EU 고위험 AI 규제 2027년 12월로 미뤘지만…유럽 기업의 미국 추격엔 여전히 부담

유럽연합(EU)이 올여름 AI 분야 ‘디지털 옴니버스’(Digital Omnibus on AI)를 법으로 확정하면서 AI법(EU AI Act)의 이행 일정이 조정됐다. 독립형 고위험 AI 시스템의 요건은 2027년 12월로, 규제 대상 제품에 내장된 고위험 시스템의 요건은 2028년 8월로 미뤄졌다.

렉싱턴 연구소(Lexington Institute)의 비상주 펠로 Lily Haak은 미국 매체 내셔널 인터레스트(The National Interest) 기고에서 마감만 늦춰졌을 뿐 상당한 준수 비용과 계속 바뀌는 규정은 그대로라고 주장했다. 의료 AI 전문가 인터뷰와 AI 주권을 다루는 11월 행사 세션에서도 ‘규제 이후’의 과제가 공통으로 거론된다.

일정은 미뤘지만 규제 구조는 그대로

기고는 디지털 옴니버스가 규제의 뼈대를 건드리지 않았다고 짚는다. 기업은 유럽연합 집행위원회(European Commission)의 최종 세부 명세가 나오기 전에 투자와 시장 진입을 결정해야 한다는 것이다. 기고자는 이 법이 EU 기업이나 소비자 고객에게 AI 기반 제품을 제공하는 거의 모든 미국 소프트웨어 기업에 해당한다고 설명했다. 캘리포니아의 스타트업도 예외가 아니라는 취지다.

규제 대상인 ‘고위험 시스템’은 생체인식, 핵심 인프라, 교육, 고용, 필수 서비스 접근 분야의 AI를 포괄한다. 기고자는 이 영역이 AI가 생산성과 안전, 인간 복지에서 가장 큰 이득을 약속하는 곳이라고 평가했다. 그래서 ‘고위험’이 사실상 ‘고부가가치’와 같은 말이라는 주장이다.

기고자는 유럽 입장에서도 이런 시스템을 키워야 스타트업 생태계를 일구고 기술 개발·배치의 우위를 되찾아 미국·중국 같은 강대국과 경쟁할 수 있다고 봤다. 그런데 EU가 경쟁력보다 신중함을 택하는 같은 실수를 반복한다고 비판했다. 옴니버스는 도전 과제를 미룰 뿐 미국과 유럽 기업의 비용만 높인다는 것이 결론이다.

숫자로 보는 준수 비용

기고가 인용한 수치는 구체적이다. 집행위원회는 2026년 4월, 이미 제품 안전·품질관리 요건이 적용되는 일부 고위험 시스템에 대해 추가 준수 비용을 2만 3,850유로에서 4만 400유로로 추정했다. 여기에는 AI 시스템의 규제상 분류와 적용 의무를 판단하는 일, 기존 품질관리 절차를 고쳐 맞추는 일이 포함된다.

기술 문서 작성도 지속적인 비용이다. 고위험 AI 시스템의 설계, 학습 데이터, 위험 통제, 출시 후 모니터링 정보를 폭넓게 그리고 계속 기록해야 하기 때문이다. 독립 기술 매체라고 기고가 소개한 SQ 매거진은 AI 시스템 하나당 연간 준수 비용을 약 2만 9,300유로(약 3만 3,000달러)로 추산했다.

규정 준수 서비스 시장도 커지고 있다. 기고에 따르면 PwC 같은 컨설팅 기업이 AI법 전문 규제 조직을 꾸리기 시작했다. 규제 증거 수집을 자동화하는 AI 위험·규정 준수 플랫폼 오디트리는 AI법 준수 서비스 시장이 2030년까지 최대 380억 유로, 약 425억 달러에 이를 수 있다고 추정했다. 원화로는 약 57조 원 규모다(1달러 1,339원 기준).

스타트업에 더 무거운 고정비

기고자는 부담이 기업 규모별로 다르게 돌아온다고 본다. 고위험으로 분류될 수 있는 시스템을 만드는 기업은 제품이 상업적으로 성공할지 알기도 전에 규제 지위를 판단하고 기술 문서를 만들고 위험 관리·모니터링 절차를 갖춰야 한다. 이런 의무는 대체로 고정비 성격이어서 비용을 나눠 질 매출과 고객이 생기기 전에 먼저 닥친다.

대기업은 추가 비용을 흡수할 수 있다. 반면 신생·소규모 기업은 주변부 문제처럼 보이는 규제에 큰 초기 자본을 쓸 명분을 찾기 어렵다고 기고자는 지적했다. 자체 자금에 의존하는 공격적인 혁신 기업이 위축된다는 논리다.

기회비용도 거론됐다. 제품 주기가 짧은 AI 업계에서 규제 적응에 쓴 1달러는 연구·테스트·상용화에 동시에 쓸 수 없다. 기고자가 꼽은 부정적 영향은 가격 상승, 제품 출시 지연, 제품 다양성 감소, 그리고 소규모 경쟁자가 해외 진출 자금을 대기 어려워지며 생기는 시장 집중이다. 이 영향 분석 역시 기고자의 주장이다.

의료 AI: 승인은 필요조건일 뿐

규제 이후의 현실은 의료 현장에서 더 선명하다. UNITE 국제보건 의회 네트워크(UNITE Parliamentarians Network for Global Health) 설립자·회장이자 HealthAI 최고경영자인 히카르두 밥티스타 레이트는 이탈리아 매체 디코드39 인터뷰에서 “규정 준수는 흔히 법률적 작업으로 여겨지지만 실제 도입은 의료 시스템의 변혁”이라고 말했다. AI법은 의료기기, 데이터 보호, 유럽 보건 데이터 공간 관련 규정과 맞물려 있다. 그는 AI가 업데이트되거나 성능이 바뀌거나 집단별로 다르게 작동할 때 책임을 어떻게 정할지가 핵심 난제라고 짚었다.

HealthAI가 세계경제포럼과 함께 5월 내놓은 AI법 보고서는 몇 가지 공백을 꼽았다. 수평적 AI 당국과 의료기기 규제 당국 사이의 책임 분담은 아직 검증되지 않았다. 적합성 평가 기관에는 AI·데이터 과학 전문성이 필요하다. 소규모 의료 시스템과 혁신 기업에는 서로 다른 규제 체계에 대한 명확한 지침이 필요하다는 내용이다.

규제를 통과해도 환자에게 닿는다는 보장은 없다. 레이트는 상환 코드, 보건기술평가 절차, 조달 체계, 도입 예산, 인력 계획이 없으면 AI법과 의료기기 요건을 충족한 도구도 실패할 수 있다고 말했다. 규제 승인은 도입의 필요조건이지만 충분조건은 아니라는 설명이다.

이탈리아는 그 시험대로 지목됐다. 보고서는 이탈리아를 EU 회원국 중 처음으로 포괄적 국가 AI법을 채택한 나라로 규정했다. 법률 제132/2025호는 AI가 의료인을 대체하지 않고 지원해야 하며, 임상 책임은 사람에게 있고, AI 사용 시 환자에게 알려야 한다고 정한다. 그러나 레이트는 법만으로는 부족하다고 했다. 분권형 의료 체계에서 평가·조달·감독·출시 후 모니터링의 공통 접근이 없으면 지역마다 다른 기준이 생겨 환자 접근에 불평등이 생기고 소규모 혁신 기업에는 어려운 시장이 된다고 우려했다.

이탈리아의 기반으로는 국가지역보건서비스청이 개발 중인 일차·지역 돌봄용 국가 AI 플랫폼이 거론됐다. 임상 의사결정과 예방을 구속력 없이 지원하는 도구다. 2026~2028년 의료기기 HTA 국가 프로그램은 AI 플랫폼과 디지털 치료제를 중점 분야로 명시했다. 레이트는 HTA가 조달·재원·도입과 연결돼야 하며 고립된 평가 층이 되어서는 안 된다고 강조했다.

반도체부터 보건 데이터까지, ‘전략적 통제’의 시대

규제 논의는 지정학 경쟁으로도 이어진다. 레이트는 의료 AI가 이미 기술 주도권을 둘러싼 지정학 경쟁의 일부라고 봤다. 핵심 자산은 알고리즘에 그치지 않고 컴퓨팅 역량, 클라우드 인프라, 보건 데이터, 파운데이션 모델, 반도체 공급망, 과학 인력, 임상 검증 역량 등으로 넓어졌다고 말했다. 다만 공개된 인터뷰 발췌문은 이 대목에서 끊겨 있다.

11월 5일(현지시각) 스마트시티 엑스포 프로그램에도 관련 세션이 잡혀 있다. ‘실용적 AI 주권: 유럽 AI 생태계를 짓는 레시피’라는 제목으로, 마드리드 시간 기준 오전 10시 30분부터 10시 50분까지 진행된다. 세션 소개에 따르면 유럽의 AI 주권은 자급자족이 아니라 ‘전략적 통제’에서 나온다.

소개문은 칩과 모델에서 AI 팩토리와 기가팩토리까지 유럽이 탄력적인 AI 생태계를 짓는 방법을 다루겠다고 밝혔다. 무엇을 직접 보유하고 어디서 협력할지, 의존 관계와 동맹, 상충 관계를 어떻게 관리할지가 논의 주제다. 규제 일정 연기와 별개로 유럽이 풀어야 할 질문이 법 조항을 넘어 도입 역량과 산업 기반으로 번지고 있다.