2026년 8월 2일부터 EU AI법의 투명성 의무가 적용되기 시작했습니다. AI와 상호작용하고 있다는 사실을 알리거나, AI가 만든 콘텐츠를 식별할 수 있게 하라는 이른바 ‘AI 표시 의무’입니다. 

AI 표시 의무 자체는 한국 스타트업에도 낯선 이야기는 아닙니다. 올해 1월부터 인공지능기본법에 따른 투명성 확보 의무가 시행되고 있기 때문입니다.

그런데, EU의 AI 표시 의무까지 우리 회사가 챙겨야 할까요?

가장 먼저 확인해야 할 것은 우리 회사가 EU AI법의 적용 대상인지, 적용된다면 어떤 표시 의무를 부담하는지입니다. 핵심은 세 가지입니다.

• 우리 서비스나 AI 결과물이 EU에서 사용될 예정인가
• 우리가 AI 기능을 만들어 내놓는가, 다른 회사의 AI를 가져다 쓰는가
• 사람에게 알려야 하는가, 결과물에 기계가 읽는 표시까지 넣어야 하는가

우리 서비스가 어디에 해당하는지를 정확히 알아야 불필요한 개발에 시간을 쓰는 것도, 반대로 필요한 조치를 놓치는 것도 피할 수 있습니다.

그럼 세 가지 질문을 하나씩 살펴보겠습니다.

한국에만 법인이 있는데도 EU 규정이 적용될 수 있나요?

적용될 수 있습니다. 회사 주소보다 우리 서비스와 결과물이 실제로 EU를 시장으로 고려하는지가 중요하기 때문입니다.

• 한국 회사라면 다음 세 가지를 먼저 확인하면 됩니다. 셋 중 하나에 해당한다면 EU AI법 적용 여부를 검토해야 합니다.
  1. EU 이용자에게 제품이나 서비스를 제공하고 있는가. EU 앱스토어에 배포하거나 EU 고객과 계약한 경우가 여기에 해당할 수 있습니다.
  2. AI 결과물이 EU에서 쓰일 예정인가. EU 고객사에 결과물을 납품하거나 EU 시장에 쓸 광고·콘텐츠를 만드는 경우입니다.
  3. EU에 있는 사업장이나 법인에서 AI 도구를 쓰고 있는가.
• 한국 이용자만을 대상으로 운영하고 EU 판매·배포를 계획하지 않았다면, EU 거주자 한 명이 우연히 접속했다는 사실만으로 표시 의무가 생긴다고 보기는 어렵습니다.
• 판단이 애매하다면 요금제 페이지, 결제 통화, 앱스토어 배포 국가, 광고 대상 지역과 고객 계약서를 확인해보시는 것을 권합니다. 서비스가 어느 시장과 타겟을 목표로 하는지가 이러한 곳에서 드러나기 때문입니다.

전 세계에서 접속할 수 있다는 이유만으로 의무가 적용되는 것은 아닙니다. 반대로 ‘EU 전용 서비스가 아니다’라는 말만으로 제외되는 것도 아닙니다. 결국 표시 의무 적용 여부는 유저 한 명의 국적이 아닌, 우리 제품과 서비스가 EU를 시장으로 보고 서비스·영업·계약을 설계했는지에 달려있습니다.

AI 표시 의무는 우리 회사가 지나요, 모델 회사가 지나요?

모델 회사와 서비스 회사 중 한 곳만 책임지는 구조가 아닙니다. AI 시스템마다 누가 개발·출시했고 누가 이용 목적과 방법을 정했는지 확인해야 합니다.

• EU AI법은 책임 주체를 크게 provider와 deployer로 나눕니다.
  • Provider(공급자): AI 시스템을 개발하거나 다른 사람에게 개발하게 한 뒤, 자기 이름이나 상표로 EU 시장에 출시하거나 서비스하는 주체입니다. 유료인지 무료인지는 따지지 않습니다.
  • Deployer(활용자): 개인적·비직업적 이용을 제외하고, AI 시스템을 어떤 목적으로 어떻게 사용할지 정해 자기 권한 아래 사용하는 주체입니다.

다른 회사의 모델 API를 활용해 자체 AI 서비스를 만들어 자기 이름으로 내놓았다면, 상류 모델 회사와 별개로 그 서비스의 provider가 될 수 있습니다. 반대로 기존 도구를 구독해 내부 업무에 쓰는 회사는 보통 deployer로 출발합니다.

한 회사가 같은 시스템에서 두 역할을 함께 맡을 수도 있습니다. 자체 생성형 AI 시스템을 만들어 그 시스템으로 딥페이크 광고까지 제작한다면, provider의 기계 표시·탐지 의무와 deployer의 사람 대상 라벨 의무를 모두 검토해야 합니다.

모든 경우에 일괄 적용되는 의무는 아니므로, 각 항목의 요건과 예외를 따로 확인해야 합니다. 그럼 하나씩 살펴보도록 하겠습니다.

남이 만든 AI를 쓰기만 해도 표시해야 하나요?

단순히 타사 AI를 쓴다는 이유만으로 provider의 기계 표시 의무를 지는 것은 아닙니다. 다만 사용 방식에 따라 deployer의 고지·라벨 의무가 생길 수 있습니다.

Deployer라면 다음 세 가지를 확인합니다.

• 감정인식·생체분류 시스템을 사용하는 경우
  • 감정인식 시스템은 생체정보를 바탕으로 사람의 감정이나 의도를 식별하거나 추론하는 AI 시스템을 말합니다.
    • 고객센터에서 ‘감정 분석’이라는 이름을 쓴다고 모두 이 기능에 해당하는 것은 아닙니다. 텍스트만 분석하는지, 음성·얼굴 등 생체정보를 바탕으로 감정이나 의도를 추론하는지 기능을 확인해야 합니다.
  • 생체분류 시스템은 생체정보를 바탕으로 사람을 특정 범주에 배정하는 시스템입니다.
    • 다른 상업 서비스에 부수적이고 객관적인 기술상 이유로 반드시 필요한 기능은 생체분류 시스템 정의에서 제외될 수 있습니다.
  • 해당 시스템을 사용한다면 노출되는 사람에게 작동 사실을 알려야 합니다. 다만 알렸다는 이유로 사용 자체가 적법해지는 것은 아닙니다. 직장·교육 현장의 감정인식 금지, 고위험 AI 규정, 개인정보보호법도 별도로 확인해야 합니다.
• 딥페이크를 공개하는 경우
  • EU AI법이 정의하는 딥페이크는 AI가 생성·조작한 이미지·음성·영상이 현실에 존재하거나 현실적으로 존재할 수 있는 사람·사물·장소·사건 등을 닮아, 보는 사람이 진짜이거나 사실이라고 잘못 받아들일 수 있는 콘텐츠를 말합니다.
  • AI 시스템으로 생성·조작한 딥페이크를 공개할 때는 사람이 별도 도구를 쓰지 않아도 알 수 있는 방식으로 그 사실을 밝혀야 합니다. provider가 파일 안에 넣은 기계 판독 표식만으로는 이 의무를 대신할 수 없습니다.
  • 명백히 예술·창작·풍자·허구 작품에 포함된 딥페이크는 작품의 감상이나 이용을 방해하지 않는 방식으로 표시하도록 그 의무를 완화하고 있습니다.
• 공익 사안을 알리는 글을 AI로 작성하는 경우
  • 불특정 다수에게 공개되고, 사회적 논의가 필요한 공익 사안을 알리려는 텍스트를 AI가 작성했을 경우, 표시 의무 대상에 속합니다. 정치·행정·사법·기본권·공공안전·보건·환경·소비자 안전뿐 아니라 공적 논의와 관련된 경제·금융·과학·문화 사안도 포함될 수 있습니다.
  • 다음 두 조건을 모두 충족하면 공익 텍스트 라벨 의무에서 제외될 수 있습니다.
    1. 관련 지식과 전문적 판단을 갖춘 사람이 내용을 실질적으로 검토했거나, 책임 있는 편집 주체가 내용을 승인·수정·거절할 권한을 가지고 편집 통제를 했을 것
    2. 자연인이나 법인이 그 발행에 대한 최종 편집 책임을 질 것
       이때 편집 및 통제는 맞춤법 검사나 형식적 승인만으로는 부족합니다. 검토 후 AI가 내용을 다시 실질적으로 고쳤다면 예외 요건을 다시 확인해야 합니다.

세 경우에 모두 해당하지 않는다면 EU AI법 제50조의 deployer 투명성 의무에 관해서는 당장 추가할 표시가 없을 수 있습니다. 다만 한국 인공지능기본법, GDPR, 소비자보호법 등 다른 법률의 의무까지 없어진다는 뜻은 아닙니다.

Provider라면, 화면에 ‘AI 생성’이라고 쓰기만 하면 되나요?

아닙니다. 직접 상호작용하는 AI의 사람 대상 고지와, 생성 콘텐츠의 기계 표시·탐지는 서로 다른 의무입니다.

사람과 직접 상호작용하는 AI라면

• 챗봇, AI 에이전트, 아바타처럼 사람과 직접 상호작용하도록 만든 시스템은 이용자가 AI와 대화하고 있음을 알 수 있게 설계해야 합니다.
  • O 늦어도 첫 상호작용이나 첫 노출이 일어나는 시점까지 명확하고 구별 가능한 방식으로 안내. 이 때, 안내는 접근성 요건을 지켜야 합니다.
  • X 대화가 한참 진행된 후 안내, 여러 메뉴를 거쳐야 찾을 수 있는 안내, 화면 맨 아래 작은 글씨로만 표시

합성 콘텐츠를 생성·조작하는 AI라면

• 합성 오디오·이미지·영상·텍스트를 생성하거나 조작하는 시스템은 결과물에 기계가 읽을 수 있는 표식을 넣고, 그 결과물이 AI가 만들거나 바꾼 것인지 탐지할 수단을 제공해야 합니다. 표식만 넣고 탐지 방법을 제공하지 않는 것으로는 충분하지 않습니다.
  • 예: 워터마크, 메타데이터, 암호학적 출처·진위 확인 방식, 로그, 지문

여기서 흔히 오해하는 부분이 있습니다. 제50조 제2항이 모든 일반 생성물 화면에 눈에 보이는 ‘AI 생성’ 라벨을 붙이라는 뜻은 아닙니다. 일반 생성물에 대한 provider의 핵심 의무는 기계 표시와 탐지입니다. 사람이 즉시 볼 수 있는 라벨은 deployer가 딥페이크나 일부 공익 텍스트를 공개할 때 별도로 필요합니다.

표준적인 편집을 보조하거나 입력 내용과 의미를 실질적으로 바꾸지 않는 기능에는 기계 표시·탐지 의무가 적용되지 않을 수 있습니다. 공중·소비자 대상이 아닌 제한적인 산업·기업 내부 용도는 가이드라인이 제시한 매우 좁은 요건을 모두 충족할 때 표시·탐지가 필요하지 않을 수 있습니다.

원본 모델이 AI 활용 여부를 표시한다면, 우리는 안 해도 되는 걸까요?

상류 모델의 표시를 활용할 수는 있지만, 최종 책임이 자동으로 모델 회사에 넘어가지는 않습니다. 우리 시스템이 내보내는 최종 결과물과 탐지 수단까지 확인해야 합니다.

Provider라면, 다음 순서로 점검하는 것이 좋습니다

1. 출력 유형과 예외를 분류합니다. 텍스트·이미지·음성·영상별로 제50조 제2항 대상인지 먼저 확인합니다.
2. 상류 모델의 표식 방식을 확인합니다. 워터마크·메타데이터·출처 정보가 어떤 출력에 들어가는지 문서와 테스트로 검증합니다.
3. 최종 결과물까지 남는지 시험합니다. 재저장, 압축, 크기 변경, 번역, 편집, 다운로드·공유 과정에서 표식이 사라지는지 확인합니다.
4. 탐지 수단을 제공합니다. 이용자와 관련 주체가 표식을 확인할 수 있고, 결과가 사람이 이해할 수 있게 표시되는지 점검합니다.
5. 부족하면 자체 수단을 도입합니다. 상류 표식이 없거나 최종 단계에서 사라진다면 별도의 표시·탐지 방식을 마련합니다.
6. 계약과 운영 기록을 정비합니다. 벤더 계약에 표시 유지, 기술 변경 통지, 시험 지원, 장애 대응과 책임 분담을 넣고 테스트 결과를 보관합니다.

📍결론: 한국 스타트업, 지금 당장 무엇을 해야 하나요?

EU 연결성, 시스템 별 역할, 사용 사례, 표시 방식, 적용 시점을 차례로 확인합니다.

1. EU 연결성을 확인합니다. 배포 국가, 앱스토어 설정, 결제 통화, 현지화 언어, 광고 대상, EU 고객 계약과 결과물의 사용 지역을 점검합니다. EU를 겨냥하지 않은 서비스일 경우, EU 거주자 한 명이 우연히 들어왔다는 사실만으로 의무가 생긴다고 보기 어렵습니다.
2. AI 시스템 목록을 만듭니다. 챗봇, 생성기, 내부 업무 도구, 감정인식·생체분류 기능을 따로 적습니다.
3. 시스템마다 역할을 판단합니다. 누가 개발했는지, 누구 이름으로 출시했는지, 누가 사용 목적과 방법을 결정하는지 확인합니다. 한 시스템에서 두 역할을 함께 맡을 가능성도 봅니다.
4. 적용되는 의무만 연결합니다. 상호작용 고지, 기계 표시·탐지, 감정인식·생체분류 고지, 딥페이크 라벨, 공익 텍스트 라벨을 각각 판정합니다.
5. 표시 경로를 시험합니다. 상호작용 고지와 deployer 라벨은 첫 상호작용·첫 노출 시점과 접근성을 확인합니다. 기계 표식은 파일 변환 후에도 남는지, 이용자가 탐지 수단에 접근했을 때 결과를 이해할 수 있는지 시험합니다.
6. 예외의 근거를 기록합니다. 사람 검토·사실확인 기록, 편집 책임자, 비공개·내부 이용 범위, 표준 편집 판단과 기술 테스트를 보관합니다.
7. 유예 대상을 분리합니다. 2026년 8월 2일 이전 출시 시스템 중 제50조 제2항에 해당하는 것만 12월 2일 일정으로 관리합니다.

📍 참고한 글

• EU 집행위원회 「Guidelines on the implementation of the transparency obligations… under Article 50 of the AI Act」(2026-07-20), https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
• EU 집행위원회 「Transparency obligations under Article 50 of the AI Act」 FAQ, https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
• Regulation (EU) 2026/1744 (Digital Omnibus on AI), https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng

법무법인 임팩터스는 글로벌 시장에 진출한 스타트업의 개인정보·보안, AI 서비스 연동 구조를 함께 점검하고 제품과 사업 구조에 맞는 대응 방향을 설계합니다.

AI 서비스의 해외 진출을 준비 중이거나, 우리 서비스가 글로벌 플랫폼에서 어떻게 작동할지 점검이 필요하시다면 임팩터스에 문의해 주세요.

➡️ 임팩터스에게 문의하기