EU AI법 2026 총정리: AI 생성물 표시, 금지되는 AI 관행과 생성형 AI 이용 시 확인사항

생성형 AI로 글, 이미지, 영상 등을 만드는 일이 일상화되면서 EU AI법(EU AI Act)이 AI 이용자에게 어떤 영향을 미치는지에 대한 관심도 커지고 있습니다. 특히 2026년에는 Article 50의 투명성 의무가 적용되기 시작하고, Regulation (EU) 2026/1744에 따른 개정 사항까지 반영되면서 단순히 “AI 콘텐츠에는 워터마크를 붙여야 한다”거나 “생성형 AI는 고위험 AI에 해당한다”고 이해해서는 실제 규정을 정확하게 파악하기 어렵습니다.

EU AI법은 AI 시스템의 기능명만으로 규제를 결정하지 않습니다. 법적 역할, 시스템의 목적과 이용 방식, 생성되는 콘텐츠, 공개 맥락, 개별 조항의 요건과 예외를 함께 살펴봐야 합니다. 현재 법령 구조는 EUR-Lex의 Regulation (EU) 2024/1689 공식 법령과 이를 개정한 Regulation (EU) 2026/1744 공식 법령에서 확인할 수 있습니다.

특히 AI Chat, AI Agent, AI 문안 작성, AI 이미지 생성, AI 영상 생성, 얼굴 교체와 같은 기능을 이용할 때는 Provider와 Deployer의 역할, Article 50의 투명성·표시·공개 의무, Article 5의 금지되는 AI 관행을 서로 구분해야 합니다. 한국에서 서비스를 이용한다는 사실만으로 EU AI법의 적용 여부를 단정할 수도 없습니다.

EU AI법의 기본 법령은 Regulation (EU) 2024/1689입니다. 따라서 ‘EU AI법 2026’이라는 표현은 2026년에 새로운 AI법이 처음 제정됐다는 뜻이 아니라, 2026년 현재 적용되는 규칙과 개정된 일정까지 포함해 살펴본다는 의미로 이해하는 것이 정확합니다.

EU AI법은 단계적으로 적용되는 구조입니다. 일부 규칙은 이미 적용되기 시작했고, Article 50을 포함한 다른 규칙은 2026년에 적용됩니다. 여기에 Regulation (EU) 2026/1744가 AI Act의 일부 조항과 적용 일정을 다시 조정했습니다. 특히 Article 5에는 두 가지 새로운 금지 범주가 추가됐고, 고위험 AI 관련 일부 규정의 적용 일정도 변경됐습니다.

따라서 EU AI법을 확인할 때는 법령의 발효(entry into force), 특정 조항의 적용(application), 과도기적 의무(transition)를 동일한 개념으로 취급하지 않는 것이 중요합니다. 특정 날짜가 등장한다고 해서 그날 모든 AI Act 의무가 일괄적으로 적용되는 것은 아닙니다.

EU AI법의 주요 적용 일정은 단계적으로 이어진다

2026년 이후 생성형 AI 이용과 관련해 특히 확인할 일정은 다음과 같습니다.

특히 세 번째 일정은 모든 기존 AI 시스템에 대한 일반적인 기한을 의미하지 않습니다. Regulation (EU) 2026/1744가 추가한 Article 111(4)은 2026년 8월 2일 전에 시장에 출시된, 합성 음성·이미지·영상 또는 텍스트 콘텐츠를 생성하는 AI 시스템(범용 AI 시스템 포함)의 Provider를 대상으로 2026년 12월 2일까지 Article 50(2)에 부합하기 위한 필요한 조치를 취하도록 규정합니다.

따라서 “EU AI법이 2026년 8월 2일부터 전면 적용된다”는 한 문장만으로 규제 일정을 설명하면 실제 단계적 적용 구조를 놓칠 수 있습니다.

Provider와 Deployer는 일반적인 AI 이용자와 구분된다

생성형 AI 규제를 이해할 때 먼저 구분해야 할 개념 중 하나가 Provider와 Deployer입니다. 일상적인 의미의 ‘AI 이용자’와 EU AI법상의 법적 역할은 반드시 일치하지 않습니다.

Provider는 일반적으로 AI 시스템 또는 범용 AI 모델을 개발하거나 개발하도록 하고 자신의 이름이나 상표로 시장에 출시하거나 서비스를 제공하는 법적 역할과 관련됩니다. 반면 Deployer는 자신의 권한 아래 AI 시스템을 사용하는 자연인 또는 법인을 의미하지만, 개인적이고 비전문적인 활동에서 AI 시스템을 사용하는 경우 등 법령상 정의에서 제외되는 범위도 존재합니다.

따라서 단순히 “AI를 사용한다”는 사실만으로 그 사람이 EU AI법상 Deployer라고 단정해서는 안 됩니다. 회사 직원이 업무 중 AI 도구를 조작한다는 사실만으로 직원 개인이 독립적인 Deployer가 되는 것도 아닙니다.

일반 이용자와 Deployer는 동일한 개념이 아니다

검색 과정에서는 ‘AI 이용자에게 적용되는 EU AI법’이라는 표현을 사용할 수 있지만, 법적 판단 단계에서 일반적인 이용자를 그대로 Deployer로 바꿔서는 안 됩니다.

이 구분은 Article 50에서 특히 중요합니다. 일부 의무는 Provider에게, 다른 공개 의무는 Deployer에게 부과될 수 있기 때문입니다. Provider의 기술적 표시와 Deployer의 disclosure를 모두 하나의 ‘AI 표시 의무’로 합치면 의무 주체와 법적 효과가 달라질 수 있습니다.

EU AI Act Regulation (EU) 2024/1689 공식 법령의 Article 50은 특정 AI 시스템의 Provider와 Deployer에게 적용될 수 있는 여러 투명성 의무를 규정합니다.

생성형 AI 콘텐츠와 관련해서는 특히 AI와 직접 상호작용한다는 사실을 알리는 문제, 합성 콘텐츠에 대한 기계 판독 가능한 표시, deepfake 등 특정 콘텐츠에 대한 공개를 구분해야 합니다.

AI와 직접 상호작용하는 상황에는 별도의 투명성 구조가 적용된다

Article 50(1)은 자연인과 직접 상호작용하도록 설계된 특정 AI 시스템의 Provider와 관련해, 해당 사람이 AI 시스템과 상호작용하고 있다는 사실을 알 수 있도록 하는 투명성 구조를 둡니다.

다만 모든 AI 인터페이스에서 언제나 동일한 문구를 표시해야 한다는 뜻은 아닙니다. 사용 상황과 맥락에서 AI와 상호작용한다는 사실이 이미 명백한지 등 Article 50 자체의 조건도 함께 확인해야 합니다.

예를 들어 AI Chat이나 AI Agent를 이용한다는 사실만으로 동일한 표시 방법이 자동 결정되는 것은 아닙니다. 누가 Provider인지, 실제 이용자가 AI와 어떤 방식으로 상호작용하는지 등을 먼저 살펴봐야 합니다.

기계 판독 가능한 표시는 눈에 보이는 AI 워터마크와 같지 않다

Article 50(2)는 합성 음성, 이미지, 영상 또는 텍스트 콘텐츠를 생성하는 AI 시스템의 Provider와 관련해 중요한 규칙을 둡니다. 관련 output을 기계 판독 가능한 형식으로 표시하고 인공적으로 생성 또는 조작됐다는 사실을 탐지할 수 있도록 하는 것이 핵심입니다.

여기서 기계 판독 가능한 표시(machine-readable marking)는 사람이 눈으로 보는 AI 워터마크와 같은 개념이 아닙니다. 따라서 이를 “모든 AI 콘텐츠 화면에 워터마크를 붙여야 한다”는 규칙으로 바꿔 설명해서는 안 됩니다.

Article 50(2)에는 기술적 가능성, 콘텐츠 유형의 특성, 구현 비용 및 기술 수준 등에 관한 고려사항뿐 아니라 표준적인 편집을 보조하거나 입력 데이터 또는 그 의미를 실질적으로 변경하지 않는 경우 등에 대한 적용 제외도 존재하므로, 콘텐츠가 AI로 생성됐다는 사실 하나만으로 모든 콘텐츠에 동일한 기술적 조치가 무조건 요구된다고 단정할 수 없습니다.

특정 deepfake와 공익 관련 텍스트에는 Deployer 공개 의무가 문제될 수 있다

Article 50(4)는 일정한 deepfake 이미지·음성·영상과 공익 사항을 대중에게 알리기 위해 게시되는 특정 AI 생성 또는 조작 텍스트 등에 대해 Deployer의 공개 의무가 문제될 수 있는 구조를 둡니다.

이 경우에도 콘텐츠 유형에 따라 조건과 예외가 다릅니다. 따라서 “AI 영상이면 deepfake”, “deepfake면 Article 5에서 금지”, “AI가 작성한 공익 관련 텍스트면 언제나 동일한 표시가 필요하다”는 식으로 연결해서는 안 됩니다.

특히 deepfake의 투명성 의무와 Article 5의 금지되는 AI 관행은 서로 다른 법적 문제입니다.

“AI로 만든 글이나 이미지에는 표시해야 하는가”라는 질문에는 하나의 보편적인 답을 적용하기 어렵습니다.

먼저 누가 관련 법적 의무의 주체인지 확인하고, 어떤 시스템과 콘텐츠가 문제되는지, Provider의 기술적 marking인지 Deployer의 disclosure인지, 해당 조항의 조건과 예외가 충족되는지를 구분해야 합니다.

따라서 기계 판독 가능한 표시, 사람이 볼 수 있는 AI 워터마크, AI 생성 사실의 disclosure, AI 생성물 labeling은 서로 관련될 수 있지만 동일한 법적 조치를 뜻하지 않습니다.

한국의 AI 생성물 표시 제도는 EU Article 50과 별도로 확인한다

한국에서는 국가법령정보센터의 인공지능기본법 제31조가 인공지능 투명성 확보 의무를 규정하고 있습니다. 인공지능사업자가 생성형 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우 생성형 AI에 의해 결과물이 생성됐다는 사실을 표시하도록 하고, 실제와 구분하기 어려운 가상의 음향·이미지·영상 등에 대해서도 별도의 고지·표시 구조를 두고 있습니다.

구체적인 표시 방법은 인공지능기본법 시행령 제23조에서도 확인할 수 있습니다. 따라서 한국의 AI 생성물 표시나 AI 워터마크를 EU Article 50의 machine-readable marking과 그대로 치환해서는 안 됩니다. 두 제도는 서로 다른 법령의 의무 주체·대상·요건과 예외에 따라 별도로 판단해야 합니다.

EU AI법 Article 5를 ‘EU가 금지한 AI 기술 목록’으로 이해하는 것도 정확하지 않습니다. Article 5는 특정 AI 시스템 또는 관행이 일정한 목적, 이용 방식, 대상, 효과와 법정 요건을 충족하는 경우 금지하는 구조입니다.

따라서 AI 시스템이 얼굴을 분석하거나 이미지를 생성하거나 감정을 추론할 기술적 능력이 있다는 사실만으로 곧바로 Article 5의 금지 대상이라고 결론 내릴 수 없습니다.

기존 Article 5의 금지 관행은 개별 구성요건을 기준으로 판단한다

이 표의 명칭만 보고 해당 기술 전체가 금지된다고 판단해서는 안 됩니다. Article 5의 각 범주는 서로 다른 구성요건과 예외를 갖고 있으므로 실제 이용 목적과 조건을 개별적으로 검토해야 합니다.

2026년 개정으로 Article 5에 새로운 두 범주가 추가됐다

Regulation (EU) 2026/1744 공식 텍스트는 Article 5(1)에 새로운 (ba)와 (bb)를 추가했으며 관련 규칙은 2026년 12월 2일부터 적용됩니다.

첫 번째 새로운 범주는 일정한 AI 시스템이 생성하거나 조작한 현실적인 이미지·영상·음성 또는 이와 유사한 material이 식별 가능한 자연인의 친밀한 신체 부위 또는 그 사람이 성적으로 명시적인 활동에 참여하는 모습을 나타내는 경우와 관련됩니다. 여기에는 법에서 요구하는 동의 등 구체적인 요건이 결합됩니다.

따라서 이를 “동의 없는 모든 deepfake가 Article 5에서 금지된다”거나 “모든 AI 성인 콘텐츠가 금지된다”고 일반화해서는 안 됩니다.

두 번째 범주는 Directive 2011/93/EU의 관련 정의를 참조하는 아동 성적 학대와 관련된 특정 material 또는 performance에 관한 것입니다. 이 역시 Article 5(1)(bb)의 cross-reference와 적용 조건 및 예외를 함께 확인해야 합니다.

또한 2026/1744는 (ba)와 (bb)에 대해 시스템의 시장 출시·서비스 투입 및 Deployer의 이용과 관련한 추가 구조를 두고 있으므로, AI 시스템이 기술적으로 특정 콘텐츠를 생성할 수 있다는 사실만으로 금지 여부가 결정되는 것은 아닙니다.

생성형 AI 이용자에게 Article 5가 중요한 이유는 “이 기능을 사용하면 불법인가”보다 어떤 방식으로 이용했을 때 특정 금지 관행의 구성요건에 들어갈 수 있는가를 확인해야 하기 때문입니다.

일반적인 AI 이미지·영상 생성 기능이나 얼굴 교체 기능이 존재한다는 사실 자체는 Article 5의 금지 여부를 결정하지 않습니다. 실제 콘텐츠의 대상, 동의, 이용 목적, 표현 내용과 해당 조항의 기타 조건을 확인해야 합니다.

동시에 Article 5에 해당하지 않는다는 사실이 다른 모든 법률상 적법성을 의미하는 것도 아닙니다. 마찬가지로 Article 50의 transparency 의무를 충족했다는 사실만으로 콘텐츠 자체가 다른 법률에 따라 적법하다고 결론 내릴 수도 없습니다.

한국어 환경에서는 GenApe 한국어 공식 사이트에서 제공되는 생성형 AI 기능을 활용할 수 있습니다. 그러나 EU AI법을 검토할 때는 GenApe의 기능명 → 특정 법률 규칙이라는 방식으로 자동 연결해서는 안 됩니다.

같은 기능이라도 누가 어떤 역할로 이용하는지, 결과물이 무엇인지, 공개되는지, 누구를 대상으로 하는지에 따라 검토할 규칙이 달라질 수 있습니다.

이 표에서 ‘잠재적으로 관련될 수 있는 규칙’은 해당 조항이 기능에 자동 적용된다는 뜻이 아닙니다.

AI Chat과 AI Agent는 상호작용 구조를 먼저 확인한다

AI Chat이나 AI Agent에서는 자연인과 AI가 직접 상호작용하는 구조가 중요한 출발점이 될 수 있습니다. 하지만 사용자가 화면에서 AI 기능을 이용한다는 사실과 그 사용자가 EU AI법상 Deployer라는 결론은 별개입니다.

따라서 Article 50을 검토할 때는 Provider가 누구인지, 어떤 사람이 어떤 방식으로 AI와 상호작용하는지 등을 먼저 확인해야 합니다.

AI 문안은 생성 사실과 게시 맥락을 구분한다

AI로 광고 문안, 블로그 글이나 SNS 게시물을 만들었다고 해서 모든 텍스트에 동일한 visible AI label이 자동으로 요구되는 것은 아닙니다.

Provider의 Article 50(2) 기술적 marking과 Deployer에게 문제될 수 있는 특정 공익 관련 텍스트 disclosure는 서로 다른 법적 구조입니다.

AI 이미지는 표시와 콘텐츠 자체의 적법성을 구분한다

AI 이미지 생성 도구를 검토할 때도 이미지 생성 기능 자체만으로 법률상 분류를 확정해서는 안 됩니다.

Provider의 machine-readable marking, 특정 deepfake의 disclosure와 Article 5의 특정 금지 관행은 각각 다른 요건을 가집니다. 따라서 visible watermark의 존재 여부만 확인하는 것으로 EU AI법 검토가 끝나는 것은 아닙니다.

AI 영상은 deepfake 여부와 공개 의무를 단계적으로 확인한다

AI로 생성하거나 조작한 영상이라고 해서 모든 영상이 EU AI법상 deepfake가 되는 것은 아닙니다. 실제 사람·대상·사건과의 관계 및 법률상 정의를 먼저 확인한 뒤 해당하는 경우 Article 50의 disclosure 구조를 살펴야 합니다.

그리고 deepfake에 해당한다는 사실만으로 Article 5의 금지 관행이라고 결론 내릴 수도 없습니다.

얼굴 교체와 사진 말하기는 기능명이 아니라 실제 콘텐츠를 기준으로 검토한다

얼굴 교체나 사진을 움직이고 말하게 만드는 기능은 콘텐츠에 따라 deepfake와 관련될 가능성이 있지만 기능 자체가 곧 법적 분류는 아닙니다.

실제 인물을 나타내는지, 어떤 방식으로 생성·조작했는지, 콘텐츠의 성격과 이용 목적이 무엇인지, Article 5 또는 Article 50의 구체적인 요건이 충족되는지를 각각 확인해야 합니다.

EU AI법에서 생성형 AI라는 사실만으로 시스템이 high-risk AI가 되는 것은 아닙니다. 고위험 AI 여부는 Article 6과 Annex I 또는 Annex III 등 법이 정한 구조에 따라 판단합니다.

따라서 AI가 텍스트·이미지·영상을 생성한다는 이유만으로 ‘고위험 AI’라고 분류하는 것은 적절하지 않습니다. 반대로 실제 이용 목적과 조건에 따라 high-risk AI 체계가 관련될 가능성은 있으므로 필요한 경우 별도의 분류 검토가 필요합니다.

Regulation (EU) 2026/1744는 Chapter III Sections 1–3의 조정된 적용일을 Article 6(2)·Annex III 관련 시스템에 대해서는 2027년 12월 2일, Article 6(1)·Annex I 관련 시스템에 대해서는 2028년 8월 2일로 구분하고 있습니다.

한국의 고영향 인공지능과 EU high-risk AI는 별개의 법적 분류다

한국 인공지능기본법은 고영향 인공지능이라는 자체 법률 개념을 사용합니다. 따라서 한국법의 고영향 인공지능과 EU AI법의 high-risk AI system을 번역상 비슷하다는 이유로 동일한 법적 분류로 취급해서는 안 됩니다.

국가법령정보센터의 현행 인공지능기본법을 기준으로 한국 제도의 정의와 의무를 별도로 확인해야 합니다.

EU AI법에는 general-purpose AI model(GPAI)에 관한 별도의 규율 구조가 있습니다. 하지만 일반 사용자가 GPAI 기반 생성형 AI 서비스를 이용한다는 사실만으로 그 사용자가 GPAI model Provider가 되는 것은 아닙니다.

예를 들어 사용자가 AI 서비스를 통해 문안이나 이미지를 생성한다는 사실만으로 GPAI Provider에게 적용되는 의무가 사용자에게 그대로 이전되는 것은 아닙니다.

따라서 GPAI 규칙에서도 실제 법적 역할을 먼저 구분해야 합니다.

EU AI법 Article 4의 AI literacy는 생성형 AI를 업무에 활용하는 Provider와 Deployer가 확인해야 할 별도의 의무입니다. Regulation (EU) 2026/1744로 개정된 현행 Article 4(1)은 Provider와 Deployer가 직원 및 자신을 대신해 AI 시스템의 운영·이용을 담당하는 사람들의 AI literacy 개발을 지원하기 위한 조치를 취하도록 요구합니다. 이때 기술적 지식, 경험, 교육과 훈련, AI 시스템이 사용되는 맥락 및 시스템이 사용되는 대상이 되는 사람이나 집단 등을 고려하도록 하고 있습니다.

다만 현행 Article 4는 Provider나 Deployer가 어떤 개인에게 특정 수준의 AI literacy 달성을 보장하도록 요구하지 않습니다. 따라서 이를 “모든 직원이 동일한 AI 자격증을 취득해야 한다”거나 “모든 회사가 AI Officer를 반드시 설치해야 한다”는 규칙으로 이해해서는 안 됩니다. European Commission의 현행 AI literacy Q&A도 특정 certificate가 요구되지 않으며 Article 4 준수를 위해 특정 governance structure나 AI Officer를 의무적으로 설치하도록 규정하지 않는다고 설명합니다.

European Commission｜AI Literacy Questions & Answers

따라서 조직은 자신이 Provider인지 Deployer인지, 어떤 AI 시스템을 제공하거나 배포하는지, 관련 인력의 기존 지식과 경험 및 실제 이용 맥락을 토대로 적절한 AI literacy 조치를 검토할 필요가 있습니다. Commission 역시 2026년 개정 후에도 AI literacy가 Provider와 Deployer의 의무로 유지되지만 특정한 ‘sufficient’ 수준을 일률적으로 요구하지 않는다고 설명하고 있습니다.

한국 이용자나 기업이 생성형 AI를 사용할 때는 EU AI법과 한국 인공지능기본법을 각각의 법체계로 분리해 검토하는 것이 중요합니다.

한국의 인공지능기본법 제31조는 인공지능사업자의 사전 고지와 생성형 AI 결과물 표시 등에 관한 자체 규칙을 두고 있으며, 시행령 제23조는 그 표시·고지 방법을 보다 구체적으로 규정합니다.

그러나 이것이 EU Article 50의 machine-readable marking과 한국법의 AI 생성물 표시가 동일한 법적 의무라는 뜻은 아닙니다. 의무 주체, 적용 대상, 조건, 예외와 법적 근거가 서로 다릅니다.

마찬가지로 한국의 고영향 인공지능과 EU high-risk AI도 동일한 분류로 취급해서는 안 됩니다.

EU AI법에 따라 생성형 AI를 사용할 때는 단순히 “AI로 만든 콘텐츠인가”만 볼 것이 아니라 법적 역할, 실제 AI 이용 방식, 콘텐츠 유형, 공개 맥락, 해당 조항의 구체적인 요건과 예외를 함께 확인해야 합니다. Article 50의 AI 상호작용 투명성, Provider의 기계 판독 가능한 표시와 Deployer의 특정 공개 의무는 서로 구분해야 하며 Article 5 역시 기능 이름만으로 금지 여부를 판단할 수 없습니다.

GenApe 한국어 공식 사이트의 생성형 AI 기능을 이용할 때도 기능명 자체가 EU AI법상의 법적 분류나 준수 여부를 결정하는 것은 아닙니다. 역할·이용 목적·콘텐츠·적용 조건을 기준으로 관련 규칙을 확인해야 하며, 한국에서 이용하는 경우 EU의 machine-readable marking과 한국의 AI 생성물 표시, EU high-risk AI와 한국의 고영향 인공지능 역시 각각 별도의 법적 구조로 구분해 검토하는 것이 중요합니다.