MiCA, DORA, AI Act 및 NIS2: EU 규정집이 스타트업과 중소기업을 유럽 밖으로 내모는 방식

저는 EU 규정으로 생계를 유지합니다. 고객은 MiCA, 자금세탁방지 규정 및 유럽 규정집의 나머지 부분을 혼자 처리하기 어렵기 때문에 저희를 찾아오며, 저희가 이를 대신 처리합니다. 따라서 이는 브뤼셀이 새 법을 만들 때 손해를 보는 사람의 불만이 아닙니다. 오히려 저는 이익을 얻습니다.

그럼에도 지난 몇 년간 중소기업(SMEs)에 부과된 내용을 보면 유럽이 실수하고 있다고 생각합니다. 잘못 작성된 단일 법안의 문제가 아닙니다. 모든 법안의 합계, EU가 스스로를 바로잡는 속도, 그리고 비용 청구서가 이를 감당하기 가장 어려운 회사에 도착한다는 사실이 문제입니다. 특히 AI 규제에 대한 입장은 별도 글에서 설명했으며, 이 글은 전체 규정집에 걸친 패턴을 다룹니다.

겹겹이 쌓이는 규제

현재 EU 규정은 유럽 회사의 사업 유형에 따라 다음을 요구합니다.

• GDPR: 개인정보를 보유하는 모든 자를 위한 규정입니다.
• 디지털 서비스법 및 디지털 시장법: 온라인 플랫폼과 마켓플레이스를 위한 규정입니다.
• 데이터법: 연결 기기 및 클라우드 계약을 위한 규정입니다.
• NIS2 및 사이버 복원력법: 사이버 보안과 소프트웨어가 내장된 제품을 위한 규정입니다.
• MiCA: 암호자산 서비스를 위한 규정입니다.
• DORA: 은행, 결제·암호자산 기업 및 이들을 지원하는 IT 공급업체를 위한 규정입니다.
• AI Act: AI 시스템을 구축하거나 사업에 사용하는 모든 자를 위한 규정입니다.
• 새 AML Regulation: EU 차원의 감독기관 AMLA를 포함합니다.
• eIDAS 2.0: 디지털 신원 지갑을 포함합니다.
• 보고 의무: 암호자산 이전(트래블 룰), 암호자산 세무 데이터(DAC8), 지속가능성(CSRD) 및 공급망(CSDDD)에 관한 의무입니다.

이 중 사소한 것은 없습니다. 각각 자체 정의, 서식, 감독기관 및 벌금이 있습니다. 직원 12명의 핀테크 기업도 한 번에 5~6개 규정의 적용을 받을 수 있습니다.

각 법은 타당하지만, 그 누적은 그렇지 않습니다

각 법을 따로 보면 모두 실제 문제에 답합니다. 암호자산 거래소가 붕괴할 때 고객 자금이 사라져서는 안 되고, 클라우드 공급업체에 문제가 생겼다고 은행 업무가 멈춰서도 안 되며, 사람이 결과를 검토할 수 없는 상태에서 누가 대출을 받을지 소프트웨어가 결정하는 것을 원하는 사람도 없습니다. 이러한 법 중 하나만을 두고 반대하면 패배하며, 그래야 합니다.

문제는 합계이며, 시간표도 문제입니다. 집행위원회는 2021년 4월 AI Act를 제안했고 EU는 2024년에 이를 채택했습니다. 채용, 신용평가 또는 교육에 사용되는 시스템과 같은 고위험 AI에 관한 주요 규칙은 2026년 8월 2일부터 적용될 예정이었습니다. 그 날짜 몇 주 전인 2026년 7월, EU는 AI 관련 Digital Omnibus라는 정정안을 통과시켰습니다. 해당 규칙은 2027년 12월로, 규제 제품에 내장된 AI의 경우 2028년 8월로 연기되었습니다. 공식 사유는 기술 표준과 각국 감독기관이 준비되지 않았다는 것이었습니다. 제안 후 5년이 지났지만 법을 집행할 체계는 존재하지 않았습니다. 8월을 대비해 2년간 준비한 회사들은 변경된 날짜를 위해 준비했던 것입니다.

이것이 실제로 느리다는 뜻입니다. 법이 도입되고, 모두가 문제를 확인한 뒤 2~3년 후에 또 다른 규정 형태의 정정이 도입됩니다.

같은 규칙이 소기업에 더 큰 비용이 되는 이유

이 부분이 저를 가장 괴롭힙니다. 규정 준수 비용은 회사 규모에 거의 좌우되지 않습니다. 정책 매뉴얼, IT 공급업체 등록부, 사고 보고 절차, 외부 감사, 라이선스 신청은 고객이 50명이든 500만 명이든 대략 같은 비용이 듭니다.

DORA가 가장 명확한 사례입니다. Deloitte가 2025년 3월 28개 유럽 국가의 금융기관을 대상으로 발표한 조사에서 응답자의 약 3분의 2는 규정 준수에 €2 million~€5 million을 지출할 것으로 예상했으며, €2 million 미만으로 유지될 것이라고 예상한 응답자는 10명 중 1명뿐이었습니다. 대형 은행은 이를 흡수합니다. 직원 20명의 결제기관은 그럴 수 없으며, 가장 작은 기업에는 규정 준수 비용이 EU 시장이 그들에게 지닌 가치보다 클 수 있습니다.

MiCA도 숫자로 같은 이야기를 보여 줍니다. MiCA 이전에는 업계 집계상 1,000개가 넘는 회사가 EU 전역에서 국가별 암호자산 등록을 보유했습니다. 전환 기간은 2026년 7월 1일에 종료되었고, 2026년 10월까지 ESMA 등록부에는 약 370개의 인가된 제공업체가 기재되었습니다. 사라진 기업 중 일부는 퇴출되는 것이 타당했습니다. 그러나 많은 기업은 작고 지역 기반이며 합법적이었고, 공동 창업자 2명의 거래소에는 없는 자문, 자본 및 경영 시간에 드는 6자리 수 비용 때문에 MiCA 라이선스(CASP 인가)를 포기했습니다. 저는 MiCA가 유럽 암호자산 스타트업에 미친 영향을 별도로 살펴보았으며, 여기서는 더 넓은 패턴의 한 사례일 뿐입니다.

대형 사업자는 거의 불평하지 않습니다. 자금이 충분한 기존 사업자에게 새 법안은 해자가 됩니다. 규정 준수 팀은 이미 있고, 변호사는 자문 계약을 맺고 있으며, 새 규칙마다 경쟁하려는 이들의 진입 비용이 올라갑니다. 소비자를 보호하기 위해 작성된 규정이 결국 시장점유율을 보호하게 됩니다.

창업자들이 가는 곳

스타트업은 은행과 달리 이동성이 높습니다. 아이디어와 노트북을 가진 창업자는 다른 사람들이 항공편을 비교하듯 국가를 비교합니다. Apple과 Meta가 2024년에 디지털 시장법과 “예측 불가능한” 규제 환경을 이유로 EU 사용자에게 새 AI 기능 제공을 보류하기로 했을 때, 헤드라인은 두 거대 기업에 집중되었습니다. 그러나 더 조용한 영향은 그 모델 위에서 구축하려 했지만 이제 기다리거나 이전해야 하는 모든 유럽 개발자에게 미쳤습니다.

제 업무에서는 그 패턴이 덜 극적이지만 똑같이 꾸준합니다. 창업자들의 질문은 “에스토니아에서 라이선스를 받을 수 있습니까”에서 “두바이, 싱가포르 또는 미국 주와 비교할 때 유럽 라이선스가 과연 가치가 있습니까”로 바뀌었습니다. 몇 년 전에는 두 번째 질문이 드물었습니다. 오늘날에는 일상적이며, 저는 언제나 그들을 설득해 생각을 바꾸게 할 수는 없습니다.

수치도 같은 사실을 말합니다. 2026년 1월에 발표된 European Investment Bank 연구에 따르면, 2008년부터 2021년까지 $1 billion을 초과하는 가치를 지닌 스타트업인 유럽 유니콘의 거의 30%가 본사를 EU 밖으로 이전했습니다. 대부분은 미국으로 향했으며, 디지털 기술, AI 및 바이오테크가 이를 주도했습니다. Mario Draghi는 2024년 9월 유럽 경쟁력에 관한 보고서에서 나머지를 설명했습니다. 규제 부담이 혁신에 지나치게 많은 제약을 가하고 스타트업의 성장을 어렵게 만든다는 것입니다. 2년이 지난 현재 European Policy Innovation Council의 Draghi Observatory 집계에 따르면, 추적 대상 조치 중 완전히 이행된 것은 16%에 불과합니다. 진단에는 공감대가 형성되었습니다. 처방은 더디게 진행됩니다.

탈린이 브뤼셀이 쓴 것을 고칠 수 없는 이유

에스토니아는 이를 관찰하기 좋은 곳입니다. 작고, 디지털화되어 있으며, 대체로 사업에 합리적입니다. 이 문제에서는 거의 무력하기도 합니다.

MiCA, DORA 및 AI Act는 지침이 아니라 규정입니다. 지침은 목표를 정하고 각국이 자체 법률을 작성하도록 하지만, 규정은 모든 회원국에 한 글자도 다르지 않게 적용되며 탈린, 빌뉴스 또는 리스본의 어느 의회도 단 하나의 조항을 완화할 수 없습니다. 국가의 재량은 한 방향으로만 작동합니다. 국가는 언제든 브뤼셀보다 엄격할 수 있지만 더 완화할 수는 없습니다.

따라서 창업자가 에스토니아가 “그냥 이것을 고쳐야 한다”고 말하면, 해결책은 27개 정부, 집행위원회, 의회 및 수년 단위의 입법 주기에 달려 있다고 설명해야 합니다. 2025년 초 이후 집행위원회는 여러 법률을 한 번에 개정하는 “omnibus” 패키지 12개를 제안했고, 임기 종료 전까지 행정 부담을 최소 25%, SMEs에는 35% 줄이겠다고 약속했습니다. 기업 단체들은 현재까지의 결과가 그 수치에 한참 못 미친다고 말합니다. 저는 문서를 읽기 때문에 그들을 믿습니다.

유럽은 스스로 위험을 제거하고 있습니다

지난 몇 년 동안 은행을 상대해 본 사람이라면 de-risking이라는 단어를 압니다. 고객이 조금 특이해 보이고 그를 모니터링하는 비용이 그가 내는 수수료보다 많으면 계좌는 폐쇄됩니다. 사기나 위반은 없고, 은행에 더 저렴한 결정일 뿐입니다. 고객은 흔히 다른 국가에서 다른 은행을 찾아야 하며, 은행의 위험 보고서는 이전보다 좋아 보입니다.

저는 유럽연합이 산업 전체에 대해 같은 일을 한다고 점점 더 생각합니다. 암호자산은 위험해 보였기에 유럽은 MiCA를 만들었고 국가 등록 기업 대부분이 탈락하는 것을 지켜봤습니다. AI는 위험해 보였기에 유럽은 반박할 만큼 큰 AI 산업을 갖추기도 전에 세계 최초의 포괄적 AI 법을 만들었습니다. 매번 위험은 줄어들고, 그 위험을 수반했던 활동도 함께 줄어듭니다. 회피한 위험만 계산하는 대차대조표에서는 성공입니다. 설립된 회사와 창출된 일자리를 계산하는 대차대조표에서는 그렇지 않습니다.

그 아래에는 더 조용한 메커니즘이 있습니다. 산출물이 규정 수로 측정되는 기관은 규정을 생산합니다. 각 법안에는 지침, 기술 표준 및 Q&A가 필요하고, 이를 적용할 감독기관이 필요하며, 이후 지침이 초래한 문제를 고칠 omnibus가 필요합니다. 매 단계는 다음 법안에 필요한 인력을 추가합니다. 이 사슬에서 악의적으로 행동하는 사람은 없습니다. 과정에는 멈출 내재적 이유가 없으며, 그 안의 누구도 결코 설립되지 않은 스타트업의 대가를 지불하지 않습니다.

유럽 스타트업을 위한 세 가지 시나리오

이를 구체적으로 설명하면, 유럽 경제의 스타트업 부문이 향할 방향은 다음과 같다고 봅니다. 기준 수치는 Dealroom에서 가져왔습니다. 매년 EU에서 약 14,800개의 스타트업이 설립되고, 이 중 약 4,400개가 외부 자금을 유치하며, EU에는 약 450개의 유니콘이 있습니다. UK를 포함한 유럽 전체는 2023년 전 세계 벤처 캐피털의 기록적인 19%, 2024년에는 16%를 유치한 반면, 미국은 57%를 유치했습니다.

첫 번째 시나리오에서 왜 붕괴가 아니라 감소일까요? 규정집은 기존 회사가 아니라 창업 시점의 창업자에게 타격을 주기 때문입니다. 프랑크푸르트의 은행은 DORA 때문에 떠나지 않습니다. 타르투의 직원 3명 AI 스타트업은 단지 델라웨어에 등록하고 개발자는 당분간 본국에 둡니다. EU는 본사, 과세 기반 및 엑시트를 잃고 일정 기간 급여 지급만 유지합니다.

세 번째 시나리오가 왜 공상이 아닐까요? 수치가 유럽이 이미 가장 좋았던 시기의 위치와 가깝기 때문입니다. 전 세계 벤처캐피털의 19~20% 비중은 현 규정층이 적용되기 전 몇 년 전에 달성한 수준입니다. 소기업을 염두에 두고 EU 규정을 작성해도 유럽이 소비자 보호를 잃지는 않았을 것입니다. 초안 문단 몇 개가 더 필요했을 뿐입니다.

반대편의 논거

규정집에 장점이 없다고 가장한다면 진지하게 받아들여질 자격이 없으므로, 그 장점도 말하겠습니다. MiCA 라이선스 하나로 회사는 30개 EU 및 EEA 국가 모두의 고객에게 서비스를 제공할 수 있습니다. 이전에는 암호자산 기업이 27개 규제기관과 27번 별도 협의해야 했습니다. GDPR은 개인정보보호법의 세계적 모델이 되었습니다. 단일 AML 규정은 이론적으로 한 회원국에서 수용된 고객이 다음 회원국에서 거절되는 상황을 끝낼 것입니다. 조화는 실질적인 이점이며, 저는 매일 그 혜택을 얻습니다.

정직한 상충관계는 이것입니다. 유럽 규모의 조화는 속도와 가장 작은 기업에 가장 크게 부담되는 비용 구조를 대가로 얻습니다. 유럽은 대체로 기본적으로 빠른 시장보다 안전한 시장을 선호하기로 결정했습니다. 이는 정당한 선택입니다. 다만 한 번에 하나의 omnibus를 통해 발견하는 대신, 비용을 명시하여 공개적으로 결정해야 한다고 생각합니다.

유럽이 대신 해야 할 일

제 입장은 유럽이 규제를 멈춰야 한다는 것이 아닙니다. 직원 3명의 스타트업을 은행처럼 규제하는 일을 멈춰야 한다는 것입니다. 소규모 팀은 규정 준수 부서를 운영할 수 없으며, 이를 조용히 전제하는 법은 안전 규칙이 아니라 진입장벽입니다. 여섯 가지 변경으로 대부분의 피해를 없앨 수 있고, 어느 것도 급진적이지 않습니다. 각각은 이미 EU 법률 어딘가에 선례가 있습니다.

1. 법안에 명시된 실질적 규모 기준선. EU 자체의 소기업 정의(직원 50명 미만 및 매출 €10 million 미만)보다 작은 기업에는 무거운 의무를 전혀 적용하지 않거나, 짧고 고정된 형태로 적용해야 합니다. GDPR은 제30조(5)의 기록 보관에 관해 이미 그렇게 하며, 직원 250명 미만인 대부분의 조직을 면제합니다. 2025년에 집행위원회는 이 면제의 확대를 제안했습니다. 같은 논리가 DORA, NIS2 및 AI Act에도 적용되어야 합니다.
2. 법 적용 전 표준 마련. 기술 표준이 존재하고 각 회원국에서 최소 한 감독기관이 이를 적용할 준비가 되기 전에는 어떠한 의무도 효력을 가져서는 안 됩니다. AI Act 연기는 어려운 방식으로 이 점을 증명했습니다. 다음 법안이 이를 구제하기 위해 omnibus를 필요로 하지 않도록 이 규칙을 문서화해야 합니다.
3. 샌드박스 우선, 집행은 그다음. 새 부문은 완전한 라이선스가 요구되기 전에 감독기관의 감시 아래 회사가 운영할 수 있는 감독형 시험 기간을 가져야 합니다. AI Act는 이러한 샌드박스를 약속하지만 일부 의무 이후인 2027년 8월로 연기되었습니다. 순서는 반대여야 합니다.
4. 회사당 감독기관 하나. 직원 12명의 핀테크 기업은 오늘날 금융 감독기관, FIU, 개인정보보호 당국 및 곧 AI 당국에 각각 답변해야 할 수 있습니다. 하나의 주관 당국이 회사를 처리하는 GDPR의 원스톱숍은 모델을 보여 줍니다. 이를 규정집 전반으로 확대해야 합니다.
5. 모든 법안의 만료일. 규정이 비용에 대한 실제 검토 후 재확인되지 않으면 효력을 잃도록 하면, 정정은 정치적 호의가 아니라 의무가 됩니다. omnibus가 구제가 아니라 원칙이 됩니다.
6. 결코 설립되지 않은 회사를 세십시오. 모든 EU 영향평가는 기존 기업의 비용을 측정합니다. 델라웨어, 두바이 또는 싱가포르를 선택한 스타트업은 어느 것도 측정하지 않습니다. 그 수치가 논의되지 않는 한, 다음 법안을 작성하는 사람들은 그 비용을 계속 과소평가할 것입니다.

이는 포괄적 연방 AI 법이 여전히 없고 주별 규칙의 조각들만 있는 미국, 또는 지금까지 단일 AI 법을 통과시키지 않고 기존 규제기관이 일련의 원칙을 적용하도록 선택한 영국을 따라 하자는 뜻은 아닙니다. 이는 유럽 창업자가 이제 유럽과 비교하는 곳이 바로 그곳임을 인정하자는 뜻입니다. 집행위원회가 약속하는 대로 48시간 미만, €100 미만, 최소 자본금 없이 등록할 수 있는 2026년 3월 제안의 단일 유럽 회사 형태 EU Inc.를 추가한다면, 유럽은 소규모 팀이 실제로 선택할 수 있는 제안을 갖게 될 것입니다.

제가 창업자에게 말하는 것

창업자에게 드리는 조언은 지루할 만큼 실용적이 되었습니다. 규정 준수 비용을 일회성 법률 수수료가 아니라 매출원가 항목으로 다루십시오. 규칙 자체는 어디서나 같으므로 규제기관의 품질과 등록부의 속도를 기준으로 EU 국가를 선택하십시오. 전환 기간과 omnibus 연기를 법을 무시해도 된다는 허가가 아니라 사업을 구축할 시간으로 활용하십시오. AI Act의 고위험 규칙은 취소된 것이 아니라 연기된 것입니다. 그리고 사업 모델이 EU 규정집 밖에서만 작동한다면 라이선스 신청 후가 아니라 전에 이를 일찍 인정하십시오.

규정집에도 불구하고 유럽에서 회사 구축하기

유럽은 여전히 회사를 운영하기 좋은 곳이며, 저는 매주 고객에게 그렇게 말합니다. 이 글의 목적은 누구에게도 에스토니아나 EU를 포기하라고 말하는 것이 아닙니다. EU 규정은 실제 비용이며 첫날부터 비용에 반영해야 한다는 점을 말하고자 합니다. 올바른 구조, 올바른 라이선스 경로 및 EU 내 올바른 국가는 지금 5년 전보다 더 큰 차이를 만듭니다. 신규 또는 기존 회사에 대해 이러한 선택을 검토하고 계신다면, Eesti Firma 팀이 법인 설립부터 라이선스까지 규칙이 귀하의 사례에 실제로 무엇을 의미하는지 안내해 드릴 수 있습니다.

문의 보내기