AI Act 적용 시점이 뒤로 밀릴 수 있다면, 지금 하던 컴플라이언스 작업도 멈춰야 할까? 창업자, CIO, 제품 책임자, 법무·보안팀이 당장 마주한 질문은 이것이다. 규제가 늦어지면 비용을 아낄 기회처럼 보이지만, 잘못 멈추면 나중에 더 비싼 리팩터링으로 돌아온다.
최근 유럽에서는 AI Act의 복잡한 시행 부담을 줄이기 위해 일부 적용과 집행을 늦추는 방향이 논의·보도되고 있다.1 다만 이것은 "AI 규제가 사라진다"는 뜻이 아니다. EU AI Act 자체는 이미 발효됐고, 금지 AI 관행, 범용 AI, 고위험 AI 의무는 단계적으로 적용되도록 설계돼 있다.2
지연은 공짜 시간이 아니라 리스크 가격의 재조정이다
확인된 사실부터 보자. EU AI Act는 2024년 8월 발효됐고, 금지 AI 관행은 2025년 2월부터, 범용 AI 모델 관련 의무는 2025년 8월부터, 대부분의 고위험 AI 의무는 2026년 8월부터 적용되는 일정으로 짜여 있었다.3 일부 제품 안전 법제와 연결된 고위험 AI에는 더 긴 전환기간이 붙는다.
여기서 일정 지연 논의가 중요한 이유는 단순히 "마감일이 바뀐다"가 아니다. 기업 내부에서는 예산, 제품 로드맵, 조달 계약, 로그 인프라, 모델 문서화 우선순위가 모두 마감일을 기준으로 움직인다. 날짜가 밀리면 CFO는 비용 절감을 묻고, 제품팀은 출시 속도를 묻고, 법무팀은 나중에 해도 되는지 묻는다.
하지만 AI 거버넌스는 세금 신고처럼 마지막 달에 몰아서 처리하기 어렵다. 특히 고위험 가능성이 있는 시스템은 데이터 출처, 학습·검증 기록, 인간 감독 설계, 장애 대응 흐름이 제품 구조에 박혀 있어야 한다. 나중에 문서만 붙이면 되는 영역과, 지금 설계하지 않으면 뜯어고쳐야 하는 영역을 구분해야 한다.
늦춰도 지금 해야 하는 일: 인벤토리, 계약, 로그
실무적으로 "기다려도 되는 일"은 세부 양식, 최종 템플릿, 인증 절차처럼 아직 해석이 변할 수 있는 부분이다. 반면 "지금 해야 하는 일"은 규제 문구가 조금 바뀌어도 가치가 남는 작업이다.
첫째, AI 인벤토리를 만들어야 한다. 회사 안에서 어떤 팀이 어떤 모델을 쓰는지, 고객 의사결정에 영향을 주는지, 의료·채용·신용·교육·공공서비스 같은 민감 영역과 연결되는지 정리해야 한다. 이 작업은 AI Act 대응뿐 아니라 보안, 개인정보, 조달 관리에도 그대로 쓰인다.
둘째, 벤더 계약을 다시 봐야 한다. SaaS에 들어간 AI 기능, 클라우드 모델 API, 오픈소스 모델 파인튜닝은 모두 책임 경계가 다르다. 공급자가 모델 카드, 데이터 출처, 성능 한계, 사고 대응 정보를 제공하지 않으면 나중에 고객이나 감독기관에 설명할 수 없다.
셋째, 로그와 인간 감독 흐름을 제품에 넣어야 한다. 누가 AI 출력을 봤는지, 언제 수정했는지, 자동 결정이었는지 보조 도구였는지 남겨야 한다. 이는 규제 대응 이전에 엔터프라이즈 고객이 묻는 신뢰 요건이다.
승자는 서류를 미루는 회사가 아니라 제품을 고치는 회사다
AI Act 지연을 "컴플라이언스팀의 일정 변경"으로만 보면 기회를 놓친다. 더 큰 기회는 제품 설계에 있다. 감사 가능한 기능, 설명 가능한 출력, 운영 중 성능 모니터링, 고객별 정책 설정은 규제 대응이면서 동시에 판매 포인트다.
예를 들어 HR, 금융, 의료, 공공 부문에 AI 제품을 파는 기업이라면 "우리는 규제가 늦어졌으니 기다린다"보다 "우리는 이미 감사 추적과 인간 승인 단계를 제공한다"가 훨씬 강한 메시지다. 유럽 고객뿐 아니라 글로벌 대기업도 비슷한 질문을 한다. AI가 어떤 데이터를 썼는지, 실패하면 누가 책임지는지, 고객 데이터가 모델 개선에 쓰이는지 말이다.
물론 반론도 있다. 너무 일찍 투자하면 최종 가이드라인과 맞지 않아 낭비가 생길 수 있다. 맞는 지적이다. 그래서 지금 필요한 것은 모든 문서를 완성하는 것이 아니라, 바뀌기 어려운 기반을 만드는 것이다. 인벤토리, 책임자 지정, 로그, 벤더 정보 요구, 위험 분류 기준은 규제 세부사항이 바뀌어도 재사용된다.
기다릴 것, 지켜볼 것, 지금 할 것
간단히 나누면 이렇다.
기다릴 것: 최종 적합성 평가 양식, 세부 보고 템플릿, 아직 확정되지 않은 표준 문구.
지켜볼 것: 고위험 AI 범위 해석, 범용 AI 모델 의무, 벌칙 적용 시점, EU 집행기관의 가이드라인.
지금 할 것: AI 사용 목록화, 위험 등급 초안, 데이터 출처 점검, 모델 로그, 인간 감독 설계, 벤더 계약 조항.
판단 기준은 하나다. "나중에 문서로 보완 가능한가, 아니면 제품 구조를 바꿔야 하는가?" 전자는 일정 변화에 맞춰 조정해도 된다. 후자는 지금 시작해야 한다.
EU AI Act 지연은 규제 후퇴라기보다 실행 비용을 다시 계산하라는 신호에 가깝다. 유럽 시장에 제품을 팔거나, 규제 산업 고객을 상대하거나, AI가 사람의 권리·기회·안전에 영향을 주는 결정을 돕는다면 지금 멈출 이유는 없다. 다만 속도를 바꿔야 한다. 서류 완성보다 시스템을 감사 가능하게 만드는 쪽에 예산을 쓰는 회사가, 마감일이 다시 다가왔을 때 덜 흔들릴 것이다.
참고
1Europe's answer to AI regulation complexity is to just delay most of it
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.