제17부 규제 I — 국제·해외
17.15 EU의 비항공 민간 규제: AI법·GDPR·NIS2
17.15.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
17.11~17.14는 EU의 항공 규정(기본규정 2018/1139의 하위 규정)을 읽었다. 이 장은 항공 규정 밖에서 드론과 AAM에 닿는 EU의 수평 규제 셋, 곧 AI법(규정 2024/1689), GDPR(규정 2016/679), NIS2(지침 2022/2555) 를 읽는다. 세 법이 드론에 닿는 문은 서로 다르다. AI법은 제품 안전 부품이라는 경로로, GDPR은 센서가 개인을 식별할 수 있는 자료를 모으는 순간 모든 운영자에게, NIS2는 엔터티의 유형으로 닿는다. 원문은 EU 관보 본문(Publications Office)이고, 2026-07에 발효한 Digital Omnibus on AI(규정 2026/1744) 까지 읽었다.
배우는 것:
- AI법의 문 — 부속서 I 부 B의 20번은 기본규정 2018/1139 중 '무인 항공기와 그 엔진·프로펠러·부품·원격 조종 장비의 설계·생산·시장 출시'만 올린다. 이 경로의 고위험 AI에는 6조 1항과 102~112조만 직접 적용되고, 요건은 2018/1139의 13개 조항에 '3장 2절 요건을 고려한다'는 문장으로 들어간다. 유인 항공기는 이 목록에 없다(17.15.2.1).
- AI법의 일정 — 원문의 발효는 2024-08-01, 일반 적용일은 2026-08-02였다. Omnibus는 2026-07-24 관보, 2026-07-27 발효로 원문 일반 적용일의 6일 전에 발효하며 부속서 III 고위험을 2027-12-02(+487일), 부속서 I 고위험을 2028-08-02(+366일) 로 미뤘다(17.15.3.1).
- GDPR의 문 — '개인적·가정적 활동' 예외는 좁고, 개방 범주 UAS는 개인정보를 수집할 수 있는 센서가 있으면 등록해야 한다(2019/947 14조 5항). 공공 접근 구역의 대규모 체계적 감시는 DPIA가 필수이고(35조 3항 (c)), 침해는 72시간 안에 통지한다(33조)(17.15.2.2).
- NIS2의 문 — 부속서 I의 항공은 항공사·공항 관리 기관·ATC 운영자이고 부속서 II의 제조는 NACE C 30(기타 운송 장비)을 포함한다. 드론·AAM 사업자는 어느 유형에 해당하는지가 출발점이다(17.15.2.3).
- 공통 구조 — 세 법의 과태료 상한은 연 매출 5억 유로에서 고정액과 비율이 같아지고(허위 정보는 7억 5천만 유로), 사고 보고 시한은 24시간~15일에 걸쳐 한 사건에서 동시에 걸릴 수 있다(17.15.3.2·17.15.3.3).
선수 지식: 7.3~7.6(AI의 규제), 8.12·8.13(Part-IS·NIS2·CRA), 17.11(UAS 규정의 등록·GDPR 안내), 17.14(EASA의 VCA 패키지)를 읽었다고 가정한다.
특히 중요한 독자: 제조사는 17.15.2.1·17.15.2.3을, 운영자·서비스 사업자는 17.15.2.2·17.15.3.3을, 정책 담당자는 17.15.3.1·17.15.3.5를, 연구자는 17.15.3.2·17.15.3.9를 먼저 읽는다.
기준 시점과 정직성. 2026년 11월 기준이다. 원문을 읽은 것: EU 관보 본문(Publications Office의 XHTML)의 규정 (EU) 2024/1689(AI법) 조문 전체와 부속서 I·III·II의 일부, 규정 (EU) 2026/1744(Digital Omnibus on AI, 2026-07-08 서명, 2026-07-24 관보) 조문 전체, 규정 (EU) 2016/679(GDPR)의 2·3·25·33·34·35·83조, 지침 (EU) 2022/2555(NIS2)의 2·3·4·21·23·34·35·41~44조와 부속서 I·II의 해당 항목과 항공 관련 전문. Article 29 작업반, Opinion 01/2015 on Privacy and Data Protection Issues relating to the Utilisation of Drones(WP 231, 2015-06-16)의 요약·범위·5장 권고. EASA, Easy Access Rules for UAS(2026-06판)의 서문 (14)~(16), 14조 5항, GM1 UAS.SPEC.050(1)(a)(iv). 읽지 못한 것: AI법의 3장 2절(9~15조)·16~27조·40~41조·50조·51~56조·부속서 IV~XIII, 규정 2026/1744의 일부 조문(10·25·27·57·60·75·77·97조의 개정 본문 전부), GDPR의 5·6·9·13~22·24·32조 등 나머지, NIS2의 20·22·24~33조와 부속서 II의 나머지, 회원국의 NIS2 이행법과 이행 현황, EDPB 지침 3/2019의 본문(문서 쪽만 확인), CJEU Ryneš 판결 원문(WP29가 인용한 부분만), 집행위의 AI법 지침(금지 관행·고위험 분류), GDPR을 고치는 Digital Omnibus 제안의 진행(검색 요약으로 Council가 2026-10에 입장을 정했다고만 확인), 한국의 개인정보보호법·AI 기본법(18.2). 웹 검색으로만 읽은 것(2차): NIS2 이행 현황(2026-01 기준 27개 회원국 중 20개가 완료, 2026-07에 집행위가 네 나라를 CJEU에 회부했다는 보고)은 컨설팅·법무법인 글이라 확정이 아니다. 과태료 곡선·보고 시한·AI 경로 판정은 이 책의 계산과 정리이며 법적 자문이 아니다.
17.15.2 개념·직관
17.15.2.1 AI법 — 항공 규정으로 이어지는 문
AI법은 AI 시스템('다양한 자율 수준으로 작동하고 입력에서 예측·콘텐츠·추천·결정 같은 출력을 추론하는 기계 기반 시스템', 3조 1항)을 제공자·배포자·수입자 등에게 규율한다. 군사·국방·국가안보 전용 시스템은 적용 제외이고(2조 3항), 과학 연구 전용(2조 6항)과 시장 출시 전 연구·시험(2조 8항)도 제외된다. 개인정보법은 영향받지 않는다(2조 7항).
고위험의 두 경로(6조). ① 제품의 안전 부품이거나 AI가 그 자체로 제품이고, 그 제품이 부속서 I의 EU 조화 법령에 따라 제3자 적합성 평가를 받는 경우(6조 1항), ② 부속서 III의 용도(6조 2항)다. 부속서 III에는 원격 생체 식별·감정 인식(1번), 법 집행(6번), 이주·국경 관리(7번), 중요 인프라의 안전 부품(2번) 이 있다. 2번의 중요 인프라는 '중요 디지털 인프라, 도로 교통, 물·가스·난방·전기 공급' 이다. 항공 교통은 목록에 없다. U-space의 AI 서비스가 부속서 III에 해당하는지는 읽은 문서로 확정할 수 없다(해석, 확인 필요).
드론으로 가는 문은 부속서 I 부 B의 20번이다. 부 B는 항공·자동차·철도·해양처럼 자체 규정으로 안전을 규율하는 분야이며, 20번은 규정 2018/1139를 '2조 1항 (a)·(b)의 항공기 중 무인 항공기와 그 엔진·프로펠러·부품·원격 조종 장비의 설계·생산·시장 출시에 한해' 올린다. 결과는 두 가지다.
- 직접 적용이 줄어든다. 부 B 제품의 고위험 AI에는 6조 1항과 102~112조만 적용된다(2조 2항. 원문은 6조 1항·102~109조·112조였고 Omnibus는 6조 1항·60a조·102~112조로 고쳤다). 9~15조의 요건은 직접 적용되지 않는다.
- 요건은 항공 규정을 통해 들어간다. AI법 108조는 기본규정 2018/1139의 17·19·43·47·57·58조 여섯 곳에, Omnibus의 2조는 27·31·32·36·39·50·53조 일곱 곳에 '안전 부품인 AI 시스템에 관한 이행·위임 규칙을 채택할 때 AI법 3장 2절의 요건을 고려한다'는 문장을 더한다. 합하면 13개 조항이다. 요건의 내용은 EASA·집행위의 규칙이 정하며 이 장은 그 규칙이 이미 나왔는지 읽지 못했다(확인 필요, 7.3의 NPA 2025-07 서술 참고).
유인 항공기는 20번에 없다. 표현이 '무인 항공기'로 한정되므로 eVTOL의 조종 보조 AI가 6조 1항의 고위험이 되는 경로는 이 목록에 없다(해석). 그 AI는 부속서 III의 용도이거나 일반 의무(4조 AI 소양, 50조 투명성)의 대상이 된다. AAM의 AI는 17.14의 SC-VTOL·Part-IAM이 따로 규율한다.
금지 관행(5조)은 항공 경로와 관계없이 적용된다. 드론과 이어지는 것은 (h) 곧 법 집행의 '실시간' 원격 생체 식별을 공공 접근 공간에서 사용하는 것이다. 행방불명자·납치 피해자 수색, 구체적·임박한 위협 방지, 부속서 II의 범죄(최대 4년 이상의 구금형) 의 피의자 식별에만 허용되고, 사법·독립 행정 기관의 사전 승인(5조 3항)과 시장 감시 당국·개인정보 당국에의 통지(4항)가 따른다. 감정 추론은 직장·교육 기관에서 금지(f, 의료·안전 목적은 제외)이고 생체 분류로 인종·정치 성향 등을 추론하는 것도 금지(g)다. Omnibus는 동의 없는 친밀 영상·아동 성착취물을 생성하는 AI를 금지 목록에 더한다(5조 1항 (ba)(bb), 2026-12-02부터).
17.15.2.2 GDPR — 센서가 개인을 식별하는 순간
GDPR은 자동화된 수단으로 하는 개인정보의 처리에 적용되고(2조 1항), 순수한 개인적·가정적 활동과 법 집행 기관의 처리(별도 지침)는 제외된다(2조 2항 (c)(d)). 드론이 모으는 영상·음성·위치는 식별 가능한 사람이 있으면 개인정보다. WP29 의견은 가정 예외를 좁게 해석하라고 하며, 영상 감시가 공공 공간을 일부라도 향하면 순수한 가정적 활동이 아니라는 CJEU Ryneš 판결(C-212/13)을 인용한다(2차). 취미 비행자도 촬영이 이웃·공공 공간을 향하면 GDPR의 대상일 수 있다(해석).
항공 규정이 GDPR에 연결하는 곳이다.
| 규정 | 내용 |
|---|---|
| 2019/947 서문 (14)·(16)과 14조 5항 | 개방 범주에서 개인정보를 수집할 수 있는 센서가 달린 UAS의 운영자는 등록해야 한다(장난감 지침 2009/48/EC 준수 시 제외) |
| GM1 UAS.SPEC.050(1)(a)(iv) | 특정 범주 운영자는 GDPR 준수 절차를 여덟 항목으로 기술한다: 위험 식별, 통제자·처리자 역할, DPIA, 정보주체 인지, 최소 수집, 저장·접근 제한, 열람·정정·반대·삭제의 권리, 기타 |
GDPR의 설계 의무는 세 가지다. 25조는 통제자가 처리 수단을 정할 때와 처리할 때 기본적 개인정보 보호 설계(by design·by default) 를 하게 한다. 기본값은 목적에 필요한 개인정보만(수집량·처리 범위·저장 기간·접근성)이다. 35조 3항 (c) 는 공공 접근 구역의 대규모 체계적 감시에 DPIA를 요구한다. 33조는 침해를 안 때부터 72시간 안에 감독기관에 통지(지연되면 이유 첨부)하게 하고, 처리자는 통제자에게 지체 없이 알린다. 드론 서비스에서 운영자는 통제자, 클라우드·분석 사업자는 처리자가 되는 경우가 흔하며 2019/947의 안내가 역할 정의를 첫 단계로 둔다(14.28의 데이터 플랫폼).
WP29 의견(2015)은 GDPR 이전의 문서로 운영자·제조사·정책 입안자에게 권고한다. 운영자에게는 설계 단계의 보호, 개인정보 보호 책임자의 참여, 행동 강령, 드론과 조종자를 눈에 띄게 하기, 사적 영역 위 비행 회피를 권고한다(5.3). 정책 입안자에게는 사적 영역의 존중, 드론 포장에 침해 가능성 안내, DPIA 기준 마련, 조종사 자격·형식증명·운영 승인의 요건에 개인정보 보호 요소를 포함하는 것을 권고한다(5.2). 오늘의 규정 2019/947이 이 권고의 일부를 반영한 것인지는 읽지 못했다(확인 필요).
17.15.2.3 NIS2 — 엔터티의 유형으로 닿는 법
NIS2는 부속서 I(매우 중요한 부문)·II(그 밖의 중요한 부문)의 유형에 속하고 중간 규모 이상인 공공·민간 엔터티에 적용된다(2조 1항). 규모와 관계없이 적용되는 경우(2조 2항)에는 공공 전자 통신 서비스, 신뢰 서비스, 도메인 이름 서비스, 한 회원국에서 필수 서비스의 유일한 제공자, 중단이 공공 안전에 큰 영향을 줄 수 있는 엔터티가 있다. 부속서 I의 필수(essential) 엔터티는 중간 규모의 상한을 초과하는 경우이고 나머지는 중요(important) 엔터티다(3조).
| 부속서 | 항공·드론과 이어지는 항목 |
|---|---|
| I 운송(항공) | 항공사(상업 목적), 공항 관리 기관과 공항(핵심 공항 포함), 항공 교통 관제(ATC) 서비스를 하는 교통 관리 관제 운영자 |
| II 제조 | 컴퓨터·전자·광학 제품(C 26), 전기 장비(C 27), 기계(C 28), 자동차(C 29), 기타 운송 장비(C 30) 를 만드는 사업(NACE Rev. 2) |
UAS 운영자·USSP·버티포트 운영자는 이 이름으로 올라 있지 않다. 버티포트가 지침 2009/12/EC의 '공항'에 해당하는지는 읽지 못했다(확인 필요). 드론·eVTOL 제조사는 C 30에 해당하면 규모에 따라 중요 엔터티일 수 있다(해석). 제조사의 활동이 어느 NACE 코드인지는 사업자별로 확인한다.
의무. 21조 2항은 전 위험(all-hazards) 기반의 최소 열 가지 조치를 든다: 위험 분석·정보 시스템 보안 정책, 사고 처리, 사업 연속성, 공급망 보안, 개발·유지 보안과 취약점 처리, 효과 평가, 위생·교육, 암호, 인적·접근 통제, 다중 요소 인증·보안 통신. 23조 4항은 중대 사고에 24시간 조기 경보, 72시간 사고 통지, 최종 보고(통지 뒤 한 달) 를 요구한다. 34조는 필수 엔터티에 최소 1천만 유로 또는 2 %, 중요 엔터티에 최소 700만 유로 또는 1.4 % 의 과태료 상한(큰 값)을 회원국이 갖추게 한다. 35조는 같은 행위로 GDPR 과태료가 부과되면 NIS2 과태료를 부과하지 않는다고 적는다(이중 부과 금지).
항공과의 중첩. 4조 1항은 분야별 EU 법이 NIS2와 최소한 같은 효과의 의무를 주면 NIS2의 해당 조항(감독·집행 포함)이 적용되지 않는다고 하고, 항공 부문의 전문은 규정 300/2008과 2018/1139(와 그 하위 규정)의 보안 요건 준수를 NIS2 준수로 볼 수 있다고 적는다. 이 관계가 Part-IS(규정 2023/203) 와 어떻게 이어지는지는 8.12가 읽었다. 이행 기한은 2024-10-17(적용 2024-10-18)이었고 이행 현황은 읽지 못했다(2차 자료는 17.15.1).
17.15.3 원리 — 일정, 과태료, 시한의 계산
17.15.3.1 AI법의 일정과 Omnibus의 이동
관보에 적힌 날짜로 센 간격이다.
| 단계 | 날짜 | 간격 |
|---|---|---|
| AI법 서명 | 2024-06-13 | → 관보(2024-07-12) → 발효(관보 + 20일) |
| 발효 | 2024-08-01 | → 제I·II장(금지) 185일, 범용 AI·거버넌스 366일, 일반 적용일 731일, 6조 1항 1,096일 |
| 제I·II장(금지·AI 소양) | 2025-02-02 | |
| 범용 AI·거버넌스 | 2025-08-02 | |
| 일반 적용일(원문) | 2026-08-02 | |
| 6조 1항(원문) | 2027-08-02 | |
| Omnibus 서명 | 2026-07-08 | → 관보(2026-07-24) 16일, 발효(관보 + 3일) 2026-07-27 |
| Omnibus 발효 | 2026-07-27 | → 원문 일반 적용일까지 6일 |
Omnibus가 바꾼 날짜는 다음과 같다.
| 대상 | 원문 | Omnibus | 이동 |
|---|---|---|---|
| 부속서 III 고위험(6조 2항) | 2026-08-02 | 2027-12-02 | +487일 |
| 부속서 I 고위험(6조 1항) | 2027-08-02 | 2028-08-02 | +366일 |
| 신설 금지 5조 1항 (ba)(bb) | — | 2026-12-02 | 기준일에서 27일 뒤 |
| 50조 2항(합성 콘텐츠 표시, 기존 시스템) | — | 2026-12-02까지 준수(111조 4항) | |
| 금지 관행·AI 소양(제I·II장) | 2025-02-02 | 유지 |
기준일(2026-11-05)에서 부속서 III의 고위험까지 392일(1.07년), 부속서 I까지 636일(1.74년) 이다. Omnibus는 4조의 AI 소양도 '충분한 수준을 최선을 다해 보장하는 조치'(원문)에서 '지원하는 조치'로 바꾸었다. UAS의 부 B 경로에서는 이 이동이 직접 영향을 주지 않는다(6조 1항과 102~112조만 적용되므로). 영향은 항공 규정에 요건이 들어가는 시점에 달려 있다(확인 필요). 부속서 III의 용도(생체 식별, 법 집행, 국경 관리)로 사용하는 드론 AI는 2027-12-02가 기준이다. Omnibus는 또 2018/1139의 일곱 조항을 고쳐 요건 반영의 통로를 넓혔다.
17.15.3.2 과태료의 모양
기업의 과태료 상한은 고정액과 연 매출 비율 중 큰 값이고($F=\max(C,\,r\,T)$), AI법의 SME는 작은 값이다.
| 규정 | 고정액 $C$ | 비율 $r$ | 꺾이는 매출 $C/r$ |
|---|---|---|---|
| AI법 99조 3항(금지 관행) | 3,500만 유로 | 7 % | 5억 유로 |
| AI법 99조 4항(사업자 의무) | 1,500만 유로 | 3 % | 5억 유로 |
| AI법 99조 5항(허위 정보) | 750만 유로 | 1 % | 7.5억 유로 |
| GDPR 83조 5항 | 2,000만 유로 | 4 % | 5억 유로 |
| GDPR 83조 4항 | 1,000만 유로 | 2 % | 5억 유로 |
| NIS2 34조 4항(필수) | 1,000만 유로 | 2 % | 5억 유로 |
| NIS2 34조 5항(중요) | 700만 유로 | 1.4 % | 5억 유로 |
연 매출 1억 유로에서는 고정액이 상한이고(35·20·10·7백만 유로), 100억 유로에서는 700·400·200·140백만 유로다. 매출 50백만 유로의 SME는 AI법 금지 관행에서 $\min(35,\,0.07\times 50)=3.5$백만 유로가 상한이다. NIS2의 값은 회원국이 정해야 하는 최대 상한의 하한(회원국은 더 높게 정할 수 있다)이다. 세 법의 '큰 값' 규칙 때문에 작은 회사에는 고정액이, 큰 회사에는 비율이 상한이다. 이 값은 상한이며 실제 부과액이 아니다. 상한이 같은 곳에서 꺾인다는 것은 EU의 입법 관행이 비슷한 매출 기준을 사용한다는 뜻으로 읽을 수 있으나 이유는 읽지 못했다(해석).
17.15.3.3 동시에 걸리는 보고 시한
드론 서비스에서 운영 데이터를 담은 클라우드가 침해되어 개인정보가 노출되고 서비스가 장시간 중단되었다고 하자(설명용 사례). 한 사건이 세 법의 보고를 동시에 일으킬 수 있다.
| 법 | 시한(안 때부터) | 대상 |
|---|---|---|
| NIS2 23조 4항 (a) | 24시간 | 조기 경보(악의적 행위 여부, 국경 간 영향) |
| GDPR 33조 1항 | 72시간 | 감독기관(위험이 낮지 않은 침해) |
| NIS2 23조 4항 (b) | 72시간 | 사고 통지(초기 평가) |
| AI법 73조 3항 | 2일 | 광범위 침해·중요 인프라의 중대·비가역 교란 |
| AI법 73조 4항 | 10일 | 사망 |
| AI법 73조 2항 | 15일 | 그 밖의 중대 사고 |
| NIS2 23조 4항 (d) | 통지 뒤 한 달 | 최종 보고(30일로 두면 72 h + 720 h = 792 h) |
첫 24시간에 NIS2의 조기 경보를 내고 72시간까지 GDPR 통지를 함께 내는 것이 세 시계의 핵심이다. AI법의 시한은 고위험 AI의 제공자가 시장 감시 당국에 내며 이 사건이 AI 시스템의 오작동이 아니면 해당하지 않고, 고위험 분류가 적용되는 날(2027-12-02·2028-08-02)부터 의미가 있다(해석). NIS2의 '한 달'은 날짜 수를 정하지 않아 30일은 설명용 가정이다. 항공 쪽 발생 보고(규정 376/2014)와 Part-IS(2023/203)의 시한은 이 장이 읽지 못해 같은 그림에 넣지 못했다(8.12). 사건 하나가 서로 다른 수신처(CSIRT, 감독기관, 시장 감시 당국, 항공 당국)에 서로 다른 양식으로 보고된다는 점이 실무의 부담이다(해석).
17.15.4 규제와의 연결
- 국제. ICAO의 UAS·AAM 작업은 17.3, 규제 조화는 17.34다. EU 시장에 제품을 내는 비EU 제조사에도 AI법(2조 1항 (a)(c))과 GDPR(3조 2항)이 역외적으로 적용된다.
- 미국. 연방 차원의 대응하는 법은 없고 주 법과 부문 규칙이 있다(17.9의 사생활). FAA의 Remote ID는 항공 규정이고 개인정보법이 아니다(17.5).
- EU. 이 장의 세 법과 17.11(2019/947), 8.12·8.13(Part-IS·NIS2·CRA), 17.14(VCA). 제품 규정(CE·RED·CRA)은 17.18이다.
- 한국. 개인정보보호법·AI 기본법·정보통신망법은 읽지 못했다(확인 필요, 18.2).
- 세 축. 군용 드론은 해당 없음(BK-04, AI법 2조 3항의 군사 전용 제외만 적는다). 민간 UAS는 이 장 전체다. AAM은 AI법의 유인 항공기 공백(17.15.2.1)과 NIS2의 항공 유형이 함께 걸리는 곳이다.
17.15.5 설계·운용의 선택
- ① 제조사. AI 기능이 UAS의 안전 부품이면 부속서 I 부 B 경로이고, 요건은 EASA의 이행·위임 규칙을 따른다. 부속서 III의 용도(생체 식별·국경)이면 2027-12-02다. 두 경로를 제품 분류표에 적는다.
- ② 운영자. 센서가 사람을 식별할 수 있으면 통제자·처리자 역할, DPIA 필요 여부, 최소 수집, 저장 기간을 설계 단계에서 정한다(GM1 UAS.SPEC.050(1)(a)(iv)의 8항목). 개방 범주도 등록 대상일 수 있다.
- ③ 사업자. NIS2의 유형 해당 여부(부속서 I·II)와 규모를 확인하고, 해당하면 21조 2항의 열 가지 조치와 24h·72h·한 달의 보고 체계를 운영 절차에 넣는다. 항공 쪽 Part-IS와의 중복을 먼저 정리한다.
- ④ 사고 대응. 한 사건이 여러 수신처로 가므로 통합 사고 대응 절차에 시계를 첫 인지 시각부터 한 장에 둔다.
- ⑤ 정책 담당자. 항공 규정의 요건 반영(2018/1139의 13개 조항)과 AI법·GDPR·NIS2의 관계를 한 문서에서 정리한다.
견해: EU의 비항공 규제는 드론에 한 법이 아니라 세 개의 서로 다른 문으로 닿으며, 항공 규정이 수평 규제에 길을 열어 주는 정도는 AI법이 가장 크다고 본다. 근거는 17.15.2.1이다. AI법은 UAS를 '부속서 I 부 B'로 올려 직접 적용을 6조 1항과 102~112조로 줄이고 요건을 항공 규정의 13개 조항에 위임했다. 반면 GDPR과 NIS2는 항공 규정이 길을 열지 않으므로 운영자가 스스로 해당 여부를 판정해야 한다. 반론은 셋이다. 요건이 항공 규정에 언제 들어가는지 읽지 못했고, 유인 항공기의 공백이 의도인지 누락인지 알 수 없으며, 이 장은 NIS2의 이행법을 읽지 못했다. 그래도 어느 법이 어떤 문으로 오는지를 판정표로 가진 운영자와 그렇지 않은 운영자의 차이는 크다고 본다.
17.15.6 세 축 비교
| 비교 축 | 군용 드론 | 민간 UAS | AAM(UAM·RAM·화물) |
|---|---|---|---|
| AI법 | 해당 없음(BK-04, 2조 3항 제외) | 부속서 I 부 B 20번(UAS), 부속서 III 용도 | 유인 항공기는 20번에 없음, 부속서 III 용도 |
| GDPR | 해당 없음 | 센서가 식별 가능한 자료를 모을 때 전부 | 승객·지상 자료(예약, 영상) |
| NIS2 | 해당 없음 | 제조(C 30 등), 서비스 유형 확인 | 항공사·공항·ATC가 해당할 수 있다 |
| 과태료 상한 | 해당 없음 | 최대 7 %·4 %·2 %(고정액 병행) | 같다 |
| 항공 규정과의 관계 | 해당 없음 | 2018/1139에 13개 조항으로 반영 | 17.14의 SC-VTOL·Part-IAM |
17.15.7 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| 규정 (EU) 2024/1689(AI법) | 의회·이사회 | AI 시스템의 위험별 규율 | 7.3·7.5·17.15 |
| 규정 (EU) 2026/1744(Digital Omnibus on AI) | 의회·이사회 | AI법 적용일 이동, 2018/1139 개정 | 17.15 |
| 규정 (EU) 2016/679(GDPR) | 의회·이사회 | 개인정보 처리 | 14.28·17.15 |
| 지침 (EU) 2022/2555(NIS2) | 의회·이사회 | 사이버보안 위험 관리·보고 | 8.12·17.15 |
| Opinion 01/2015(WP 231) | Article 29 작업반 | 드론의 개인정보 권고(GDPR 이전) | 17.15 |
| 규정 2019/947(14조 5항, GM1 UAS.SPEC.050) | 집행위·EASA | 등록·GDPR 절차 안내 | 17.11·17.15 |
17.15.8 관련 규제·인증 요구와의 연결
| 이 장의 내용 | 일으키는 규제·인증 요구 | 장 |
|---|---|---|
| UAS의 AI 안전 부품 | 2018/1139의 이행·위임 규칙에 요건 반영 | 17.15 |
| 생체·법 집행 용도 | 5조 금지·부속서 III 고위험, 사전 승인 | 17.15 |
| 개인정보 센서 | 등록, DPIA, 최소 수집, 72시간 통지 | 17.11·17.15 |
| 사업자 유형 | NIS2 해당 여부, 열 가지 조치, 보고 | 8.12·17.15 |
| 제품 | CE·CRA·RED | 17.18 |
| 한국 | 개인정보보호법·AI 기본법 | 18.2 |
17.15.9 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| AI법의 고위험 요건이 드론에 그대로 적용된다 | UAS는 부 B 경로로 6조 1항과 102~112조만 직접 적용되고 요건은 항공 규정을 통해 들어간다 | 17.15.2.1 |
| 유인 eVTOL의 AI도 같은 경로다 | 부 B 20번은 무인 항공기만 올린다 | 17.15.2.1 |
| AI법 고위험은 2026-08-02부터다 | Omnibus로 2027-12-02(부속서 III)·2028-08-02(부속서 I) | 17.15.3.1 |
| 취미 비행은 GDPR 밖이다 | 가정 예외는 좁고 공공 공간을 향하면 대상일 수 있다 | 17.15.2.2 |
| 드론은 GDPR 대신 항공 규정만 따른다 | 항공 규정(14조 5항, GM1)이 GDPR 절차로 연결한다 | 17.15.2.2 |
| 모든 드론 사업자는 NIS2 대상이다 | 부속서 I·II 유형과 규모에 따른다. UAS 운영자는 이름으로 올라 있지 않다 | 17.15.2.3 |
| NIS2와 Part-IS는 별개로 이행한다 | 4조와 전문이 중첩을 줄인다 | 8.12 |
| 과태료는 매출의 7 %다 | 큰 값의 상한이며 5억 유로 아래에서는 고정액 | 17.15.3.2 |
| 한 사건은 한 번만 보고한다 | 24시간~15일의 여러 시한이 동시에 걸릴 수 있다 | 17.15.3.3 |
| 한국도 같다 | 읽지 못했다 | 17.15.4 |
17.15.10 체크포인트·연구 질문
체크포인트
- 부속서 I 부 B 20번이 UAS에 무엇을 올리고 어떤 조항만 직접 적용되는지 설명할 수 있는가?
- AI법의 원문 일정과 Omnibus의 이동(+487일, +366일)을 계산할 수 있는가?
- 가정 예외의 범위, 등록 조건, DPIA 조건, 72시간 통지를 말할 수 있는가?
- NIS2 부속서 I·II에서 항공·드론과 이어지는 항목과 필수·중요 엔터티의 구분을 설명할 수 있는가?
- 세 법의 과태료 곡선이 5억 유로에서 꺾이는 이유를 $\max(C, rT)$로 설명할 수 있는가?
- 한 사건의 보고 시한(24 h, 72 h, 2일, 10일, 15일, 한 달)을 표로 그릴 수 있는가?
연구 질문(25.7에 모은다)
- 항공 규정에 AI법 3장 2절의 요건을 반영한 EASA·집행위의 규칙은 언제 나오는가?
- 유인 항공기와 U-space·UTM의 AI는 부속서 III 어디에도 속하지 않는가? 그 공백은 의도인가?
- 드론 서비스 사업자가 NIS2의 유형에 해당하는지는 회원국마다 어떻게 판정하는가? 회원국의 이행은 얼마나 완료되었는가?
- 개방 범주 드론 촬영에 GDPR의 가정 예외가 적용되는 한계는 어디인가?
- 한 사건에 여러 법의 보고를 하나의 창구로 모으는 방법은 무엇인가?
1차 출처(이 장)
- Regulation (EU) 2024/1689 (AI Act), OJ L, 2024/1689, 12.7.2024 — 2·3·5·6·73·99·108·113조, 부속서 I·III
- Regulation (EU) 2026/1744 (Digital Omnibus on AI), OJ L, 2026/1744, 24.7.2026
- Regulation (EU) 2016/679 (GDPR) — 2·3·25·33·34·35·83조
- Directive (EU) 2022/2555 (NIS2) — 2·3·4·21·23·34·35·41~44조, 부속서 I·II
- Article 29 Working Party, Opinion 01/2015 (WP 231), 2015-06-16
- EASA, Easy Access Rules for Unmanned Aircraft Systems, 2026-06판 — 서문 (14)~(16), 14조 5항, GM1 UAS.SPEC.050(1)(a)(iv)
2차 출처(이 장, 확정 아님)
- NIS2 이행 현황: Wavestone(2026-01), 컨설팅·법무 블로그의 집행위 CJEU 회부 보도(2026-07)
- GDPR을 고치는 Digital Omnibus: Council의 입장(2026-10) 보도
다음 장: 17.16은 EU 방위산업 정책(EDF·EDIP·드론 전략)으로 군사 중심 장이므로 건너뛴다(BK-08). 이어서 17.17 JARUS와 SORA: 운용 위험 평가 방법론 상세 — 국제 협의체와 EU가 운용 위험을 평가하는 방법을 다룬다.