EU AI Act 역외 적용과 모로코 등 제3국 기업 파급 분석

총괄 요약

EU AI Act는 역내 사업장 유무와 무관하게 유럽 고객에게 서비스를 제공하는 제3국 기업까지 규제 대상으로 포섭한다. 모로코 사례는 프랑스 기업에 스코어링 소프트웨어를 판매하는 순간 '제공자' 지위가 발생하는 구조를 보여주며, 프랑스어권 콜센터·BPO 산업 전반이 AI 자동화와 규제 준수라는 이중 압박에 노출돼 있다. EU는 2026년 8월 투명성 의무 집행과 ChatGPT 등 초대형 온라인 플랫폼 지정을 통해 대형 사업자 중심으로 단계적 집행을 확대하고 있으며, 이는 유예가 아니라 규제 대상 확대의 전조로 해석해야 한다. 한국 기업은 EU向 서비스의 '제공자' 지위 여부를 선제 점검하고, 제3국 경유 진출 시 현지 파트너사의 컴플라이언스 리스크를 자사 리스크로 관리해야 한다. 규제 순응을 비용이 아닌 유럽 발주처 대상 경쟁 우위로 전환하는 전략적 접근이 필요하다.

I. 이슈 상황분석

EU AI Act 역외 적용과 모로코 등 제3국 기업 파급: 이슈 상황분석

1. 배경 및 경과

EU AI Act는 2024년 발효 이후 단계적으로 적용 범위를 넓혀왔다. 2026년 8월 2일부로 유럽집행위원회는 신규 투명성 의무의 집행을 시작했다. 챗봇 등 대화형 AI 시스템은 이용자에게 AI와 상호작용 중임을 고지해야 한다[2]. 딥페이크 콘텐츠에도 라벨 표시 의무가 부과됐다[2]. 이 규정의 핵심은 역외 적용 조항이다. EU 역내에 사업장을 두지 않아도 유럽 고객에게 서비스를 제공하면 규제 대상이 된다.

모로코 현지 매체 Le Matin du Sahara는 이 문제를 자국 기업 시각에서 직접 다뤘다. 모로코 기업이 스코어링 소프트웨어를 프랑스 기업에 판매하는 경우를 구체적 사례로 제시했다[1]. 이 경우 해당 모로코 기업은 AI Act상 "제공자(fournisseur)"로 분류될 수 있다[1]. 매체는 이 논리가 일부 전문직 이용자에게도 적용된다고 지적했다[1]. 즉 모로코의 AI 개발사뿐 아니라 유럽 클라이언트에게 아웃소싱 서비스를 제공하는 B2B 사업자 전반이 잠재적 규제 대상이라는 것이다.

이는 모로코 경제구조와 맞물려 파급력이 크다. 모로코는 프랑스어권 콜센터·BPO 산업의 거점으로, 유럽 기업의 백오피스 업무를 대거 위탁받아왔다. 모로코 노동조합총연맹(UMT) 산하 콜센터·아웃소싱업 전국연맹은 정부에 보낸 공문에서 이 업종이 "결정적 전환점"에 놓였다고 경고했다[17]. 외국 규제 신설과 AI·자동화 확산이 겹치면서 수천 개 일자리가 위협받고 있다는 것이다[17]. 이 연맹은 동시에 선제적이고 공정한 정책이 뒷받침되면 위기가 기회로 바뀔 수 있다고 덧붙였다[17].

2. 현재 상황

EU 집행위는 AI Act 시행과 병행해 디지털서비스법(DSA) 집행도 강화하고 있다. 2026년 8월 31일 EU는 ChatGPT를 처음으로 "초대형 온라인 플랫폼"으로 지정했다[9][12][14]. Reddit, Roblox도 동시에 지정 대상에 올랐다[9][10]. 지정 요건은 EU 역내 월평균 이용자 4,500만 명 이상이다[10]. 이들 서비스는 지정 통보 후 4개월 내, 즉 2027년 1월까지 불법 콘텐츠, 미성년자 보호, 선거 과정, 공공 안보 등에 대한 시스템적 위험을 평가하고 완화할 의무를 진다[10]. EU 기술담당 집행위원 헨나 비르쿠넨은 "ChatGPT, Reddit, Roblox는 이제 시민과 사회에 미치는 큰 영향에 걸맞은 더 높은 수준의 감독과 책임 기준을 적용받게 될 것"이라고 밝혔다[9].

모로코 내에서는 AI Act와는 별개로 개인정보보호 규율도 동시에 강화되는 흐름이다. 모로코 개인정보보호국가위원회(CNDP)는 9월 23일 총선을 앞두고 각 정당에 개인정보 처리 관련 준수 의무를 통지했다[5]. AI로 생성된 콘텐츠에 대한 표시 의무도 함께 고지됐다[5]. 이는 EU발 규제와 국내 선거 데이터 규율이 겹치는 상황에서, 모로코 정부·기업이 이중의 컴플라이언스 압박에 노출되고 있음을 보여준다.

3. 주요 행위자 및 입장

유럽집행위원회(DG CONNECT)는 AI Act와 DSA를 하나의 규제 패키지로 운용하며 역외 사업자에 대한 집행 의지를 명확히 하고 있다[2][10]. 위원회 입장에서 역외 적용은 예외가 아니라 설계 원리다. 유럽 시민에게 서비스를 제공하는 한 사업장 소재지는 문제되지 않는다는 논리다.

모로코 기업 및 업계 단체는 이를 갑작스러운 부담으로 받아들이고 있다. Le Matin du Sahara가 지목한 스코어링 소프트웨어 사례처럼, 유럽 고객을 상대하는 모로코 IT·핀테크 기업은 자신이 "제공자" 지위에 해당하는지부터 법률 검토가 필요한 상황이다[1]. UMT 산하 콜센터연맹은 정부에 업종 보호를 위한 개정을 요구하며, 이 문제를 일자리 문제로 프레이밍하고 있다[17].

모로코 정부(CNDP 등 국내 규제기관)는 EU 규범과는 별도로 국내 데이터 보호 법제를 가동 중이다[5]. 다만 이것이 AI Act 대응을 위한 국가 차원의 전략으로까지 연결되고 있는지는 현재 자료상 확인되지 않는다.

리비아 등 인접 역외국 정부는 AI 거버넌스 국제 논의에 참여하는 방식으로 대응하고 있다. 리비아 디지털경제·AI 담당 국무장관 지아드 알하자지는 제네바 AI 거버넌스 국제대화에 참석해, 지속가능발전목표에 부합하는 국제 협력에 동참하겠다는 입장을 밝혔다[16]. 이는 개별 기업 차원의 컴플라이언스 대응과는 결이 다른, 정부간 규범 형성 참여 전략이다.

미국 빅테크(OpenAI 등)는 EU의 DSA·AI Act 이중 규제망에 편입되면서 컴플라이언스 비용이 늘어나는 처지다[9][12][14]. 다만 이들은 EU 시장 접근성을 포기할 수 없는 규모의 이용자 기반을 보유하고 있어, 규제 수용 외에 다른 선택지가 제한적이다.

4. 핵심 쟁점

첫 번째 쟁점은 "제공자" 지위 판정의 모호성이다. 모로코 기업 사례처럼, 유럽 고객에게 알고리즘 기반 서비스를 판매하는 것만으로 AI Act 적용 대상이 될 수 있는지에 대한 법적 경계가 아직 판례로 축적되지 않았다[1]. 이는 모로코뿐 아니라 유럽에 아웃소싱 서비스를 제공하는 모든 역외 사업자에게 해당하는 불확실성이다.

두 번째 쟁점은 고용 충격과 규제 대응 능력의 비대칭이다. 모로코 콜센터·BPO 산업처럼 저임금 반복 업무에 의존해온 산업은 AI 자동화 확산과 EU 규제 부담을 동시에 감당해야 하는 처지에 놓였다[17]. 대형 다국적 기업과 달리 컴플라이언스 전담 인력을 갖추지 못한 중소 아웃소싱 업체에는 규제 대응 자체가 진입장벽으로 작용할 수 있다.

세 번째 쟁점은 EU 규범의 사실상 국제표준화 가능성이다. AI Act와 DSA가 결합되면서, 유럽 시장에 접근하려는 전 세계 사업자는 사업장 소재지와 무관하게 EU 기준을 준수해야 하는 구조가 굳어지고 있다[2][9][10]. 이는 "브뤼셀 효과"의 AI 버전으로, 미중 중심의 기술패권 경쟁 구도에 EU발 규범 경쟁이라는 세 번째 축을 추가하는 양상이다[7]. 모로코와 같이 미중 어느 진영에도 속하지 않는 제3국은 규범 형성 과정에는 참여하지 못한 채 규칙 수용자 위치에 머무를 가능성이 크다.

II. 이슈 심층분석

EU AI Act 역외 적용과 모로코 등 제3국 기업 파급: 이슈 심층분석

1. 근본 원인 분석

AI Act의 역외 적용 조항은 우연한 입법 실수가 아니다. EU는 GDPR 이래 "브뤼셀 효과"를 규범 수출 전략으로 명시적으로 활용해왔다. 역내 시장 규모를 지렛대로 삼아 제3국 사업자에게 EU 기준을 강제하는 방식이다. AI Act도 이 계보를 그대로 잇는다. 모로코 기업이 프랑스 기업에 스코어링 소프트웨어를 판매하는 순간 "제공자" 지위를 얻는 구조는[1] EU 역내 사업장 유무가 아니라 EU 시장 접근 여부를 규제 기준으로 삼았기 때문이다.

이런 설계의 배경에는 EU 내부의 산업정책적 계산이 있다. EU는 미국·중국에 비해 자체 AI 모델 경쟁력이 뒤처진다는 인식을 갖고 있다. 모델 개발 경쟁에서 밀리는 대신 규범 제정 권한을 선점해 시장 규칙을 설계하는 전략을 택한 것이다[7]. ChatGPT를 초대형 온라인 플랫폼으로 지정하며 4,500만 이용자 기준을 적용한 것도[10] 같은 논리의 연장선이다. 미국계 빅테크가 EU 시장에서 압도적 점유율을 갖는 현실에서, 이용자 수 기준 규제는 사실상 미국 기업을 정조준하는 결과를 낳는다[12][14].

모로코 사례에서 근본 원인은 하나 더 있다. 모로코 경제의 대유럽 서비스 의존 구조다. 모로코 콜센터·아웃소싱 산업은 프랑스어 능력과 인건비 우위를 바탕으로 프랑스·벨기에 기업의 백오피스 업무를 오랜 기간 흡수해왔다. 이 산업이 이제 AI 자동화와 EU 규제라는 이중 압박을 동시에 받게 됐다는 것이 UMT 산하 연맹의 진단이다[17]. 즉 역외 규제 파급은 법 조문 자체보다 모로코 산업구조가 유럽 발주처에 종속돼 있다는 사실에서 비롯된다.

2. 구조적 맥락

정치적으로 보면 EU 집행위는 회원국 간 규제 파편화를 막기 위해 단일 법제를 강제해야 하는 입장에 있다. 27개 회원국이 각자 AI 규율을 만들면 역내 단일시장 자체가 흔들린다. AI Act는 이 조정 비용을 역외 사업자에게 전가하는 방식으로 해결한다. 역내 기업과 역외 기업에 동일 기준을 적용해야 경쟁 왜곡 논란을 피할 수 있기 때문이다. 이 논리가 결과적으로 모로코 같은 비회원국 기업에도 그대로 적용되는 것이다.

경제적 구조는 비대칭적이다. EU는 세계 최대 단일시장 중 하나로, 시장 접근권을 무기로 규제 순응을 요구할 협상력을 갖는다. 반면 모로코 기업 입장에서는 EU 고객을 포기하는 대안이 사실상 존재하지 않는다. 모로코 아웃소싱 산업의 매출 기반 자체가 유럽 발주에 있기 때문이다[17]. 이런 비대칭성은 GDPR 당시 이미 확인된 패턴이다. 당시에도 EU 밖 기업들은 유럽 고객 데이터를 다루려면 GDPR 순응 외에 선택지가 없었다.

안보적 맥락에서는 미중 기술패권 경쟁이 배경으로 작용한다. 미국은 자국 AI 모델의 해외 확산을 국가 전략으로 밀고, 중국은 오픈웨이트 모델의 무료 배포로 개발도상국 시장을 공략한다[3]. 이 구도에서 EU는 모델 경쟁이 아니라 규범 경쟁으로 존재감을 확보하려 한다. 모로코를 포함한 아프리카·중동 국가들은 미중 어느 진영에도 완전히 속하지 않은 채, 이제 EU 규범까지 세 번째 축으로 받아들여야 하는 처지에 놓였다. 리비아가 제네바 AI 거버넌스 대화에 참여한 것도[16] 이런 다극적 규범 압력 속에서 자국 입장을 확보하려는 움직임으로 볼 수 있다.

3. 역사적 선례 및 유사 사례 비교

가장 직접적인 선례는 GDPR이다. 2018년 시행된 GDPR은 EU 역내 정보주체의 데이터를 처리하는 모든 사업자에 역외 적용됨을 명문화했다. 당시 다국적 기업들은 EU 대리인 지정, 데이터보호책임자 선임 등 컴플라이언스 비용을 대거 부담했다. AI Act는 이 모델을 그대로 계승하면서 적용 대상을 데이터 처리에서 AI 시스템 공급·이용으로 확장했을 뿐이다. 다만 AI Act는 GDPR보다 한 단계 더 나아가 "제공자"뿐 아니라 특정 조건의 "이용자"까지 규제 대상에 포함시킬 수 있다는 점에서[1] 역외 파급 범위가 넓다.

DSA 역시 유사한 역외 확장 논리를 보여준다. ChatGPT, Reddit, Roblox가 초대형 온라인 플랫폼으로 지정된 것은[9][10] 사업장 소재지가 아니라 EU 역내 이용자 규모라는 단일 기준에 따른 결과다. TikTok, Meta가 이미 같은 규제를 적용받고 있었다는 점에서[12] EU는 플랫폼 규제에서 이미 한 차례 역외 적용 경험을 축적한 상태다. AI Act는 이 경험을 AI 시스템 영역에 이식한 것에 가깝다.

개발도상국 관점에서 참고할 선례는 오히려 드물다. GDPR 시행 당시 아프리카·중동권 기업들은 대체로 수동적으로 대응했을 뿐, 모로코처럼 자국 언론이 구체적 업종별 리스크를 짚어낸 사례는 상대적으로 이례적이다[1]. 이는 모로코의 대유럽 서비스 수출 의존도가 그만큼 높고, 규제 리스크가 실물 고용 문제로 즉각 전이되는 구조이기 때문이다[17].

4. 이슈 전개의 핵심 변수

첫 번째 변수는 EU 집행위의 집행 강도다. AI Act 조문상 역외 적용 범위는 넓지만, 실제 단속과 제재가 EU 역내 기업에 집중될지, 역외 협력사에까지 미칠지는 아직 불확실하다. 2026년 8월 이후 시행된 투명성 의무 집행이[2] 향후 역외 사업자에게까지 실질적으로 적용되는 사례가 나오는지가 관건이다.

두 번째 변수는 모로코를 포함한 제3국의 국내 입법 대응 속도다. CNDP가 총선을 앞두고 정당들에 AI 생성 콘텐츠 표시 의무를 통지한 것은[5] 모로코가 이미 독자적 규율 체계를 일부 갖추고 있음을 보여준다. 이런 국내 제도가 EU 기준과 정합성을 갖추는 방향으로 발전한다면 모로코 기업의 이중 컴플라이언스 부담은 완화될 수 있다. 반대로 두 체계가 어긋난 채 병존한다면 부담은 가중된다.

세 번째 변수는 콜센터·BPO 업계의 협상력이다. UMT 산하 연맹이 정부에 요구한 "선제적이고 공정한 정책"이[17] 실제 정책으로 구체화되는지가 이 업종의 생존을 좌우한다. 자동화로 인한 구조조정 압력과 EU발 규제 준수 비용이 동시에 오는 상황에서, 모로코 정부가 산업 전환 지원책을 마련하지 못하면 고용 충격이 먼저 가시화될 가능성이 크다.

네 번째 변수는 미중 규범과의 경쟁 관계다. 아프리카 시장에서 중국이 오픈웨이트 모델을 무료로 확산시키는 전략을[3] 계속 밀어붙이는 한, EU식 고비용 컴플라이언스 모델은 상대적으로 매력을 잃을 수 있다. 모로코 기업이 유럽 고객 대신 규제 부담이 낮은 다른 시장으로 사업 축을 옮길 유인이 커질지 여부가 향후 EU 규범의 실질적 구속력을 가늠하는 시험대가 될 것이다.