AI에 관한 디지털 옴니버스는 헤드라인을 장식한 마감일들은 옮겼지만, 실제로 당신의 빌드에 영향을 미칠 마감일은 그대로 두었다. 고위험 의무는 1년 넘게 미뤄졌다. 제50조 투명성 의무는 미뤄지지 않았다. 이 조항은 2026년 8월 2일부터 적용되는데, 대략 3주 뒤이며, 평범한 팀이 평범한 일을 하다가 걸려드는 조항이다. 모델로 텍스트, 이미지, 오디오를 생성해서 그 결과물을 사람 앞에 내놓는 일 말이다.

안도감 자체는 진짜였고, 팀들이 보도를 읽고 긴장을 풀었던 이유도 이해한다. 다만 그것은 우리 대부분이 가진 것과는 다른 문제에 대한 안도감이었을 뿐이다. Amazon Bedrock 위에서 요약기나 지원 어시스턴트, 콘텐츠 파이프라인을 운영하고 있다면, 미뤄진 것들 중 애초에 당신을 구속할 예정이었던 것은 거의 없다. 당신을 구속하는 것은 그대로 남아있는 것이다.

실제로 무슨 일이 있었나

유럽의회는 2026년 6월 16일 AI에 관한 디지털 옴니버스를 승인했고, 이사회는 2026년 6월 29일 공식적으로 채택하여 입법 절차를 마무리했다. 관보 게재와 함께 이번 달 발효된다. 즉 이것은 추적해야 할 제안이 아니라 확정된 법이다.

바뀐 것:

  • 부속서 III 고위험 시스템(독립형)은 2026년 8월 2일에서 2027년 12월 2일로 이동한다.
  • 부속서 I 고위험 시스템(규제 대상 제품에 내장된 것)은 2027년 8월 2일에서 2028년 8월 2일로 이동한다.
  • 비동의 성적 이미지와 아동 성착취물을 생성하거나 이를 막을 합리적인 안전장치가 없는 시스템에 대한 새로운 금지 조항은 2026년 12월 2일부터 적용된다.

바뀌지 않은 것: 제50조 투명성 의무는 여전히 2026년 8월 2일부터 적용된다.

혼동하지 말아야 할 것

서로 다른 두 개의 8월 2일 날짜가 지금 사내 논의에서 상당한 혼란을 일으키고 있으니, 누군가 어느 날짜를 말하는지 정확히 구분하라.

2025년 8월 2일은 GPAI 날짜였다. 범용 AI 모델 제공자에 대한 의무, 즉 제51조부터 제56조까지는 거의 1년째 시행 중이다. 이는 모델을 제공하는 쪽에 적용된다. Bedrock을 통해 Anthropic이나 Meta나 Mistral의 가중치를 호출하고 있다면, 당신은 GPAI 제공자가 아니며, 그 날짜는 애초에 당신 것이 아니었다.

2026년 8월 2일은 투명성 날짜이며, AI 시스템의 제공자와 배포자에게 적용된다. 그것이 바로 당신이다. 다른 누군가의 모델 위에 기능을 구축하면 당신은 당신이 만든 시스템의 제공자가 되고, 그것을 운영하면 배포자가 된다. 이 두 역할 중 어느 것도 미뤄지지 않았다.

나는 "AI Act 관련 일은 이미 지난 8월에 끝났다"는 말과 "AI Act는 2027년으로 밀렸다"는 말이 20분 간격으로 오가는 회의에 여러 번 앉아 있었는데, 두 발언자 모두 부분적으로는 맞았다. 이것이 가질 수 있는 가장 나쁜 종류의 의견 불일치다.

제50조가 요구하는 것

네 가지 의무가 있으며, 담론에서 시사하는 것보다 범위가 좁고 더 기계적이다.

제50조 1항: 사람들에게 기계와 대화하고 있다고 알려라

시스템이 사람과 직접 상호작용한다면, 합리적으로 주의 깊은 사람이 맥락상 명백히 알 수 있는 경우가 아닌 한, 사람들은 자신이 AI 시스템과 상호작용하고 있다는 사실을 안내받아야 한다. "AI 어시스턴트"라고 표시된 채팅 위젯은 이 요건을 충족한다. 사람 이름을 부여받아 지원 큐에 투입되었으면서도 전혀 공개되지 않은 어시스턴트는 그렇지 않다.

제50조 2항: 합성 출력을 기계가 읽을 수 있게 표시하라

여기에 엔지니어링이 들어가는 조항이다. 합성 오디오, 이미지, 비디오, 텍스트를 생성하는 시스템의 제공자는 인공적으로 생성되거나 조작되었음을 탐지할 수 있는 기계 판독 가능한 형식으로 출력물을 표시해야 한다. 사람이 볼 수 있는 라벨이 아니라 기계가 탐지할 수 있는 마킹이다. 실무적으로는 이미지의 경우 C2PA 같은 출처 메타데이터, 적용 가능한 곳에서의 워터마킹, 그리고 텍스트의 경우 문서화된 접근 방식을 의미하는데, 텍스트 쪽은 법안 문구가 암시하는 것보다 솔직히 기술 수준이 뒤처져 있다. 제50조 2항은 마킹 솔루션이, 조문 그대로, 기술적으로 실현 가능한 한도 내에서 효과적이고, 상호운용 가능하고, 견고하고, 신뢰할 수 있어야 한다고 요구하는데, 이 마지막 단서 조항이 텍스트에 대해서는 실질적인 무게를 지닌다.

알아둘 만한 경과 규정이 하나 있는데, 옴니버스가 제50조를 건드린 유일한 지점이다. 2026년 8월 2일 이전에 이미 시장에 출시된 합성 콘텐츠 생성 시스템은 기계 판독 가능 마킹 의무에 대해 2026년 12월 2일까지 유예를 받는다. 기존 시스템에 한해 4개월의 유예다. 8월 2일 이후 출시하는 모든 것은 첫날부터 적용 대상이다. 이것을 유예로 받아들이고 있다면, 이미 출시한 시스템에 4개월을 벌어주는 것일 뿐 로드맵에는 아무것도 벌어주지 않는다는 점을 기억하라.

제50조 3항: 감정 인식과 생체 분류

배포자는 이에 노출되는 사람들에게 알려야 한다. 이것이 당신에게 해당한다면 이미 알고 있을 것이고, 법의 다른 부분에서 더 큰 의무를 지고 있을 것이다.

제50조 4항: 딥페이크와 공익적 텍스트

배포자는 딥페이크 콘텐츠를 인공적으로 생성된 것이라고 공개해야 한다. 그리고 공익 사안에 대해 대중에게 알리기 위해 AI가 생성하거나 조작한 텍스트를 게시하는 배포자도, 사람이 검토했고 편집 책임을 지는 사람이 있는 경우가 아니라면, 마찬가지로 공개해야 한다. 이 예외 조항이 설계상의 힌트다. 명시된 책임자가 있는 인간 검토는 허점이 아니라 실제로 유효한 경로다.

Bedrock 위에서 구축한다면 이것이 의미하는 바

Bedrock은 당신을 위해 출력을 표시해 주지 않는다. Converse에는 당신의 합성 콘텐츠를 준수하게 만들어주는 플래그가 없고, 있어서도 안 된다. 마킹은 당신이 생성하는 아티팩트와 그것을 생성하는 파이프라인의 속성이기 때문이다. AWS는 추론을 제공한다. 의무는 그 주위에 당신이 구축한 시스템에 붙는다.

실무적으로는 네 가지다.

  • 무엇을 생성하고 어디에 도달하는지 목록화하라. 대부분의 팀은 이것을 회의 한 번으로 답하지 못한다. 회사 외부 사람에게 보여지는 콘텐츠를 만드는 모든 모델 호출, 그 모달리티, 그리고 게시 전에 사람이 검토하는지 여부까지. 이 목록화 작업 자체가 진짜 일이고, 목록만 있으면 분류는 대체로 쉽다.
  • 게시 시점이 아니라 생성 시점에 출처를 붙여라. 이미지가 모델로 생성되었다면, 그것을 만들어낸 파이프라인 단계에서 표시하라. 나중에 표시한다는 것은 나중에 찾아야 한다는 뜻이고, 전부 찾아내지는 못할 것이다.
  • 텍스트 접근 방식과 그 이유를 문서화하라. 텍스트 마킹은 정말로 아직 정리되지 않았다. 적절한 곳에서 인간 검토와 편집 책임 경로를 사용한, 문서화되고 방어 가능한 입장이 문서화되지 않은 도박보다 낫다. "기술적으로 실현 가능"은 침묵이 아니라 증거로 충족할 수 있는 기준이다.
  • 이미 하고 있는 공개 사항을 점검하라. 제50조 1항 관련 작업은 이미 완료되어 있고 확인만 하면 되는 경우가 많다. 표에서 가장 비용이 적게 드는 항목이다.

유예가 당신에게 도움이 되지 않는 이유

부속서 III은 신용 평가, 채용, 교육 접근, 필수 서비스, 법 집행, 이민이다. 실재하지만 구체적으로 한정된 목록이다. 당신의 제품이 이 목록에 없다면 2027년 12월 2일이라는 날짜는 잡학지식일 뿐이다. 실패하는 사고방식은 "AI Act"를 하나의 날짜를 가진 하나의 마감일로 취급하는 것이다. 그것은 역할마다 붙는, 저마다 자기 시계를 가진 의무들의 묶음이며, 옴니버스는 일부 시계는 조정했고 다른 시계는 조정하지 않았다. 당신의 시계는 아예 움직이지 않았을 수도 있다.

2026년 8월 2일부터 AI 사무국과 각국 당국은 제50조를 포함한 제공자 및 배포자 의무 위반에 대해 최대 1,500만 유로 또는 전 세계 연간 매출의 3퍼센트 중 더 큰 금액으로 벌금을 부과할 수 있다. 초기 몇 달간의 집행 역량은 제한적일 것이고, 분별 있는 사람이라면 8월에 벌금 세례가 쏟아지리라 기대하지 않는다. 이것은 침착해도 되는 이유이지, 준비하지 않아도 되는 이유는 아니다. 목록화 작업이 가장 느린 부분이고, 압박을 준다고 더 빨라지지 않기 때문이다.

핵심 정리

디지털 옴니버스는 고위험 의무를 2027년 12월과 2028년 8월로 미뤘고, 제50조 투명성 의무는 2026년 8월 2일 그대로 두었다. GPAI 의무는 2025년 8월부터 적용되어 왔고 애초에 당신 것이 아니라 다른 누군가의 것이었다. 모델로 콘텐츠를 생성해서 EU에 있는 사람들에게 보여준다면, 당신의 마감일은 3주 앞으로 다가와 있으며, 이미 시장에 나와 있는 시스템에 한해서만 4개월의 마킹 유예가 주어진다. 무엇을 생성하는지 목록화하고, 생성하는 지점에서 표시하고, 텍스트에 대한 근거를 문서화하고, 봇임을 공개하라. 이것은 헤드라인이 시사하는 것보다 작은 프로젝트이며, 마감은 훨씬 더 임박해 있다.

다음으로 읽을 글

EU 컴플라이언스 작업 중 데이터 상주와 계정 경계 쪽은 ercan.cloud의 필드 노트에 있다. 허브는 ercanermis.com이다.