EU AI Act·ISO/IEC 42001 대응 체크리스트

개념

이 레슨의 전제 — 날짜는 1차 출처로만

모듈 18b 레슨 6이 "AI 규제가 왜 생겼고 위험 기반 분류가 무엇인지"를 입문 수준으로 다뤘다. 이 레슨은 거기서 두 단계 더 들어간다. 언제부터 적용되는가 와 어느 조항이 어떤 QA 산출물을 요구하는가 다.

그리고 먼저 경고 하나. 이 영역은 연도가 적힌 2차 자료가 가장 많이 틀리는 영역 이다. 블로그·강의 자료의 적용 시점은 2026년 개정 전의 숫자가 그대로 돌아다닌다. 아래 표는 EU 공식 조문(Regulation (EU) 2024/1689 제113조)과 그 개정 규정을 기준으로 정리했고, 확인하지 못한 것은 본문에서 "미확인" 으로 표시 했다. 인용하기 전에 원문 링크를 한 번 더 열어 보는 것이 이 레슨의 사용법이다.

EU AI Act — 발효와 단계별 적용 시점

표의 2027-12-02·2028-08-02 두 줄이 2026년 개정의 결과 다. 원래 조문은 부속서 III 고위험을 2026-08-02, 부속서 I 고위험을 2027-08-02에 적용하도록 했는데, 이른바 디지털 옴니버스 개정으로 각각 미뤄졌다.

확인된 것
  개정 규정의 번호        Regulation (EU) 2026/1744
  관보 게재·발효          2026년 7월 (EUR-Lex ELI 기준으로 존재 확인)
  바뀐 내용의 방향        제113조의 고위험 적용 시점 연기
 
미확인 (원문 확인 대상)
  개정 후 제113조의 정확한 문구와 호 번호 체계
  제50조 제2항 표시 의무가 2026-08-02 적용인지, 2026-12-02 준수 기한인지
    — 자료에 따라 다르게 읽힌다. EUR-Lex 통합본으로 확인한다

여기서 실무 메시지는 분명하다. "2026년 8월에 고위험 의무가 시작된다"는 설명은 더 이상 맞지 않다. 반대로 "고위험이 미뤄졌으니 2027년까지 할 일이 없다"도 틀렸다 — 금지 관행·AI 리터러시·GPAI 의무는 이미 적용 중이고, 제50조 투명성은 2026-08-02에 걸린다.

위험 등급 네 층과 "고위험" 의 두 경로

등급 체계 자체는 모듈 18b 레슨 6에서 봤다. 여기서 추가할 것은 고위험으로 분류되는 경로가 둘이라는 점 이다. 이것을 모르면 적용 시점을 잘못 읽는다.

허용 불가(금지)   제5조 — 조작적 기법, 취약성 악용, 사회적 점수화 등
고위험            경로 A: 제6조 제1항 + 부속서 I — 기존 제품 규제(기계·의료기기 등)에
                            적용되는 제품의 안전 부품으로 쓰이는 AI
                  경로 B: 제6조 제2항 + 부속서 III — 단독형 고위험 용도 목록
제한적(투명성)    제50조 — AI와 상호작용 중임을 알리기, 합성 콘텐츠 표시
최소              나머지 — 별도 의무 없음(자발적 행동강령)

부속서 III은 여덟 영역이다 — 생체인식, 중요 인프라, 교육·직업훈련, 고용·노무관리, 필수 서비스·급부(신용평가·보험 가격·응급 분류 포함), 법집행, 이주·망명·국경관리, 사법·민주 절차. 국내 기업이 EU에 파는 서비스 중 실제로 걸리는 것은 거의 3·4·5번 이다 — 채용 도구, 인사 평가, 신용·보험 심사.

고위험 의무 중 QA 가 증거를 대는 항목

여기가 이 레슨의 본론이다. 조항을 QA 산출물로 번역한다.

표를 가로로 읽으면 결론이 하나 나온다. 레슨 2·3·4에서 만든 산출물이 그대로 증거다. 새로 만들 문서는 많지 않고, 이미 하던 시험에 버전·날짜·판정자·입력 데이터 식별자 를 붙여 보존하는 것이 일의 대부분이다. 모듈 38 레슨 5의 판정 기록 운영이 여기서 값을 한다.

제14조(사람의 감독)와 제15조(정확성·견고성)가 QA 고유 영역이다. 특히 제14조는 문서로만 때우기 쉬운데, 사람이 실제로 개입·중단할 수 있는지를 시험한 기록 이 없으면 증거가 아니다.

ISO/IEC 42001 — 경영시스템이고, 제품 평가가 아니다

핵심은 성격 차이다.

ISO/IEC 42001        조직이 AI 를 어떻게 관리하는가  → 조직·프로세스 인증
ISO/IEC 25059        AI 제품의 품질 특성 모델         → 제품 평가의 기준
ISO/IEC TS 25058     그 특성을 어떻게 평가하는가      → 평가 계획·절차 지침
ISO/IEC TS 4213      분류 성능을 어떻게 평가·보고하는가 → 측정 방법

25059 계열은 제품을 재는 자 이고 42001은 조직을 보는 틀 이다. 둘은 경쟁하지 않고 겹쳐 쓴다 — 42001이 "영향평가와 시험을 하도록 프로세스를 두라"고 요구하고 25059 계열이 "그 시험을 무엇으로 어떻게 재는지"를 준다. 42001 심사에 25058 기반 평가 계획을 증거로 내는 구성이다.

두 가지 흔한 오해를 못 박아 둔다. 42001 인증이 EU AI Act 적합성을 대체하지 않는다. 경영시스템 인증은 프로세스가 있다는 증거이고, 규제는 특정 제품이 요건을 충족한다는 증거를 따로 요구한다. 그리고 25059 계열에는 인증 스킴이 없다 — 평가 기준이지 인증 제도가 아니다.

국내 — AI 기본법

제정과 시행 사이에 1년이 있었고, 시행 이틀 전에 일부개정이 공포돼 같은 날 함께 시행된 구조다. 2025년에 나온 해설 자료는 개정 전 조문을 기준으로 쓰여 있을 수 있으니, 인용할 때는 국가법령정보센터의 현행 본문을 본다. QA 관점의 축은 둘이다.

고영향 인공지능   법이 정한 영역에서 쓰이고 위험이 중대한 경우
                 → 영역 해당성과 위험 중대성을 같이 본다
                 → 최종 의사결정에 사람이 개입하면 통제 가능한 것으로 보는 해석이 제시됐다
생성형 인공지능   결과물임을 이용자가 명확히 인식할 수 있게 표시
                 → 디지털 워터마크도 허용되는 방식으로 안내됐다

미확인 (원문 확인 대상)
  고영향 AI 해당 영역의 조문 번호와 열거 항목
  사업자 의무의 조항별 문구와 과태료 조항
  시행령·고시의 세부 기준 (시행 초기에 계도 중심 운영이 예고됐다는 보도가 있으나
    유예의 법적 근거와 기간은 소관 부처 공지로 확인한다)

세 제도를 한 표에 놓고 보면 대응의 중복이 보인다.

리스크 관리, 데이터 거버넌스, 모니터링, 사고 대응은 세 제도가 모두 요구한다. 대응 문서를 제도별로 세 벌 만들 필요가 없다 — 증거를 한 번 만들고 제도별로 매핑 표를 두는 것 이 유지 가능한 방식이다.

실무에서 왜 필요한가

규제 대응의 비용은 "새 문서를 쓰는 비용"이 아니라 "없던 기록을 소급해 만드는 비용" 이다. 적합성 선언에 인용할 시험 증거는 그 시점의 모델 버전·데이터 스냅샷·판정자가 함께 남아 있어야 하는데, 그 조합은 나중에 복원되지 않는다. 규제가 적용되기 전에 QA가 할 일은 문서 작성이 아니라 기록의 형식을 지금 고치는 것 이다.

날짜를 아는 것 자체도 실무 역량이다. 고위험 시점이 미뤄졌다는 것을 모르면 없는 마감에 맞춰 급하게 움직이고, 미뤄진 줄만 알면 이미 적용 중인 의무를 놓친다. 제50조 투명성 의무는 챗봇·생성형 기능을 가진 거의 모든 제품에 걸리는데, 고위험이 아니라는 이유로 "해당 없음"으로 분류된 사례가 많다.

세 번째로, 이 매핑 표가 조직 안에서 QA의 발언권 이 된다. 법무는 조항을 읽고 개발은 기능을 만든다. 조항과 산출물 사이를 잇는 표를 만들 수 있는 사람은 QA이고, 그 표가 있으면 "이 기능은 지금 증거가 없다"를 근거를 들어 말할 수 있다.

채용시장에서의 위치

AI 거버넌스·컴플라이언스 QA는 경쟁자가 적다. 모델 평가는 데이터 과학자와 겹치지만 조항을 읽고 시험 증거로 번역하는 일 은 양쪽 모두에게 빈칸으로 남아 있다. 42001 인증을 준비하는 조직, EU에 제품을 파는 제조·의료기기 기업, 국내 고영향 AI에 해당하는 금융·채용·교육 서비스가 같은 사람을 찾는다.

면접에서 힘을 갖는 답은 조항 번호를 외운 것이 아니라 "우리 제품이 어느 등급이고, 근거가 무엇이고, 증거로 무엇을 남기는가" 다. 그리고 날짜를 말할 때 "개정으로 바뀌었고 원문은 여기서 확인한다" 고 덧붙이는 사람이 신뢰를 얻는다. 확신 있게 틀린 숫자를 말하는 것이 이 분야에서 신뢰를 잃는 가장 빠른 길이다.

실습 과제

과제 1 — 우리 제품의 등급 판정과 근거 (25분)

담당 제품(또는 가상의 사내 채용 추천 기능)에 대해 아래를 채운다. 각 줄에 판정 근거가 되는 조항·부속서 번호 를 반드시 적고, 확실하지 않은 칸에는 "원문 확인 필요"로 남긴다.

EU AI Act
  금지 관행 해당 여부 / 고위험 경로 A(부속서 I) / 고위험 경로 B(부속서 III, 영역 번호)
  제50조 투명성 의무 해당 여부 / 우리에게 적용되는 가장 이른 시점(날짜)
국내 AI 기본법
  고영향 AI 해당 가능성 / 생성형 AI 표시 의무

판정보다 중요한 것은 "확인 필요" 칸의 목록 이다. 그것이 법무에 물어볼 질문지가 된다.

과제 2 — 조항-증거 매핑 표 만들기 (30분)

본문의 고위험 의무 표를 담당 제품용으로 다시 쓴다. 각 조항 행에 세 칸을 채운다.

현재 상태   있음(위치 명시) / 부분 / 없음
담당        QA / 데이터 / 개발 / 법무
간극        무엇이 없어서 증거가 되지 않는가 (한 줄)

끝낸 뒤 "있음" 인데 버전·날짜·판정자가 안 붙은 항목 을 따로 센다. 그것이 가장 먼저 고칠 대상이다 — 산출물은 있는데 증거가 아닌 상태다.

과제 3 — 날짜 검증 훈련 (15분)

본문의 EU AI Act 시점 표에서 네 개 행을 골라 1차 출처로 직접 확인 한다. EUR-Lex의 Regulation (EU) 2024/1689 제113조 통합본과 개정 규정을 열어 비교하고, 본문과 다른 점이나 본문이 "미확인"으로 둔 항목을 확정한다. 확인 내용은 항목 / 출처 URL / 확인 날짜 / 본문과 일치 여부 형식으로 남긴다 — 규제 자료를 다루는 기본 습관이다.

자가 체크리스트

• EU AI Act의 발효일과 일반 적용일을 구분해 말할 수 있다
• 금지 관행·AI 리터러시·GPAI 의무가 이미 적용 중이라는 것을 안다
• 고위험 분류의 두 경로(부속서 I / 부속서 III)와 각각의 적용 시점이 다르다는 것을 설명할 수 있다
• 2026년 개정으로 고위험 적용 시점이 미뤄졌다는 것과, 그래도 제50조는 걸린다는 것을 안다
• 고위험 의무 중 제9·10·14·15·72조가 요구하는 QA 증거를 각각 하나씩 들 수 있다
• ISO/IEC 42001이 경영시스템 표준이고 25059 계열은 제품 평가 기준이라는 차이, 그리고 42001 인증이 규제 적합성을 대체하지 않는 이유를 설명할 수 있다
• 국내 AI 기본법의 공포일과 시행일, 고영향 AI·생성형 AI 두 축을 안다
• 세 제도의 중복 요구를 하나의 증거 묶음 + 매핑 표로 대응하는 방식을 설계할 수 있다
• 조문 번호·시행일을 인용할 때 1차 출처 확인 습관(출처·확인 날짜 기록)을 갖고 있다

흔한 실수

• "2026년 8월부터 고위험 의무" 라고 말한다. 2026년 개정으로 부속서 III는 2027-12-02, 부속서 I은 2028-08-02로 미뤄졌다. 개정 전 숫자가 자료에 많이 남아 있다.
• 고위험이 미뤄졌으니 할 일이 없다고 본다. 금지 관행·AI 리터러시·GPAI는 적용 중이고, 제50조 투명성은 2026-08-02에 걸린다.
• 발효일과 적용일을 같은 것으로 쓴다. 발효는 2024-08-01이고 의무는 단계별로 시작한다. 고위험 경로도 하나가 아니다 — 부속서 I과 III는 적용 시점이 다르다.
• ISO/IEC 42001 인증으로 규제 적합성을 주장한다. 경영시스템 인증은 프로세스 증거이고, 제품 적합성은 따로 증명해야 한다.
• 25059 계열을 인증 제도로 소개한다. 제품 품질 모델·평가 지침이고 인증 스킴이 아니다.
• 산출물이 있으면 증거가 됐다고 본다. 모델 버전·데이터 식별자·판정자·날짜가 붙지 않은 시험 결과는 적합성 증거로 쓰기 어렵다.
• 제14조 사람의 감독을 문서로만 충족한다. 개입·중단이 실제로 되는지 시험한 기록이 없으면 증거가 아니다.
• 2차 자료의 날짜를 그대로 옮긴다. 이 분야에서 가장 흔한 오류원이다. 조문과 개정 규정을 직접 열고 확인 날짜를 남긴다.

참고 자료

• EUR-Lex — Regulation (EU) 2024/1689 (Artificial Intelligence Act) — 정본. 제113조가 발효·적용 시점을, 제5조가 금지 관행을, 제6조와 부속서 I·III가 고위험 분류를 정한다
• EUR-Lex — Regulation (EU) 2026/1744 — 2026년 개정 규정(디지털 옴니버스). 고위험 적용 시점 연기의 정본. 조문 문구는 이 링크에서 확인
• EU AI Act — Implementation Timeline — 시점별 정리. 조문 통합본과 함께 교차 확인용으로 쓴다
• IEC Webstore — ISO/IEC 42001:2023 — 지정·제목·판(제1판, 2023-12-18)·범위. Annex A 통제 목록은 표준 본문 구매·열람으로 원문 확인
• 국가법령정보센터 — 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 — 제정·개정 이력과 현행 조문. 공포 2025-01-21 / 시행 2026-01-22. 시행령·고시 세부 기준과 계도 기간은 소관 부처 공지로 원문 확인
• ISTQB® Certified Tester AI Testing Syllabus v2.0 GA (PDF, 2026/04/17) — 1.1.8 AI 규제와 표준
• 이 커리큘럼 안: 모듈 18b 레슨 6 「AI 규제와 표준 입문」, 모듈 36 레슨 1 「ISO/IEC 25059」, 모듈 36 레슨 2 「TS 25058 평가 계획」, 모듈 36 레슨 4 「TR 24027 편향」, 모듈 38 레슨 5 「배포 게이트와 판정 기록」, 이 모듈 레슨 2~4(증거의 실체)