EU의 두 코드를 골라 서명할 수 있다면, 그건 규제가 아니라 메뉴판이다

앞으로 6개월, 그러니까 2027년 초까지를 보면, 솔직히 극적인 일이 벌어질 가능성은 낮다고 본다. GDPR도 시행 첫 8개월은 탐색전이었고, DMA도 14개월이 지나서야 첫 벌금이 나왔다. AI Act 역시 이 패턴을 따를 것이다. 집행 초기에 EU AI Office가 할 일은 GPAI 제공사들에게 Article 91에 따른 기술 문서와 훈련 데이터 요약 제출을 요구하고, 어떤 모델이 시스템적 리스크가 있는 고위험 GPAI에 해당하는지 분류 작업을 시작하는 것이다. 이 분류 기준 자체가 아직 확정되지 않은 상태이기 때문에, 실무적으로 벌금 부과까지 가려면 여러 단계의 행정 절차가 필요하다. Meta를 포함한 GPAI 코드 미서명사들은 이 기간 동안 자체적으로 AI Act 준수를 어떻게 입증할 것인지 전략을 구체화할 시간을 벌게 된다.

이 6개월이 조용하다고 해서 아무것도 안 일어나는 건 아니다. 컴플라이언스 컨설팅 산업이 폭발적으로 성장할 것이고, 법무팀 규모를 두세 배로 키우는 AI 기업들이 속출할 것이다. 초년도 GPAI 준수 비용이 $12M에서 $25M으로 추정되는 상황에서, 특히 규모가 작은 유럽 AI 스타트업들은 이 비용 앞에서 심각한 전략적 선택에 직면할 것이다. 일부는 EU 시장을 아예 포기하거나, 컴플라이언스가 용이한 제한적 모델만 유럽에 제공하는 이중 트랙 전략을 택할 수 있다. 유럽 VC 펀딩이 2021년 €107B 피크에서 2023년 €58B까지 떨어진 후 안정화된 상태에서, 이 규제 비용 부담이 신규 투자를 추가로 위축시키는지 여부가 단기적으로 가장 주시해야 할 지표가 될 것이다. 한편으로는 €100M 이상의 메가라운드가 2026년 상반기 전체 딜 가치의 절반 이상을 차지하고 있어, 자금 자체가 마른 것은 아니다. 규제가 소규모 딜을 억제하면서 대형 딜에는 오히려 프리미엄을 부여하는 양극화 현상이 가속되고 있는 것이다.

나는 또한 DSA(디지털 서비스법) 집행과의 병행 효과에 주목한다. 2025년 12월 X(구 Twitter)에 대한 €120M 벌금이 부과되면서 DSA 집행도 본격화된 상태고, 2025년 5월 이후로만 19건의 DSA 집행 조치가 이루어졌다. EU AI Office가 AI Act 집행에 투입할 수 있는 행정 자원이 DMA와 DSA 집행과 경쟁해야 한다는 현실적 제약도 고려해야 한다. 물론 AI Act 집행은 EU AI Office의 고유 관할이지만, 인재 시장에서의 경쟁, 정치적 관심의 분산, 산업계의 규제 피로도 등은 모든 디지털 규제가 공유하는 자원을 놓고 벌이는 제로섬 게임의 요소가 있다. EU가 동시에 세 개의 대규모 디지털 규제(DMA, DSA, AI Act)를 효과적으로 집행할 수 있는 행정 역량을 갖추었는지가, 단기적으로 드러날 수밖에 없는 구조적 시험이다.

단기적으로 나는 특히 투명성 코드의 이행 현황을 주시하겠다. 180~190개 조직이 서명했다는 건 좋은데, 서명과 실제 이행은 전혀 다른 문제다. 챗봇에 AI임을 고지하고, 딥페이크에 라벨을 붙이고, AI 생성 콘텐츠에 기계 판독 가능한 마크를 넣는 것은 기술적으로 그리 어렵지 않지만, 180개 이상의 조직이 일관된 기준으로 이걸 실행하는지를 누가, 어떻게 검증할 것인가? EU AI Office의 140명으로는 GPAI 감독과 투명성 코드 이행 감독을 동시에 수행하기 버거울 수밖에 없다. 여기서도 자원의 비대칭 문제가 반복적으로 드러날 것이다. 만약 투명성 코드 이행조차 제대로 모니터링하지 못한다면, 더 복잡한 GPAI 코드의 집행 실효성에 대한 신뢰는 처음부터 흔들릴 수 있다.

단기적으로 기업별 대응 전략의 분화도 흥미로운 관전 포인트다. OpenAI의 Tom Duff Gordon이 EU 집행위와의 긴밀한 협력을 공개적으로 밝힌 것처럼, 26개 GPAI 코드 서명사 대부분은 적극적 협력 자세를 취하고 있다. 이들은 EU와의 관계를 규제 리스크 관리를 넘어 시장 접근의 전략적 자산으로 활용하려 할 것이다. 반면 Meta와 xAI는 미서명 상태에서 자체적으로 AI Act 준수를 입증하는 독자 노선을 걸어야 하는데, 이 과정에서 EU AI Office와의 첫 접촉이 어떤 톤으로 이루어지느냐가 앞으로의 관계를 결정짓는 순간이 될 수 있다. 중국 AI 기업들은 아예 EU 규제 체계 밖에서 시장 전략을 수립하고 있어, 단기적으로 EU의 직접 관할 대상이 되기 어렵지만, 유럽 고객사를 통한 간접 영향은 피할 수 없을 것이다.

중기적으로 보면, 그러니까 2027년 하반기에서 2028년까지의 시기가 AI Act 집행의 진짜 분수령이 될 것이다. 이 시기에 첫 번째 공식 조사가 개시되고, 잠재적으로 첫 Article 101 벌금이 부과될 가능성이 있다. DMA의 경우 적용 개시 14개월 후에 Apple €500M과 Meta €200M이라는 첫 대형 벌금이 나왔다. AI Act에서도 비슷한 타임라인이 적용된다면, 2027년 말에서 2028년 초가 첫 실질 제재의 시점이 된다. 핵심 질문은 EU AI Office가 그때까지 독립적인 모델 평가를 수행할 역량을 갖출 수 있느냐다. 현재 미충원 상태인 안전팀장과 수석 과학자문 직책이 채워지지 않으면, 첫 조사 자체가 기술적 깊이 없이 형식적으로 흐를 위험이 있다.

모델 평가라는 기술적 과제의 난이도도 과소평가해서는 안 된다. Article 92가 부여한 API 접근, 소스코드 접근, 내부 테스트 구조화 대화 등의 권한은 법적으로는 강력하지만, 이걸 실행하려면 해당 모델의 아키텍처를 이해하고, 안전성 평가 벤치마크를 설계하며, 시스템적 리스크의 존재를 기술적으로 입증할 수 있는 전문 인력이 필요하다. 현재 이 수준의 전문성을 가진 인력은 전 세계적으로도 소수이며, 대부분 민간 AI 기업에서 훨씬 높은 보상을 받으며 일하고 있다. EU가 외부 독립 평가자 풀을 구축한다 해도, 그 평가자들이 정말로 독립적인지, 이해충돌이 없는지를 검증하는 것 자체가 또 다른 과제다. 이건 단순히 돈과 사람의 문제가 아니라, AI 규제라는 전례 없는 영역에서 평가 방법론 자체를 만들어가야 하는 과제이기도 하다.

EU AI Office의 역량 확장이 중기적으로 가장 중요한 변수라는 점은 아무리 강조해도 지나치지 않다. Pour Demain은 2027년 말까지 GPAI 전담 30명을 추가 채용하고, 2030년까지 총 인력을 최소 160명으로 확대하며, 연간 예산을 €46.5M에서 €50~60M으로 늘려야 한다고 권고했다. 하지만 이 권고가 실현되려면 EU 예산 협상이라는 정치적 과정을 거쳐야 하고, 2028~2034 다년 재정 프레임워크(MFF) 협상에서 AI Office 예산 확대가 우선순위에 들어가야 한다. 동시에 연봉 경쟁력 문제도 풀어야 한다. 현재 $55,000~$120,000 수준으로는 민간 AI 기업들의 7자릿수 패키지와 경쟁이 되지 않는다. 영국 AISI처럼 국제 채용을 허용하는 것도 하나의 방안이지만, EU의 27개국 합의 구조에서는 정치적으로 쉽지 않은 결정이다. Pour Demain이 제시한 5가지 재원 확보 경로, 즉 Digital Omnibus 법안, 2028~2034 다년 재정 프레임워크, 연간 EU 예산, GPAI 제공사 감독 수수료, AI 서비스 부담금 중 어떤 조합이 채택되느냐에 따라 AI Office의 중기적 역량 확장 속도가 결정될 것이다.

이 과정에서 AI 컴플라이언스라는 새로운 산업 생태계가 형성되는 것도 중기적으로 주목할 만한 현상이 될 것이다. GDPR이 데이터 프라이버시 컨설팅 시장을 폭발적으로 키웠듯이, AI Act는 AI 안전 평가, 규제 준수 자문, 리스크 관리 도구 시장을 만들어낼 것이다. 이미 업계에서는 GPAI 준수 비용이 초년도 $12M~$25M으로 추정되고 있고, 이 비용의 상당 부분이 외부 컨설팅과 도구 구매에 투입될 것이다. 아이러니하게도, EU의 규제가 만들어내는 이 컴플라이언스 시장 자체가 유럽 AI 생태계의 새로운 수익원이 될 수 있다. 규제를 혁신의 적으로만 보는 시각은 이 측면을 놓치고 있다. 컴플라이언스 기술(RegTech)이 유럽 AI 산업의 비교우위 영역으로 자리잡을 가능성도 배제할 수 없다.

중기적으로 주목해야 할 또 다른 축은 GPAI 코드 자체의 진화다. 현재 약 26개사가 서명한 이 코드가 앞으로 더 많은 기업을 끌어들일지, 아니면 Meta와 xAI의 선택적 참여 모델이 오히려 확산될지가 중요한 갈림길이다. 만약 EU AI Office가 첫 제재를 GPAI 코드 미서명사가 아닌 서명사에 대해 내린다면, 이건 역설적으로 미서명이 더 유리한 전략이었음을 입증하는 꼴이 된다. 반대로, 미서명사에 대한 집중 감독이 실질적인 부담으로 작용해 추가 서명을 유도한다면, EU의 자발적 코드 전략이 작동하고 있다는 신호가 될 것이다. 중국 AI 기업들(Alibaba, Baidu, DeepSeek)의 EU 시장 전략 변화도 변수다. 이들이 EU 시장 접근을 위해 어떤 형태로든 코드에 참여하게 되면, 규제의 글로벌 영향력이 입증되는 순간이 된다.

지정학적 압력도 중기적으로 무시할 수 없는 변수다. 미국 Trump 행정부가 DMA와 DSA를 디지털 무역 장벽으로 규정하고 관세와 비자 제한으로 압박한 전례가 있고, AI Act 집행이 본격화되면 같은 논리가 적용될 가능성이 있다. 특히 미국 AI 기업들이 EU에서 첫 대형 벌금을 맞는 시점에 미국 정부의 정치적 반응이 어떤 형태로 나올지가 관건이다. EU는 지금까지 DMA와 DSA는 협상 대상이 아니라는 선을 그어왔지만, AI Act에 대해서도 같은 원칙을 유지할 수 있을지는 그때의 정치적 환경에 달려 있다. 2028년 미국 대선 결과에 따라 EU-미국 기술 규제 관계의 기조가 완전히 달라질 수 있다는 점도 이 전망에 내재된 불확실성이다. 특히 미국이 자동차, 사치품, 농산물 등 EU의 핵심 수출 분야에 최대 $200B 규모의 관세를 시사한 바 있어, 이 경제적 압박이 AI 규제의 정치적 의지에 간접적으로 영향을 미칠 수 있다.

장기적으로, 그러니까 2028년에서 2030년 이후를 보면, GDPR의 궤적이 가장 유의미한 참고점이 된다. GDPR 연간 벌금 총액이 2020년 €158.5M에서 2021년 €1.1B로 약 7배 폭증한 사례를 보면, AI Act도 집행 인프라가 성숙한 후에는 비슷한 급격한 상승 곡선을 그릴 가능성이 있다. 물론 AI Act는 GDPR보다 기술적으로 훨씬 복잡한 영역을 다루기 때문에 단순 비교는 위험하지만, EU 규제 집행의 구조적 패턴, 즉 느린 시작 후 빠른 가속이라는 원칙은 반복될 것으로 본다. 2030년경에는 AI Act 벌금 총액이 수억 유로 규모에 도달할 수 있고, 그 과정에서 Meta의 매출 3% 상한인 약 $6B라는 숫자가 단순한 산술 추정을 넘어 실질적인 위협으로 느껴지기 시작할 것이다. Google이 DMA 첫 제재로 €890M을 맞고 미이행 시 일일 매출 5%라는 추가 페널티까지 직면한 사례를 보면, EU가 일단 제재 궤도에 올라타면 금액의 상승 속도가 예상보다 빠를 수 있다.

장기적으로 유럽 AI 생태계의 구조 변화도 주목해야 한다. 현재 AI가 유럽 VC 딜 가치의 60.3%를 차지하면서 소수의 거대 딜에 자금이 집중되고 있는 현상은, 규제가 강화될수록 소규모 플레이어는 도태되고 규제 준수 여력이 있는 대형 기업 위주로 시장이 재편될 가능성을 시사한다. 이건 아이러니하게도 EU의 원래 의도, 즉 혁신적인 중소기업들도 공정한 환경에서 경쟁할 수 있도록 하겠다는 규제 취지와 정반대의 결과를 낳을 수 있다. 규제 준수 비용이 진입 장벽으로 작용하는 순간, 규제는 기존 대형 플레이어를 보호하는 해자가 된다. 이 역설을 EU가 어떻게 관리하느냐가 장기적인 유럽 AI 산업의 경쟁력을 결정짓는 핵심 요소가 될 것이다.

장기 전망에서 빼놓을 수 없는 또 다른 차원은 EU AI Act의 글로벌 파급 효과, 소위 브뤼셀 효과(Brussels Effect)의 가능성이다. GDPR이 전 세계 개인정보보호 규제의 사실상 글로벌 표준이 된 것처럼, AI Act도 다른 국가와 지역의 AI 규제 모델에 영향을 미칠 수 있다. 실제로 캐나다, 브라질, 한국 등이 AI 규제 프레임워크를 설계하면서 EU AI Act를 참고하고 있다. 하지만 이 브뤼셀 효과가 실현되려면 전제 조건이 있다. EU가 자국법을 실질적으로 집행하는 모습을 보여줘야 한다는 것이다. 만약 AI Act 집행이 수년간 형식적 수준에 머문다면, 다른 국가들은 EU 모델을 따르기보다 미국이나 중국의 접근법, 즉 혁신 우선 또는 국가 주도 모델을 선택할 가능성이 높아진다. 나는 AI Act의 글로벌 영향력이 2029~2030년경 첫 대형 벌금 사이클이 완성된 이후에야 비로소 본격적으로 나타날 것이라고 본다.

장기적으로 가장 근본적인 질문은, Meta가 보여준 체리피킹 준수 전략이 예외로 남을 것인지, 아니면 업계 표준이 될 것인지다. 만약 EU가 코드 간 연계 메커니즘을 도입하거나, 미서명에 대한 감독 강화가 실질적인 부담으로 작용해 대부분의 기업이 결국 서명하게 된다면, 현재의 체리피킹은 과도기적 현상에 그칠 것이다. 하지만 EU AI Office의 역량 부족이 장기간 지속되고, 미서명사에 대한 감독이 형식적인 수준에 머문다면, 더 많은 기업이 Meta 모델을 따르게 될 것이다. 이 경우 자발적 코드 체계 자체의 존재 의미가 흔들린다. EU가 GDPR과 DMA처럼 실질적인 글로벌 규제 표준 설정자로서의 위상을 AI 영역에서도 확보할 수 있을지, 아니면 체리피킹이 가능한 느슨한 규제로 인식될지가 이 10년의 핵심 분기점이 된다.

나는 EU가 느리지만 결국 집행 역량을 갖추는 쪽이 가장 가능성 높다고 본다. GDPR 때도, DMA 때도 초기에는 "이걸 정말 할 수 있나?"라는 회의가 팽배했지만, 결국 수십억 유로의 벌금이 부과됐다. EU 관료 체계의 장점은 느리더라도 한번 방향을 잡으면 끈질기게 밀어붙인다는 것이다. AI Act도 2026~2027년의 탐색기를 거쳐 2028년 이후 본격적인 집행기에 진입할 것이다. 다만, 가장 가능성 높다고 해서 유일한 시나리오는 아니다. 미국의 정치적 압력이 예상보다 강하거나, AI 기술 발전 속도가 규제 대응 능력을 완전히 앞질러버리거나, EU 내부에서 규제 완화 압력이 커지면 집행이 유명무실해질 가능성도 배제할 수 없다. 2026년 5월에 이미 EU 내부에서 AI법 완화 논의가 있었다는 점을 기억할 필요가 있다.

빠뜨려서는 안 될 세 번째 가능성은 규제가 오히려 더 좋은 AI를 만드는 촉매가 되는 시나리오다. 안전 평가, 투명성, 리스크 완화 요구가 단기적으로는 비용과 부담이지만, 장기적으로는 AI 모델의 품질과 신뢰성을 높이는 방향으로 작용할 수 있다. 유럽에서 훈련되고 배포되는 AI 모델이 "EU AI Act 준수" 라벨을 달게 되면, 이것이 일종의 품질 인증으로 기능해 글로벌 시장에서 프리미엄을 형성할 가능성도 있다. 물론 이건 가장 낙관적인 시나리오이고 현실이 되려면 EU가 규제 이행 과정에서 기업들과 실질적으로 협력하는 자세가 전제되어야 한다. 규제가 벌금을 거두는 도구가 아니라 산업의 질적 수준을 높이는 인프라로 기능할 때, 비로소 규제와 혁신의 선순환이 가능해진다.

여기서 한 가지 빼놓을 수 없는 구조적 요소가 있다. AI Act 집행은 EU AI Office만의 일이 아니라는 점이다. EU 공식 보도자료는 "the European Commission's AI Office, together with national authorities"라고 명시하고 있다. 27개 회원국의 국가 당국이 함께 집행에 참여하는 구조다. GDPR에서는 이 분산 구조가 오히려 집행 속도를 늦추는 원인이 되기도 했다. 아일랜드 DPC가 빅테크 유럽 본사 소재국의 주관 감독기관으로서 지나치게 느린 조사 속도로 비판받은 사례가 대표적이다. AI Act에서도 회원국 간 집행 역량과 의지의 차이가 실효성에 영향을 미칠 가능성이 높으며, 이 불균형을 EU AI Office가 어떻게 조율하느냐가 중장기적으로 규제 체계 전체의 일관성을 좌우할 것이다. GDPR 초기에 아일랜드의 느린 집행이 전체 시스템의 신뢰를 갉아먹었던 실수를 AI Act에서 반복한다면, 규제의 글로벌 설득력은 크게 약화될 수밖에 없다.

반면 가장 우려되는 시나리오는, 집행 역량의 구조적 제약이 장기간 해소되지 않아 규제가 상징적 수준에 머무르는 것이다. 40명의 안전 유닛이 5년이 지나도 80~100명 수준으로밖에 성장하지 못하고, 예산이 €50M 선에서 정체되며, 핵심 직책이 계속 비어 있는 상황이 된다면, AI Act는 종이 위의 호랑이로 남을 수 있다. 이 경우 기업들은 형식적 준수에만 최소한의 자원을 투입하고, 코드 서명은 규제 극장의 무대 장치 역할만 하게 된다. 가장 나쁜 것은 이것이 GDPR이나 DMA와는 다르게 AI 기술의 발전 속도라는 추가 변수가 있다는 점이다. 규제 기관이 작년 모델을 평가하는 방법론을 완성할 때쯤, 업계는 이미 두세 세대 후의 모델을 배포하고 있을 수 있다. 이 속도 불일치가 AI 규제만의 고유한 난제이며, 기존의 어떤 규제 프레임워크 선례에서도 유사한 도전을 찾기 어렵다.

나의 전망이 틀릴 수 있는 조건도 솔직하게 짚어두겠다. 첫째, Meta가 GPAI 코드 거부에 대해 EU 법원에 법적 도전을 제기하고 승소한다면, 코드 체계 전체의 법적 기반이 흔들린다. Kaplan이 제기한 "AI Act 범위 초과" 논점은 법적으로 검증되지 않은 상태이며, 이것이 법정에서 인정된다면 EU는 코드를 전면 재설계해야 할 수 있다. 둘째, 미국이 AI Act 집행에 대해 DMA 때보다 더 강력한 보복 조치를 취한다면, EU 내부의 정치적 의지가 약해질 수 있다. 특히 자동차, 사치품, 농산물 등 EU의 대미 수출 핵심 분야에 관세가 부과되는 상황이 오면, AI 규제를 고수하는 것의 정치적 비용이 급격히 올라간다. 셋째, AI 기술 발전이 현재의 규제 프레임워크를 완전히 무의미하게 만드는 패러다임 전환이 일어날 수 있다. 예를 들어 범용 AI 모델이라는 개념 자체가 2~3년 안에 진화해서, 현재의 GPAI 분류 기준으로는 포착할 수 없는 새로운 형태의 AI가 등장할 가능성도 있다.

마지막으로, 이 모든 전망을 지켜보는 독자에게 세 가지 구체적인 관전 포인트를 제안하고 싶다. 첫째, 첫 번째 Article 101 벌금이 언제, 어떤 기업에, 어떤 사유로 부과되는지를 주시하라. 이것이 AI Act 집행의 실질적 기준점이 될 것이다. 벌금 규모와 부과 속도가 DMA의 선례(14개월, €500M+)와 비교해 어떤 수준인지가 EU의 집행 의지를 가늠하는 핵심 바로미터다. 둘째, EU AI Office의 채용 현황을 추적하라. 2027년 말까지 Pour Demain이 권고한 30명의 GPAI 전담 인력이 확보되는지, 안전팀장과 수석 과학자문이 채워지는지가 집행 역량의 실질 지표다. 셋째, Meta가 GPAI 코드에 대한 입장을 바꾸는 시점이 언제인지, 혹은 끝까지 바꾸지 않는지를 지켜보라. Meta의 선택은 단순히 한 기업의 전략이 아니라, EU AI 규제 체계의 구조적 강도를 테스트하는 리트머스 시험지다. 그 결과에 따라 다른 기업들의 전략도 연쇄적으로 조정될 것이다. 이 세 지표가 동시에 긍정적으로 움직이면 AI Act는 GDPR의 후계자로 자리잡을 것이고, 반대로 세 지표 모두 정체되면 체리피킹 규제라는 꼬리표를 떼기 어려울 것이다.