세계 최초의 AI 법이 한 발 물러섰다 : EU 디지털 옴니버스의 속내

1995년, 유럽연합은 개인정보보호지침을 만들었습니다. 인터넷이 막 대중화되던 시기, 데이터가 곧 권력이 될 것을 내다본 선제 조치였지요. 그 지침은 2018년 우리가 익히 아는 GDPR(General Data Protection Regulation)로 진화했습니다. 전 세계 기업들이 "쿠키를 허용하시겠습니까"라는 그 성가신 팝업을 띄우게 된 것도, 따지고 보면 브뤼셀의 결정에서 시작된 일입니다.

유럽은 그렇게 늘 '먼저 규칙을 쓰는 대륙'이었습니다. 시장은 미국이 만들고, 제품은 동아시아가 만들고, 규칙은 유럽이 만든다는 농담이 괜히 나온 게 아니지요. 그리고 2024년 여름, 유럽은 또 한 번 세계 최초를 기록했습니다. 인공지능을 포괄적으로 규제하는 법, EU AI Act(Artificial Intelligence Act)를 채택한 것입니다.

그런데 2026년 5월 7일, 그 법이 스스로 한 발 물러섰습니다. 제가 이 소식을 처음 접했을 때 떠오른 단어는 '후퇴'가 아니라 '현실화'였습니다. 무엇이 일어났는지부터 차분히 짚어보겠습니다.

▸ 16개월의 유예 : 규칙이 현실 앞에서 숨을 고르다

2026년 5월 7일, EU 이사회와 유럽의회, 그리고 집행위원회는 'AI 디지털 옴니버스'라 불리는 패키지에 잠정 합의했습니다. 2024년 여름 AI Act가 채택된 이후 사실상 첫 개정입니다.

핵심은 시간표를 늦춘 것입니다. 채용·신용평가·생체인식처럼 사람의 삶에 직접 영향을 미치는 '고위험(High-Risk)' AI — 부속서 III에 열거된, 용도를 기준으로 분류되는 영역 — 의 의무 시행이 2026년 8월 2일에서 2027년 12월 2일로 16개월 미뤄졌습니다. 의료기기나 자동차처럼 제품 안전 규제에 묶이는 부속서 I 영역은 2027년 8월에서 2028년 8월로 1년, 각 회원국이 의무적으로 마련해야 했던 규제 샌드박스 역시 1년 늦춰졌습니다.

중소기업을 향한 배려도 눈에 띕니다. 작은 기업(SME)과 중간 규모 기업(SMC)에는 간소화된 기술 문서, 완화된 품질관리 요건, 낮은 과징금 한도, 그리고 샌드박스 우선권이 주어집니다. 한때 "보장한다"고 강하게 적혀 있던 'AI 리터러시' 조항도 "지원 조치"라는 부드러운 표현으로 바뀌었습니다.

정식 표결은 8월 2일 이전에 이뤄질 예정입니다. 아직 잉크가 마르지 않은 합의라는 점은 분명히 해두어야겠습니다.

▸ 그렇지만 더 단단히 잠근 자물쇠도 있다

여기서 멈춘다면 이 글은 "유럽이 규제를 풀었다"는 단순한 뉴스 요약에 그칠 것입니다. 그런데 한 발 물러서 보면, 이번 합의에는 정반대 방향의 결정도 함께 들어 있습니다.

옴니버스는 새로운 금지 항목을 추가했습니다. 동의 없이 만들어지는 친밀한 이미지, 쉽게 말해 딥페이크 음란물, 그리고 아동 성착취물(CSAM)을 생성하는 AI가 그것입니다. 이 금지는 다른 조항들이 미뤄지는 와중에도 오히려 빠르게, 2026년 12월 2일부터 발효됩니다.

저는 이 대목이 이번 사건의 진짜 핵심이라고 봅니다. 유럽이 한 일은 단순히 규제의 강도를 낮춘 것이 아닙니다. 무엇을 먼저 규제할 것인가, 그 우선순위를 다시 짠 것입니다. 채용 알고리즘의 편향처럼 복잡하고 산업 전체가 얽힌 영역에서는 시간을 벌어주고, 딥페이크 음란물처럼 피해가 명백하고 변명의 여지가 없는 영역에서는 오히려 고삐를 당겼습니다.

혁신과 신뢰, 이 둘 사이에서 유럽은 분명 혁신 쪽으로 무게추를 옮겼습니다. 미국과 중국의 AI 기업들이 규제 없이 질주하는 동안 유럽 기업만 발이 묶인다는 산업계의 비명을, 브뤼셀이 더는 외면하기 어려웠던 것이지요. 그러나 동시에, 인간의 존엄을 직접 해치는 영역에서만큼은 결코 양보하지 않겠다는 선을 그었습니다. 모든 규제를 일률적으로 풀어버린 것이 아니라는 점, 이것이 제가 '후퇴'보다 '현실화'라는 단어를 고른 이유입니다.

▸ 한국은 유럽의 실수를 피할 수 있을까

이 소식을 한국의 자리에서 다시 읽어보면, 묘한 기시감이 듭니다. 한국 역시 2026년 1월부터 AI 기본법을 시행하고 있기 때문입니다.

흥미로운 것은 두 법의 성격 차이입니다. 유럽의 AI Act가 '위험을 어떻게 규제할 것인가'에서 출발한 규제 중심의 법이라면, 한국의 기본법은 '산업을 어떻게 키울 것인가'에 무게를 둔 진흥 중심의 법에 가깝습니다. 한국은 시행과 함께 1년의 계도기간도 두었지요. 처벌보다 적응의 시간을 먼저 주겠다는 설계입니다.

그런데 유럽이 2026년 5월에 내린 결정을 보면, 한국이 처음부터 선택한 길과 결과적으로 닮은 모양으로 수렴하고 있습니다. 강하게 출발해 한 발 물러선 유럽과, 처음부터 한 발 물러선 자리에서 출발한 한국. 도착지가 비슷해 보인다는 것은 흥미로운 일입니다.

저는 이것을 한국이 "옳았다"는 식의 자랑으로 읽고 싶지는 않습니다. 오히려 질문이 생깁니다. 유럽이 강하게 출발했다가 물러선 것은, 강하게 출발했기 '때문에' 무엇이 과한지를 구체적으로 알게 된 결과였을지도 모릅니다. 처음부터 느슨하게 시작한 쪽은 그 학습의 기회조차 갖지 못할 수 있지요. 계도기간이 끝난 뒤 한국이 무엇을 조이고 무엇을 풀어야 할지, 그 판단의 근거를 우리는 충분히 쌓고 있는 걸까요.

규칙을 먼저 쓰는 일은 늘 비용을 동반합니다. 틀릴 위험을 먼저 감수하는 일이기 때문입니다. 유럽은 그 비용을 치르며 자신의 규칙을 다듬고 있습니다. 한국이 진흥의 시간을 보내는 동안, 우리가 따로 치러야 할 학습 비용은 무엇인지 — 저는 이 질문을 계도기간이 끝나기 전에 던져두고 싶습니다.

기술의 역사는 늘 우리에게 가르쳐줍니다. 좋은 규칙은 한 번에 완성되지 않고, 현실과 부딪히며 계속 고쳐 쓰이는 것이라고요. 세계 최초의 AI 법이 시행 1년여 만에 자신을 고쳐 쓰기 시작했다는 사실은, 부끄러운 일이 아니라 오히려 그 법이 살아 있다는 증거일지도 모릅니다. 정작 우리가 경계해야 할 것은 한 발 물러서는 규칙이 아니라, 현실을 보고도 한 글자도 고치지 않는 규칙이겠지요.