EU AI Act High-Risk Date는 유럽연합 인공지능법(AI Act)의 가장 중요한 준수 의무가 시행되는 날을 의미합니다. 2026년 8월 2일, 규정이 발효된 지 정확히 24개월 후에 해당하는 이 날짜는 법의 위험 기반 프레임워크에 따라 고위험으로 분류된 AI 시스템의 제공자와 배포자에게 의무를 부과합니다. 유럽위원회가 2021년 4월 21일에 제안하고 유럽의회가 2024년 3월 13일, EU 이사회가 2024년 5월 21일에 승인한 AI Act는 EU 전역의 인공지능에 대한 공통 규제 프레임워크를 수립하며, 블록 내 사용자가 있는 경우 블록 외부의 제공자에게도 역외 적용됩니다.
고위험 범주는 건강, 안전 또는 기본권에 중대한 위협을 제기하는 AI 시스템을 포함하며, 의료, 교육, 채용, 핵심 인프라 관리, 법 집행 및 사법 분야에서 사용되는 시스템이 포함됩니다. 고위험 날짜부터 이러한 시스템은 보안, 투명성 및 품질 의무를 준수하고 적합성 평가를 거쳐야 하며, 일부 경우 배포 전에 기본권 영향 평가가 필요합니다. 이 날짜는 법의 조항이 6개월에서 36개월에 걸쳐 점진적으로 시행되는 단계적 일정의 일부이며, 고위험 의무는 24개월 시점에 도래합니다.
규제 일정 및 단계
AI Act는 2024년 8월 1일에 발효되었지만, 이해관계자가 적응할 수 있도록 조항은 시간이 지남에 따라 단계적으로 시행되도록 설계되었습니다. 사회 점수화 및 공공 장소에서의 실시간 원격 생체 인식 식별과 같은 허용 불가능한 위험 애플리케이션에 대한 첫 번째 금지 조치는 발효 6개월 후인 2025년 2월 2일에 시행되었습니다. 기반 모델에 대한 투명성 요구 사항을 포함한 범용 AI 의무는 2025년 8월 2일에 적용되었습니다. 2026년 8월 2일의 고위험 날짜는 세 번째 주요 이정표를 나타내며 광범위한 AI 시스템에 가장 광범위한 의무 세트를 적용합니다.
의료 기기 및 기계와 같은 다른 EU 법률에 의해 이미 규제되는 제품에 내장된 고위험 AI 시스템을 다루는 네 번째 단계는 2027년 8월 2일로 예정되어 있습니다. 이러한 단계적 접근 방식은 규제 의무가 제공자와 배포자에게 할당되고 건강, 안전 또는 기본권에 대한 잠재적 영향이 증가함에 따라 의무가 더 엄격해지는 법의 제품 안전 모델을 반영합니다. 유럽위원회는 특히 중소기업이 제품 수명 주기에 준수 메커니즘을 구축할 시간을 주기 위해 이 일정을 설계했습니다.
고위험 분류 범위
고위험 AI 시스템은 법의 부속서 III에 정의되어 있으며 8개 특정 영역을 다룹니다: 자연인의 생체 인식 식별 및 분류; 핵심 인프라의 관리 및 운영; 교육 및 직업 훈련; 고용, 근로자 관리 및 자영업 접근; 필수 민간 서비스 및 공공 서비스와 혜택에 대한 접근 및 이용; 법 집행; 이민, 망명 및 국경 관리; 그리고 사법 및 민주적 절차의 행정. 이러한 영역의 시스템은 좁은 절차적 작업을 수행하거나 이전에 완료된 인간 활동의 결과를 개선하거나 개인의 권리에 영향을 미치지 않는 경우를 제외하고 고위험으로 간주됩니다.
분류는 동적입니다. 고위험 애플리케이션 목록은 AI Act 자체를 수정하지 않고 유럽위원회의 위임 행위를 통해 시간이 지남에 따라 확장될 수 있습니다. 이러한 유연성은 규정이 머신러닝 및 딥러닝 기술의 새로운 사용에 대응할 수 있게 합니다. 제공자는 시장 출시 전과 수명 주기 전반에 걸쳐 시스템을 평가해야 하며, 기술 문서 유지, 위험 관리 시스템 구현, 데이터 거버넌스 보장 및 인간 감독 활성화 의무가 있습니다.
적합성 평가 및 기본권 영향 평가
고위험 날짜부터의 핵심 요구 사항은 AI 시스템이 EU 시장에 출시되기 전에 법의 요구 사항을 충족하는지 검증하는 절차인 적합성 평가입니다. 대부분의 고위험 시스템의 경우 제공자는 조화된 표준에 대한 자체 평가를 수행하는 반면, 생체 인식 식별과 같은 특정 범주의 시스템은 지정 기관의 참여가 필요합니다. 평가는 데이터 훈련 관행, 모델 성능, 사이버 보안 조치 및 시스템의 정확성과 견고성을 다룹니다.
공공 행정, 법 집행 또는 필수 서비스에 사용되는 고위험 시스템의 경우 배포자는 배포 전에 기본권 영향 평가(FRIA)도 수행해야 합니다. 이 사전 검토는 기본권에 대한 잠재적 영향을 식별하고 완화하며, 영향을 받는 개인과 커뮤니티, 가능한 피해를 설명하고 공공 및 제도적 검토의 기초를 제공합니다. FRIA 요구 사항은 알고리즘 영향 평가에 대한 초기 작업을 기반으로 하며 AI 배포가 EU 법에 따라 보호되는 권리를 불균형적으로 침해하지 않도록 보장하기 위한 것입니다.
시민은 고위험 날짜부터 새로운 절차적 권리를 얻습니다. 국가 감독 기관에 AI 시스템에 대한 불만을 제기하고 권리에 영향을 미치는 고위험 AI의 결정에 대한 설명을 받을 수 있습니다. 이러한 권리는 법 자체가 제품 규제의 한 형태이므로 개별 소송 원인을 만들지 않지만 일반 데이터 보호 규정 및 국가 법률에 따른 기존 구제 수단을 보완합니다.
제공자 및 배포자 의무
고위험 AI 시스템 제공자는 품질 관리 시스템을 구축하고 기술 문서를 유지하며 시판 후 모니터링을 구현하고 시스템이 위험을 제시할 때 시정 조치를 취해야 합니다. 또한 훈련, 검증 및 테스트 데이터가 관련성이 있고 대표적이며 가능한 경우 편향이 없도록 보장해야 합니다. 투명성 의무는 사용자가 AI 시스템과 상호 작용할 때 정보를 받고 시스템이 출력을 해석하고 개입하거나 작동을 중지할 수 있는 인간 감독을 허용하도록 설계되어야 함을 요구합니다.
전문적 맥락에서 고위험 AI를 사용하는 조직인 배포자는 별도의 의무가 있습니다. 지침에 따라 시스템을 사용하고 적절히 훈련된 인력에게 인간 감독을 할당하며 위험 징후를 모니터링하고 심각한 사건을 당국에 보고해야 합니다. 공공 부문의 배포자는 배포 전에 EU 데이터베이스에 시스템을 등록해야 합니다. 이러한 의무는 배포자가 EU에 기반을 두고 있는지 여부와 관계없이 적용되며, 법은 EU 내 사용자가 있는 제공자와 배포자에게 역외 적용될 수 있습니다.
범용 AI 및 생성 모델과의 관계
고위험 날짜는 2023년 입법 과정에서 생성형 AI 시스템(예: ChatGPT)의 부상을 해결하기 위해 추가된 범용 AI에 대한 별도 범주와 함께 운영됩니다. 트랜스포머 아키텍처를 기반으로 구축된 대규모 언어 모델을 포함한 범용 모델은 자동으로 고위험으로 간주되지 않지만 자체 투명성 요구 사항에 직면합니다. 오픈 소스 모델은 훈련 데이터 요약과 저작권 정책을 게시해야 하는 반면, 폐쇄 소스 모델은 더 광범위한 투명성 의무에 직면합니다. 훈련에 10^25 부동 소수점 연산 이상이 필요한 고영향 모델은 시스템적 위험에 대한 추가 평가를 거쳐야 합니다.
이 구분은 고위험 날짜에 중요합니다. 일부 범용 AI 시스템이 고위험 맥락에서 배포될 수 있기 때문입니다. 예를 들어 채용이나 의료에 사용되는 기반 모델은 모델 자체가 범용 범주로 규제되더라도 배포자에게 고위험 의무를 촉발할 수 있습니다. 법의 프레임워크는 모델 제공자와 배포자 모두에게 의무를 할당하여 중복되는 준수 책임을 만듭니다. 2025년 7월 10일에 발표된 범용 AI 행동 강령은 투명성, 저작권 및 안전에 대한 자발적 지침을 제공하지만 필수 고위험 요구 사항을 대체하지는 않습니다.
집행 및 거버넌스
고위험 날짜는 국가 감독 기관과 유럽 인공지능 위원회가 감독하는 집행 메커니즘을 활성화하며, 이는 국가 간 협력을 촉진하고 일관된 준수를 보장합니다. 각 EU 회원국은 고위험 시스템을 모니터링하고 검사를 수행하며 위반에 대한 벌금을 부과하는 시장 감시 기관을 지정해야 합니다. 벌금은 금지된 관행 위반의 경우 최대 3,500만 유로 또는 전 세계 연간 매출의 7%에 달할 수 있으며, 다른 위반의 경우 더 낮지만 여전히 상당한 벌금이 부과됩니다.
유럽위원회는 공공 부문 배포자가 등록에 사용해야 하는 고위험 AI 시스템의 공개 데이터베이스를 유지합니다. 법은 또한 유럽 표준화 기관이 조화된 표준 개발을 장려하며, 이는 준수를 위한 기술 사양을 제공할 것입니다. 표준이 아직 제공되지 않는 경우 제공자는 위원회가 채택한 공통 사양에 의존할 수 있습니다. 이 거버넌스 구조는 고위험 날짜가 단순한 형식적 준수가 아닌 의미 있는 감독으로 이어지도록 설계되었습니다.
산업 및 혁신에 미치는 영향
고위험 날짜는 다양한 분야의 AI 개발자와 사용자에게 중요한 의미를 갖습니다. 의료 진단, 교육 평가, 채용 또는 법 집행을 위한 AI를 개발하는 기업은 법의 요구 사항을 충족하기 위해 워크플로를 재설계해야 합니다. 여기에는 데이터 출처 문서화, 위험 관리 프로세스 구현 및 감사 추적 보장이 포함됩니다. 준수 부담은 상당하지만 법은 덜 민감한 것으로 간주되는 시스템에 대해 더 가벼운 접근 방식을 허용하며, 비디오 게임 및 스팸 필터와 같은 대부분의 AI 애플리케이션은 최소 위험 범주에 속하여 규제되지 않습니다.
비EU 제공자의 경우 법의 역외 적용 범위는 미국, 중국 및 기타 국가의 기업이 EU 사용자에게 고위험 AI 시스템을 제공하는 경우 준수해야 함을 의미합니다. 이는 많은 다국적 기업이 운영 전반에 걸쳐 법의 표준을 적용함에 따라 AI 거버넌스 관행의 글로벌 수렴으로 이어졌습니다. 고위험 날짜는 또한 일반 데이터 보호 규정 및 제안된 AI 책임 지침을 포함한 다른 EU 디지털 규정과 상호 작용하여 유럽의 인공지능에 대한 복잡하지만 일관된 규제 환경을 만듭니다.