1. 8월 2일에 무엇이 시작되는가

제50조의 투명성 의무는 2026년 8월 2일부터 적용된다. 사람과 직접 상호작용하는 AI 고지, 합성 출력의 기계 판독 표식, 감정인식·생체분류 노출 고지, 딥페이크와 일부 공익 텍스트의 명확한 표시라는 네 경로가 핵심이다.

합성 미디어 금지나 사전승인 제도가 아니다. 사람이 기계와 대화하는지, AI가 본 콘텐츠를 만들거나 바꿨는지 알게 하는 규칙이다. 책임은 역할에 따라 달라진다. ‘제공자’는 자체 이름으로 시스템을 개발·출시하고, ‘배포자’는 전문 활동에서 자기 권한 아래 시스템을 사용한다. 한 회사가 두 역할을 모두 맡을 수 있다.

2. 제공자와 배포자의 책임 지도

챗봇·에이전트·아바타처럼 사람과 직접 상호작용하는 시스템의 제공자는 첫 상호작용 시작부터 AI임을 알리도록 설계해야 한다. AI라는 사실이 명백한 경우는 예외지만, 집행위는 이 예외를 좁게 해석해야 한다고 설명한다.

생성형 시스템 제공자는 합성 음성·이미지·영상·텍스트에 효과적이고 신뢰성·견고성·상호운용성을 갖춘 기계 판독 표식을 제공해야 한다. 반면 미디어사·대행사·공공기관 같은 전문 배포자는 딥페이크의 가시적 고지, 일부 공익 텍스트 라벨, 감정인식·생체분류 사용 고지를 담당한다.

  • 대화형 화면: 첫 상호작용부터 명확하고 접근 가능한 고지.
  • 합성 출력: 탐지를 위해 제공자가 넣는 기술 표식.
  • 딥페이크: 사람이 인지할 수 있어야 하며 숨은 메타데이터만으로는 부족.
  • 전문 사용: 직원이나 계약자가 운용해도 법인이 배포자 역할을 유지.

3. AI가 관여한 모든 글에 가시적 라벨이 필요한 것은 아니다

가장 흔한 혼동은 제공자의 기술 표식 의무와 배포자의 가시적 라벨 의무를 섞는 것이다. 대중에게 공익 사안을 알리기 위해 게시되고, AI가 생성·변형했으며, 사람의 검토나 편집 통제를 거치지 않은 텍스트가 후자에 들어간다. 정치, 공공서비스, 건강, 안전, 환경, 소비자 보호와 공론의 대상이 되는 경제·금융·과학·문화 발전 등이 포함될 수 있다.

사람의 검토는 승인 버튼 한 번이 아니다. 관련 지식과 전문적 판단을 가진 사람이 내용을 실질적으로 조사하거나, 책임 있는 편집 조직이 수정·거절·팩트체크 권한을 실제로 행사해야 한다. 맞춤법·문법·절차 확인만으로는 부족하며 최종 게시의 법적 책임 주체도 있어야 한다.

4. 기술 표식과 사람이 보는 고지는 다르다

제공자는 기계 판독 표식으로 합성 출력을 탐지할 수 있게 해야 한다. 출처 정보, 워터마크, 상호운용 탐지 기술이 구현 수단이 될 수 있다. 그러나 배포자가 딥페이크를 게시할 때는 별도 도구 없이 첫 노출 때 사람이 이해하고 인지할 수 있는 고지가 필요하다. 파일 안의 숨은 메타데이터가 가시적 라벨을 대신하지 못한다.

예술·허구·풍자 작품은 감상을 해치지 않는 적절한 방식으로 고지할 수 있다. 표준 편집 보조, 소스코드, 일부 기계 간 출력과 폐쇄형 산업 과정은 제외되거나 좁게 다뤄진다. 경계는 기능·맥락·최종 출력에 달려 있으며 모든 B2B 사용을 포괄 면제하지 않는다.

5. EU 밖 기업에도 중요한 이유

집행위는 EU 밖 제공자라도 AI 시스템의 출력이 EU에서 사용되면 적용 대상이 될 수 있다고 설명한다. 유럽 고객에게 에이전트 플랫폼을 판매하거나 유럽 팀이 쓰는 콘텐츠 도구를 공급하는 한국 기업은 누가 자기 이름으로 제품을 출시하고, 누가 운영하며, 어디에서 사람이 출력을 보고, 누가 게시를 통제하는지 흐름을 그려야 한다.

실무 우선순위는 개인정보처리방침 번역만이 아니다. 고지는 시장 언어와 같은 채널—텍스트 또는 음성—에서 작동해야 하고, 출처 정보는 내보내기·편집·게시를 거쳐 살아남아야 한다. 계약은 표식 유지, 가시적 라벨, 사람 검토와 예외 증거 보관의 책임을 나눠야 한다.

6. 실천강령: 의무 준수를 위한 자발적 경로

집행위는 투명성 실천강령을 발표했고 AI 이사회와 함께 적절한 준수 도구로 평가했다. 7월 27일 18시 CEST는 최초 서명자 명단의 마감이었지만 이후에도 서명할 수 있다. 서명하지 않는 것 자체는 위반이 아니다. 제50조 준수가 의무이고 강령은 이를 입증하는 인정된 방법이다.

비서명자는 동등한 대체 조치를 쓰되 문서화해야 하며 정보 요청이 더 많을 수 있다. 서명자도 면책되지 않는다. 집행위 의견은 강령 준수가 법 준수의 결정적 증거는 아니라고 명시한다. Google이 7월 24일 SynthID·C2PA와 함께 서명을 발표한 것은 산업 방향의 예일 뿐 특정 기술 하나를 유일한 법적 표준으로 만들지 않는다.

7. 첫 주 실행 계획

모델 이름이 아니라 시스템과 출력부터 조사한다. 직접 상호작용, 콘텐츠 생성, 감정·생체 사용, 딥페이크·공익 게시로 분류하고 제공자·배포자 역할을 배정한다. 복사·편집·채널 전환 뒤에도 고지와 표식이 유지되는지 시험한다.

집행위는 8월 2일 이전 출시된 일부 시스템의 표식·탐지 의무에 대해 12월 2일까지 제한적 전환을 설명하지만, 서명 Q&A는 이를 AI Omnibus 개정 채택과 연결한다. 모든 제50조 의무의 일반적·확정적 연장으로 보면 안 된다. 개별 법률 자문을 받고 제품 출시 이력과 전환 판단 근거를 보존해야 한다.

  • 시스템·역할·EU 사용자·출력 유형·고지 채널을 한 표로 만든다.
  • 제공자 기술 표식과 사람이 보는 라벨을 분리한다.
  • 실질적 편집 검토와 최종 책임자를 기록한다.
  • 첫 상호작용부터 언어와 접근성을 시험한다.
  • 표식 유실·고지 실패에 대비해 계약·게시 정책·사고 대응을 갱신한다.

8. 집행: 최대 벌금 숫자가 위험관리 계획은 아니다

집행위에 따르면 국가 시장감시 당국이 주로 집행하고, AI Office와 유럽 데이터보호감독관은 정해진 범위를 맡는다. 기업 제재는 직전 회계연도 전 세계 연간 매출의 3% 또는 1,500만 유로까지 가능하며 중소기업에는 비례성이 고려된다.

초기 위험은 벌금보다 운영·평판에서 먼저 올 수 있다. 고객이 기계와 대화하는지 모르거나, 영상의 출처 정보가 사라지거나, 책임 편집자 없는 공익 글이 나가는 경우다. 좋은 준수는 누가 만들고 운영했는지, 어떤 표식과 고지가 있었는지, 누가 검토·승인했는지 감사 가능한 기록으로 바꾼다.