왜 봐야 하나
글로벌 서비스를 운영하거나 해외 고객사를 둔 조직이라면 한국 AI 기본법만으로 안 끝난다. 면접에서 “해외 규제 동향도 아느냐”는 질문은 지원자가 국내법만 외웠는지, 규제 구조 자체를 이해했는지를 가르는 질문이다.
EU AI Act — 위험 기반 4단계
EU AI Act의 뼈대는 위험 등급에 따른 차등 규제다.
| 등급 | 예시 | 규제 강도 |
|---|---|---|
| 용납 불가(Unacceptable) | 사회적 신용점수제, 잠재의식 조작 | 전면 금지 |
| 고위험(High-risk) | 채용·신용평가·법집행·의료기기 내 AI (Annex III/I) | 사전 적합성 평가, 문서화, 인간 감독 의무 |
| 제한적 위험(Limited) | 챗봇, 딥페이크 | 투명성(표시) 의무 |
| 최소 위험(Minimal) | 스팸필터, 게임 AI | 규제 없음(권고만) |
최신 타임라인 (2026년 기준)
2026년 5월 EU는 “Digital Omnibus on AI” 잠정 합의를 통해 고위험 의무 시행 시점을 유예했다.
- Annex III(용도 기반 고위험, 채용·신용평가 등): 2026.8.2 → 2027.12.2로 16개월 연기
- Annex I(제품 규제 기반 고위험, 의료기기·리프트 등): 2027.8.2 → 2028.8.2로 1년 연기
- 단, 투명성 의무(제50조), 범용 AI(GPAI) 집행권한, 전체 과태료 체계는 2026.8.2부터 그대로 적용
즉 “다 늦춰졌다”가 아니라 “고위험 시스템의 세부 의무만 유예되고, 투명성·GPAI 규제는 예정대로 간다”가 정확한 이해다.
면접 답변 포인트
“EU AI Act는 최근 Digital Omnibus로 고위험 의무 시행일이 미뤄졌지만, 규제 방향 자체(위험 기반 접근)는 유지되고 있다”까지 말하면 최신 동향을 챙겼다는 인상을 준다.
과징금은 위반 유형별로 차등 — 금지행위 위반은 최대 3,500만 유로 또는 전세계 매출 7%, 고위험 의무 위반은 최대 1,500만 유로 또는 매출 3%, 부정확한 정보 제공은 최대 750만 유로 또는 매출 1% 중 큰 금액.
미국 — 연방은 느슨, 주(State)는 촘촘
- 연방 차원은 통일 입법보다 행정명령·가이드라인 중심, 최근 기조는 오히려 규제 완화·혁신 우선 쪽에 가깝다.
- 대신 주 단위 입법이 실질적 규제 역할을 한다 — 콜로라도 AI법(고위험 AI 차별 방지), 캘리포니아의 AI 투명성·딥페이크 관련법 등.
- 결과적으로 미국에서 서비스하려면 “연방법 하나”가 아니라 주별 규제 지형을 다 확인해야 하는 구조.
중국
- 생성형 AI 서비스에 대한 알고리즘 등록제, AI 생성 콘텐츠 라벨링(워터마크) 의무를 상대적으로 일찍 도입.
- 국가 주도의 콘텐츠 통제 성격이 강해 서구권 규제와는 접근 축이 다르다 (표현의 자유 vs 리스크 관리보다 콘텐츠 통제 비중이 큼).
비교 정리
| 구분 | 접근 방식 | 특징 |
|---|---|---|
| 한국 (AI 기본법) | 고영향 AI 지정 + 설명·감독 의무 | 처벌은 상대적으로 약함(과태료 중심) |
| EU (AI Act) | 위험 기반 4단계 규제 | 처벌 매우 강함(매출 연동 과징금), 최근 일정 유예 |
| 미국 | 주(State) 단위 파편화 | 연방은 느슨, 산업 자율 강조 |
| 중국 | 콘텐츠 라벨링 + 알고리즘 등록 | 국가 통제 성격 강함 |
보안팀 관점 시사점
글로벌 서비스라면 결국 가장 엄격한 규제(EU) 기준으로 설계하고 각국 규제는 예외 처리하는 게 유지보수 비용을 줄이는 방식이라는 논의가 많다. 개인정보보호에서 GDPR을 최대공약수로 설계했던 것과 같은 패턴.
Sources: