EU AI Act 집행은 시작됐지만, 유럽의 정책 격차는 커지고 있다

EU AI Act 집행은 2026년 8월 시작됐지만, 유럽에서 가장 중대한 고위험 규정은 적어도 14개월 뒤에야 적용된다. 이 간극으로 인해 규제 당국은 대표적인 법적 체계의 상당 부분이 지연된 일정에 묶여 있는 가운데, 점점 더 자율적으로 변하는 시스템을 마주하게 됐다.

Ursula von der Leyen 유럽연합 집행위원장은 9월 4일 브뤼셀 외곽 Africa Palace에서 열린 세미나에 26명의 집행위원 전원을 참석시켰다. 인공지능은 기후 정책 및 연례 국정연설 준비와 함께 의제에 올랐다. 이 장소는 더 큰 모순을 보여줬다. 유럽은 더 빠른 AI 도입, 더 강한 자국 기업, 더 많은 컴퓨팅 역량을 원한다. 동시에 갈수록 강력해지는 모델에 대한 통제력을 잃는 것도 우려한다.

New York Times 분석은 그 결과를 세계적인 정책 공백으로 묘사했다. 각국 정부는 위험을 인식하고 있지만, 개발을 어느 정도까지 제한할지 합의하지 못하고 있다. 그 사이 규율하려는 시스템은 계속 변하고 있다.

EU가 완전히 무에서 시작하는 것은 아니다. 집행 가능한 금지 조항, 투명성 의무, 범용 AI 모델 규정을 갖추고 있다. AI Office는 정보를 요청하고, 모델을 평가하며, 시정 조치를 요구하고, 과징금을 부과할 수 있다.

문제의 간극은 이러한 권한과 정치권이 약속한 더 폭넓은 보호 사이에 있다. 고용, 교육, 필수 서비스, 치안, 이민에 사용되는 고위험 시스템은 이제 더 늦은 준수 기한을 적용받는다. 국제 공조는 여전히 대체로 자발적이다. 핵심 경쟁은 더 이상 규제 대 혁신이 아니다. 정치적 신중함과 기술 배포 속도 간의 대결이다.

EU AI Act 집행은 현실이지만, 균일하지는 않다

유럽은 시민과 기업이 기대하도록 안내받았던 규제 체계를 완성하지 못한 채 중요한 집행 권한을 가동했다.

AI Act는 단계적 시행 계획을 통해 2024년 법제화됐다. 의무 사항은 한 날짜에 일괄 적용되지 않았다. 금지 관행과 AI 리터러시 조항이 먼저 시행됐고, 이후 범용 AI 제공업체에 대한 의무가 뒤따랐다.

2026년 8월 2일, 집행위원회의 AI Office와 각국 당국은 법의 여러 핵심 조항을 집행할 권한을 얻었다. 적용되는 조항은 금지 관행, 일부 투명성 요건, 범용 AI 모델 의무를 포괄한다.

범용 AI 모델, 즉 GPAI 모델은 다양한 작업을 수행하며 다른 제품의 기반이 될 수 있다. 이 범주에는 널리 사용되는 보조 도구, 코딩 시스템, 콘텐츠 생성 서비스의 기반 모델이 포함된다.

집행위원회의 집행 체계는 AI Office에 GPAI 제공업체에 대한 직접 권한을 부여한다. 당국자는 기술 문서를 요청하고 모델 평가를 수행할 수 있다. 또한 모델에 대한 접근을 요구하거나 모델의 공개 이용 가능성을 제한하도록 요구할 수 있다.

가장 중대한 금지 관행의 경우, 벌금은 3,500만 유로 또는 전 세계 연간 매출의 7%에 이를 수 있다. GPAI 의무 위반 시에는 최대 1,500만 유로 또는 전 세계 매출의 3%에 이르는 벌금이 부과될 수 있다. 적용 가능한 최대 금액은 위반 행위와 해당 기업에 따라 달라진다.

이는 실질적인 권한이다. 따라서 AI Act 전체가 집행되지 않고 있다고 말하는 것은 정확하지 않다.

문제는 현재 집행이 여러 개의 서로 다른 시계에 따라 작동한다는 점이다. 챗봇은 사용자가 AI와 상호작용하고 있음을 밝혀야 한다. 딥페이크는 적용 대상 상황에서 라벨이 필요하다. 제공업체는 관련 범용 모델에 대해 투명성, 저작권, 안전, 보안 의무도 부담한다.

그러나 많은 고위험 용도에 대한 규정은 훨씬 더 먼 미래로 미뤄졌다. Annex III는 채용, 교육, 생체인식, 핵심 인프라, 필수 서비스 접근처럼 민감한 영역에 사용되는 시스템을 다룬다. 이 규정은 2027년 12월 2일부터 적용된다.

규제 대상 물리적 제품에 내장된 고위험 시스템은 2028년 8월 2일부터 적용된다. 이 범주에는 기계류와 의료기기처럼 기존 안전 규제 체계의 적용을 받는 제품에 포함된 AI 구성 요소가 들어간다.

개정된 일정은 실질적인 분리를 만든다. 기반 모델 제공업체는 오늘날 감독을 받는 반면, 중대한 의사결정에 AI를 배포하는 많은 조직은 완전한 고위험 체계가 적용되기 전까지 추가 시간을 갖는다.

이 구분은 자동화된 채용 시스템을 구매하는 고용주에게 중요하다. 신용 평가 도구를 검토하는 은행과 AI 지원 복지급여 결정 도입을 고려하는 공공기관에도 중요하다. 각 조직은 여전히 기존의 개인정보보호, 소비자보호, 고용 및 차별금지 법률을 적용받는다. 다만 AI Act의 전용 적합성 체계가 계획된 모든 고위험 의무를 즉시 포괄하지는 않는다.

따라서 이 법은 휴면 상태도 아니고 완성된 상태도 아니다. EU AI Act 집행은 여러 층위에서 시작됐으며, 일부 안전장치는 작동하고 다른 조항은 아직 보류된 기간을 만들고 있다.

기업은 이 지연을 기다려도 된다는 허가로 안전하게 해석할 수 없다. 모델, 데이터 파이프라인, 로그, 공급업체 계약, 인간 검토 절차를 바꾸는 데는 시간이 걸린다. 지금 배포된 시스템은 이후 규정이 도입될 때도 계속 운영될 수 있다.

규제 당국은 반대의 어려움에 직면한다. 미래 조항이 이미 적용된다는 인상을 주지 않으면서 현재의 위험을 감독해야 한다. 또한 실제 위반과 우려스럽지만 동일한 법적 수단의 적용 대상은 아닌 행위를 구분해야 한다.

이처럼 분절된 일정은 정책 격차의 첫 번째 원인이다. 두 번째는 정치적 요인이다. 유럽은 원래의 일정이 시행 및 경쟁력 우려와 충돌했기 때문에 의도적으로 더 많은 시간을 만들었다.

유럽은 AI 목표를 보호하기 위해 고위험 규정을 연기했다

집행 지연은 고위험 AI가 더 안전해졌다는 결론이 아니라 전략적 절충의 결과다.

유럽연합 집행위원회는 2025년 11월 Digital Omnibus 패키지를 제안했다. 이는 여러 기술 법률을 단순화하고 AI Act의 시행을 더 쉽게 만드는 것을 목표로 했다. 이후 유럽 입법자들은 주요 기한을 연장하는 개정안에 합의했다.

그 결과 나온 AI Omnibus 일정은 2026년 7월 27일 발효됐다. Annex III의 고위험 규정은 2027년 12월로, 제품 관련 요건은 2028년 8월로 옮겼다.

공식 설명은 행정적 명확성, 소규모 기업 지원, 테스트 기회, 보다 비례적인 준수에 초점을 맞춘다. 이 패키지는 기업이 규제 감독 아래 시스템을 시험할 수 있는 규제 샌드박스 접근성을 확대한다. 또한 일부 간소화 조치를 소기업에서 요건을 충족하는 소규모 중견기업까지 확장한다.

표준도 또 다른 우려를 낳았다. 기업에는 광범위한 법적 의무를 반복 가능한 엔지니어링 및 감사 관행으로 전환할 기술 사양이 필요하다. 입법자들은 그러한 지원 자료가 준비되기 전에 복잡한 적합성 요건을 발효하는 데 신중했다.

이는 합리적인 시행 문제다. 위험 관리, 문서화, 모니터링, 인간 감독을 요구하는 규정은 기업과 당국이 이를 일관되게 해석할 수 있을 때만 유용하다.

그러나 요건을 미루는 것은 불확실성을 없애기보다 이전한다. 고용주는 미래의 준수 기한은 알 수 있지만, 오늘의 모델, 업무 흐름 또는 공급업체 증빙이 궁극적인 기준을 충족할지는 알지 못할 수 있다. 전환 기간 동안 각국 규제 당국이 기존 법률을 적용하는 방식도 달라질 수 있다.

유럽의 경제적 위치는 압박을 키운다. 가장 주목받는 프런티어 모델 개발업체는 여전히 유럽연합 밖에 집중돼 있다. 유럽 당국은 자국 기업이 컴퓨팅 인프라, 자본, 산업 데이터, 정부 고객에 접근할 수 있기를 원한다.

Von der Leyen은 AI 팩토리, 유럽 기술 기업 투자, 제조업과 의료 전반의 더 폭넓은 도입을 추진해 왔다. 그의 산업 의제는 AI 역량을 단순한 소프트웨어 기회가 아니라 안보와 경쟁력의 문제로 본다.

Africa Palace에서 열린 9월 세미나는 이러한 긴장을 드러냈다. 회의에는 산업 AI 특별사절을 지낸 Siemens 회장 Jim Hagemann Snabe도 참석했다. 이는 정식 입법 회의가 아닌 정책 토론이었지만, 참석 구성은 집행위원회의 경제 목표를 위험 논의와 직접 연결했다.

유럽은 기업들이 공장, 병원, 차량, 공공 서비스에 AI를 배포하기를 원한다. 바로 이런 환경에서 신뢰성, 책임성, 인간 검토를 선택 사항으로 취급하기 어려워진다.

따라서 이 논쟁을 안전 옹호자와 기업의 대립으로 축소할 수는 없다. 기업도 나중에 대대적 재설계를 요구할 수 있는 시스템에 자금을 투입하기 전에 안정적인 규칙이 필요하다. 구매자는 모델이 어떻게 테스트, 업데이트, 모니터링됐는지 보여주는 신뢰할 수 있는 기록이 필요하다.

이 때문에 지연된 EU AI 규제는 복합적인 신호다. 개발자에게는 준비 시간을 더 주지만, 고객의 모호성도 길어진다. 다년 계약을 체결하는 구매자는 규정이 적용될 때 누가 문서를 제공할지 여전히 물어야 한다.

지연은 인센티브도 바꾼다. 제공업체는 규정 준수 준비도를 차별화 요소로 삼을 수도 있고, 규제 당국이 강제할 때까지 비용이 많이 드는 작업을 미룰 수도 있다. 기업은 조달 과정에 거버넌스를 구축할 수도 있고, 증빙이 불완전한 공급업체에 의존할 수도 있다.

집행 활동은 어느 접근법이 우세한지 보여줄 것이다. 당국이 현재 권한을 가시적이고 일관되게 행사한다면, 이후 일정은 순차적 시행으로 보일 것이다. 조사나 시정 조치가 거의 공개되지 않는다면, 지연은 후퇴에 더 가깝게 보일 것이다.

이 구분은 유럽 밖에서도 중요하다. 다른 정부들은 위험 기반 기술 규제가 빠르게 움직이는 시장과 맞닿은 상황에서도 지속될 수 있는지 시험하는 사례로 AI Act를 지켜봐 왔다. 실행 가능한 시행은 모델이 될 수 있다. 반복적인 연기는 관할권들이 대신 자발적 약속을 선호하도록 부추길 수 있다.

핵심 절충점은 역량과 검증 가능한 통제 간의 대결이다

AI 개발은 예측 가능한 소프트웨어 업데이트에서 배포 전 행동을 검증하기 어려운 시스템으로 이동하고 있다.

규제 당국은 한때 AI 위험을 주로 편향된 결과, 불투명한 결정, 개인정보 침해, 안전하지 않은 자동화의 문제로 보았다. 이러한 문제는 여전히 남아 있다. 이제 프런티어 모델은 도구를 사용하고, 코드를 작성하며, 여러 단계의 작업을 수행하고, 외부 시스템과 상호작용할 수 있어 또 다른 우려를 더한다.

AI 에이전트는 목표를 향해 행동을 선택하고 도구를 사용할 수 있는 모델 기반 시스템이다. 그 행동은 모델, 지침, 사용 가능한 도구, 권한, 그리고 마주하는 환경에 따라 달라진다.

이 때문에 감독은 정적인 제품을 검토하는 것보다 어려워진다. 모델은 프롬프트 변경, 소프트웨어 업데이트, 도구 통합 또는 권한 변경 이후 다르게 행동할 수 있다. 한 구성에서 통과한 테스트가 다른 구성을 자동으로 검증하지는 않는다.

최근 사건들은 이러한 우려를 더 선명하게 만들었다. 프런티어 연구소들은 통제된 평가 과정에서 모델이 제한을 우회한 사례를 보고했다. 이러한 테스트가 모든 공개 모델이 같은 방식으로 작동한다는 것을 증명하지는 않는다. 하지만 심각한 실패가 발생하기 전에 규제 당국이 기술적 증거에 접근하기를 원하는 이유를 보여준다.

폰데어라이엔은 9월 국정연설에서 그 위험을 직접 언급했다. 그녀는 유럽이 캐나다 및 영국과 함께 모델 평가, 검증, 조기 경보, 보안 분야에서 협력할 것이라고 말했다.

그녀는 또한 정부가 첨단 개발의 속도 조절을 위한 노력을 어떻게 지원할 수 있을지 논의하기 위해 주요 프런티어 연구소들을 초청하자고 제안했다. 그녀의 프런티어 연구소 제안은 모라토리엄, 출시 기준, 또는 구속력 있는 개발 감속 조치를 마련하지는 않았다.

이 구분은 핵심적이다. 회의는 강제 가능한 행동을 만들어 내지 못한 채 공동의 표현만 도출할 수 있다. 기업들은 경쟁사보다 먼저 모델을 개선하고, 사용자를 유치하며, 인프라를 확보해야 한다는 경쟁 압력을 계속 받는다.

업계 리더들도 우려를 표명해 왔다. Anthropic의 Dario Amodei, OpenAI의 Sam Altman 및 다른 경영진은 더 강력한 평가 또는 어떤 형태의 조율된 속도 조절을 지지해 왔다. 이들의 합의는 프런티어 개발에 가장 가까이 있는 연구소 내부의 불안을 보여준다.

그러나 그것이 조정 문제를 해결하는 것은 아니다. 단독으로 속도를 늦추는 기업은 인재, 고객, 투자자를 잃을 위험이 있다. 정부 역시 한 관할권의 규제가 개발을 다른 곳으로 옮길 수 있다고 우려한다.

Associated Press 분석은 경쟁, 상업적 유인, 정치적 저항을 조율된 감속의 장애물로 지목했다. 이러한 힘은 경영진이 공개적으로 지지하더라도 자발적 자제가 여전히 취약한 이유를 설명한다.

EU AI Act는 시스템적 위험을 초래하는 모델에 대한 의무를 통해 이 문제를 일부 다룬다. 적용 대상 제공업체는 위험을 평가하고 완화하며, 평가를 수행하고, 중대한 사고를 기록하며, 사이버보안 보호 조치를 유지해야 한다.

그러나 법적 의무에도 측정 체계는 여전히 필요하다. 규제 당국은 어떤 평가가 신뢰할 수 있는지, 얼마나 자주 반복해야 하는지, 어떤 증거가 출시 결정을 정당화하는지 알아야 한다. 또한 자격을 갖춘 전문가와 안전한 테스트 인프라에 접근할 수 있어야 한다.

결정적인 단어는 검증이다. 연구소는 안전 프레임워크를 공개할 수 있지만, 외부인은 내부 출시 결정이 이를 따랐다는 증거를 필요로 한다. 도구 접근이나 적대적 조건을 제외한 테스트라면 벤치마크 점수가 안심할 만해 보일 수 있다.

독립 평가기관은 이 격차를 줄일 수 있다. 이들에게는 모델, 관련 안전장치, 그리고 중요한 테스트를 재현할 수 있을 만큼 충분한 운영 세부정보에 대한 접근이 필요하다. 민감한 정보를 보호하는 규칙도 필요하다.

일부 평가 결과 자체가 위험할 수 있다는 점도 정부가 맞닥뜨린 또 다른 과제다. 안전장치를 우회하는 상세한 방법을 공개하면 공격자를 도울 수 있다. 그러나 모든 결과를 숨기면 공적 책임성은 불가능해진다.

같은 긴장은 사고 보고에서도 나타난다. 규제 당국은 조기 경보와 기술적 세부정보를 필요로 한다. 기업은 평판 손상, 법적 책임, 독점 시스템의 공개를 우려한다. 허술한 보고 체계는 실패가 공개될 때까지 패턴을 감춘다. 지나치게 징벌적인 체계는 무엇이 보고 대상인지에 대한 협소한 해석을 부추길 수 있다.

현행 EU AI 규제는 AI Office에 이 업무를 위한 중요한 수단을 부여한다. AI Office는 정보 제공을 요구하고 평가를 수행할 수 있다. 또한 적용 대상 제공업체에 시정 조치를 요구할 수 있다.

불확실한 점은 규제 당국이 연구소가 모델을 업데이트하는 속도에 맞춰 이러한 권한을 활용할 수 있는지다. 집행팀은 기술 파일을 검토하고, 평가 결과를 해석하며, 관리 가능한 결함과 시스템적 위험을 구분해야 한다.

이 작업은 소프트웨어 업데이트를 배포하는 것보다 느리다. 또한 주요 연구소, 클라우드 제공업체, 하위 개발자, 사용자가 한 관할권에 함께 위치하는 경우가 드물기 때문에 국경을 넘는다.

이 때문에 법률이 존재함에도 AI 정책 공백은 지속된다. 빠진 것은 AI가 안전해야 한다는 또 하나의 선언이 아니다. 모델 역량을 구체적인 출시 조건 및 규제 대응과 연결하는, 공유되고 검증 가능한 절차다.

글로벌 정책 공백은 기업에 자율 통치를 맡긴다

현재 포괄적인 AI 규칙, 성숙한 기술 집행, 국제 공조를 모두 갖춘 주요 관할권은 없다.

유럽은 가장 폭넓은 범분야 법적 프레임워크를 갖추고 있지만, 이를 단계적으로 적용하고 있다. 미국은 하나의 포괄적 연방 AI 법률 대신 분야별 권한, 주법, 조달 규칙, 행정 조치에 의존해 왔다.

중국은 플랫폼 통제, 안보 우선순위, 국가 감독과 연결된 별도의 체계를 통해 알고리즘과 생성 콘텐츠를 규제한다. 영국은 AI Act에 직접 상응하는 법을 채택하지 않은 채 규제기관 지침, 안전 연구, 국제 협력을 강조해 왔다.

이러한 체계는 서로 다른 정치적 목표를 반영한다. 유럽은 기본권과 제품 안전을 강조한다. 미국은 경쟁, 투자, 국가적 우위를 우선시한다. 중국은 경제 발전을 정보 통제 및 전략적 안보와 결합한다.

이 접근법들은 테스트, 사이버보안, 오용 대응에서 겹칠 수 있다. 그러나 투명성, 시민 자유, 시장 접근, 정부의 역할에서는 차이를 보인다.

전 세계 고객을 상대하는 프런티어 연구소는 이 모든 체계를 헤쳐 나가야 한다. EU 문서화 의무, 미국 수출 통제, 국가안보 제한, 현지 개인정보 보호 규칙, 기업 구매자의 계약상 요구를 마주할 수 있다.

이러한 파편화는 규제 차익거래의 여지를 만든다. 기업은 규제가 느슨한 곳에 민감한 업무를 배치하거나, 특정 분류를 피하도록 제품을 구성하거나, 요구가 까다로운 시장에서 접근을 제한할 수 있다.

상충하는 기대도 생긴다. 한 정부는 안전성 테스트를 위해 상세한 모델 접근을 요청할 수 있다. 다른 정부는 같은 기술을 외국 기관과 공유하는 것을 제한할 수 있다. 투명성 규칙은 위험한 역량 공개에 관한 보안 우려와 충돌할 수 있다.

즉각적인 부담은 AI 서비스를 구매하는 기업에 돌아간다. 한 시장에서의 규제 승인이 모든 운영 위험에 대한 답이라고 가정할 수 없다. 기업은 도구가 데이터, 권한, 업데이트, 모니터링, 실패를 어떻게 처리하는지 평가해야 한다.

이메일, 클라우드 스토리지, 고객 기록, 내부 메시징에 연결된 기업용 어시스턴트를 생각해 보자. 실질적 위험은 모델의 행동과 접근 권한의 결합에서 발생한다. 채팅 창에서는 무해한 오류가 같은 시스템이 메시지를 전송하거나 기록을 변경할 수 있을 때 심각한 사고가 될 수 있다.

따라서 조달팀에는 공급업체의 일반적인 안전성 설명만으로는 충분하지 않다. 모델 버전, 평가 범위, 로깅, 사고 통지, 사람의 승인, 하청업체에 대해 명확한 답변이 필요하다.

같은 원칙은 공공기관에도 적용된다. AI 시스템이 고용, 교육, 치안, 이주 또는 서비스 접근에 영향을 미친다면, 전용 고위험 규칙이 발효되기 전에도 그 배포는 법적 권리에 영향을 줄 수 있다.

전환 기간에도 기존 법률은 여전히 중요하다. 개인정보 보호, 차별금지, 소비자 보호, 사이버보안, 노동, 제조물책임 의무는 AI 전용 기한이 연기되었다고 사라지지 않는다.

그러나 이러한 법률이 잦은 모델 업데이트를 통해 변화하는 시스템을 위해 항상 설계된 것은 아니다. 모델 제공업체, 애플리케이션 개발자, 배포자, 클라우드 운영자, 최종 사용자 사이에서 책임을 배분하기 어려워질 수 있다.

따라서 AI 정책 공백은 모든 법률의 부재가 아니다. 이는 빠르게 변하는 기술 역량과 불완전한 가시성을 지닌 제도들의 조각난 체계 사이의 격차다.

이 격차는 단기적으로 선도 연구소에 이익이 될 수 있다. 이들은 수용 가능한 관행을 정의하는 데 필요한 기술 전문성, 컴퓨팅 자원, 사고 데이터를 보유한다. 정부는 검토 중인 시스템을 설명해 줄 기업에 의존하는 경우가 많다.

자율 규제에는 한계가 있다. 기업은 개발자, 평가자, 규칙 작성자, 그리고 자기 실패에 대한 최종 판단자 역할을 동시에 맡아 신뢰성을 확보할 수 없다. 경쟁 압력은 속도를 보상하는 반면, 자제의 이익은 시장 전체에 공유된다.

정부 통제에도 한계가 있다. 기술적 증거 없이 움직이는 규제기관은 곧 구식이 되거나 가장 큰 기존 기업에 유리한 경직된 요구사항을 부과할 수 있다. 소규모 개발업체는 지배적 기업이 감당할 수 있는 준수 부담에 어려움을 겪을 수 있다.

회의적인 질문은 AI Act의 현행 집행 체계가 이 지식 격차를 메울 수 있는지다. 공식 권한이 자동으로 기술 역량을 만들어 내지는 않는다. AI Office와 국가 당국에는 경험 있는 인력, 안전한 평가 시스템, 방어 가능한 절차가 필요하다.

눈에 보이는 결과도 필요하다. 공적 신뢰는 민원 포털의 존재만으로 생기지 않는다. 당국이 위반을 식별하고, 변경을 요구하며, 위험한 기술 세부정보를 노출하지 않고 그 이유를 설명하는지에 달려 있다.

Commission은 민원 및 내부고발자 채널을 만들었다. 이러한 채널은 특히 내부 경고가 고위 의사결정자에게 전달되지 못할 때, 일상적 문서화가 놓치는 정보를 제공할 수 있다.

그럼에도 이 채널의 효과는 대응 시간과 제보자 보호에 달려 있다. 기술적으로 복잡한 민원이 적체되면 법률이 배포된 시스템보다 느리게 움직인다는 인식을 강화할 것이다.

이것이 유럽의 핵심 위험이다. AI Act는 법적으로는 중요성을 유지하면서도 가장 중요한 개발 결정에 대한 실질적 영향력을 잃을 수 있다.

유럽이 격차를 줄일 수 있는지 보여 줄 세 가지 신호

다음 단계는 집행 증거, 구속력 있는 평가 기준, 고위험 기한의 처리 방식으로 평가될 것이다.

첫 번째 신호는 AI Office의 초기 조사 및 시정 조치 기록이다. 그 권한은 2026년 8월 2일부터 활성화됐다. 중요한 질문은 이러한 권한이 제공업체 행동의 문서화된 변화를 만들어 내는지다.

정보 제공 요구만으로는 거의 드러나는 것이 없다. 더 강력한 증거에는 완료된 모델 평가, 불충분한 문서화에 관한 판단, 요구된 안전 개선, 또는 비례적인 제재가 포함될 것이다.

당국은 기업이 기준을 이해할 수 있도록 충분한 정보를 공개해야 한다. 집행이 기밀로 유지되거나 설명되지 않는다면, 기업들은 계속해서 사적인 법률 해석에 의존할 것이다.

가시적인 조치는 EU AI Act 집행이 단계적으로 작동하고 있다는 주장을 강화할 것이다. 장기간의 침묵은 공식 권한이 운영 역량을 앞선다는 반대 결론을 뒷받침할 것이다.

두 번째 신호는 프런티어 연구소 논의가 검증 가능한 약속으로 이어지는지다. 폰데어라이엔의 초청은 공동 평가, 사고 보고, 외부 접근을 위한 장이 될 수 있다. 반대로 연구소들이 독자적으로 해석하는 광범위한 원칙으로 끝날 수도 있다.

가장 강력한 결과는 누가 첨단 모델을 평가하는지, 평가자가 어떤 접근을 받는지, 결과가 배포에 어떤 영향을 미치는지를 규정할 것이다. 또한 연구소 전반에서 비교 가능한 보고 체계를 마련할 것이다.

비교 가능하다는 것은 동일하다는 뜻이 아니다. 모델과 제품은 서로 다르지만, 평가자에게는 여전히 공통 용어, 문서화된 구성, 명확한 기준선이 필요하다. 그렇지 않으면 서로 다른 연구소의 안전 결과가 공동 정책 대응을 뒷받침할 수 없다.

국제 참여도 중요하다. EU, 캐나다, 영국 간 협력은 테스트 방법을 개선할 수 있지만, 가장 큰 개발 중심지에는 미국과 중국도 포함된다.

제한된 연합도 시장의 기대를 설정할 수 있다. 그러나 한 연구소나 관할권이 나머지보다 더 빠르게 움직이려는 유인을 완전히 해결할 수는 없다.

세 번째 신호는 유럽이 수정된 고위험 일정표를 유지하는지다. Annex III 규칙은 현재 2027년 12월 2일을 가리키며, 제품 관련 요건은 2028년 8월까지 이어진다.

그 날짜들은 정치적 의지를 시험하는 기준이 될 것이다. 추가 지연은 통일된 안전장치에 대한 요구보다 이행 장벽이 여전히 더 강하다는 점을 시사할 수 있다. 일정을 유지한다면 표준화 기구, 규제 당국, 공급업체, 도입 주체는 빠진 인프라를 완성해야 한다.

안정적인 일정이 효과적인 준수를 보장하지는 않는다. 그러나 기업이 투자, 계약, 감사, 시스템 변경을 계획하는 데 더 확실한 기반을 제공할 수 있다.

기업은 세 가지 신호가 모두 나타날 때까지 기다려서는 안 된다. 이미 도입된 AI 시스템을 목록화하고, 고영향 사용 사례를 문서화하며, 어떤 공급업체가 기반 모델을 통제하는지 파악할 수 있다. 또한 금전, 권리, 민감한 데이터 또는 외부 커뮤니케이션과 관련된 조치에는 사람의 승인 지점을 정의할 수 있다.

기술팀은 모델 버전, 프롬프트, 도구 권한, 평가 결과를 보존해야 한다. 법무 및 조달팀은 계약이 문서화, 보안 사고, 모델 변경, 규제 협력을 다루도록 해야 한다.

지식 노동자에게도 역할이 있다. AI 시스템이 조치를 제안만 할 수 있는 경우와 실제로 실행할 수 있는 경우를 구분해 알아야 한다. 이 차이는 실수의 심각도를 좌우한다.

목표는 도입을 동결하는 것이 아니다. 공적 규제가 따라잡는 동안 배포를 되돌릴 수 있고, 관찰 가능하며, 책임을 물을 수 있도록 만드는 것이다.

유럽은 AI Act의 일부를 발효하며 이미 선언의 단계를 넘어섰다. 그러나 지연된 고위험 체계와 미완성인 국제 전략은 중대한 공백을 남긴다.

지도자들이 무엇을 발표하는지만 보지 말고 규제 당국이 실제로 무엇을 하는지 지켜봐야 한다. 평가가 독립적으로 이뤄지는지, 집행 결정이 공개되는지, 수정된 기한이 유지되는지를 추적해야 한다. 이러한 신호는 EU AI Act 집행이 작동하는 글로벌 모델이 될지, 아니면 규율하기 위해 만들어진 시스템에 의해 또 하나의 정책 체계가 추월될지를 결정할 것이다.