유럽연합 AI법(EU AI Act)이 학습 성과 평가·시험 부정행위 감지에 쓰이는 AI를 고위험 시스템으로 규정하면서, GDPR에 이어 LMS 벤더들의 두 번째 규제 파고가 다가오고 있다.
2026년 8월 2일, 유럽연합 AI법(EU AI Act)의 고위험(High-Risk) AI 시스템 관련 조항이 시행 대상에 들어간다. 대상에는 교육 분야가 명시적으로 포함돼 있다. 학생의 입학·수강 자격을 결정하거나, 학습 성과를 평가하거나, 시험 중 부정행위를 감지·모니터링하는 AI 시스템이 모두 '고위험'으로 분류된다. 온라인 시험 중 얼굴 인식으로 학습자를 감시하는 프록터링(proctoring) 소프트웨어를 쓰는 유럽 대학·기업이라면 이미 이 규정의 사정권 안에 들어와 있다는 뜻이다. GDPR이 '학습자 데이터를 어떻게 저장·처리하는가'를 규율했다면, AI법은 그 위에 '학습자를 평가·감시하는 AI를 어떻게 검증하는가'라는 새로운 층을 얹는다.
GDPR이 이미 바꿔놓은 LMS의 기본값
AI법 이전에 LMS 업계가 먼저 통과한 관문이 GDPR이다. 개인정보 처리 위반 시 최대 2천만 유로 또는 전 세계 매출의 4% 중 높은 금액을 과징금으로 부과할 수 있다는 조항 때문에, 유럽에서 영업하는 LMS 벤더들은 데이터 최소화, 동의 이력 관리, 열람·정정·삭제 등 정보주체 권리 처리, 암호화, 감사 로그(audit log), EU 역내 데이터 거주(data residency)를 사실상 표준 기능으로 갖추게 됐다. 특히 기업과 LMS 벤더 사이의 관계가 '컨트롤러(처리 목적을 정하는 쪽)'와 '프로세서(위탁받아 처리하는 쪽)'로 명확히 나뉘면서, 데이터 처리 계약서(DPA) 체결이 계약 협상의 필수 단계로 자리 잡았다.
AI법이 얹는 두 번째 층 — '평가하는 AI'의 검증
AI법 부속서(Annex III)는 고위험 영역으로 교육 분야의 AI 활용을 네 갈래로 규정한다. 입학·수강 자격 결정, 학습 성과 평가, 적정 교육 수준 판정, 그리고 시험 중 금지행위 감지·모니터링이다. 특히 마지막 항목—AI 프록터링—은 생체 인식(얼굴 인식 등)까지 함께 쓰일 경우 별도의 생체 정보 관련 고위험 조항까지 중첩 적용될 수 있어 규제 강도가 한층 높아진다. 흥미로운 점은 이 규정의 적용 범위가 EU에 본사를 둔 기업에 한정되지 않는다는 것이다. EU 시장에 AI 제품을 출시하거나 EU 학습자에게 영향을 미치는 서비스를 제공한다면, 본사가 어디에 있든 규제 대상이 될 수 있다.
시행 시점을 둘러싼 불확실성
다만 시행 일정 자체가 유동적이라는 점은 유의해야 한다. 현재 법 조문상 고위험 조항의 적용 시점은 2026년 8월 2일이지만, 이른바 '디지털 옴니버스(Digital Omnibus)' 정치적 합의를 통해 이 시점을 2027년 12월 2일로 미루는 방안이 논의되고 있다. 다만 해당 합의는 아직 공식 입법으로 확정되지 않았기 때문에, 현재로서는 2026년 8월이라는 기존 법정 시한이 유효한 기준으로 남아 있다. 유럽에 서비스를 제공 중이거나 준비 중인 기업이라면 '유예될 수도 있다'는 전망만 믿고 대응을 늦추기보다는 원래 시한에 맞춰 준비하는 편이 안전하다는 것이 실무자들의 공통된 조언이다.
- 고위험 분류 대상 — 입학·수강 자격 결정, 학습 성과 평가, 교육 수준 판정, 시험 부정행위 감지·모니터링 AI
- 생체 인식 연동 프록터링 — 얼굴 인식이 포함되면 별도의 고위험 조항까지 중첩 적용
- 역외 적용 — 본사 소재지와 무관하게 EU 시장·EU 학습자 대상 서비스면 규제 대상
- GDPR과의 관계 — AI법은 GDPR을 대체하지 않고, 데이터 처리 규율 위에 AI 검증 의무를 추가하는 구조
- 불확실성 — 시행 시점을 2027년 12월로 늦추는 합의가 논의 중이나 아직 공식 발효되지 않음
GDPR과 AI법, 무엇이 다른가
| 구분 | GDPR | EU AI법(Annex III 고위험) |
|---|---|---|
| 규율 대상 | 학습자 개인정보의 수집·저장·처리 | 학습자를 평가·감시·판정하는 AI 시스템 자체 |
| 핵심 의무 | 동의 관리, 데이터 최소화, DPA 체결, EU 역내 데이터 거주 | 위험 관리 체계, 인간 감독, 정확도·편향 검증, 기술문서 구비 |
| 과징금 수준 | 최대 2천만 유로 또는 전 세계 매출의 4% | 위반 유형에 따라 최대 3,500만 유로 또는 전 세계 매출의 7%까지 거론 |
| 현재 시행 시점 | 이미 전면 시행 중(2018년~) | 법정 시한 2026년 8월 2일(유예 논의 중, 미확정) |
GDPR이 '데이터를 어떻게 지키는가'의 문제였다면, AI법은 '그 데이터로 학습자를 평가할 자격이 있는가'를 묻는 문제다.
유럽 진출을 준비하는 한국 이러닝·LMS 기업이라면 두 가지를 함께 챙겨야 한다. 첫째, GDPR 대응—동의 관리, DPA, EU 리전 데이터 저장—은 이제 진입 장벽이 아니라 기본 전제로 봐야 한다. 둘째, 학습 성과 자동 채점이나 온라인 시험 부정행위 감지 같은 AI 기능을 유럽 고객에게 제공할 계획이라면, 8월 시행 시한을 기준으로 위험 관리 문서와 인간 감독 절차를 지금부터 준비해야 한다. 시행이 미뤄질 가능성에 기대를 걸기보다, 현행 법정 시한에 맞춰 움직이는 쪽이 훨씬 안전한 전략이다.
