EU AI Act 고위험 시스템 조항 본격 시행—한국 SaaS의 EU 출시 체크리스트

EU AI Act 고위험 조항, 오늘부터 효력 발생

EU AI Act(Regulation (EU) 2024/1689)의 고위험 AI 시스템 관련 의무 조항이 2026년 7월 14일부로 공식 적용된다. 지난 2024년 발효 이후 2년간의 유예 기간이 종료되는 시점으로, 이날부터 EU 내 이용자를 대상으로 서비스하는 비(非)EU 기업도 동일한 의무를 진다.

고위험으로 분류되는 주요 영역:

• 채용·인사 평가 자동화 도구
• 신용 점수 산정 및 대출 심사
• 의료 기기 보조 진단
• 교육 성취도 평가 시스템
• 핵심 인프라 관리(에너지·수도·교통)

한국 개발자가 바로 확인해야 할 체크리스트

고위험 시스템에 해당할 경우 아래 요건을 충족해야 한다:

1. 기술 문서화(Technical Documentation): 모델 학습 데이터 출처, 성능 지표, 한계 명시
2. 자동 로그 보존: AI 시스템 의사결정 로그를 최소 6개월 보관
3. 인간 감독 메커니즘(Human Oversight): 자동 결정에 이의를 제기하거나 사람이 개입할 수 있는 UI/UX 제공
4. 적합성 선언(Declaration of Conformity): CE 마킹에 준하는 자체 적합성 평가서 작성
5. EU 공인 대리인 지정: EU 내 법인이 없는 경우 공인 대리인 등록 필수

⚠️ GPT-4.1, Claude Sonnet 4.6 등 외부 API를 래핑해 고위험 서비스를 제공하는 경우에도 한국 개발사가 '배포자(Deployer)' 책임을 진다.

준비가 안 된 팀을 위한 단기 대응 방안

당장 모든 요건을 충족하기 어렵다면 다음 우선순위로 접근할 것을 권장한다:

1. 스코핑 먼저: 자사 제품이 고위험 Annex III에 해당하는지 EU AI Act 공식 분류 도구로 확인
2. 로그 파이프라인 구축: 클라우드 제공자(AWS CloudTrail, GCP Audit Logs 등)에서 AI 호출 로그를 별도 버킷에 6개월 보존
3. 법무팀 또는 전문 컨설팅 조기 투입: 과징금은 전 세계 연간 매출의 최대 3% 또는 1,500만 유로 중 높은 금액

세부 가이드라인 및 규정 원문은 EU 공식 AI Act 포털에서 확인할 수 있다.