3 분 소요

밤 열한 시, 방의 불은 꺼져 있고 화면만 밝다.

대화창에 고민을 적는다. 답이 온다. 따뜻하고, 빠르고, 지치지 않는 답이.

그 답을 쓴 것은 사람이 아니다.

이 시리즈에서 우리는 네 개의 물건을 만났다. 인형, 믹서기, 잔디깎이, 시계.

전부 몸이 있었다. 그리고 EU 규제의 문법은 한결같았다 — 몸이 무거울수록 그물은 촘촘해진다.

그렇다면 몸이 아예 없는 이 AI는, 어느 법에 사는가.

제품법의 지도에서 사라지다

D-4에서 그린 지도를 다시 펴 보자. 표준, 신뢰, 목록, 등급 — 네 갈래 모두 제품의 법이었다.

챗봇 앱은 그 지도 어디에도 없다.

완구가 아니고, 전기제품이 아니고, 기계가 아니고, (의료 목적을 표방하지 않는 한) 의료기기도 아니다.

뒤집어서 CE 마크를 확인하고 싶어도, 뒤집을 바닥 자체가 없다.

몸을 기준으로 짜인 그물은, 몸이 없는 것을 거를 수 없다.

그럼 이 AI는 무법지대에 사는가.

몸이 없으면, 말에 라벨을 붙인다

아니다. EU의 답은 문법을 바꾸는 것이었다.

물건을 검사할 수 없다면, 말 그 자체에 표시를 붙인다.

AI Act 제50조 — 투명성 의무다. 그리고 이 조항은 다음 달, 2026년 8월 2일부터 새로 나오는 시스템에 곧바로 적용된다.1

  1. 사람과 대화하는 AI는, 상대가 AI임을 이용자가 알 수 있게 설계되어야 함 — “저는 AI입니다”가 설계 요건이 되는 것임(제50조 1항).

  2. AI가 만든 글·그림·소리·영상에는 기계가 판독할 수 있는 표시(워터마크·메타데이터 등)가 심어져야 함(제50조 2항).

  3. 실존 인물·사건처럼 보이게 만든 콘텐츠(딥페이크)를 쓰는 쪽은, 그것이 인공물임을 명확히 알려야 함(제50조 4항).

식품 성분표와 같은 발상이다.

빵의 내용물을 일일이 검사하는 대신, 봉지에 성분을 적게 한다. 사전 인증이 아니라 고지(告知)가 규제의 단위가 된다.

대화창 뒤의 심장 — 모델을 직접 잡는다

한 겹 더 있다. 화면 속 앱은 껍데기고, 답을 만드는 심장은 그 뒤의 범용 AI 모델(GPAI, General-Purpose AI — 특정 용도에 묶이지 않은 기반 모델)이다.

AI Act는 2025년 8월부터, 이 모델을 만드는 회사를 직접 규율한다.2

  1. 모델이 어떻게 학습됐는지 기술문서를 만들고, 앱 개발사처럼 모델을 받아 쓰는 쪽(다운스트림)에 정보를 제공할 것.

  2. 저작권 정책을 갖추고, 저작권자의 “학습에 쓰지 말라”는 기계판독 유보 표시(옵트아웃)를 존중할 것.

  3. 학습 데이터의 요약을 공개할 것.

  4. 그리고 훈련에 들어간 총 계산량(FLOPs, 부동소수점 연산 횟수)이 10^25를 넘는 최상위 모델은 “시스템적 위험” 등급 — 위험 평가·완화, 중대사고 보고, 사이버보안까지 추가로 짊어질 것.

물건의 세계에서 제조사가 지던 의무를, 말의 세계에서는 모델 제공자가 진다.

몸이 없어도 만든 손은 있기 때문이다.

그래도 남는 두 겹

금지선은 몸과 무관하게 작동한다.

사람의 취약한 마음을 이용해 행동을 조작하도록 설계된 AI라면, 인형이든 앱이든 시장 진입 자체가 금지다. 이때의 “심각한 피해”에는 신체만이 아니라 심리적 건강이 명문으로 들어 있다(제5조).3

배상도 몸을 요구하지 않게 됐다.

올해 12월부터 적용되는 신 제조물책임지침(PLD)은 “제품”의 정의에 소프트웨어를 통째로 넣었다.4

앱도 제품이고, 그 앱이 입힌 “의학적으로 인정된 정신건강 손상”도 배상 대상이며, AI의 복잡성 때문에 피해자가 결함을 입증하기 어려우면 법원이 추정으로 다리를 놓아줄 수 있다.

[필자 분석]

D 시리즈의 문법으로 보면, 몸이 없는 AI 앞에서 EU는 규제의 단위를 바꿨다.

몸이 있는 AI는 물건으로 규율된다 — 검사하고, 인증하고, 리콜한다.

몸이 없는 AI는 매체처럼 규율된다 — 출처를 밝히게 하고, 표시를 붙이게 하고, 만든 자를 문서로 묶는다.

여기에 아이러니가 하나 있다.

같은 대화 AI라도 인형에 넣으면(D-1) 완구법과 무선기기법이 최소한 몸과 데이터는 지켜줬다. 말은 2030년을 기다려야 했다.

그런데 앱 속의 같은 AI에게는, “너는 AI임을 밝혀라”라는 의무가 다음 달부터 곧바로 적용된다.

몸이 없는 쪽의 말이, 몸이 있는 쪽의 말보다 먼저 규율되는 셈이다. 규제는 위험의 크기 순서가 아니라, 법이 붙잡을 수 있는 손잡이의 순서로 도착한다.

다만 이 문법에는 아직 빈칸이 있다.

고지와 표시는 “속지 않을 권리”를 지켜주지만, 대화의 내용이 좋은가는 묻지 않는다. 밤 열한 시의 그 대화가 위로였는지 독이었는지는, 어느 표시도 말해주지 않는다.

다음 자리

몸이 없는 AI가 규제의 한쪽 끝이라면, 반대쪽 끝에는 가장 무거운 몸이 있다.

자동차다. 그런데 이상한 일이 하나 있다 — 차를 아무리 뒤져도 CE 마크가 없다.

다음 글에서는 CE의 세계 바깥에서 만들어지는 물건과, AI Act가 그 세계를 다르게 대하는 이유를 따라가 본다.

한줄 코멘트.

몸이 없는 AI에게 EU는 검사 대신 고백을 요구한다 — “나는 AI다”라고. 규제는 위험의 크기가 아니라 붙잡을 손잡이를 따라 도착한다.

이전 글: [[2026-07-14-D-4-왜 같은 안전인데 인증 방식이 다 제각각인가]] · 다음 글: [[2026-07-14-D-6-내 차에는 왜 CE 마크가 없는가]] · 관련: [[2026-07-13-D-1-말하는 인형은 누가 지키는가]] · [[2026-04-28-B-2-1-EU가 선을 그은 8가지]]

  1. Regulation (EU) 2024/1689 (AI Act), Article 50(1)·(2)·(4), 적용일은 Article 113에 따라 2026.8.2. 단 2026.8.2 이전에 이미 출시된 시스템은 2026.12.2까지 경과조치(Digital Omnibus on AI, Art.111(2) 신설 — 관보 게재 전, [검토 필요]). 상세는 [[EU-AI-Act-Article-50]] 참조. ↩

  2. AI Act, Article 53(GPAI 모델 제공자 의무: 기술문서·다운스트림 정보·저작권 정책·학습데이터 요약)·Article 51(10^25 FLOPs 시스템적 위험 추정)·Article 55(시스템적 위험 GPAI 추가 의무), 적용일 2025.8.2(Article 113). 이행 실무는 GPAI Code of Practice(2025.7.10, 투명성·저작권·안전보안 3챕터) — [[GPAI-Code-of-Practice]] 참조. ↩

  3. AI Act, Article 5(1)(a)(b) 및 Recital 29 — 조작·취약성 악용으로 인한 significant harm에 “신체적, 심리적 건강 또는 금전적 이익”에 대한 중대한 부정적 영향이 명시됨. ↩

  4. Directive (EU) 2024/2853 (신 PLD), Article 4(1)(소프트웨어=제품)·Article 6(1)(a)(의학적으로 인정된 정신건강 손상 포함)·Article 10(4)(기술적 복잡성으로 인한 입증곤란 시 법원의 재량적 추정). 구 PLD(85/374/EEC)는 2026.12.9 폐지. 상세는 [[directive-2024-2853-pld]]·[[2026-06-01-C-3-1-AI가 잘못 판단했을 때 누가 책임지는가]] 참조. ↩

참고