EU AI법 데이터베이스 등록: 제49조의 요건과 적용 시점

AI법 제49조는 부속서 III에 열거된 고위험 AI 시스템의 제공자에게, 시스템을 시장에 출시하거나 서비스를 개시하기 전에 자신과 해당 시스템을 EU 데이터베이스에 등록하도록 요구합니다. 부속서 III 시스템이 고위험이 아니라고 판단한 제공자도 더 짧은 항목으로 등록합니다. 그런 시스템을 사용하는 공공기관도 마찬가지입니다.

데이터베이스는 아직 열리지 않았습니다. 등록 의무가 실제로 적용되기 시작하는 날짜는 2026년 7월에 바뀌었고, 개정 규정에 남은 입법상의 틈 때문에 제49조의 적용 시점을 두고 두 가지 해석이 나왔습니다. 이 글은 2026년 10월 2일 기준의 상황을 정리한 것입니다.

등록 의무자

부속서 III 고위험 시스템의 제공자: 제49조 제1항

부속서 III은 여덟 개 영역을 다룹니다. 생체인식, 핵심 기반시설, 교육 및 직업훈련, 고용·근로자 관리 및 자영업 접근, 필수 민간 서비스와 필수 공공 서비스 및 혜택에 대한 접근, 법 집행, 이주·망명 및 국경 통제 관리, 사법 행정 및 민주적 절차입니다. 이 표제 아래 열거된 구체적인 사용 사례에 쓰이도록 의도된 시스템은 제6조 제3항에 따라 제외되지 않는 한 제6조 제2항에 따라 고위험입니다.

이런 시스템을 시장에 출시하거나 서비스를 개시하기 전에 제공자 "또는 해당하는 경우 역내 대리인"이 자신과 시스템을 등록합니다.

제49조 제1항 밖에 있는 범주가 두 가지 있습니다. 부속서 III 제2호의 핵심 기반시설 시스템은 제49조 제5항에 따라 국가 차원에서 등록합니다. 그리고 부속서 I에 해당하는 규제 대상 제품에 들어간 고위험 AI는 아예 제49조에 따라 등록하지 않습니다. 제49조 제1항이 부속서 III만 언급하기 때문입니다.

자기 시스템이 고위험이 아니라고 판단한 제공자: 제49조 제2항

제6조 제3항에 따르면 제공자는 부속서 III 시스템이 의사결정 결과에 실질적인 영향을 미치지 않는 등 건강, 안전 또는 기본권에 중대한 위해 위험을 초래하지 않는 경우 그 시스템이 고위험이 아니라고 판단할 수 있습니다. 이때 네 가지 조건 중 하나를 충족해야 합니다. 첫째, 시스템이 좁은 범위의 절차적 작업을 수행합니다. 둘째, 이전에 완료된 인간 활동의 결과를 개선합니다. 셋째, 의사결정 패턴이나 그 패턴에서 벗어난 것을 탐지하되, 적절한 인간 검토 없이 이미 완료된 인간의 평가를 대체하거나 그에 영향을 미치기 위한 것이 아닙니다. 넷째, 부속서 III의 사용 사례와 관련된 평가의 준비 작업을 수행합니다.

자연인을 프로파일링하는 시스템은 어느 조건을 충족하든 언제나 고위험입니다.

제6조 제4항에 따라 제공자는 시스템을 시장에 출시하기 전에 그 평가를 문서화하고, 국가 관할 당국이 요청하면 그 문서를 제출하며, 제49조 제2항에 따라 등록합니다.

유럽연합 집행위원회의 디지털 옴니버스(Digital Omnibus) 제안은 제49조 제2항을 삭제하려 했습니다. 이 삭제안은 받아들여지지 않았으므로, 스스로 고위험이 아니라고 판단한 제공자도 여전히 부속서 VIII B절을 사용해 등록합니다. 다만 옴니버스로 B절은 짧아졌습니다. 제7호와 제9호(판단 근거의 간단한 요약, 시스템이 제공되는 회원국)가 삭제되었습니다. 등록 항목에는 여전히 근거로 삼은 제6조 제3항의 조건이 들어가지만, 그 논거는 당국이 요청할 수 있는 제6조 제4항의 기록에만 남습니다. 예외를 주장한다고 데이터베이스에서 빠지는 것은 아닙니다. 오히려 귀사의 입장이 공개 등록부에 오르고, 그 뒤에 있는 서면 평가는 시스템을 출시하기 전에 갖춰져 있어야 합니다.

고위험 시스템을 배포하는 공공기관: 제49조 제3항

공공기관, EU의 기관·기구·사무소·청, 또는 이들을 대신해 행동하는 자인 배포자는 부속서 III에 열거된 고위험 시스템(이 경우에도 제2호는 제외)의 서비스를 개시하거나 사용하기 전에 등록합니다. 자신을 등록하고, 데이터베이스에서 해당 시스템을 선택한 뒤 그 사용을 등록합니다.

공급업체에 가장 중요한 규칙은 제26조 제8항에 있습니다. 사용하려는 시스템이 등록되지 않은 것을 알게 된 공공 부문 배포자는 그 시스템을 사용해서는 안 되며, 제공자나 유통업자에게 이를 알려야 합니다. 배포자 자신의 등록 항목(부속서 VIII C절)에는 제공자 등록 항목의 URL을 적어야 합니다. 귀사의 항목이 있어야 공공 부문 고객이 등록을 마칠 수 있습니다.

민간 부문 배포자에게는 제49조에 따른 등록 의무가 없습니다.

법 집행, 이주, 망명 및 국경 통제 관리 분야에 속하는 부속서 III 제1호, 제6호, 제7호의 시스템은 데이터베이스의 보안이 적용된 비공개 구역에 들어갑니다(제49조 제4항). 그 밖에 제49조에 따라 등록된 내용은 모두 제71조 제4항에 따라 공개됩니다.

EU 밖의 제공자: 제22조

EU 밖에 설립된 제공자는 고위험 시스템을 EU 시장에 공급하기 전에 서면 위임으로 EU에 설립된 역내 대리인(authorised representative)을 지정해야 합니다. 부속서 III 시스템에 대해서는 이 의무가 2027년 12월 2일부터 적용됩니다. 대리인 정보는 A절 또는 B절의 제3호에 들어가고, 제22조 제3항 (e)호는 등록 자체에서도 대리인에게 역할을 부여합니다.

제22조 위반에는 제99조 제4항 (b)호에 따라 최대 1,500만 유로 또는 전 세계 연간 총매출액의 3% 중 높은 금액의 과징금이 부과되며, 중소기업과 소형 중견기업(small mid-cap)에는 둘 중 낮은 금액이 적용됩니다.

제공자를 위해 등록 항목을 제출했다고 해서 그 사람이 제공자의 역내 대리인이 되지는 않습니다. 부속서 VIII은 제출자(제2호)와 대리인(제3호)을 따로 열거하며, 다른 사람을 대신해 제출한다고 제22조의 의무가 충족되지 않습니다.

등록 의무의 적용 시점

규정(EU) 2026/1744가 바꾼 것

AI에 관한 디지털 옴니버스는 2026년 7월 8일 자 규정(EU) 2026/1744가 되었고, 7월 24일 EU 관보에 게재되어 2026년 7월 27일 발효했습니다. 이 규정은 제6조 제1항을 2027년 8월 2일부터 적용하도록 정했던 제113조 제3단락 (c)호를 대체했습니다. 새 (c)호에 따라 제3장 제1절, 제2절, 제3절은 제6조 제5항을 제외하고 부속서 III 시스템에는 2027년 12월 2일부터, 부속서 I 시스템에는 2028년 8월 2일부터 적용됩니다.

이 날짜들은 확정된 날짜입니다. 제안 단계에서는 고위험 규칙의 적용 개시를 조화 표준의 마련 여부에 연동했지만, 이 연동 장치는 빠졌습니다. 집행위원회가 공개한 제113조 통합본은 채택된 내용을 보여 주지만, AI Act Service Desk의 FAQ 일부는 아직 예전 방식을 설명하고 있습니다.

제49조를 둘러싼 입법상의 틈

제49조는 표준, 적합성 평가, 인증서, 등록을 다루는 제3장 제5절에 있습니다. 새 제113조 (c)호는 제1절부터 제3절까지만 언급합니다. 문언 그대로 읽으면 제5절은 일반 적용일인 2026년 8월 2일에 그대로 남아 있습니다.

그 해석이 기댈 데는 별로 없습니다. 제49조 제1항은 부속서 III에 열거된 고위험 시스템에 적용되는데, 그 시스템을 고위험으로 만드는 제6조가 유예되었습니다. 운영자에게 등록 의무를 지우는 조항들도 유예되었습니다. 제공자의 의무는 제16조 (i)호, 역내 대리인의 의무는 제22조 제3항 (e)호, 공공 부문 배포자의 의무는 제26조 제8항에 있습니다. 제99조 제4항의 과징금은 제49조 자체가 아니라 이 조항들에 연결되어 있습니다. 그리고 등록할 데이터베이스가 없습니다.

해설은 엇갈립니다. 적어도 한 해석은 문언을 따라 2026년 8월 2일로 봅니다. Euractiv가 보도한 집행위원회 서비스 데스크의 답변은 2027년 12월을 가리킵니다. 저희는 2027년 12월 2일을 기준으로 작업하며, 그래도 컴플라이언스 문서에는 이 틈을 적어 두겠습니다.

이미 시장에 나와 있는 시스템: 제111조 제2항

개정된 제111조 제2항에 따르면, 제3장 적용일 이전에 시장에 출시된 고위험 시스템은 그 이후 설계가 중대하게 변경된 경우에만 적용 대상이 되며, 변경 여부는 유형과 모델별로 판단합니다. 개발이 계속 진행 중인 시스템이라면 이 완화 조치는 설계가 처음 중대하게 바뀔 때까지만 유효합니다. 공공기관이 사용하도록 의도된 고위험 시스템의 제공자와 배포자는 어떤 경우에도 2030년 8월 2일까지 요건을 충족해야 합니다.

날짜 정리

등록하는 곳: 제71조의 데이터베이스

제71조에 따라 집행위원회는 회원국과 협력해 EU 데이터베이스를 구축하고 유지합니다. 데이터베이스는 아직 운영되지 않습니다. Euractiv가 보도한 2026년 7월 9일 자 AI Act Service Desk의 답변은 "이 데이터베이스는 아직 개설되어 운영되고 있지 않습니다"라고 했고, 개통 예상 시기를 2027년 3분기로 제시했습니다(답변에 관한 보도). 2차 자료입니다. 집행위원회는 개통일을 발표하지 않았습니다.

지금은 누구도 시스템을 등록할 수 없습니다. 등록해 주겠다는 제안을 받으면, 정확히 무엇을 어디에 제출하겠다는 것인지 물어보십시오.

등록 항목: 부속서 VIII

• A절의 대부분은 어차피 갖춰야 할 문서를 되풀이합니다. 사용 설명서(제13조)와 EU 적합성 선언서(제47조)는 같은 시스템과 같은 의도된 목적을 기술하며, 등록 항목이 이를 다르게 기술해서는 안 됩니다.
• 인증기관을 기재할 부속서 III 제공자는 많지 않을 것입니다. 제43조 제2항에 따라 제2호부터 제8호까지는 부속서 VI의 내부 통제 절차를 따릅니다. 제1호의 생체인식 시스템에는 인증기관이 필요할 수 있습니다.
• 데이터와 작동 논리에 대한 설명은 공개됩니다. 경쟁사를 포함한 일반 독자가 읽는다고 생각하고 쓰십시오.
• 상태 항목은 제출로 끝나지 않습니다. 시스템을 철수하거나 회수할 때 등록 항목을 책임질 사람이 있어야 합니다.

제공자를 대신한 제출

부속서 VIII은 제공자가 아닌 다른 사람이 제출하는 경우를 예정하고 있습니다. A절과 B절의 제2호는 "제공자를 대신하여 다른 사람이 정보를 제출하는 경우" 그 사람의 이름, 주소, 연락처를 요구하고, C절의 제2호는 배포자에 대해 같은 내용을 요구합니다. 제71조 제5항에 따라 데이터베이스에는 등록을 책임지는 자연인으로서 "제공자를 대리할 법적 권한" 또는 배포자를 대리할 법적 권한이 있는 사람의 이름과 연락처가 담깁니다.

따라서 규정은 제공자의 권한 아래 제3자가 제출하는 것을 상정하고 있습니다. 구체적인 방식까지 정하지는 않습니다. 포털이 제출자를 어떻게 식별할지, 제출 권한을 어떻게 증명할지, 한 조직이 자기 접속 권한으로 다른 조직을 대신해 제출할 수 있을지 집행위원회는 밝히지 않았습니다. 이 가운데 확인된 것은 아직 없습니다.

합리적인 계획이라면 두 경우를 모두 대비합니다. 제공자를 대리할 권한이 있는 자연인을 명시한 서면 위임장, 그리고 귀사 직원이 처음부터 다시 시작하지 않고도 직접 제출할 수 있을 만큼 완성된 등록 서류입니다.

포털이 열리기 전에 할 일

1. 목록을 만들고 분류하십시오. AI 시스템마다 해당하는 부속서 III 항목이 있는지, 있다면 무엇인지, 그리고 귀사가 그 시스템의 제공자인지 배포자인지 기록하십시오.
2. 고위험이 아니라고 보는 모든 시스템에 대해 제6조 제4항의 기록을 지금 작성하십시오. 제6조 제3항의 조건을 명시하고, 시스템이 의사결정 결과에 실질적인 영향을 미치지 않는 이유를 설명하고, 프로파일링 문제를 명시적으로 다루십시오.
3. 출시 계획을 2027년 12월 2일과 대조하십시오. 그날부터 처음 시장에 출시되는 시스템이나 설계가 중대하게 바뀌는 기존 시스템은 출시 전에 등록 항목이 있어야 합니다.
4. 부속서 VIII의 내용을 초안으로 작성하고 사용 설명서 및 적합성 선언서와 맞추십시오. 적합성 작업이 아직 진행 중이라면, 초안을 통해 문서끼리 어긋나는 곳을 일찍 찾아낼 수 있습니다.
5. EU 밖에 있다면 역내 대리인을 정하십시오. 대리인 정보가 등록 항목에 들어갑니다.
6. 공공 부문 고객에게 등록 항목이 언제쯤 생길지 알려 주십시오. 고객의 C절 항목에는 귀사의 URL이 필요하고, 제26조 제8항은 등록되지 않은 시스템의 사용을 금지합니다.
7. 담당자를 정하십시오. 귀사를 대리할 법적 권한이 있는 사람, 그와 다르다면 제출자, 그리고 이후 등록 항목을 관리할 사람입니다.

등록 항목 뒤에는 기술 문서, 로그 기록, 적합성 증빙이 있습니다. 저희가 엔지니어링 프로젝트로 수행하는 AI법 컴플라이언스 작업이 바로 그것입니다. 제50조는 별개의 과제이며, 투명성 의무 가이드에서 다룹니다.

등록 서류를 지금 준비하기

저희는 AI 시스템 1개당 고정 요금으로 분류를 부속서 III과 제6조 제3항에 비추어 검토하고, 해당하는 경우 제6조 제4항의 기록 초안을 작성하고, 완성된 부속서 VIII 등록 서류를 지금 준비한 뒤, 데이터베이스가 열리면 귀사의 위임에 따라 제출합니다. 데이터베이스가 제공자를 대신한 제출을 받지 않으면 요금 중 제출에 해당하는 부분을 환불하고, 직접 제출하시는 과정을 안내해 드립니다. 제22조의 역내 대리인 역할은 서비스에 포함되지 않습니다. 자세한 내용은 등록 서류 서비스 페이지에서 보시거나 상담을 예약하실 수 있습니다.