EU AI Act와 B2B 세일즈: 리드 스코어링 고위험 분류 기준과 대응 전략

유럽연합(EU) 시장에서 활동하거나 진출을 추진 중인 레비뉴 책임자와 B2B 창업자에게 AI 규범을 준수하는 과정은 흔히 일반 적용일과 고위험군 시행 기한 사이의 혼란을 유발하곤 합니다. 유럽연합 인공지능법(EU AI Act)이 시행되었다고 해서 모든 상업용 알고리즘이 하룻밤 사이에 무거운 적합성 평가 대상이 된 것은 아닙니다. 표준적인 기업 간 거래(B2B) 리드 스코어링 알고리즘은 고위험 프로파일링 시스템과 구별되는 법적 지위를 유지하지만, 규제 위험도는 벤더의 마케팅 용어가 아니라 실제 기능적 배포 방식에 따라 엄격하게 결정됩니다.

영업 평가 시스템이 고위험 의무를 발생시키는지 파악하려면 유럽연합 집행위원회가 정한 단계별 일정과, 상업적 적격성 평가와 규제 대상인 개인 프로파일링을 가르는 기준을 모두 살펴볼 필요가 있습니다.

2026년 8월부터 2027년 12월까지의 단계별 AI Act 일정

영업 및 마케팅 팀에서 흔히 하는 오해 중 하나는 모든 규제 요건이 2026년 중반에 일괄적으로 전면 적용되었다는 점입니다. 유럽연합 집행위원회의 규제 프레임워크에 명시되어 있듯이, AI Act는 2024년 8월 1일에 발효되었고 2026년 8월 2일부터 일반 적용이 시작되었으며, 이전 및 이후 일정에 걸쳐 단계적 예외 규정을 두고 있습니다.

이 프레임워크는 몇 가지 뚜렷한 단계에 걸쳐 시행됩니다.

• 유럽연합 집행위원회의 규제 개요에 따르면, 금지 대상 관행과 AI 리터러시 요구 사항은 2025년 2월 2일부터 효력을 발휘했습니다.
• 유럽연합 집행위원회 정책 포털에 명시된 바와 같이, 범용 AI 모델을 위한 거버넌스 규칙과 의무는 2025년 8월 2일부터 적용되었습니다.
• 유럽연합 집행위원회의 규제 프레임워크에서 확인하듯, 2026년 8월 2일부터 일반 적용이 시작되어 AI 배포자와 제공자를 위한 기본 프레임워크가 마련되었습니다.
• 유럽연합 집행위원회의 일정에 따르면, 고위험 지정 영역에서 운영되는 시스템에 대한 엄격한 규칙은 2027년 12월 2일부터 적용됩니다.
• 산업 기계 및 로봇 공학과 같은 규제 대상 제품에 통합된 AI를 규율하는 규칙은 유럽연합 집행위원회의 규제 프레임워크에 따라 2028년 8월 2일부터 적용됩니다.

이러한 단계적 시행 방식은 전문화된 예측 엔진이 고위험군 범주에 해당하더라도, 엄격한 기술 문서화, 상시 로깅 및 적합성 평가 요건은 유럽연합 집행위원회의 지침 초안에 명시된 대로 2027년 12월 2일부터 적용될 예정임을 의미합니다.

고위험 분류 범위 평가: B2B 리드 스코어링 대 개인 프로파일링

어떤 알고리즘이 고위험 의무를 적용받는지 결정하는 것은 해당 시스템의 구체적인 목적에 전적으로 달려 있습니다. 고위험 AI에 관한 유럽연합 집행위원회의 지침에 따르면, 고위험 분류는 생체 인식, 중요 인프라, 교육, 고용, 근로자 관리, 이민, 망명 및 국경 통제를 포함한 특정 핵심 부문을 대상으로 합니다.

표준적인 B2B 시장 진출(GTM) 워크플로에서 리드 평가 알고리즘은 기업 매출, 기술 스택 도입 현황, 웹사이트 활동, 채용 동향 등의 기준을 바탕으로 기업 계정의 우선순위를 정합니다. 알고리즘이 세일즈 개발 시간 배분을 위해 기업 적합도와 전문적 관련성을 평가하는 경우, 이는 민감한 개인 평가 범위 밖에 머무릅니다.

하지만 공급업체가 계정 수준의 분석에서 벗어나 개별 인물에 대한 자동화된 평가로 전환할 때 그 경계가 모호해집니다. 도구가 다음과 같은 용도로 변경되어 사용되면 고위험군으로 간주될 위험이 있습니다.

1. 고용 및 지원자 채용: 입사 지원자의 적합성 평가, 구직자 순위 지정, 성과 모니터링 자동화.
2. 신용도 및 재무 상태: 대출 접근성, 보험 가입 적격성 또는 금융 인수 심사를 위해 개인 사업자나 기업의 점수를 산출하는 행위.
3. 공공 또는 교육 서비스 접근성: 직업 훈련 프로그램이나 필수 공공 혜택의 자격 순위를 매기는 행위.

B2B 영업 시스템의 활용 범위가 기업 인텔리전스, 기업 통계 데이터(firmographics), 공개된 조직 활동으로 제한된다면 일반적으로 고위험 분류에 포함되지 않습니다. 그러나 영업 플랫폼이 개별 직원의 성과를 점수화하거나 배경 행동을 검사하는 예측 모델을 통합하는 경우, 배포자는 해당 특정 기능이 고용이나 신용 평가 기준에 저촉되는지 면밀히 평가해야 합니다.

고위험 분류 시 적용되는 엄격한 의무 사항

AI 시스템이 고위험으로 분류되는 경우, 배포자와 제공자는 단순히 공급업체의 비공식적인 확약에만 기댈 수 없습니다. 유럽연합 집행위원회의 규제 개요에는 2027년 12월 2일부터 고위험 시스템이 충족해야 하는 구체적인 기술적 요구 사항이 명시되어 있습니다.

• 시스템 수명 주기 전반에 걸쳐 취약점을 식별하도록 설계된 적절한 위험 평가 및 완화 시스템.
• 차별적 결과와 체계적 편향의 위험을 최소화하기 위해 시스템에 입력되는 고품질 데이터세트.
• 결과 및 점수 출력의 완전한 추적성을 보장하는 활동의 자동 로깅.
• 감독 당국이 시스템 규정 준수 여부를 평가하는 데 필요한 모든 세부 정보를 제공하는 포괄적인 기술 문서.
• 배포자가 권장 사항을 올바르게 해석할 수 있도록 지원하는 명확하고 적절한 정보 제공.
• 자동화에 대한 과도한 의존을 방지하고 인간 운영자가 개입하거나 점수를 재정의할 수 있도록 하는 적절한 인간 감독 조치.
• 데이터 드리프트에 대응할 수 있는 견고한 수준의 사이버 보안, 복원력 및 운영 정확성.

블랙박스 형태의 머신러닝 점수에 익숙한 영업 조직에게 이러한 규칙은 중대한 구조적 변화를 의미합니다. 기초 데이터 속성에 대한 감사 가능한 출처 증명과 특정 기업 계정이나 개인이 왜 그런 우선순위를 받았는지 설명할 수 있는 명확한 근거를 요구하기 때문입니다.

B2B 테크 스택에서 제공자와 배포자의 책임 차이

기업의 법무팀은 해당 규정 아래에서 두 가지 주요 역할을 명확히 구분해야 합니다. AI 모델을 직접 구축하거나 실질적으로 수정하는 '제공자(provider)'와 운영 워크플로에서 해당 도구를 사용하는 기업 고객인 '배포자(deployer)'입니다.

기업이 외부 세일즈 플랫폼의 라이선스를 구매할 때 소프트웨어 벤더는 제공자로서 핵심 기술 문서 작성, 알고리즘 훈련 안전장치 마련, 시스템 정확도 유지에 대한 주된 책임을 집니다. 해당 소프트웨어를 활용하는 기업은 배포자 역할을 수행합니다. 배포자는 문서화된 사용 목적에 맞게 소프트웨어를 운영하고, 인간의 감독을 유지하며, 배포 관행이 사용자의 권리를 존중하도록 보장할 책임을 집니다.

만약 기업이 시판 중인 범용 모델을 가져와 내부의 과거 전환 데이터로 파인튜닝하고 모델의 주요 운영 목적을 변경한다면, 그 기업은 규정상 제공자의 법적 지위와 의무를 직접 부담하게 될 수 있습니다.

GTM 및 레비뉴 오퍼레이션 팀을 위한 실천 단계

유럽 시장 전반에서 안정적인 비즈니스 운영을 유지하기 위해, 레비뉴 리더는 잠재 고객 발굴 인프라를 체계적으로 평가해야 합니다.

1. 운영 사용 사례 감사: 모든 예측형 리드 스코어링, 연락처 인리치먼트, 아웃리치 자동화 도구를 점검하세요. 이러한 시스템이 직원에 대한 감시나 개인 신용도 평가가 아니라 상업적 기업 적합도를 평가하고 있는지 확인해야 합니다.
2. 벤더 문서 검토: 특히 개별 담당자의 행동 데이터를 처리하는 도구에 대해, 소프트웨어 벤더 측에 규정 준수 현황과 기술 로드맵에 대한 명확한 설명을 요청하세요.
3. 인간 감독 프로토콜 수립: 알고리즘 점수가 완전 자동화된 조치가 아닌 의사결정 지원 역할을 하도록 하세요. 민감한 아웃리치나 계약 결정이 내려지기 전에 담당 어카운트 이그제큐티브(AE)가 우선순위를 직접 검토하는 워크플로를 유지해야 합니다.
4. 향후 규제 집행 일정 대비: 2027년 12월 2일 이전의 유예 기간을 활용해 데이터 품질을 감사하고, 평가 모델에서 편향을 일으킬 수 있는 인구통계학적 속성을 제거하며, 명확한 추적성을 확보해 두세요.

글로벌 성장 동력을 구축하는 창업자는 창업자를 위한 Knowledge 가이드에서 상업용 툴을 국가 간 규제 기준에 맞추는 추가적인 운영 프레임워크를 살펴볼 수 있습니다.

세일즈 오케스트레이션 측면에서 Ember와 같은 플랫폼은 맥락적 인텔리전스와 워크플로의 명확성을 강조하여, 기업 계정 인사이트를 투명하고 감사 가능한 비즈니스 데이터에 기반하도록 만드는 동시에 상업적 분석의 중심에 인간 의사결정자를 배치합니다.