2026년 AI 규제: EU는 연기하고 확대했다

핵심 요약

EU가 물러선 것은 시점이지 내용이 아니다. 잠정 합의된 Digital Omnibus(2026년 5월 7일)는 AI Act 채택 이후 첫 개정을 가져왔다. 단독 Annex III 고위험 의무는 약 16개월 밀려 2027년 12월 2일로, 회원국 규제 샌드박스 요건은 2027년 8월로 이동했다.

동시에 금지 항목도 확대됐다. 두 가지가 추가됐는데, AI를 이용한 동의 없는 성적 이미지(NCII) 생성·조작과 CSAM(아동 성착취물) 생성이다.

감독은 그래도 시작된다. 유럽 AI Office는 2026년 8월부터 범용 AI 모델을 직접 감독하기 시작하며, 현지화된 응용은 회원국 당국이 단속한다.

미국은 여전히 세 체제가 동시에 돌아간다: 주 규칙을 선점하려는 연방의 기조, 주별 AI 법률로 이루어진 조각보, 그리고 기존 권한으로 움직이는 부문별 규제기관이다.

Digital Omnibus가 실제로 바꾼 것

개정 내용

이 연기를 읽는 법: 항복이 아니라 순서 조정이다. 집행 역량 — 인력이 갖춰진 당국, 샌드박스, 적합성 평가 인프라 — 은 애초 일정이 전제한 속도로 자라지 않았다. 규제기관은 믿을 수 없는 이른 집행 대신 믿을 수 있는 늦은 집행을 택했다. 이를 취소가 아니라 유예로 받아들이는 컴플라이언스 팀이 옳은 쪽이 될 것이다.

금지 항목의 무게는 문장보다 무겁다. NCII와 CSAM 생성이 금지 계층 — 소셜 스코어링과 같은 계층 — 으로 옮겨간 것은, 딥페이크 문제가 콘텐츠 관리상의 성가신 일이 아니라 범주적 해악으로 다뤄지고 있다는 지금까지 가장 분명한 신호다.

미국 기업이 어차피 해야 할 일

역외 적용

역외 적용이란 시스템이 EU 이용자에게 닿는 한 EU AI Act가 비EU 제공자를 구속한다는 뜻이다. 미국 기업에게 2026년 8월이라는 실무적 체크포인트가 묻는 것은 고위험 적합성이 아니라, AI Office가 직접 감독을 시작하면서 따라오는 GPAI 인접 의무와 문서화다. 2026년 내내 이어진 법률 분석은 같은 조언으로 수렴한다. 지금 당장 시스템을 인벤토리로 정리하고 분류하라. 어느 기한이 적용되든 분류 작업이 가장 긴 공정이기 때문이다.

미국의 지형: 세 가지 체제

세 체제가 동시에

1. 연방 — 혁신과 주 규칙 선점을 강조하는 행정부의 기조. 선점 가능 여부는 미해결이며 파급이 크다
2. 주 — 진짜 조각보(공시 규정, 채용 알고리즘 감사, 생체정보법, 몇몇 주의 포괄법). 전국 단위로 사업하는 누구에게나 실질적인 컴플라이언스 면적이 생긴다
3. 부문별 — FTC, FDA, 금융 규제기관이 기존 권한을 자기 영역의 AI 이용에 적용하며, 대개 입법부보다 빠르다

대부분의 기업에게 운영상의 답은 2025년과 같다. 적용 가능한 가장 엄격한 기준에 맞춰 만들라. AI 시스템의 관할별 변형을 유지하는 비용이 컴플라이언스 여유를 두는 비용보다 크기 때문이다.

규제가 해결하지 못한 윤리 질문

어떤 법령도 답하지 않는 것

• 학습 데이터의 정당성 — 음악 산업은 소송을 라이선스로 전환했지만 Suno의 공정이용 쟁점은 여전히 살아 있다. 그 결말이 모든 양식의 향후 데이터셋 가격을 정한다
• 에이전트 시스템의 책임 — 자율 에이전트가 행동했을 때 누가 책임지는가? 대체로 미답이며, 에이전트는 이제 어디에나 있다
• 검증과 승인의 차이 — FDA 승인 AI 의료기기의 43%는 임상 검증 데이터가 없다. 규제 승인은 편익의 증거가 아니다
• 노동 전환 — AI는 정리해고 사유로 가장 많이 지목되는 요인이지만 전환 비용을 다루는 규제 틀은 사실상 없다

부문 규제기관이 입법부보다 빨랐다

금융 서비스

영국 HM Treasury는 2026년 7월 14일 Financial Services AI Adoption Plan을 발표했고, 영란은행/FCA 조사에서는 이미 75%의 기업이 AI를 사용 중이며 추가로 10%가 3년 내 도입을 계획하고 있음이 확인됐다. 여기서의 감독은 쓸 것인가가 아니라 어떻게 쓸 것인가에 관한 문제다.

소비자 보호

FTC는 2026년 7월 AI 정확성 문제로 움직였다 — AI 시스템이 무엇을 하는지에 대한 주장 자체를 독립적인 집행 대상으로 다룬 것이다. 마케팅 문구는 이제 컴플라이언스 산출물이다.

헬스케어

FDA는 1,300개가 넘는 AI 탑재 의료기기를 허가했고, 그중 95~97%는 510(k) 경로를 거쳤다. 이 경로가 입증하는 것은 기존 기기와의 동등성이지 독립적인 임상적 편익이 아니다. 2026년 FDA는 QMSR 아래에서 기기 규정을 ISO 13485:2016에 정렬시키고 있다. 헬스케어 전체 그림 →

이 패턴이 중요한 이유

수평적 AI 입법은 느리게 움직이고 미뤄진다. 부문 규제기관은 기존 권한으로 움직이며 자기 일정대로 나아간다. 대부분의 기업에게 2026년의 구속 조건은 AI Act가 아니라 부문 규제기관이다.

실무 컴플라이언스 체크리스트

체크리스트

• 벤더 제품에 내장된 기능을 포함해 모든 AI 시스템을 인벤토리로 정리한다
• EU AI Act 위험 등급으로 분류한다 — 나머지 모든 것을 좌우하는 작업
• 학습 데이터 출처, 평가 결과, 사람의 감독 설계를 문서화한다
• 미국에서 전국 규모로 사업한다면 주별 노출을 지도로 그린다
• 2026년 8월을 주시한다 — GPAI 감독이 시작되고, 첫 집행 신호가 실무를 정의한다
• 2027년 12월에 기대지 않는다 — 한 번 밀린 기한은 개정으로 다시 당겨질 수도 있다

---

Sources: Covington/Inside Privacy on the Digital Omnibus · Holland & Knight on US company obligations · Collibra on operationalizing compliance · Gunderson Dettmer 2026 AI laws update · EWSolutions timeline summary

마지막 업데이트: 2026년 7월 29일