EU AI Act(규정 (EU) 2024/1689)는 AI 시스템을 네 가지 위험 등급으로 분류합니다: 금지, 고위험, 제한적 위험, 최소 위험. 제6조와 부속서 I 및 부속서 III의 목록에서 정의된 고위험 범주는 대부분의 기업 AI 의무가 자리하는 곳입니다.

부속서 III는 여덟 가지 고위험 사용 사례 범주를 담고 있습니다: 생체인식, 핵심 인프라, 교육, 고용, 필수 서비스, 법 집행, 이주, 그리고 사법/민주주의. 귀사의 AI가 이 중 어느 하나에 해당하면, 적합성 평가, 기술 문서, 인적 감독, 시판 후 모니터링 전반에 직면하게 되며—제재는 1,500만 유로 또는 전 세계 매출의 3%에 이릅니다.

고위험 의무는 2026년 8월 2일부터 적용됩니다. 제6조(3)은 AI가 "협소한 절차적 과업"만 수행하거나, 이전에 완료된 인간 활동을 개선하거나, 의사결정 패턴을 대체하지 않고 그로부터의 편차를 탐지하거나, 준비적 과업을 수행하는 경우에 한해 좁은 예외를 규정합니다.

EU AI Act는 전 세계 최초의 포괄적인 AI 수평 규정입니다. 이는 EU 시장에 AI 시스템을 출시하는 제공자와 EU에서 AI 시스템을 사용하는 배포자에게 적용되며—그 산출물이 EU에서 사용되는 비EU 기업도 포함됩니다(제2조).

GDPR과 마찬가지로 AI Act는 역외 적용됩니다. GDPR과 마찬가지로 이를 위반하면 매출 비율 기반 제재가 부과됩니다. GDPR과 달리, 금지된 사용 사례에 대한 명시적 범주와 고위험 시스템에 대한 훨씬 더 많은 양의 시판 전 요건을 갖추고 있습니다.

• 금지(제5조). 컴플라이언스 조치와 무관하게 EU에서 금지됩니다. 제재: 최대 3,500만 유로 또는 전 세계 매출의 7%.
• 고위험(제6조 + 부속서 I + 부속서 III). 허용되나 엄격히 규제됩니다—적합성 평가, FRIA, 등록, 지속적 모니터링. 제재: 최대 1,500만 유로 또는 전 세계 매출의 3%.
• 제한적 위험(제50조). 투명성 의무만 부과—사용자에게 고지하고 합성 콘텐츠를 표시.
• 최소 위험. 특정한 AI Act 의무 없음. 자발적 행동강령이 권장됩니다.

대부분의 기업 AI는 (인사, 신용 또는 생체인식 사용 사례로 인해) 고위험이거나 (챗봇 배포로 인해) 제한적 위험 중 하나에 해당합니다.

제6조는 AI 시스템이 다음 중 어느 하나를 충족하면 고위험으로 분류합니다:

1. 제6조(1) + 부속서 I. 해당 시스템이 특정 EU 조화 법령(기계, 완구, 승강기, 의료기기, 체외진단기기, 민간 항공, 농업 차량, 선박 장비, 무선 장비 등)의 적용을 받는 제품의 안전 구성요소이거나 그 자체가 제품이며, 또한 그 제품이 해당 법령에 따라 제3자 적합성 평가를 받아야 하는 경우.
2. 제6조(2) + 부속서 III. 해당 시스템이 부속서 III의 여덟 가지 사용 사례 범주 중 하나에 해당하는 경우.

많은 시스템이 두 판정을 모두 충족하지만, 부속서 III 경로가 대부분의 제품 팀이 이해해야 할 부분입니다.

제6조(3)은 좁은 예외를 두고 있습니다. 부속서 III에 열거된 AI 시스템은, 의사결정 결과에 실질적인 영향을 미치지 않는 것을 포함하여 자연인의 건강, 안전 또는 기본권에 대한 중대한 위해 위험을 야기하지 않는 경우 고위험이 아닙니다. 제6조(3)의 조건은 다음과 같습니다:

1. 해당 시스템이 협소한 절차적 과업을 수행하는 경우;
2. 이전에 완료된 인간 활동의 결과를 개선하기 위한 것인 경우;
3. 의사결정 패턴 또는 이전 의사결정 패턴으로부터의 편차를 탐지하기 위한 것이며, 적절한 인간 검토 없이 이전에 완료된 인간 평가를 대체하거나 그에 영향을 미치려는 의도가 아닌 경우; 또는
4. 부속서 III에 열거된 사용 사례의 목적과 관련된 평가에 대한 준비적 과업을 수행하기 위한 것인 경우.

AI 시스템이 자연인에 대한 프로파일링을 수행하는 경우 이 예외는 적용되지 않습니다. 제공자가 부속서 III 시스템이 고위험이 아니라고 결론짓는 경우, 제공자는 그 평가를 문서화하고(제6조(4)) 해당 시스템을 EU 데이터베이스에 등록해야 합니다(제49조).

고위험 의무는 광범위합니다. 제공자는 다음을 해야 합니다:

• 위험 관리 시스템(제9조) — 전 생애주기에 걸친 지속적·반복적 프로세스.
• 데이터 및 데이터 거버넌스(제10조) — 학습, 검증, 시험 데이터는 품질 기준 및 편향 검토의 대상.
• 기술 문서(제11조) — 시장 출시 전에 작성하고 최신 상태로 유지.
• 기록 보관 및 로깅(제12조) — 전 생애주기에 걸친 자동 로그.
• 투명성 및 배포자에 대한 정보 제공(제13조) — 사용 지침, 의도된 목적, 한계.
• 인적 감독(제14조) — 시스템 사용 기간 동안 자연인에 의한 효과적인 감독이 가능하도록 설계.
• 정확성, 견고성 및 사이버보안(제15조) — 사용 지침에 적정 수준을 선언.
• 품질 관리 시스템(제17조) — 서면 정책, 절차 및 지침.
• 적합성 평가(제43조) — 대부분의 부속서 III 시스템에 대해서는 내부 절차; 생체인식 및 특정 규제 제품에 대해서는 제3자 평가.
• EU 적합성 선언 및 CE 마킹(제47~48조).
• EU 데이터베이스 등록(제49조).
• 시판 후 모니터링(제72조) 및 중대 사고 보고(제73조) — 시장 감시 당국에 보고.

배포자—자신의 권한 하에 AI 시스템을 사용하는 자연인 또는 법인—는 더 가볍지만 실질적인 의무를 부담합니다:

• 제공된 지침에 따라 시스템을 사용할 것.
• 필요한 역량, 훈련, 권한을 갖춘 사람에게 인적 감독을 배정할 것.
• 중대 사고 또는 오작동을 모니터링하고 제73조에 따라 보고할 것.
• 공공 부문 배포자 및 특정 민간 부문 배포자는 제27조에 따라 기본권 영향평가(FRIA)를 수행해야 하며—사용 사례, 영향받는 사람, 위해 위험, 완화 조치를 문서화합니다.
• 자연인에 관한 결정을 내리기 위해 AI를 사용하는 배포자는 해당 자연인에게 고지해야 합니다(제26조(11)).

• 2025년 2월 2일 — 제5조 금지 관행 시행; AI 리터러시 의무(제4조).
• 2025년 8월 2일 — 범용 AI(GPAI) 규칙 시행; 거버넌스 기구 가동; 제재 적용.
• 2026년 8월 2일 — 부속서 III에 따른 고위험 시스템 의무 적용.
• 2027년 8월 2일 — 제6조(1)에 따른 고위험 의무(부속서 I 법령의 적용을 받는 제품의 안전 구성요소) 적용.

• 제5조 금지 관행 — 최대 3,500만 유로 또는 전 세계 연간 매출의 7%(제99조(3)).
• 기타 AI Act 의무 불이행 — 최대 1,500만 유로 또는 전 세계 연간 매출의 3%(제99조(4)).
• 당국에 부정확하거나 불완전하거나 오해의 소지가 있는 정보 제공 — 최대 750만 유로 또는 전 세계 연간 매출의 1%(제99조(5)).
• 중소기업 및 스타트업 — 경제적 존속 가능성을 고려하여 과징금이 적용되며; 더 낮은 비율 상한이 적용될 수 있습니다.