2026년 8월 2일은 EU AI Act(유럽 AI 법)에 따른 투명성(transparency)의 주요 이정표이며, 모든 고위험(high-risk) 의무가 갑자기 적용되는 일괄적인 날짜는 아닙니다.

프로덕션(production) 팀에게 실질적인 질문은 시스템이 실행되는 동안 증거를 생성할 수 있는지 여부입니다.

통제 항목을 설계하기 전에 일정을 확인하십시오

범용 AI(General-purpose AI) 제공자의 의무는 2025년 8월 2일부터 적용되었습니다. 다음 주요 시점인 2026년 8월 2일은 주로 투명성(transparency)과 관련이 있습니다. 독립적인 Annex III 의무는 2027년 12월 2일로 이동하며, Annex I 제품 의무는 2028년 8월 2일로 이동합니다.

이러한 순서는 엔지니어링 팀이 지금 무엇을 테스트 가능하게 만들어야 하는지를 변화시킵니다. 2026년을 하나의 보편적인 고위험 마감일로 취급하는 것은 별개의 단계들을 붕괴시키고, 특정 통제 항목(control)을 그것이 지원하고자 하는 의무와 연결하는 것을 더 어렵게 만듭니다.

보고된 집행 일정은 팀들에게 구체적인 투명성 사례를 제공합니다. 사람과 상호작용하는 시스템의 제공자는 해당 상호작용을 명확하게 해야 합니다. 따라서 구현 문제는 이론적인 것이 아니라 관찰 가능한 문제입니다. 배포된 경험이 관련 투명성 동작을 입증할 수 있는가, 그리고 팀이 그에 대한 증거를 검색할 수 있는가 하는 점입니다.

분류(Classification)가 여전히 최우선입니다. 이 엔지니어링 패턴을 출시 게이트(release gate)로 전환하기 전에, 법률 자문을 통해 조직의 역할, 시스템 분류 및 적용 가능한 의무를 확인하십시오.

각 AI 결정을 증거 경로로 전환하십시오

슬라이드는 거버넌스(governance) 의도를 설명할 수는 있지만, 감사인이 실시간 증거를 요구할 때 주요 증거 소스로 사용하기에는 위험합니다. 프로덕션 증거는 로깅(logging), 리니지(lineage), 평가(evaluations), 액세스 결정(access decisions) 및 인간 검토(human review)를 통해 지속적으로 생성되어야 합니다.

Van Data Team에서는 운영 경로의 연결된 다섯 가지 부분을 매핑하는 것으로 시작합니다:

• AI 시스템이 지원하는 결정과 그와 관련된 출력 (output).
• 관련 데이터 및 해당 결정과 데이터를 연결하는 데이터 계보 (lineage).
• 관련된 도구 (tools) 및 검토 가능한 평가 (evaluation) 결과.
• 발생한 상황을 형성한 접근 결정 (access decisions) 및 인수인계 (handoffs).
• 인간의 검토 (human review) 단계 및 해당 경로에 대한 책임 있는 소유자 (accountable owner).

해당 지도가 작성되면, 그 기록들을 파이프라인의 출력물 (outputs)로 취급하십시오. 목표는 가능한 한 가장 큰 아카이브를 축적하는 것이 아닙니다. 특정 결정과 그 주변의 통제 (controls) 및 검토 (reviews)를 연결하는, 검색 가능한 체인을 보존하는 것입니다.

계보 (lineage)가 없는 로그는 출처를 불분명하게 만듭니다. 결정과 분리된 평가는 어떤 출력물을 평가했는지 보여줄 수 없습니다. 주변의 인수인계 (handoffs) 과정이 없는 인간의 승인은 시스템이 어떻게 그 지점에 도달했는지에 대해 거의 알려주지 못합니다. 이러한 조각들이 동일한 경로를 설명할 때 비로소 증거로서 유용해집니다.

Compliance-as-Code를 실행 가능하게 만들기

Compliance-as-Code (코드로서의 준수)가 법적 해석을 설정 (configuration)으로 축소할 수 있다고 가정하는 것을 의미하지는 않습니다. 이는 기대되는 증거를 엔지니어링 및 거버넌스 팀이 일관되게 실행할 수 있는 체크 (checks) 항목으로 표현하는 것을 의미합니다.

준비 런북 (readiness runbook)은 하나의 프로덕션 결정을 따라가며, 팀이 해당 로그를 검색할 수 있는지, 데이터 계보 (data lineage)를 재구성할 수 있는지, 관련 평가 (evaluation)를 찾을 수 있는지, 접근 결정 (access decision)을 보여줄 수 있는지, 그리고 인간의 검토 (human review)를 식별할 수 있는지 질문해야 합니다. 만약 산출물 (artifact)을 생성할 수 없다면, 해당 런북은 다시 작성해야 할 슬라이드를 찾아낸 것이 아니라 운영상의 격차 (operational gap)를 찾아낸 것입니다.

사람이 개입하는 상호작용의 경우, 동일한 연습에 투명성 동작 (transparency behavior)이 포함되어야 합니다. 핵심은 단순히 정책이 통제 (control)의 존재를 명시하고 있는지 여부가 아니라, 시스템이 무엇을 했고 어떤 증거가 존재하는지를 테스트하는 것입니다.

추적 (trace)에 소유권을 결합하기

지속적인 증거 (continuous evidence)에도 여전히 인간 운영 모델이 필요합니다. 결정, 데이터, 도구 및 인수인계 (handoffs)에는 증거가 어디에서 생성되고 어떻게 검토되는지 알고 있는 책임 있는 소유자 (accountable owner)가 필요합니다.

이것은 정직한 트레이드오프 (tradeoff)이기도 합니다. 런타임 (runtime) 증거는 거버넌스 (governance)를 반복적인 전달 작업으로 변화시킵니다. 로깅 (logging), 리니지 (lineage), 평가 (evaluations), 액세스 결정 (access decisions), 그리고 인간의 검토 (human review)는 프로덕션 경로가 변경됨에 따라 계속 연결되어 있어야 합니다. 일회성 문서화 스프린트 (documentation sprint)로는 그러한 연속성을 제공할 수 없습니다.

기저에 깔린 분류 (classification)나 역할 (role)이 잘못되었다면, 감사 가능한 파이프라인 (auditable pipeline)이라 할지라도 여전히 잘못된 결론을 뒷받침할 수 있습니다. 엔지니어링 증거 (engineering evidence)는 법적 분석 (legal analysis)을 보완하는 것이지, 이를 대체하는 것이 아닙니다.

이러한 규율이 실질적으로 중요한 이유는 그에 따른 리스크가 크기 때문입니다. 벌금은 3,500만 유로(EUR 35 million) 또는 전 세계 연간 매출액의 7% 중 더 높은 금액에 달할 수 있습니다. 이 상한선이 적용 가능한 의무를 이해하는 것을 대신할 수는 없지만, 증거를 재현 가능하게 (reproducible) 만들어야 하는 이유가 됩니다.

투명성 단계 (transparency phase)를 준비도 테스트로 활용하십시오

2026년 8월의 투명성 단계 (transparency phase)는 이후의 고위험 (high-risk) 단계들이 도래하기 전에 증거 생성 과정을 검증할 수 있는 실질적인 시점입니다. 이것이 부속서 III (Annex III) 또는 부속서 I (Annex I)의 날짜를 앞당기는 것은 아닙니다. 다만 팀들이 자신들의 파이프라인 (pipeline), 체크리스트 (checklist), 그리고 런북 (runbook)을 테스트할 수 있는 현재의 프로덕션 관련 과제를 제공합니다.

하나의 실제 결정 경로 (decision path)부터 시작하십시오. 이를 매핑 (map)하고, 각 아티팩트 (artifact)를 검색하며, 누락된 연결 고리를 기록하고, 그 격차 (gap)를 책임 있는 소유자 (accountable owner)에게 할당하십시오. 그런 다음 시스템과 그 의무가 진화함에 따라 이 과정을 반복하십시오.

만약 내일 당장 하나의 프로덕션 AI 결정을 증명해야 한다면, 어떤 아티팩트 (artifact)를 검색하는 것이 가장 어려울까요: 리니지 (lineage), 평가 결과 (evaluation result), 액세스 결정 (access decision), 아니면 인간의 검토 (human review)입니까?

📖 가이드 전문 읽기 → EU AI Act Compliance in Production: Auditable Pipelines