 부과합니다.

원래 용도별 고위험 의무(부속서 III)는 2026년 8월 2일, 제품 탑재형(부속서 I)은 2027년 8월 2일부터 적용될 예정이었습니다. 2026년 7월 개정(Regulation (EU) 2026/1744, '디지털 옴니버스', 7월 27일 발효)으로 둘 다 미뤄졌습니다.

대상	적용 시작
채용·교육·신용 평가·핵심 인프라·생체인식 등 용도로 정한 고위험 AI(부속서 III)	2027년 12월 2일
의료기기·기계처럼 EU 제품 안전 법령이 적용되는 제품에 들어간 AI(부속서 I)	2028년 8월 2일

남은 기간은 1년 남짓입니다. 위험 관리 체계·자동 로그·기술 문서는 하루아침에 만들 수 없어서, 대상 판별은 지금 해 두는 편이 낫습니다.

핵심은 적용 범위입니다.

EU에 있는 사람에게 결과가 제공되면 적용됩니다. 회사가 서울에 있어도 마찬가지입니다.

2. 우리 회사가 대상인지 판별하는 3단계

① EU 시장에 닿는가

EU 고객사에 SaaS를 제공한다
EU에 수출하는 제품에 AI 기능이 들어간다
EU 거주자의 데이터를 AI로 처리해 결과를 돌려준다

하나라도 해당되면 다음 단계로 갑니다.

② 고위험 영역에 해당하는가

대표적으로 다음 용도가 고위험으로 분류됩니다.

영역	예시
채용·인사	이력서 자동 선별, 성과 평가 AI
신용·금융	대출 심사, 신용 평가 스코어링
교육	입학·성적 평가 자동화
의료기기	진단 보조 AI (제품 탑재형, 2028년 8월 적용)
핵심 인프라	전력·교통 제어
생체인식	원격 신원 확인

③ 우리 역할이 무엇인가

공급자(Provider): 직접 만들어 판매 — 의무 대부분이 여기에 집중
배포자(Deployer): 남이 만든 걸 업무에 사용 — 사용 기록·감독 의무

"우리는 API를 갖다 쓸 뿐"이라도 배포자 의무는 남습니다.

3. 요구사항 중 보안 담당자가 준비할 것

전체 의무 중 실무적으로 보안·IT가 감당하는 항목은 다음과 같습니다.

① 위험 관리 체계

AI 시스템 생애주기 전반의 위험 식별·평가·완화
문서화되지 않은 위험 관리는 없는 것으로 간주됩니다

② 로그 자동 기록

시스템 동작 이력을 자동으로 남겨야 합니다
사후에 "왜 이런 판단이 나왔는지" 추적 가능해야 함
보존 기간·무결성 보장이 함께 요구됩니다

③ 정확성·견고성·사이버보안

적대적 입력(프롬프트 인젝션 포함)에 대한 내성
데이터 오염(Poisoning) 대응
모델·가중치·학습 데이터에 대한 접근 통제

④ 인적 감독

사람이 개입해 중단·번복할 수 있는 구조
완전 자동 결정에 대한 안전장치

⑤ 기술 문서와 적합성 증적

설계·데이터·시험 결과를 문서로 보유
요구 시 제출할 수 있는 상태 유지

4. ISMS-P를 이미 하고 있다면 — 재활용 가능한 것

좋은 소식은, 처음부터 만들 필요가 없다는 점입니다.

EU AI법 요구	대응되는 ISMS-P 통제
위험 관리 체계	위험평가·위험처리 계획
로그 자동 기록	접속기록 보관·점검
접근 통제	권한 관리·특권 계정 통제
사이버보안 견고성	취약점 점검·보안 시험
기술 문서	정보자산 목록·운영 문서

차이는 대상이 "정보시스템"에서 "모델과 데이터"로 확장된다는 점입니다.

특히 새로 필요한 것: 모델 입력에 대한 적대적 시험(레드팀) 기록.

5. 자가 점검 6문 (2분)

☐ EU 고객·EU 거주자에게 AI 결과가 제공되는 서비스가 있는지 식별했다
☐ 해당 서비스가 고위험 영역에 속하는지 판별했다
☐ 우리가 공급자인지 배포자인지 정리했다
☐ AI 시스템의 동작 로그가 자동으로 남고 있다
☐ 프롬프트 인젝션·데이터 오염에 대한 시험을 수행한 기록이 있다
☐ 사람이 개입해 결과를 번복할 수 있는 절차가 있다

3개 미만이면 적용 대상 판별부터 시작해야 합니다.

6. 결론 — 규제 대응이 아니라 진입 조건

EU AI법은 "지키면 좋은 것"이 아니라 EU 시장에 남을 수 있는 조건입니다.

동시에, 요구사항 대부분은 국내 ISMS-P·개인정보보호법과 방향이 같습니다. 지금 정리해두면 두 번 일하지 않습니다.

가장 먼저 할 일은 규정 해석이 아닙니다 — 우리 AI 기능이 어디까지 EU에 닿는지 목록화하는 것입니다.

지금 시작하기

AI 서비스의 외부 노출면과 기본 보안 상태를 먼저 확인하려면:

👉 SENTRIX 무료 보안 스캔 (codescan.kr) — URL 입력 → 30초 내 외부 노출 위험 진단

AI 거버넌스·ISMS-P 연계 체계를 세워야 한다면:

👉 ISMS-P / AI 거버넌스 상담 (sentrix.co.kr) — 적용 대상 판별 · 통제 매핑 · 적대적 시험 설계 동반 진행

참고 자료

AI 보안 ISMS-P 컴플라이언스 AI 거버넌스 EU AI법 AI Act 고위험 AI 전체 태그 →

AI 거버넌스 · ISMS-P 연계 상담

갭 분석부터 심사 대응까지 원스톱으로 지원합니다.

진단 문의하기 컨설팅 보기