요약

  • 개정된 AI법은 세 개의 서로 다른 경로를 유지한다. 회원국 감독 하에 있는 시스템을 위한 국가 규제 샌드박스, 유럽연합 기관을 위한 EDPS의 기관 실험, 그리고 제75조(1)항이 그 범위를 제한하는 선택적 AI Office 샌드박스가 그것이다. 공통의 명칭이 세 기관의 권한을 하나로 합치지는 않는다.
  • 샌드박스 참여는 통제되고 조건부다. 참여가 시정 권한이나 제3자에 대한 책임을 제거하지 않으며, AI법의 제한적인 과금 면제는 합의된 계획의 이행, 그리고 다른 법의 경우 해당 법을 담당하는 기관의 적극적인 감독과 안내에 따른다.

하나의 명칭, 세 개의 권한 원천

샌드박스라는 말은 혁신 기업이 규제 감독 하에 시스템을 시험할 수 있는 장소처럼 들린다. 법적 질문은 더 구체적이다. 어떤 공공기관이 시스템, 실험, 그리고 그 사용이 수반하는 규칙에 대한 권한을 갖는가? 유럽연합의 개정 AI법은 이 질문에 하나의 만능 입구로 답하지 않는다.

국가 차원에서 제57조는 각 회원국이 2027년 8월 2일까지 최소 하나의 AI 규제 샌드박스를 운영하도록 보장할 것을 요구한다. 회원국은 협력하여 하나를 설립할 수 있으며, 동등한 범위를 제공하는 기존 샌드박스에의 참여가 이 의무를 충족할 수 있다. 따라서 요구 사항은 모든 국가가 별도의 시설을 구축하는 것이 아니라, 국가 감독 권한 내에 있는 시스템을 위한 접근 가능한 국가 경로가 존재하는 것이다.

연합 차원의 경로는 다르다. 제57조(3a)항은 AI Office가 제75조(1)항의 범위 내 시스템을 위한 샌드박스를 설립할 수 있다고 규정한다. 이 조항은 정의된 시스템 집단에 대해 AI Office에 배타적인 감독과 집행을 부여한다. 동일 공급자 또는 동일 기업 내에서 범용 AI 모델을 기반으로 구축된 특정 시스템(목록에 열거된 예외를 조건으로)과, 지정된 초대형 온라인 플랫폼 또는 검색엔진을 구성하거나 그에 통합된 시스템이 그 대상이다. 이 규칙은 배포자(deployer)가 스스로 공급자이거나 동일 기업에 속하는 경우에만 배포자에게도 적용된다. 모든 고위험 시스템, 모든 대형 기술 기업, 국경을 넘어 판매하는 모든 공급자를 위한 일반 경로가 아니다.

이 구분은 신청자가 서류를 준비하기 전에 중요하다. 하나의 시스템이 서로 다른 법률이나 공공 기능에 걸치기 때문에 조직은 여러 감독 기관을 마주할 수 있다. AI Office의 잠재적 샌드박스는 그 좁은 제75조(1)항 감독 범위에 관한 것이며, 그 범위 밖 시스템에 대한 국가 권한을 흡수하지 않는다. 또한 개정문은 AI Office가 이미 이 경로를 개설하였거나 신청을 접수하였다는 것을 규정하지 않는다. 허용적인 법적 권한이 운영 능력의 증거는 아니다.

EDPS 파일럿은 서로 다른 기관 실험이다

EDPS는 또 다른 역할을 한다. 유럽연합 기관, 기구, 사무소 및 산하기관에 대한 감독이다. 2025년에 시작한 예비 파일럿에 대한 EDPS의 공개 설명은 유럽연합 기관들이 제안할 수 있는 잠재적 사용 사례를 위해 절차를 시험하고 실무 경험을 쌓으려는 노력으로 묘사한다. EDPS의 2026년 3월 AI Act Compass는 이 파일럿이 제57조 엄밀한 의미의 샌드박스를 제공할 수 있는지 판단하는 데 도움이 되도록 의도되었다고 말한다.

제57조(3)항은 EDPS가 유럽연합 기관, 기구, 사무소 및 산하기관을 위한 샌드박스를 설립하는 것을 명시적으로 승인한다. 파일럿은 그 수임에 대한 준비의 증거이지, 완전한 법정 시설이 이미 운영 중이라는 증명이 아니다.

이 설명이 유용한 것은 바로 파일럿과 완전히 운영되는 법정 시설을 구분하기 때문이다. 규제 당국은 공식 서비스에 착수하기 전에 접수, 문서화, 기술적 대화, 내부 조정을 시험할 수 있다. 그러한 준비는 인력이나 절차상의 문제를 드러낼 수 있다. 그러나 그 교훈이 신청자에게 성숙하고 보편적으로 이용 가능한 경로가 존재한다는 것을 확립하지는 않으며, EDPS 파일럿은 AI Office 샌드박스가 아니다. 두 기관은 서로 다른 규제 대상 집단을 담당하고 서로 다른 법적 권한을 행사한다.

집행위원회의 2026년 9월 이사회 권고안 제안은 더 넓은 정책 층위를 추가한다. COM(2026)568은 여러 부문에 걸친 규제 샌드박스 공통 원칙을 제안한다. 그 주제는 부문 간 조정이며, AI법 제58조 이행 법령이 아니고 그 자체로 AI Office 샌드박스를 만들지 않는다. 이 수단들을 상호 교환 가능한 것으로 다루면, 공유되는 실무에 관한 제안을 특정 법정 경로의 운영에 관한 허위 주장으로 바꾸게 된다.

협력은 권한을 합치지 않으면서 기관들을 연결할 수 있다

이 법은 감독 기관들이 함께 일할 것을 기대한다. 제57조는 실험이 그들의 책임 범위에 들어올 때 국가 유능 기관이 데이터보호 기관과 기타 관련 규제자를 참여시킬 것을 요구하고, 필요한 경우 AI Board를 통해 국가 기관들, EDPS 및 AI Office 간 조정을 규정한다. 이는 각 기관 고유의 과업과 권한에 의해 경계 지워진 조정 의무다.

그 경계는 단순히 헌법적이 아니라 운영적이다. 공급자는 누가 계획을 승인하는지, 누가 컴플라이언스 안내를 하는지, 누가 시험을 모니터링하고 중단할 수 있는지 알아야 한다. 두 번째 기관의 회의 참석이 그 기관이 자기 법에 따라 해당 활동을 감독했다는 것을 반드시 의미하지는 않는다. 이 구분은 안내가 법적으로 관련성을 갖는지, 위험이 다루어졌는지, 그리고 실험이 규제 경계를 넘을 때 누가 책임을 지는지를 결정할 수 있다.

제57조는 공급자 또는 예비 공급자와 유능 기관이 합의한 특정 계획에 따라 운영되는 통제된, 기간이 제한된 환경을 묘사한다. 적절한 보호장치가 요구되며, 해당될 때 감독하에 진행되는 실환경 시험도 포함될 수 있다. 따라서 샌드박스는 먼저 배포한 뒤 사후 정상화할 수 있는 허가가 아니다. 합의된 계획이 통제 표면이다. 그 계획은 시험의 내용, 기간, 보호장치, 모니터링, 보고, 참여 종료 조건을 명시해야 한다.

참여는 일부 집행 노출을 바꾸지만 근본 위험은 바꾸지 않는다

법적 효과는 규제적 편의에 관한 일반적 약속보다 좁다. 제57조는 감독 및 시정 권한을 유지한다. 중대한 보건·안전·기본권 위험이 있으면 완화되어야 하고, 효과적인 완화가 불가능하면 유능한 국가 기관이 시험이나 참여를 중단할 수 있다. 이 법은 또한 실험으로 인해 제3자에게 발생한 손해에 대해 참여자가 연합 법과 국내법에 따라 책임을 지는 것을 유지한다.

과금 조항은 조건부다. 합의된 계획과 참여 조건을 준수하고 기관의 안내를 선의로 따르는 예비 공급자는 해당 규칙이 다루는 AI법 위반에 대해 행정상 과금을 받지 않는다. 다른 연합 법 또는 국내법의 위반에 대해서는, 해당 법에 따라 책임을 지는 기관이 감독에 적극 참여하고 컴플라이언스 안내를 제공한 경우에만 이 보호가 적용된다. 이는 민사 책임, 기타 구제수단, 또는 시스템에 적용될 수 있는 모든 법에 대한 면책이 아니다.

인센티브는 이러한 한계에서 따라 나온다. 신뢰할 수 있는 샌드박스는 규제 기대를 더 구체적으로 만들고 문제를 더 일찍 드러낼 수 있다. 그러나 그 가치는 안내의 질과 계획의 명확성에 달려 있다. 신청자가 경계 지어진 논의를 승인으로 오해하면, 기관이 의도한 적 없는 신호를 근거로 투자나 배포 결정을 내릴 수 있다. 반대로 여러 규제자를 요구하면서도 주 결정자를 지명하지 않는 절차는 위험 소유권을 명확하게 하지 않은 채 참여 비용만 높일 수 있다.

시금석은 경로가 사용되기 전에 읽힐 수 있는가이다

주시해야 할 즉각적 증거는 홍보성이 아니라 기관적이다. 제58조 이행 규칙의 공표와 그 신청 자료, AI Office가 선택적 경로를 설립했는지에 대한 명확한 설명, 2027년 의무를 충족하는 기존 또는 공동 샌드박스가 무엇인지에 대한 국가별 설명, 그리고 역량 구축과 법정 서비스를 계속 구분하는 EDPS 보고가 그것이다. 제58조 의견수렴은 2025년 12월부터 2026년 1월까지 진행되었으나, 여기서 검토한 공식 자료는 그 이후 최종 이행 법령이 채택되었는지를 확립하지 않는다.

신청자에게 실질적 접근은 이러한 결정이 어떻게 가시화되는지에 달려 있다. 유능 기관의 공개 지도, 명시적인 회신 절차, 표준화된 종료 보고서는 참여자가 실험과 규제적 인가를 구분하는 데 도움이 될 수 있다. 이들은 구현 선택지이지 기존의 보장이 아니다. 운영 규칙과 경로가 문서화되기 전까지는 법적 구조를 일상적 이용 가능성보다 더 자신 있게 서술할 수 있을 뿐이다.

세 경로는 단일 유럽 고속로가 되지 않으면서도 실험을 지원할 수 있다. 그 정당성은 관할, 안내, 모니터링, 책임 사이의 추적 가능한 연결에 달려 있다. 개설된 시설의 수는 불완전한 척도다. 더 나은 척도는 참여자와 시스템의 영향을 받는 사람이 누가 어떤 결정을, 어떤 보호장치 하에, 어떤 개입 권한으로 감독했는지 식별할 수 있는가이다.

법적 분석은2026년 7월 27일 기준 AI법 통합본과규정 2026/1744를 사용하였다. EDPS 파일럿 설명은AI Act Compass 2026–2027에서 가져왔다. 부문 간 제안은COM(2026)568이며, 그 상태는EUR-Lex 절차 파일에 기록되어 있다. 제58조 초안에 대한 의견수렴은 최종 법령이 채택되었다는 증거로 다루지 않는다.

제58조 의견수렴과 EDPS 기관 맥락에 관한 추가 출처:제58조 이행 법령 초안에 대한 유럽위원회 의견수렴;유럽위원회 AI 혁신 생태계;통합 AI법 ELI 기록;규정(EU) 2026/1744 EUR-Lex 원문;위원회 이행 규정 초안 Ares(2025)10569703;EDPS AI 감독 페이지;EDPS 기관 의제;EDPS 2025년 연차보고서 보도자료.