감독 루프의 의무화: EU AI법이 바꾸는 '사람의 자리'

휴먼인더루프(human-in-the-loop)는 오랫동안 '권장 관행'이었다 — 좋은 설계였지, 지켜야 할 규칙은 아니었다. EU AI법(Regulation (EU) 2024/1689)이 그 지위를 바꾼다. 제14조는 고위험 AI 시스템에 '효과적 인간 감독(human oversight)'을 법적 의무로 못박았다. 루프 안의 사람이, 이제 규제 항목이 됐다.

이 무게는 이번 호가 세운 정의와 겹쳐 놓을 때 분명해진다. 루프 엔지니어링 — 사람이 매번 프롬프트하는 대신 AI 에이전트가 목표까지 '실행-검증-수정'을 스스로 반복하도록 시스템을 짜고 자리를 비우는 일(보리스 체르니·피터 슈타인베르거의 2026년 6월 발언에서 촉발돼 애디 오스마니가 명명한 개념) — 이 그리는 그림은 결국 '무인으로 도는 루프'다. 오스마니가 "방치된 루프는 실수도 방치한다"고 경고한 바로 그 지점에서, 고위험 AI에는 법이 정반대를 명령한다 — 사람이 루프 안에 남으라. 뒤에서 보듯 '자율성이 높을수록 감독도 무거워진다'는 제14조의 비례 원칙은, 커버가 세운 종료조건(Stop Rule)과 '엔지니어로 남으라'는 안목이 규제의 언어로 옮겨 앉은 것이다.

감독이라는 이름의 설계 명세

인간 감독은 고위험 요건군(제9~15조)의 하나로 다른 조항과 맞물린다 — 로그가 없으면 감독자가 무엇을 검토할지 알 수 없다. 제14조가 요구하는 건 막연한 '개입'이 아니라 구체적 설계 요건이다. 감독 조치는 위험·자율성 수준(level of autonomy)·사용 맥락에 '비례'해야 하고, 제공자(provider)가 내장하거나 배포자(deployer)가 구현한다. 자율성이 높을수록 감독도 무거워진다 — '자율성 슬라이더'가 규제 문서에 옮겨 앉은 셈이다. 시스템은 감독자가 다음을 할 수 있도록 설계돼야 한다. 역량과 한계를 이해해 이상·오작동을 감지하고, '사람이 봤으니 괜찮다'는 자동화 편향(automation bias)에 빠지지 않으며, 출력을 올바르게 해석하고, 무시·번복(override)하거나 '정지 버튼'으로 멈추는 것. 관찰·해석·번복·정지 — 뜯어보면 UI·로깅·권한·훈련의 설계 명세다.

가장 강한 통제는 생체인식에 붙는다. 원격 생체 식별 시스템(Annex III 1(a))은 식별 결과에 근거한 조치를 최소 2인이 별도 확인하기 전엔 내릴 수 없다 — '4-eyes' 규칙이다. 다만 사람을 끼워 넣은 것만으로 안전이 보장되진 않는다. ZEW(라이프니츠 유럽경제연구센터)의 요하네스 발터(Johannes Walter) 연구원은 인간 감독을 "만병통치약"으로 여기는 태도를 경계한 바 있다. 제14조 4항이 자동화 편향을 명시적 요건으로 못박은 이유이며, 형식적 검토자와 실제로 오류를 잡는 감독자는 다르다.

데드라인은 밀렸다, 요건은 아니다

시점은 최근 크게 바뀌었다. 고위험 의무 대부분은 원래 2026년 8월 2일 시행 예정이었지만, 2026년 상반기 'Digital Omnibus on AI' 개정으로 밀렸다. 이는 GDPR 등까지 손보는 광의의 'Digital Omnibus'와는 다른, 고위험 마감이 임박해 먼저 떼어내 처리한 AI법 전용 패키지다. 결과적으로 독립형 고위험(Annex III: 생체인식·핵심 인프라·교육·고용·국경 통제 등)은 2027년 12월 2일, 제품 내장형 고위험(Annex I)은 2028년 8월 2일이 새 적용일이다.

개정안은 정치적 합의(EC 기준 2026-05-07)를 거쳐 2026년 7월 8일 서명됐고, 7월 중순 기준으로는 관보(Official Journal) 게재를 기다리는 단계였다(발행 이후 갱신됐을 수 있다). 다만 바뀐 건 '언제부터'이지 '무엇을'이 아니다 — Omnibus는 제14조가 요구하는 감독의 내용을 바꾸지 않았다.

그래서 '연기'를 정확히 읽어야 한다. 세 갈래다. ① 이미 유효한 것 — 금지된 관행(제5조)·AI 리터러시는 2025년 2월 2일부터, 범용 AI(GPAI) 의무와 벌칙 규정은 2025년 8월 2일부터 적용 중이다. ② 연기 대상이 아니어서 예정대로 켜지는 것 — 제50조 투명성 의무(사용자에게 'AI와 상호작용 중'임을 고지 등)는 2026년 8월 2일 발효하며, 발행 시점(2026-07-22) 기준 코앞이다. ③ 실제로 밀린 것 — 제14조 인간 감독 등 고위험 요건 다수가 2027-12-02·2028-08-02로 넘어갔다. '데드라인이 밀렸다'가 '아무것도 안 켜졌다'는 아니다.

EU 밖에서도, 한국에서는 이미

연기를 '준비를 미뤄도 된다'로 읽으면 위험하다. 이 법은 EU 밖 팀에도 닿는다. 제2조는 EU 시장에 시스템을 출시하는 제공자(설립지 무관), 출력이 EU 안에서 쓰이는 역외 제공자·배포자, EU 내 수입자·유통자를 모두 사정권에 둔다. 유럽에 사무실이 없어도 출력이 EU에서 쓰이면 걸릴 수 있고, 이 발동 문턱은 GDPR의 '타깃팅'보다 낮다고 평가된다. 그런 고위험 제공자는 역내 공인 대리인(authorised representative, 제22조)을 둬야 한다 — 대리인은 적합성 선언·기술문서 검증과 문서 10년 보관을 맡되, 제공자 핵심 의무(제9~17조)를 대신 지진 못한다. 벌칙도 그대로다. 금지 관행 위반은 최대 3,500만 유로 또는 전 세계 연매출 7%, 고위험 등 의무 위반은 최대 1,500만 유로 또는 3% 중 높은 쪽이다.

국내 기준은 오히려 더 이르다. 한국 AI기본법('인공지능 발전과 신뢰 기반 조성 등에 관한 기본법')은 2026년 1월 22일 시행돼 EU에 이어 세계 두 번째 포괄적 AI 규제가 됐다. 이 법도 '고영향 인공지능'에 '사람의 관리·감독'을 안전성 확보 조치로 요구한다 — EU 제14조와 공명하는 인간 감독 의무가 국내에 이미 존재한다. 일정 규모 이상 해외 사업자엔 국내대리인 지정 의무(제36조)도 붙는다(예: 매출 1조 원 이상, AI 서비스 매출 100억 원 이상, 또는 직전 3개월 국내 일평균 이용자 100만 명 이상).

지금 시작할 것

고위험 요건은 리드타임이 길다. 위험관리 체계·감독자 훈련·로깅 인프라는 몇 달~몇 년짜리 준비다. 할 일은 조문이 알려 준다. ① 감독 지점을 문서화하고(제14조), ② 배포자로서 자동 생성 로그를 최소 6개월 보관하며(제26조), ③ 감독자에게 역량·훈련과 출력을 무시·번복할 실제 권한을 주고 그 권한을 제약하지 않으며(제14·26조), ④ 생체인식을 쓰면 2인 확인 절차를 세우고(제14조 5항), ⑤ EU 밖 제공자면 공인 대리인 지정과 EU 데이터베이스 등록을 준비하며(제22조), ⑥ 사용자 고지·설명가능성 등 투명성 요건(제13·50조)을 챙기는 것이다.

진짜 어려운 건 서류가 아니라 문화다 — 감독을 '컴플라이언스 체크박스'가 아니라 실제 AI 리터러시 투자로 다뤄야 형식적 검토자를 넘어선다. 연기된 것은 시계이지 설계도가 아니다. '루프 안의 사람'을 나중에 끼워 넣을 항목으로 미루면, 정작 UI·로깅·권한을 다시 짜야 하는 순간 시간이 없다. 감독 루프는 다 만든 뒤 덧대는 게 아니라 처음부터 함께 그리는 설계다 — 2027년의 EU가, 그리고 이미 2026년의 한국이 확인하려는 것이 바로 그 점이다.