Executive Summary

이 준비 시계가 왜 이미 돌아가고 있는지는 네 개의 숫자가 먼저 말해 준다. 유예 기간의 길이, 8월 2일에 실제로 도는 벌금의 크기, 데이터 품질이 AI를 무너뜨리는 비율, 그리고 아직 손도 대지 못한 조직들의 격차다.

8월 2일은 "새 규칙이 시작되는 날"로 자주 소개된다. 정확히는 반대에 가깝다. 이날 발효하는 것 대부분은 이미 존재하던 규칙이고, 새로 생기는 것은 그 규칙을 집행할 수단이다. 세 개의 스위치를 하나씩 보면 성격이 분명해진다.

Article 50 — 투명성 의무

첫째는 Article 50 투명성 의무다. 이용자가 AI와 상호작용하고 있음을 고지하고, AI가 생성하거나 조작한 콘텐츠(딥페이크 포함)를 라벨링하도록 요구한다. 이 의무는 8월 2일 예정대로 발효한다. 다만 이미 시장에 나와 있는 생성형 AI의 기계 판독용 워터마킹 의무는 Digital Omnibus 잠정 합의에 따라 2026년 12월 2일까지 유예된다. 즉 "무엇을 라벨링하느냐"가 아니라 "언제까지 어떤 방식으로"가 조항마다 갈린다.

Article 101 — GPAI 제공자에 대한 집행위 제재 권한

둘째는 이 글의 심장이다. 범용 AI(GPAI) 모델 제공자의 의무, 곧 기술 문서화·학습 데이터 요약 공개·저작권 정책 등은 이미 2025년 8월 2일부터 적용 중이었다. 그동안 없던 것은 집행위(AI Office)가 위반에 벌금을 물릴 권한이었다. 그 권한이 바로 2026년 8월 2일에 발효한다. 규칙은 1년 전부터 있었고, 이빨이 이제 돋는 것이다. 상한은 €15M과 매출 3% 중 큰 쪽이다.

시장감시·AI Office 집행 구조

셋째는 회원국 시장감시당국과 AI Office의 조사·집행 구조가 가동된다는 점이다. 조항 하나가 아니라 거버넌스 기계 전체가 켜진다. 앞의 두 스위치가 실제로 작동하려면 이 구조가 먼저 서 있어야 한다.

이 세 스위치가 한국 기업과 무관하지 않다는 점도 분명히 해 둘 필요가 있다. Article 50 투명성 의무도, GPAI 제공자 의무도 서비스가 EU 이용자에게 닿는 순간 제공자의 본사가 어디에 있든 적용된다. EU에 사용자를 둔 한국·미국·일본 기업이 모두 사정권 안에 있다는 뜻이다. "EU에서 법인을 운영하지 않으니 우리와는 무관하다"는 판단이 가장 흔한 오독이다.

이 셋을 고위험 조항과 나란히 놓으면 8월 2일의 진짜 성격이 드러난다. 아래 표는 그날 발효하는 것과 2027년으로 미뤄진 것을 가른다. 이 대조가 글 전체의 팩트체크다.

벌금의 크기도 짚어 둘 필요가 있다. 원문 주제에 등장한 "위반 시 매출 3%"는 방향은 맞지만 귀속이 부정확하다. EU AI법 벌금은 세 단으로 나뉜다. 8월 2일에 3%의 이빨이 실제로 도는 것은 Tier 2가 아니라 집행위가 직접 집행하는 GPAI Article 101이며, Tier 2의 3%에 속하는 Article 10 위반은 의무 자체가 2027년까지 유예돼 실질 처벌도 그 이후다.

정액 상한 €15M은 대형 제공자에게는 사실상 하한선이다. 매출 3%를 대입하면 규모가 달라진다. Alphabet은 2025 회계연도 매출 약 4,028억 달러 기준 약 121억 달러, Microsoft는 약 2,817억 달러 기준 약 85억 달러다. 실질 억지력은 정액이 아니라 매출 비율 쪽에서 나온다. 다만 이 계산은 대기업 기준이다. 중소기업과 스타트업에는 반대로 정액 상한과 매출 비율 중 낮은 쪽이 적용돼(Article 99(6), 이른바 'SME 예외'), 같은 위반이라도 부담의 방향이 규모에 따라 갈린다. 참고로 "1.5%"는 어디에도 없는 수치다. 2차 출처에서 반복되는 오류이며, 정확히는 부정확 정보 제공에 물리는 1%(Tier 3)다.

원문 주제의 전제는 "연기 논의가 있었지만 법제화되지 않아 그대로 시행된다"였다. 이 문장은 정확히 뒤집혀 있다. 연기는 논의로 끝나지 않았다. 법이 됐다. 그 법의 이름이 Digital Omnibus on AI다.

입법 경과는 명확하다. 유럽의회가 2026년 6월 16일 채택했고, 이사회가 6월 29일 승인했으며, 7월 8일 서명이 이뤄졌다. Gibson Dunn·Jones Walker·Licentium 등 복수의 로펌 분석이 같은 타임라인을 확인한다. 이 개정으로 Annex III 독립형 고위험 AI의 의무(Article 10 데이터 거버넌스 포함)는 2027년 12월 2일로, 제품에 내장된 Annex I 고위험은 2028년 8월 2일로 확정 연기됐다.

왜 이 정정이 중요한가. 페블러스 블로그는 이미 지난 세 편(6월 19일, 6월 25일, 7월 13일)에서 "고위험=2027년 12월 유예 확정"을 전했다. 원문 전제를 그대로 실었다면 우리 자신의 보도를 뒤집는 오보이자 사이트 내부 모순이 됐을 것이다. 타임라인의 일관성은 신뢰의 근거다.

한 가지 덧붙일 개정이 있다. Digital Omnibus는 Article 10에 편향 감지·완화를 목적으로 하는 특별 범주 민감정보의 처리 예외도 손봤다. 편향을 검사하려면 인구통계 같은 민감 속성이 필요한데, 바로 그 데이터를 다루는 근거를 정비한 것이다. 이 개정의 함의는 페블러스가 7월 4일 다룬 민감정보 예외 글에서 자세히 짚었다.

Article 10을 처음 읽으면 낯선 요구처럼 보인다. 학습·검증·시험 데이터가 "관련성 있고 충분히 대표성 있으며 가능한 한 오류 없고 완전"할 것, 편향을 조사하고 완화할 것, 데이터의 공백을 식별할 것. 그런데 이 목록은 규제가 새로 발명한 기준이 아니다. 업계가 이미 AI 실패의 최대 원인으로 반복 지목해 온 문제에 규제 언어를 입힌 것에 가깝다.

수치가 그 사실을 말해 준다. Gartner는 AI 프로젝트의 85%가 데이터 품질 부족이나 관련 데이터의 부재로 실패한다고 본다. AI에 적합한("AI-ready") 데이터 품질을 갖춘 조직은 12%에 불과하다. Google Research의 "Data Cascades" 연구는 고위험 도메인 실무자의 92%가 데이터 문제가 하류로 전파돼 누적 악화되는 현상을 한 번 이상 겪었고, 45%는 두 번 이상 겪었다고 보고한다. 대표성 부족과 라벨 오류는 규제가 지적하기 훨씬 전부터 프로젝트를 무너뜨리고 있었다.

학술적으로도 이 요건은 이미 측정 가능한 대상이다. arXiv에 공개된 "Data Bias Profiles for the EU AI Act"는 데이터셋 대표성을 Article 10 요건에 맞춰 계량 지표로 정식화했고, 후속 연구들이 표본 편향·배포 편향·구조적 편향으로 이를 확장했다. 대표성이 왜 중요한지는 이미 고전이 된 사례들이 증명한다. Gender Shades는 얼굴 인식의 정확도가 피부톤과 성별에 따라 크게 갈린다는 것을, LAION-5B 감사는 대규모 웹 크롤 데이터에 인구통계 편향이 스며 있음을 보였다. 데이터 단계의 흠집은 단순 오차가 아니라 모델 내부 표현의 편향으로 전이된다. Article 10이 하필 데이터 단계를 규율하는 이유가 여기에 있다.

그리고 여기서 이 글의 핵심 논지가 나온다. Article 10이 요구하는 것은 데이터가 아니라 데이터에 관한 증거다. 대표성이 검사됐다는 기록, 라벨 오류율을 측정했다는 문서, 편향을 조사하고 완화했다는 추적, 출처를 어디까지 아는지에 대한 계보. 이 증거들의 공통점은 하나다. 모델을 다 학습시킨 뒤에는 소급해 만들 수 없다. 학습이 끝난 다음에 출처 계보와 편향 조사를 재구성하려 하면, 그 재구성 자체가 감사관에게 적신호가 된다.

이 대목은 페블러스가 7월 13일 리포트에서 다룬 각도와 이어지되 다르다. 그 글이 "라벨링 워크플로우가 남기는 감사 증적의 구체적 항목"을 짚었다면, 이 글은 "그 증적이 왜 소급 생산 불가능한 축적 자산인가"에 초점을 둔다.

"2027년까지 미뤄졌으니 지금은 손을 놓아도 된다." 이것이 유예의 가장 흔한 오독이다. 앞 장의 결론, 곧 증거는 소급 생산할 수 없는 축적 자산이라는 사실이 이 오독을 곧바로 무너뜨린다. 18개월은 휴식이 아니라 리드타임이다. 그리고 이 구조는 EU AI법에만 있는 특수한 사정이 아니다. 서로 다른 두 제도가 똑같은 패턴을 보여준다.

동형 사례 하나 — ISO/IEC 17025 시험소 인정

시험·교정 기관이 받는 ISO/IEC 17025 인정을 보자. 한국의 인정기구 KOLAS의 공식 처리 기간은 신청 접수부터 인정까지 사무 업무일 기준 약 90일이다. 그런데 그 앞에 오는 준비, 곧 품질경영체계 구축·절차 문서화·내부 심사는 업계 평균 약 12개월이 걸린다. 행정 처리 자체는 빠르지만, 진짜 병목은 그 앞의 축적이다. 서류는 석 달이면 넘어가도, 서류가 증명하려는 상태를 만드는 데는 1년이 든다.

동형 사례 둘 — GDPR의 '조용함' 뒤에 온 급증

규제의 침묵을 무해함으로 오독하면 안 되는 이유는 GDPR이 이미 보여줬다. 2018년 5월 시행 후 첫 2년은 벌금이 산발적이었다. 전환점은 2023년이었다. 아일랜드 감독당국이 메타에 물린 12억 유로를 포함해 그해에만 누적이 급증했다. 2026년 1월 기준 GDPR 누적 벌금은 71억 유로에 이르렀고, 그중 60% 이상이 2023년 이후 부과됐다. 대조적으로 EU AI법 벌칙 챕터는 2025년 8월 2일부터 발효 중이지만 2026년 5월 기준 부과 사례는 아직 없다. GDPR의 궤적을 겹쳐 보면, 이 침묵은 무해함이 아니라 집행 인프라가 준비되는 기간으로 읽는 편이 안전하다.

두 사례가 가리키는 방향은 같다. Article 10 증거도, ISO 17025 인정도, GDPR 집행도 셋 다 "행정은 빠르지만 축적은 느리다"거나 "조용함 뒤에 가속이 온다"는 같은 구조를 서로 다른 각도에서 증명한다. 유예를 리드타임으로 읽지 않으면 대가는 2027년에 청구된다.

현실의 준비 상태는 이 경고를 뒷받침한다. 2026년 4월 기준 조직의 78%가 아직 의미 있는 컴플라이언스 조치에 착수하지 않았다. 준비에 드는 비용도 상징적이지 않다. CEPS 추정으로 신규 품질경영체계 구축에 €193,000~€330,000, 연간 유지에 약 €71,400이 든다(널리 인용되는 "€400,000"는 이 원 수치를 다른 기관이 잘못 재계산한 값이다). 착수하지 않은 78%에게 18개월은 이미 짧아지고 있는 창구다. 데이터 출처의 분리와 감사 추적성을 지금 세우는 일이 왜 급한지는 페블러스가 고위험 유예와 데이터 거버넌스 글에서도 다뤘다.

업계 해설 중에 이 상황을 정확히 짚은 문장이 있다. "규제기관은 어느 벤더를 사라고 말하지 않는다. 다만 요청 시 실제로 꺼낼 수 있는 증거와 함께 보여줄 것을 기대한다." 이 말이 규제 준비의 성격을 규정한다. 감사관이 원하는 것은 특정 도구가 아니라, 요청받은 순간 재구성이 아니라 열람으로 답할 수 있는 상태다.

그 상태는 제품 하나를 구매한다고 완성되지 않는다. 대표성 확인, 라벨 품질 측정, 출처 계보와 편향 조사의 기록이 파이프라인의 부산물로 상시 남고, 요청 시 언제든 열람 가능하게 유지되는 것. 이것은 도구의 문제이기 이전에 조직 규율의 문제다. 데이터 품질을 상시 감사 가능한 상태로 두는 습관, 곧 증거 준비(evidence-readiness)를 운영의 기본값으로 삼는 규율이다.

이 규율은 GPAI 제공자냐 고위험 배포자냐에 따라 우선순위가 갈린다. GPAI 제공자라면 8월 2일부터 이미 문서화·투명성 의무의 이빨이 돌므로 지금 당장이 시한이다. 고위험 시스템을 준비하는 조직이라면 Article 10 증거의 축적이 2027년을 향한 리드타임이다. 유예를 면제로 오해해 손을 놓은 조직과, 유예를 계측 창구로 쓴 조직 사이의 격차는 마감이 다가올수록 메우기 어려워진다.

8월 2일의 스위치는 당신이 아는 그것이 아니다. 켜지는 것은 투명성 의무와 GPAI 제재권이고, 고위험은 2027년의 시한을 향해 조용히 카운트다운을 시작했다. 그 카운트다운을 유예로 읽으면 여유가, 준비 시계로 읽으면 리드타임이 남는다. 데이터 주권의 규제적 구현이라는 더 큰 그림은 Sovereign AI 허브에서 이어진다. 읽어 주셔서 감사하다.

이 글은 아래 1차 규제 원문·로펌 분석·학술 논문·업계 통계를 교차검증해 작성했다. 유예 일정은 Digital Omnibus(유럽의회 채택 2026-06-16, 이사회 승인 06-29, 서명 07-08, 관보 게재 대기)를 1차 기준으로 삼았다.

법령·1차 규제 / 로펌 분석

• 1.EU AI Act, Article 99 — Penalties. 링크
• 2.EU AI Act, Article 101 — Fines for GPAI Providers. 링크
• 3.EU AI Act, Annex III — High-risk categories. 링크
• 4.Gibson Dunn, "EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes" (2026). 링크
• 5.Jones Walker LLP, "Yes, August 2 Still Matters" (2026). 링크
• 6.Licentium, "EU AI Act Article 50 Transparency Obligations Enter Application on 2 August 2026." 링크

학술 — 대표성·데이터셋 편향·문서화

• 7."Data Bias Profiles for the EU AI Act and Beyond," arXiv:2507.08866 (2025) — Article 10 대표성 요건 직결. 링크
• 8.Buolamwini & Gebru, "Gender Shades: Intersectional Accuracy Disparities in Commercial Gender Classification," FAT* 2018. 링크
• 9.Sambasivan et al., "Everyone Wants to Do the Model Work, Not the Data Work: Data Cascades in High-Stakes AI," ACM CHI 2021. 링크
• 10.Gebru et al., "Datasheets for Datasets," arXiv:1803.09010 (2018; CACM 2021). 링크

업계·통계 (비용·준비도·집행)

• 11.CEPS, "Clarifying the Costs for the EU's AI Act" — 신규 QMS €193K~330K. 링크
• 12.Google Research, "Data Cascades in Machine Learning" — 실무자 92% 경험. 링크
• 13.Kiteworks, "GDPR Fines Hit €7.1 Billion" — 집행 지연-가속 패턴. 링크
• 14.appliedAI Institute, "AI Act: Risk Classification of AI Systems from a Practical Perspective" (2023, 재인용). 링크

※ 벌금 대입에 쓴 대형 GPAI 제공자 매출은 Alphabet·Microsoft의 FY2025 공식 실적(SEC 공시)을 사용했다. AI 거버넌스 시장 규모는 조사기관 간 정의·범위 차가 커 본문에 인용하지 않았다. ISO/IEC 17025·KOLAS 소요 기간은 국제 일반론·KOLAS 공식 안내를 종합한 것으로, 특정 기관의 취득 시점을 뜻하지 않는다.