EU AI Act의 고위험 (high-risk) 마감일은 이 기사가 게시된 시점으로부터 9일 뒤인 2026년 8월 2일입니다. 만약 귀하의 AI 시스템이 EU 사용자에게 서비스를 제공하고 부속서 III (Annex III)에 해당한다면, 적합성 의무 (conformity obligations)를 충족하기 위해 남은 시간은 며칠 되지 않습니다. 벌금은 1,500만 유로 또는 전 세계 연간 매출액의 3%부터 시작됩니다.

대부분의 미국 AI 창업자들은 2018년 GDPR을 바라보던 방식과 유사하게 EU AI Act를 지켜보고 있습니다. 바로 "우리에게는 적용되지 않는다"는 생각입니다. 하지만 적용됩니다. 이 법안은 역외 적용 (extraterritorial)됩니다. 귀하의 제품이 무료 티어 (free-tier) 사용자에 의해서라도 EU 내에서 사용된다면, 고위험 (high-risk) 규칙이 적용됩니다.

이것이 실제로 귀하에게 적용됩니까?

부속서 III (Annex III)는 생체 인식 (biometrics), 핵심 인프라 (critical infrastructure), 고용 (employment), 교육 (education), 필수 서비스에 대한 접근 (access to essential services), 법 집행 (law enforcement), 이주 (migration), 그리고 사법 행정 (administration of justice)에 사용되는 시스템을 다룹니다.

9일 남은 시점에서 "준수 (Compliance)"의 실제 의미

8월 2일까지 완벽할 필요는 없습니다. **방어 가능 (defensible)**해야 합니다. 고위험 (high-risk) 요구 사항은 네 가지 실무 워크스트림 (workstreams)으로 나뉩니다: 위험 관리 시스템 (risk management system), 데이터 거버넌스 (data governance), 기술 문서 (technical documentation), 그리고 인간의 감독 및 투명성 (human oversight and transparency).

9일간의 스프린트 (Sprint)

• 1일 차: 위험 스냅샷 (Risk snapshot) — 귀하의 시스템을 OWASP LLM Top 10 및 고위험 실패 모드 (high-risk failure modes)와 대조하여 매핑
• 2~4일 차: 전체 기술 문서 패키지 (Full technical documentation package) — 아키텍처 검토 (architecture review), 데이터 흐름 (data flow), 위험 레지스터 (risk register), 편향 (bias)/프롬프트 주입 (prompt-injection)/레드팀 (red-team) 결과물
• 5~7일 차: 가드레일 (Guardrail) 구현 — 입출력 필터링 (input/output filtering), 인간 참여형 게이트 (human-in-the-loop gates), 감사 로깅 (audit logging), 오버라이드 제어 (override controls)
• 8~9일 차: 법무/컴플라이언스 팀이 규제 기관이나 고객에게 전달할 수 있는 서면 보고서를 포함한 구조화된 적대적 테스트 (adversarial testing)

지금 당장 해야 할 일

1. 귀하의 제품이 부속서 III (Annex III)의 사용 사례 중 어느 하나라도 해당하는지 확인하십시오.
2. 현재의 위험 관리 (risk management) 및 데이터 거버넌스 (data governance) 관행을 문서화하십시오.
3. 단순한 의견이 아닌 증거를 생성할 수 있는 기술 감사 (technical audit)를 받으십시오.
4. 감사를 마친 후 법무/컴플라이언스 팀과 논의하십시오.

이 문제에 앞서 나가는 기업은 가장 큰 법무 예산을 가진 기업이 아닐 것입니다. 그들은 가장 우수한 기술적 증거 (technical evidence)를 가진 기업이 될 것입니다.