EU AI 과징금의 절차 규칙에 빠져 있던 운영 세칙이 채워지고 있다. 유럽위원회는 2026년 10월 12일 이행규정 초안(참조번호 Ares(2026)9589403)을 공개해 인공지능법 제75c조와 제75d조 아래 두 가지 실무 사항을 구체화했다. 특정 AI 시스템에 과징금을 부과할 때 5년 시효를 어떻게 계산하는지, 그리고 조사를 받는 기업이 사건 기록을 어디까지 볼 수 있는지가 그것이다. 초안은 공개 의견 수렴 중이며 마감은 2026년 11월 9일 브뤼셀 시간 23시 59분, 채택은 2026년 4분기로 예정돼 있다. 아직 초안일 뿐이며 첫 페이지에도 위원회가 채택하거나 승인한 문서가 아니고 담당 부서의 예비적 견해를 담았다고 명시돼 있다. 그래도 방향은 충분히 구체적이다. 이런 사건에서는 시간이 규제 당국 편에 선다.
대상은 두 종류뿐: 자사 모델로 만든 시스템과 초대형 플랫폼 내장 AI
제75조 제1항에 따른 위원회의 전속 관할이 미치는 시스템은 두 종류뿐이다. 하나는 범용 AI 모델을 기반으로 하고 그 모델과 시스템을 동일 제공자 또는 동일 기업집단 안의 제공자가 개발한 시스템이고, 다른 하나는 디지털서비스법에 따라 지정된 초대형 온라인 플랫폼 또는 초대형 온라인 검색엔진에 통합되거나 그 일부를 이루는 AI 시스템이다. 의무를 지는 쪽은 이런 시스템의 제공자, 그리고 제공자 본인이거나 제공자와 동일 집단에 속한 배포자다. 제3자 챗봇을 호출해 쓰는 일반 기업은 그 사용만으로 위원회의 직접 감독 대상이 되지 않으며 회원국 규칙이 계속 적용된다. 2026년 10월 14일 발표된 EU AI법 첫 집행 조치와도 다른 노선이다. 그때의 정보 제공 요청은 범용 모델 제공자의 시스템적 리스크 의무를 겨냥했지만, 이 초안은 플랫폼과 자사 모델 시스템을 다루며 대상과 조항이 모두 다르다.
5년 시효는 여섯 가지 조치로 반복해서 초기화, 절대 상한은 10년
초안 제4조에 따르면 과징금과 정기 이행강제금 결정은 5년의 시효 안에 내려야 한다. 위반이 계속되거나 반복되는 경우에는 5년이 위반이 멈춘 날부터 비로소 기산된다. 조사 과정에서 다음 여섯 가지 조치 중 어느 하나라도 이뤄지면 시효는 중단되고 처음부터 다시 계산된다. 문서·설명·기타 정보의 제공 요청, 시스템 평가를 위한 접근 요청, 검사, 구조화 대화 초청, 절차 개시, 그리고 절차 재개다. 즉 4년째에 발송된 정보 요청 서한 한 통이 시계를 0으로 되돌릴 수 있다. 절대 상한은 그 두 배인 10년으로, 그 안에 과징금이 부과되지 않으면 시효가 만료된다. 다만 사건이 유럽연합 사법재판소에 계류 중인 기간이나 현장 검사가 사법 당국의 승인을 기다리는 기간에는 시효가 정지되고, 그 정지 기간은 10년 상한에 더해진다. 결정 이후의 집행에도 별도로 5년이 있으며 결정이 확정된 날부터 기산되고, 금액을 변경하는 결정이나 납부를 집행하려는 모든 조치가 이를 다시 초기화한다. 초안은 과징금 액수 자체를 바꾸지 않는다. 금지된 관행에 대한 최대 3500만 유로 또는 전 세계 매출의 7%, 일반 위반에 대한 1500만 유로 또는 3%, 부정확하거나 오해 소지가 있는 정보에 대한 750만 유로 또는 1%는 모두 인공지능법에 이미 있던 상한이다. 달라지는 것은 그 상한이 얼마나 오래 기업을 따라다닐 수 있느냐다.
기록은 달라고 하면 볼 수 있는 것이 아니다: 비삭제본은 외부 자문에게만
초안 제2조와 제3조는 방어 측의 조건도 정해 놓았다. 조사 대상 사업자는 위원회가 예비 판단을 통지하기 전까지 사건 기록을 열람할 수 없고, 통지 뒤에 받는 것도 영업비밀 보호를 위해 삭제된 버전이다. 삭제 없는 전문이 공개되는 상대는 이름이 사전에 위원회에 통보된 소수의 지정 외부 법률·경제 자문과 외부 기술 전문가뿐이며, 대상 기업의 직원과 사내 변호사는 직접 읽을 수 없다. 그런 외부 전문가가 조사 기간 중 또는 종료 후 3년 안에 대상 기업이나 동일 시장의 다른 기업으로 옮기면 양측 모두 위원회에 알려야 하고, 전문가는 해당 자료에 더 이상 접근하지 않음을 보장해야 한다. 자료를 제출하는 쪽은 각 자료에 담긴 영업비밀을 특정하고 비밀이 제거된 버전을 제공해야 하며, 위원회가 비밀이라고 주장된 정보를 공개하려 할 때는 최소 1주의 이의 제기 기간이 주어진다. 실제 결과는 분명하다. 이런 사건의 방어는 첫날부터 외부 팀에 의존해야 하고, 시스템을 가장 잘 아는 사내 인력은 완전한 증거를 볼 수 없다.
의견 수렴이 닫히기 전에 대상 기업이 먼저 할 세 가지
첫째, 적용 대상인지부터 대조하라. 자사 시스템이 위 두 종류에 드는지, 즉 자체 범용 모델로 만든 시스템인지, EU가 지정한 초대형 플랫폼이나 검색엔진에 내장된 AI 기능인지 목록화해야 한다. 해당하면 위원회 직할 사건으로 대비하고, 해당하지 않으면 회원국 주관 당국의 절차로 대비하되 두 노선을 혼동하지 말아야 한다. 둘째, 규제 접촉마다 시계 장부를 만들어라. 정보 요청, 평가 접근, 검사, 절차 개시 날짜를 건마다 기록하라. 각각이 5년을 다시 시작시킬 수 있기 때문이다. 가장 늦은 노출 시점은 5년이 지나면 자동으로 끝난다고 가정하지 말고 원래 행위 시점에 10년을 더해 계산해야 한다. 셋째, 외부 자문 명단과 비밀 등급을 미리 정해 두어라. 비삭제 기록을 볼 수 있는 것은 외부 인력뿐이라 사건 도중에 자문을 찾으면 방어 시간을 그대로 잃는다. 제출 자료의 영업비밀 표시와 비비밀 버전 준비도 이의 제기 창구가 1주일 남짓인 만큼 상시 업무로 만들어 두어야 한다. 마지막으로 주의할 점은 이 절차가 위원회 직할 노선에만 적용되며 EU의 모든 AI 과징금에 대한 통일 규칙이 아니라는 것이다. 회원국 집행 사건에 그대로 대입하면 기한 계산을 똑같이 틀리게 된다.
