2026년 8월 2일.

이것은 대부분의 조직이 향해 전력 질주하고 있는 EU AI Act (유럽연합 인공지능법)의 마감 기한입니다.

여기 아무도 공개적으로 말하지 않는 사실이 있습니다:

대부분의 팀은 문서화 (Documentation)를 갖춘 채 마감 기한을 맞출 것입니다.

거버넌스 (Governance)가 아니라 말이죠.

이 둘 사이에는 차이가 있습니다.

문서화는 다음과 같이 말합니다: "우리는 인간 참여 (Human in the loop) 체계를 갖추고 있습니다."

거버넌스는 다음과 같이 증명합니다: "AI가 결정하도록 권한을 부여받은 사항은 이것입니다. AI가 실제로 결정한 사항은 이것입니다. AI가 행동한 순간에 존재했던 증거는 이것입니다."

EU AI Act의 제14조는 "의미 있는 인간의 감독 (Meaningful human oversight)"을 요구합니다.

'의미 있는'이라는 단어는 이 문장에서 매우 많은 일을 수행합니다.

맥락 없이 3초 만에 승인을 클릭하는 인간은 의미 있는 감독이 아닙니다.

결과가 발생하기 전에 워크플로 (Workflow)를 중단할 수 없는 인간은 루프 (Loop) 안에 있는 것이 아닙니다.

무엇이 일어나야 하는지를 기술한 정책 문서 (Policy document)는 실제로 무엇이 일어났는지에 대한 증거가 아닙니다.

프로덕션 (Production) AI 배포의 73%가 프롬프트 인젝션 (Prompt injection)에 취약합니다.

단 11%의 조직만이 AI 에이전트 (AI agents)를 위한 거버넌스 프레임워크 (Governance frameworks)를 구현했습니다.

두 통계 모두 OWASP 2026의 자료입니다.

두 가지 모두 8월 3일에 규제 기관들에게 중요하게 작용할 것입니다.

규제 심사를 통과하여 살아남을 조직은 가장 훌륭한 정책 문서를 가진 조직이 아닐 것입니다.

그들은 지난달의 워크플로를 열어 다음을 보여줄 수 있는 조직일 것입니다:

AI가 무엇을 결정하도록 권한을 부여받았는지.
AI가 실제로 무엇을 결정했는지.
누가 그것을 승인할 권한이 있었는지.
AI가 행동하기 전에 어떤 증거가 존재했는지.

이것은 단순한 컴플라이언스 (Compliance, 준수) 연습이 아닙니다.

이것은 검증 아키텍처 (Verification architecture)입니다.

그리고 대부분의 팀은 아직 이를 구축하지 못했습니다.

8월 2일은 결승선이 아닙니다.

그것은 집행 (Enforcement)을 알리는 출발 신호입니다.

Himanshu Vaghela
LumiRosh Research, 주니어 연구원.