EU AI법 투명성 규칙 시행…챗봇·딥페이크 표시가 어떻게 달라지나

유럽연합(EU)이 2026년 8월 2일부터 AI법의 집행 권한을 본격 가동하고, 챗봇·딥페이크·AI 생성물에 관한 새 투명성 규칙을 적용한다. 이제 EU 시장에서 사람과 직접 대화하는 일부 AI 시스템은 상대가 인간이 아니라 AI라는 사실을 알려야 한다. AI로 만들거나 조작한 이미지·영상·음성에는 기계가 읽을 수 있는 표시가 요구되고, 딥페이크는 사람이 알아볼 수 있는 방식으로도 밝혀야 한다.

한국 이용자에게도 먼 유럽의 규제 소식만은 아니다. ChatGPT, Gemini, Claude, Meta AI처럼 세계 여러 지역에서 같은 서비스를 운영하는 기업은 EU용 표시 기능을 따로 만들 수도 있지만, 비용과 혼란을 줄이기 위해 유사한 안내를 다른 국가에도 확대할 가능성이 있다. 한국 기업이 EU 이용자에게 AI 서비스나 AI로 만든 콘텐츠를 제공한다면 적용 범위를 직접 검토해야 한다.

다만 “8월 2일부터 모든 AI 콘텐츠에 무조건 워터마크가 붙고 모든 고위험 AI가 한꺼번에 규제된다”는 설명은 정확하지 않다. AI법은 위험 수준과 역할에 따라 의무가 다르고, 일부 기존 제품에는 짧은 유예가 있으며, 고위험 시스템 규칙의 상당 부분은 더 뒤에 적용된다. 이번 변화의 중심은 집행 시작과 투명성 의무다.

8월 2일에 실제로 달라지는 것

유럽연합 집행위원회의 공식 발표에 따르면, EU 집행위원회 산하 AI 사무국과 회원국 당국은 8월 2일부터 적용 대상 규칙을 감독하고 집행한다. 이전에도 금지된 AI 관행이나 범용 AI 모델 의무가 단계적으로 시행됐지만, 이제 당국이 기술 문서를 요구하고 모델을 평가하며 시정 조치와 과징금을 부과할 수 있는 체계가 본격 작동한다.

일반 이용자가 가장 쉽게 체감할 변화는 네 가지다.

• 챗봇이나 가상 비서처럼 사람과 직접 상호작용하는 AI는 이용자가 AI와 대화하고 있음을 알 수 있게 해야 한다.
• 생성형 AI 서비스 제공자는 AI가 만든 이미지·음성·영상·텍스트를 탐지할 수 있도록 기계 판독 표시를 넣어야 한다.
• 딥페이크를 공개하는 주체는 해당 콘텐츠가 인공지능으로 생성되거나 조작됐음을 눈에 보이게 알려야 한다.
• 공익 사안에 대해 AI가 만들거나 조작한 글을 사람의 편집 검토 없이 게시할 때도 그 사실을 밝혀야 한다.

여기서 ‘기계 판독 표시’는 화면 구석에 “AI”라고 쓰는 것과 다르다. 파일이나 콘텐츠에 소프트웨어가 읽을 수 있는 정보를 넣어 플랫폼과 탐지 도구가 생성 여부를 확인하도록 하는 방식이다. 반면 딥페이크의 공개 표시는 실제 사람이 보고 이해할 수 있어야 한다. 즉 보이지 않는 기술적 표식과 보이는 안내가 서로 다른 목적을 가진다.

챗봇에는 어떤 안내가 붙나

사람이 AI와 대화한다는 사실이 상황상 명백하지 않다면, 서비스 제공자는 늦어도 첫 상호작용 시점에 이를 알려야 한다. 쇼핑몰 고객센터 창에서 사람 상담원처럼 이름과 사진을 내세우는 봇, 전화로 예약을 받는 음성 AI, 채용 지원자에게 질문하는 자동 인터뷰 도구 등이 대표적인 사례다.

이 규칙은 모든 화면에 큰 경고창을 띄우라는 뜻은 아니다. 이용자가 명확히 이해할 수 있는 시점과 방식으로 알리는 것이 핵심이다. 서비스 이름과 화면 구성만으로 AI임이 분명한 경우와, 사람으로 오인하기 쉬운 경우는 다르게 판단될 수 있다. 장애가 있는 이용자도 안내를 이해할 수 있도록 접근성 역시 고려해야 한다.

일반 이용자에게는 작은 문구처럼 보여도 의미가 크다. 상대가 사람이라고 믿으면 개인정보, 감정, 돈과 관련된 결정을 다르게 내릴 수 있기 때문이다. 특히 상담, 교육, 건강, 금융처럼 신뢰가 중요한 장면에서는 “누구와 대화하고 있는가”가 서비스 품질의 일부가 된다.

딥페이크와 AI 생성물 표시는 어떻게 다른가

AI로 만든 콘텐츠라고 해서 모두 같은 방식으로 표시되는 것은 아니다. 제공자는 생성·조작 콘텐츠에 기계가 읽을 수 있는 표시를 넣어 탐지 가능성을 높여야 한다. 콘텐츠를 실제로 게시하거나 사용하는 주체는 딥페이크 또는 공익 사안의 자동 생성 글처럼 오해 위험이 큰 경우 사람에게 보이는 방식으로 알려야 한다.

예를 들어 영상 생성 서비스는 결과 파일에 출처 정보를 넣는 책임을 질 수 있다. 그 영상을 실제 인물의 발언처럼 편집해 SNS에 올리는 사람이나 조직은 “AI로 생성 또는 조작된 영상”이라는 안내를 추가해야 할 수 있다. 도구를 만든 회사와 결과물을 배포한 이용자의 책임이 나뉘는 구조다.

풍자, 예술, 창작물에도 맥락을 해치지 않는 방식의 표시 의무가 적용될 수 있지만, 표현의 성격을 고려한 예외와 완화가 있다. 모든 영화 장면이나 게임 화면을 같은 크기의 경고문으로 덮는 규칙은 아니다. 반대로 “예술 작품”이라는 말만 붙이면 실제 인물을 속이는 딥페이크가 자동으로 면책되는 것도 아니다. 구체적인 배포 방식과 오인 가능성을 함께 봐야 한다.

또 하나 중요한 점은 표시가 진실 보증서가 아니라는 사실이다. 워터마크가 있다고 콘텐츠가 거짓이라는 뜻도 아니고, 워터마크가 없다고 실제 촬영물이라는 뜻도 아니다. 화면 캡처, 재압축, 편집 과정에서 기술 표식이 사라질 수 있고, 악의적인 제작자가 처음부터 규칙을 따르지 않을 수도 있다. 표시 규칙은 탐지와 책임 추적을 개선하지만 가짜 콘텐츠 문제를 완전히 없애지는 못한다.

기존 서비스에는 짧은 유예가 있다

EU 집행위원회의 제50조 투명성 의무 설명에 따르면, 투명성 의무는 원칙적으로 2026년 8월 2일부터 적용된다. 다만 이날 이전에 시장에 나온 일부 AI 시스템은 생성 콘텐츠의 기계 판독 표시 의무를 맞추는 데 2026년 12월 2일까지 유예를 받을 수 있다.

이 유예는 모든 의무가 12월까지 미뤄진다는 뜻이 아니다. 기존 제품의 특정 표시·탐지 기능에 관한 제한적인 전환 기간이다. 8월 2일 이전에 만들어진 과거 콘텐츠를 모두 거슬러 올라가 표시해야 하는 소급 의무도 없다. 기업은 제품 출시일, 기능 성격, 자신이 제공자인지 배포자인지에 따라 적용 항목을 나눠 확인해야 한다.

위반 시 투명성 의무 관련 과징금은 최대 1,500만 유로 또는 전 세계 연매출의 3%에 이를 수 있다. 실제 금액은 위반의 성격과 기업 규모, 고의성 등을 고려해 정해진다. “한 번 표시를 빠뜨리면 곧바로 최대 과징금”이라는 뜻은 아니지만, 글로벌 플랫폼이 무시하기 어려운 수준이다.

모든 고위험 AI 규칙이 오늘 시작되는 것은 아니다

AI법은 사람에게 미칠 위험에 따라 규칙을 나눈다. 사람을 조종하거나 취약성을 해롭게 이용하는 일부 AI, 사회적 점수화, 무차별 얼굴 데이터 수집 같은 금지 관행은 이미 앞선 단계에서 적용됐다. 채용, 교육, 신용, 필수 서비스, 법 집행처럼 기본권에 큰 영향을 줄 수 있는 고위험 AI에는 데이터 품질, 기록, 사람의 감독, 정확성 등 더 엄격한 의무가 예정돼 있다.

하지만 최근 제도 변경을 반영한 EU 공식 일정상 고위험 시스템의 주요 적용 시점은 분야별로 뒤로 나뉜다. 생체정보, 교육, 고용, 이민 등 민감 영역의 일부 시스템은 2027년 12월 2일, 장난감·승강기 같은 규제 제품에 들어가는 AI는 2028년 8월 2일이 주요 시점이다. 따라서 2026년 8월 2일을 “EU AI법의 모든 조항이 완성되는 날”로 부르면 틀린다.

이번에 중요한 것은 적용 가능한 금지 규칙, 범용 AI 모델 규칙, AI 교육 의무, 투명성 의무에 대해 실제 감독과 집행이 움직이기 시작한다는 점이다. 법은 한 번에 켜지는 스위치가 아니라 여러 해에 걸쳐 단계적으로 작동하는 일정표에 가깝다.

한국의 일반 이용자는 무엇을 체감할까

첫째, AI와 사람을 구분하는 안내가 더 자주 보일 수 있다. 해외 쇼핑몰의 자동 상담, 게임 속 대화형 인물, 예약 전화, SNS 계정의 자동 답변에서 “AI가 응답 중”이라는 문구나 음성 안내가 늘어날 가능성이 있다.

둘째, 이미지와 영상의 출처 정보가 서비스 간에 연결될 수 있다. 생성 도구가 파일에 표식을 넣고, SNS가 이를 읽어 “AI 생성 가능성”을 표시하는 구조가 확대될 수 있다. 지금까지 각 플랫폼이 자발적으로 붙이던 라벨이 법적 의무와 결합하면 표시 형식의 표준화가 빨라질 수 있다.

셋째, 유럽에서 먼저 적용한 화면과 정책이 한국판 서비스에도 들어올 수 있다. 지역별로 완전히 다른 제품을 운영하는 비용이 크기 때문이다. 개인정보 보호 규정이 다른 지역의 제품 설계에도 영향을 준 것처럼, AI 투명성 역시 사실상의 글로벌 기준으로 번질 가능성이 있다. 다만 기업이 EU에만 별도 기능을 제공할 수도 있으므로 전 세계 동시 적용이 확정된 것은 아니다.

넷째, 콘텐츠를 만드는 개인과 기업도 책임을 더 분명히 의식하게 된다. 한국 회사가 EU 소비자를 겨냥해 AI 광고 영상이나 가상 인플루언서 콘텐츠를 배포한다면, 단순히 생성 도구가 알아서 표시했을 것이라고 가정해서는 안 된다. 최종 게시물에서 사람이 볼 수 있는 고지가 필요한지 별도로 확인해야 한다.

직장인과 기업에는 무엇이 달라지나

마케팅팀은 AI로 만든 광고·제품 이미지·홍보 영상을 어디에 어떻게 표시할지 작업 흐름에 넣어야 한다. 외주 제작사가 AI를 사용했는지 확인하고, 원본 파일의 출처 정보가 편집 과정에서 보존되는지 관리할 필요가 있다. 언론·공공기관·정책 홍보 조직은 공익 사안에 관한 자동 생성 글에 사람의 편집 검토가 있었는지와 표시 의무를 구분해야 한다.

고객센터 운영 기업은 봇에서 사람 상담원으로 넘어가는 시점을 명확히 하고, 첫 대화부터 AI임을 알리는지 살펴야 한다. 채용이나 교육에 AI를 쓰는 조직은 단순 투명성 안내만으로 충분하다고 생각하면 안 된다. 이런 분야는 고위험 분류와 개인정보, 차별 금지 규칙이 별도로 연결될 수 있다.

AI 서비스를 공급받는 기업은 계약서에서도 확인할 항목이 늘어난다. 누가 제공자이고 누가 배포자인지, 표시 기능을 누가 유지하는지, 편집 후 표식이 사라졌을 때 누가 책임지는지, EU 지역에서 기능이 언제 활성화되는지를 정해야 한다. 법무팀만의 문제가 아니라 제품, 디자인, 콘텐츠 운영, 고객지원이 함께 다뤄야 할 제품 요건이다.

표시가 많아지면 가짜뉴스가 사라질까

그렇지는 않다. 법을 지키는 서비스에는 표시가 늘지만, 사기 조직이나 불법 사이트는 애초에 표시를 넣지 않을 수 있다. 진짜 영상에서 표식을 떼거나, 반대로 실제 영상에 가짜 AI 라벨을 붙여 신뢰를 떨어뜨리는 공격도 가능하다. 기술 표준이 서로 호환되지 않으면 한 서비스의 표시를 다른 플랫폼이 읽지 못할 수도 있다.

그래서 이용자는 라벨 하나만 믿기보다 출처 계정, 원본 링크, 촬영 시점, 다른 신뢰할 만한 보도를 함께 확인해야 한다. 플랫폼은 표시뿐 아니라 신고, 기록 보존, 선거·재난 같은 민감 상황의 대응 체계를 갖춰야 한다. EU 규칙의 현실적인 목표는 완벽한 판별기가 아니라 “누가 무엇을 만들고 배포했는지 더 쉽게 확인하고 책임을 물을 수 있는 환경”에 가깝다.

기업들의 자발적 준수 약속도 법 자체와 구분해야 한다. EU는 AI 생성 콘텐츠 투명성 실천규약을 마련했고 메타 등 일부 기업이 참여 의사를 밝혔다. 실천규약 가입은 준수를 돕는 방법이지만, 제50조의 법적 의무 자체를 대신하지 않는다. 반대로 규약에 이름을 올리지 않았다고 곧바로 법 위반이 되는 것도 아니다. 실제 제품과 운영이 의무를 충족하는지가 기준이다.

아직 확인되지 않은 점

첫째, 이용자가 실제로 보게 될 라벨의 문구와 위치는 서비스마다 다를 수 있다. 법과 지침이 원칙을 제시해도 구체적인 인터페이스는 기업이 설계한다.

둘째, 기계 판독 표시가 편집과 재업로드를 얼마나 잘 견디는지는 현실에서 시험받아야 한다. 기술적으로 표시를 넣는 것과 여러 플랫폼이 안정적으로 읽는 것은 다른 문제다.

셋째, 국경을 넘는 서비스에서 어느 회사가 제공자와 배포자 책임을 지는지 분쟁이 생길 수 있다. 특히 작은 기업이 여러 생성 모델을 조합해 서비스를 만들 때 책임 사슬이 복잡하다.

넷째, 집행의 강도와 일관성도 앞으로 확인해야 한다. EU AI 사무국과 각 회원국 당국이 같은 사례를 얼마나 비슷하게 판단하는지, 첫 시정 명령과 과징금이 어떤 분야에서 나오는지가 실질적인 기준을 만들 것이다.

핵심 정리

2026년 8월 2일부터 EU에서는 AI법의 집행 체계와 생성형 AI 투명성 규칙이 중요한 새 단계에 들어간다. 챗봇은 AI임을 알려야 하고, 생성·조작 콘텐츠에는 기계 판독 표시가 요구되며, 딥페이크와 일부 공익 콘텐츠는 사람이 알아볼 수 있게 고지해야 한다.

그러나 모든 AI가 같은 라벨을 붙이는 것도, 모든 고위험 AI 규칙이 오늘 한꺼번에 시작되는 것도 아니다. 일부 기존 제품의 기계 표시 의무에는 12월 2일까지 전환 기간이 있고, 고위험 분야의 주요 일정은 2027~2028년까지 이어진다. 앞으로 독자가 실제로 확인할 변화는 자신이 쓰는 챗봇의 첫 안내, SNS의 AI 콘텐츠 라벨, 그리고 글로벌 서비스가 EU용 표시를 한국에도 확대하는지다.