Executive Summary

주요 수치

출처: 집행위 보도자료(2026-08-31) · 집행위 지정 서비스 목록(2026-08-31 갱신) · 규정 (EU) 2022/2065

집행위 발표문은 짧습니다. 챗GPT를 초대형 온라인 검색엔진으로, 레딧과 로블록스를 초대형 온라인 플랫폼으로 지정했고, 세 서비스 모두 EU 내 월평균 이용자가 4,500만 명 이상이라고 스스로 신고해 지정 문턱을 넘었다는 내용입니다. 통지 이후 4개월, 그러니까 2027년 1월까지 최상위 계층의 추가 의무를 이행해야 한다는 문장이 뒤따릅니다. 집행위가 같은 날 갱신한 지정 서비스 목록에도 2026년 8월 31일 지정이라고만 적혀 있고, 결정문 자체는 아직 공개되지 않았습니다.

분류를 가른 것은 기능이었습니다. 유로뉴스에 따르면 집행위는 챗GPT를 하이브리드 서비스로 규정했습니다. 사용자의 프롬프트와 질의에 응답하는 동시에 웹을 검색하기 때문에 디지털서비스법상 온라인 검색엔진에 해당한다는 것입니다. 레딧과 로블록스가 다른 범주로 간 이유는 단순합니다. 두 서비스는 이용자가 콘텐츠를 만들어 공개적으로 공유하는 곳이라 플랫폼으로 묶였습니다.

규모를 보면 세 서비스의 사정이 같지 않습니다. 오픈AI는 챗GPT 검색 기능의 EU 월간 활성 이용자가 2026년 3월까지 6개월 평균 약 1억 5,900만 명이라고 공시했습니다. 문턱의 세 배가 넘습니다. 집행위 목록에 적힌 세 서비스의 신고치는 챗GPT 1억 5,910만 명, 레딧 5,720만 명, 로블록스 4,660만 명입니다. 로블록스는 문턱을 160만 명 차이로 넘겼습니다. 이번 지정으로 디지털서비스법 최상위 계층에 속한 서비스는 28개가 됐습니다.

검색엔진만 떼어 놓고 보면 챗GPT의 자리가 더 분명해집니다. 디지털서비스법 시행 이래 초대형 온라인 검색엔진으로 지정된 것은 구글 검색과 빙 둘뿐이었습니다. 같은 목록에 적힌 신고치는 구글 검색 3억 6,400만 명, 빙 1억 1,900만 명입니다. 챗GPT는 세 번째로 이름을 올리면서 이용자 수로는 곧바로 빙을 앞질렀습니다.

독일 기술매체 heise는 이 지정의 성격을 이렇게 읽었습니다. AI법은 기술 자체를 기준으로 규제하지만, 이번 결정은 서비스가 실제로 어떻게 쓰이고 거기서 어떤 위험이 나오는지를 기준으로 삼았다는 것입니다. 유튜브와 인스타그램, 구글 검색, 테무가 이미 들어가 있는 명단에 챗GPT가 합류한 셈입니다. 지정 자체는 위법 판정이 아닙니다. 새 의무가 언제부터 적용되는지를 정하는 절차이고, 감독은 집행위가 직접 맡되 오픈AI의 EU 본사가 있는 아일랜드의 감독기구 Coimisiún na Meán과 협력해 진행합니다. 이 기관 이름을 기억해 둘 필요가 있습니다. 뒤에 볼 연구자 데이터 접근에서 실제로 요청서를 작성하는 곳이 바로 여기입니다.

이 경로는 이미 예고돼 있었습니다. 텔레콤 파리와 인리아 연구진은 2025년 6월 ACM SIGIR Forum에 실은 의견 논문에서 이 경로를 거의 그대로 적어 두었습니다.

"Once ChatGPT search reaches 45 million active users per month in Europe on average, it will likely be subject to the DSA's obligations to conduct risk assessments and propose mitigation measures."

챗GPT 검색의 유럽 월평균 이용자가 4,500만 명에 이르면 위험 평가와 완화 조치 의무를 지게 될 것이라는 문장입니다. 같은 논문은 오픈AI가 이미 챗GPT 검색을 디지털서비스법상 검색엔진으로 간주하고 대응해 온 정황도 함께 적었습니다. 이번 발표는 그 예상을 확정 지었습니다. 분류가 논문 속의 가능성에서 실제 의무로 넘어온 것입니다.

최상위 계층에 들어가면 조문 세 개가 한꺼번에 걸립니다. 34조는 서비스와 알고리즘 시스템의 설계 또는 작동에서 나오는 체계적 위험을 매년 한 번 이상 식별하고 분석하고 평가하라고 합니다. 37조는 그 이행을 자기 비용으로, 연 1회 이상 독립 감사에 부치라고 합니다. 40조 4항은 체계적 위험을 연구하려는 심사 통과 연구자에게 데이터 접근을 허용하라고 합니다. 세 조문 모두 지금까지 생성형 검색 제품에 적용된 적이 없습니다.

▲ 최상위 계층에 적용되는 주요 의무 | 출처: 규정 (EU) 2022/2065 3장 5절

34조 2항은 위험을 평가할 때 무엇을 고려해야 하는지도 지목합니다. 추천 시스템을 비롯한 알고리즘 시스템의 설계, 콘텐츠 조정 시스템, 약관과 그 집행, 광고를 고르고 표시하는 시스템, 그리고 사업자의 데이터 관행입니다. 챗GPT에 옮기면 답변을 만들 때 어떤 출처를 끌어오고 무엇에 가중치를 주는지가 평가 대상이라는 뜻이 됩니다.

40조 3항은 알고리즘을 한층 더 직접 겨눕니다. 집행위나 감독기구가 요청하면 추천 시스템을 포함한 알고리즘 시스템의 설계와 논리, 작동 방식, 시험 방법을 설명하라고 합니다. 여기서 요구하는 것은 설명입니다. 그 설명이 무엇에 근거해야 하는지, 설명을 뒷받침할 기록을 어떤 형태로 갖고 있어야 하는지까지는 조문이 말하지 않습니다.

연구자 데이터 접근에는 절차를 정한 후속 규정까지 이미 나와 있습니다. 집행위는 2025년 7월 1일 위임규정 (EU) 2025/2050을 채택했고, 이 규정은 같은 해 10월 관보 게재 20일 뒤부터 적용되고 있습니다. 여기에는 DSA 데이터 접근 포털을 세우고, 사업자가 자기 사이트에 데이터 카탈로그를 공개하도록 하는 내용이 들어 있습니다. 카탈로그에는 접근을 신청할 수 있는 데이터 자산과 그 데이터 구조, 메타데이터를 적어야 합니다. 15조는 연구자에게 데이터를 넘길 때 코드북과 변경 이력, 아키텍처 문서처럼 데이터를 이해하는 데 필요한 정보를 함께 제공하라고 요구합니다.

디지털서비스법에도 기록의 규격을 못 박아 둔 대목이 있습니다. 광고를 다루는 39조가 그렇습니다. 최상위 사업자는 광고 저장소를 만들어 공개해야 하고, 2항은 그 저장소에 최소한 담아야 할 항목 일곱 가지를 열거합니다. 광고의 내용과 광고 주체, 비용을 낸 자, 노출 기간, 특정 집단을 겨냥했다면 그 타깃팅에 쓴 주요 매개변수, 26조 2항이 정한 상업적 커뮤니케이션 표시, 도달한 이용자 수입니다. 보존 기간은 마지막 노출 이후 1년이고, 다기준 질의가 가능한 검색 도구와 API로 제공해야 합니다.

생성형 답변에는 이에 대응하는 조문이 없습니다. 34조 2항이 알고리즘 시스템을 평가 대상으로 지목하고, 34조 3항이 근거 문서를 3년간 보존하라고 하지만, 그 문서가 무엇이어야 하는지는 사업자가 정합니다. 어떤 질의에 어떤 후보 출처를 검색했고, 그중 무엇을 인용했고, 왜 그 순서였는지를 남기라는 문장은 규정 어디에도 없습니다.

답변 아래 인용 링크가 붙어 있으니 기록은 남는 셈 아니냐고 물을 수 있습니다. 앞서 인용한 논문은 웹 검색을 붙인 모델이 원출처가 아니라 그 원출처를 인용한 다른 문서를 가리킬 수 있고, 출처에서 나오지 않은 내용을 그 출처에서 나온 것처럼 제시할 수 있으며, 아예 없는 출처를 지어낼 수도 있다고 적었습니다. 답변에 붙은 인용은 무엇을 검색했는지의 기록이 아니라 답변의 일부입니다.

heise도 같은 빈틈을 짚었습니다. EU가 식별해야 할 위험의 망라 목록을 제시하지는 않으면서, 위험을 방치하면 높은 과징금을 물리겠다고 예고했다는 것입니다. 위험 목록이 열려 있다는 것은 규제 설계로는 합리적입니다. 새로 나타나는 위험을 조문 개정 없이 담을 수 있기 때문입니다. 다만 그 유연성은 사업자 쪽에서 보면 무엇을 얼마나 촘촘히 남겨야 안전한지가 정해지지 않았다는 뜻이기도 합니다.

위임규정이 요구하는 데이터 카탈로그도 이 빈틈을 메우지는 못합니다. 카탈로그는 접근 가능한 데이터 자산과 그 구조를 기술하는 문서입니다. 위임규정은 그 카탈로그에 34조 위험 평가에서 사업자가 식별한 위험과 관련된 데이터, 35조 완화 조치와 관련된 데이터를 특히 담고, 위험 평가와 감사 결과를 반영해 정기적으로 갱신하라고 합니다. 동시에 카탈로그가 망라적일 필요는 없다고 밝힙니다. 카탈로그의 내용은 앞선 평가가 이미 만들어 낸 것을 뒤따라간다는 뜻입니다. 시스템이 남기지 않은 것은 카탈로그에도 없습니다. 심사를 통과한 연구자가 포털을 통해 신청서를 넣고 감독기구가 이유 있는 요청을 작성하는 절차가 아무리 잘 굴러가도, 요청할 대상이 애초에 생성되지 않았다면 그 절차의 끝에는 빈 자리가 남습니다.

34조 2항이 평가하라고 지목한 대상을 실제로 평가하려면 무엇이 필요한지 거꾸로 짚어볼 수 있습니다. 알고리즘 시스템의 설계가 위험에 어떻게 영향을 주는지를 확인하려면, 같은 질문을 여러 번 던졌을 때 어떤 후보 출처들이 불려 나왔고 무엇이 최종 답변에 들어갔는지를 뒤에서 재구성할 수 있어야 합니다. 사업자의 데이터 관행이 위험에 미치는 영향을 보려면 어느 인덱스와 어느 모델 판본이 그 답을 만들었는지가 남아 있어야 합니다. 규정은 이 항목들을 요구하지 않습니다. 그러나 이런 기록이 없으면 34조가 요구한 평가는 검증할 수 없는 서술이 됩니다.

감사인 쪽 권한은 이미 넓게 열려 있습니다. 37조 2항은 사업자가 감사 조직에 관련 데이터와 시설 일체에 대한 접근을 주고 구두·서면 질의에 답하도록 하며, 감사를 방해하거나 부당하게 영향을 주는 행위를 금지합니다. 다만 그 권한은 남아 있는 데이터까지만 닿습니다.

시점의 문제이기도 합니다. 34조 3항은 근거 문서를 3년간 보존하라고 하고, 42조 4항은 위험 평가 결과와 감사 보고서를 공개하라고 합니다. 보존과 공개는 이미 있는 기록에만 적용됩니다. 답변이 만들어지는 순간에 남기지 않은 것은 나중에 만들어 낼 수 없습니다. 그래서 이 의무는 컴플라이언스 부서의 기한 관리로 끝나지 않습니다. 시스템이 답을 내놓는 경로 어디에 기록 지점을 심어 둘지가 먼저입니다.

이 물음은 오픈AI만의 것이 아닙니다. 검색을 붙인 대화형 제품을 EU에서 서비스하는 사업자라면 이용자 수가 문턱에 다가갈수록 같은 질문을 받게 됩니다. 지금 무엇을 남기고 있는지, 그 기록만으로 1년 뒤 외부 감사인에게 답변 하나의 경로를 설명할 수 있는지가 그 질문입니다. 두 답이 모두 아니라면, 규제가 요구하기 전에 로그 스키마부터 손봐야 합니다. 문서 양식은 그다음입니다.

공식 문서·법령

• 1.European Commission. (2026). "Commission designates ChatGPT, Reddit, Roblox under Digital Services Act." Shaping Europe's Digital Future.
• 2.European Commission. (2026). "Supervision of the designated very large online platforms and search engines under DSA." Shaping Europe's Digital Future.
• 3.유럽의회·유럽연합이사회. (2022). 규정 (EU) 2022/2065 (디지털서비스법). Official Journal of the European Union.
• 4.European Commission. (2025). 위임규정 (EU) 2025/2050. Official Journal of the European Union.

언론 보도

• 5.Euronews. (2026). "EU places ChatGPT, Reddit and Roblox under strictest digital safety rules."
• 6.Steiner, F. (2026). "DSA: EU Commission classifies ChatGPT as "very large search engine"." heise online.

학술 논문

• 7.Sadeddine, Z., Maxwell, W., Varoquaux, G., & Suchanek, F. M. (2025). "Large Language Models as Search Engines: Societal Challenges." ACM SIGIR Forum (Opinion Paper).