제26조 고위험 AI 시스템의 배포자 의무(Obligations of Deployers of High-Risk AI Systems)는 고위험 AI 시스템을 실제 사용하는 배포자(Deployer)에게 운영상의 책임을 규정하고 있다. 시스템 출시 이후 실제 운용 과정에서 발생할 수 있는 위험을 관리하기 위한 조항으로 제공자는 기술적 완성도를 확보하고 배포자는 사용 단계에서 위험을 통제한다.
EU는 AI를 한 번 완성된 제품이 아닌 운용 중에도 학습·적응·갱신이 일어나는 '진화하는 시스템’으로 본다. 따라서 위험 예방을 위해 개발자뿐만 아니라 시스템을 실제로 사용하는 주체에게도 관리 책임을 부과해야 한다는 것이 입법 출발점이며, 제26조에서는 이러한 운용 단계 책임(Operation-level responsibility) 개념을 제도화한 것이다.
배포자는 고위험 AI 시스템 사용 시 제공자의 사용 지침에 따라 기술적·조직적 조치를 마련해야 한다. 시스템의 목적, 입력 데이터, 운영 환경이 지침과 다르게 설정되면 예기치 않은 결과가 발생할 수 있기 때문이다.
배포자는 인간 감독(Human oversight)을 담당할 감독자를 지정해야 하며, 이 감독자는 충분한 역량, 권한, 교육, 지원을 갖추어야 한다. EU가 강조하는 인간 중심 AI(Human-centric AI) 원칙이 실제 운영 단계에서 실현되도록 한 조항이다.
입력 데이터를 관리하는 배포자는 데이터가 시스템의 사용 목적에 부합하며 충분한 대표성을 갖추었는지 확인해야 한다. 데이터 편향으로 인한 차별, 오류, 부정확한 예측을 방지하기 위함이다.
배포자는 시스템의 작동 상태를 지속적으로 모니터링해야 하며, 이상 징후나 위험 가능성이 발견되면 즉시 제공자에게 통보하고 사용을 중단해야 한다. 사용 지침을 그대로 따르더라도 '제79조 위험 발생 시 조치(Actions in Case of Risks) 제1항’에 따른 위험이 발생할 우려가 있다고 판단되면 지체 없이 제공자·유통업자·시장감시당국에 알리고 운용을 중단해야 한다.
심각한 사고 발생 시에는 제공자, 수입자나 유통업자, 감독 당국 순으로 보고해야 한다. 제공자와 연락이 불가능할 경우 '제73조 심각한 사고에 대한 정보 공유(Information Sharing on Serious Incidents)'의 절차가 적용된다. 다만 법집행 당국의 경우 작전상 민감한 정보(Sensitive operational data)는 보고 대상에서 제외되며, 이미 EU 금융서비스법의 규제를 받는 금융기관은 해당 규정을 충족하면 본 조항의 모니터링 의무를 이행한 것으로 본다.
배포자는 사후 검증과 책임 추적이 가능하도록 고위험 AI 시스템의 작동 과정에서 자동으로 생성되는 로그를 직접 접근하거나 관리할 수 있는 범위 내에서 보관해야 한다. 로그의 보관 기간은 최소 6개월 이상 유지해야 하는데 다른 연합법이나 회원국 법에서 별도의 기간을 정한 경우에는 그 기준을 따른다.
특히, 직장에서 고위험 AI 시스템 사용 시 배포자는 근로자와 그 대표에게 사전 통보해야 하는데, 이는 채용, 평가, 감시 등 AI에 의한 자동화된 의사결정이 근로자의 권리와 기본권에 영향을 미치지 않도록 보장하기 위함이다.
공공기관, EU 기관, 기관 사무국 등 공공 부문 배포자는 공공부문의 투명성과 행정적 책임을 확보하기 위해 '제49조 등록 의무(Registration Obligations)'를 준수해야 하며, 사용할 시스템이 '제71조 고위험 AI 시스템의 EU 데이터베이스(EU Database for High-Risk AI Systems)'에 등록되어 있지 않다면 사용할 수 없다.
배포자는 '제13조 투명성 및 정보 제공 요건(Transparency and Provision of Information to Users)'에 따라 제공된 정보를 활용하여 GDPR 제35조 또는 지침(EU) 2016/680 제27조에 따른 데이터 보호 영향평가(DPIA)를 수행해야 한다. 즉, AI가 개인의 권리나 프라이버시에 미칠 영향을 사전에 평가하는 절차다. 또한 공공기관, 공공서비스 제공 민간기관, 부속서 Ⅲ의 5(b)©호 시스템 배포자는 '제27조 데이터 보호 영향평가(Data Protection Impact Assessment)'에 따라 기본권 영향평가(FRIA)를 수행해야 한다. DPIA를 이미 수행한 경우 FRIA가 이를 보완하는 형태로 작성된다.
사후 원격 생체인식(Post-remote biometric identification) 관련 고위험 AI 시스템을 범죄 수사에 사용하는 경우, 원칙적으로 사법 당국 또는 독립된 행정기관의 사전 승인을 받아야 한다. 다만 긴급한 경우에는 승인 없이 사용을 시작할 수 있으며, 48시간 이내에 승인을 요청해야 한다. 승인이 거부되면 즉시 사용을 중단하고 관련 데이터도 삭제해야 한다.
이 시스템은 범죄사건, 실종자 수색 등 특정 상황에서만 사용할 수 있으며, AI 결과만으로 법적 불이익을 주는 결정은 금지된다. 모든 사용 내역은 경찰 기록에 남겨야 하고, 시장감시당국이나 개인정보보호당국이 요청할 경우 이를 제출해야 한다. 또한 배포자는 사용 현황에 대한 연간 보고서를 관련 당국에 제출해야 한다.
개인에게 영향을 미치는 결정을 내리거나 이에 도움을 주는 경우, 배포자는 해당 개인에게 자신이 AI 시스템의 적용 대상임을 통지해야 한다. 법집행 목적의 경우 지침(EU) 2016/680 제13조가 적용된다. 배포자는 관할 당국이 고위험 AI 시스템과 관련해 취하는 조치에 협조해야 하며, 조사·감독·시정조치 등 행정 절차에 적극 협력해야 한다.
제26조는 AI의 운용 단계에서 인간의 감독, 데이터의 품질, 위험의 사전 통제, 결과의 투명성 확보를 핵심으로 한다. 배포자는 시스템이 실제로 인간의 삶과 상호작용하는 지점에 위치하기 때문에 EU는 배포자를 기술적 운영자이자 인권 보호의 최전선 책임자로 본다.
AIA의 규제 구조는 "제공자가 기술적 안전성을 보증하고, 배포자가 인간적 안전성을 감시한다"는 이중 책임 원칙(Dual responsibility model)에 기초한다. 이는 제품안전규정, 금융감독제도 등 기존 EU 법체계의 운영자 책임 원칙을 AI 영역으로 확장한 것이며, AI의 신뢰성과 투명성을 확보하기 위한 제도적 핵심 수단이다.