EU AI Act GPAI 행동 강령은 유럽연합의 인공지능법(AI Act)에 따라 개발된 자발적 거버넌스 프레임워크이다. 이 강령은 대규모 언어 모델 및 기타 기반 모델을 포함한 범용 AI(GPAI) 모델 제공업체에게 AI Act에 명시된 규제 의무를 준수하는 방법에 대한 상세한 지침을 제공한다. 이 강령은 2025년에 다중 이해관계자 초안 작성 과정을 거쳐 최종 확정되었으며, 높은 수준의 법적 요구사항을 투명성, 저작권 준수, 시스템적 위험 관리에 대한 구체적이고 실행 가능한 관행으로 전환하는 것을 목표로 한다.
이 강령은 그 자체로 법적 구속력은 없지만, 이를 준수하는 경우 GPAI 모델에 대한 AI Act 요구사항을 충족하는 것으로 추정된다. 이 강령은 GPAI 규제를 감독하는 EU 기관인 AI 사무국이 독립 전문가, 업계 대표, 시민 사회와 협력하여 개발했다. 최종 버전은 2025년 7월에 공개되었으며, 공개 협의 과정에서 기업, 연구자, 옹호 단체로부터 430건 이상의 의견이 제출되었다.
배경 및 법적 맥락
2024년 8월에 채택된 EU AI Act는 2024년 8월 1일에 발효되었으며, 대부분의 조항은 단계적으로 적용된다. 대규모 데이터로 훈련되고 광범위한 작업을 수행할 수 있는 AI 모델로 정의되는 GPAI 모델은 AI Act 제5장에 따라 특정 의무를 적용받는다. 이러한 의무에는 기술 문서 제공, 훈련 콘텐츠 요약 게시, EU 저작권법 준수 정책 시행이 포함된다.
시스템적 위험이 있는 GPAI 모델(누적 컴퓨팅 성능이 10^25 부동 소수점 연산(FLOPs)을 초과하는 모델로 정의)의 경우 모델 평가 및 적대적 테스트 수행과 같은 추가 요구사항이 적용된다. AI Act는 AI 사무국이 이러한 의무를 충족하는 방법을 자세히 설명하는 행동 강령 생성을 촉진하도록 요구한다. GPAI 행동 강령은 이러한 목적을 위한 주요 수단이다.
초안 작성 과정 및 일정
초안 작성 과정은 2024년 9월 AI 사무국이 강령의 범위와 내용에 대한 의견을 수렴하기 위한 협의를 시작하면서 시작되었다. 2024년 11월, AI 사무국은 딥러닝의 선구자이자 튜링상 수상자인 Yoshua Bengio, 전 유럽의회 의원인 Marietje Schaake, 저작권법 교수인 Alexander Peukert, 디지털 정책 전문가인 Anja Feldner 등 4명의 독립 의장을 임명했다. 이 의장들은 투명성, 저작권, 시스템적 위험에 초점을 맞춘 작업 그룹을 이끌었다.
각각 특정 영역을 다루는 4개의 작업 그룹이 설립되었다: 투명성 및 저작권 관련 조항, 시스템적 위험 식별 및 평가, 기술적 위험 완화, 거버넌스 및 검토. 각 그룹에는 OpenAI, Anthropic, Google DeepMind, Microsoft (AI)와 같은 주요 AI 개발업체와 유럽 스타트업, 오픈소스 커뮤니티, 시민 사회 단체의 대표가 포함되었다. 이 그룹들은 2025년 1월부터 4월까지 정기적으로 회의를 열고 여러 차례의 초안을 작성했다.
첫 번째 초안은 2025년 2월에 공개되었고, 두 번째 초안은 2025년 4월에 공개되었다. AI 사무국은 두 번째 초안에 대한 공개 협의를 실시하여 430명 이상의 이해관계자로부터 피드백을 받았다. 저작권 옵트아웃 및 시스템적 위험 임계값과 같은 문제에 대한 수정 사항을 통합한 최종 버전은 2025년 7월 10일에 채택되었다.
주요 조항: 투명성 및 저작권
강령의 투명성 장에서는 GPAI 모델 제공업체가 모델 아키텍처, 훈련 데이터 출처, 사용된 컴퓨팅 리소스를 포함한 상세한 기술 문서를 유지하도록 요구한다. 제공업체는 또한 AI Act에서 요구하는 대로 훈련 콘텐츠에 대한 충분히 상세한 요약을 게시해야 한다. 강령은 이 요약이 권리 보유자가 자신의 저작물이 사용되었는지 식별할 수 있도록 구조화되어야 하지만, 독점적인 영업 비밀은 공개하지 않아야 한다고 명시한다.
저작권과 관련하여, 강령은 제공업체가 디지털 단일 시장 저작권 지침(2019/790)을 준수하는 정책을 시행하도록 요구하며, 여기에는 텍스트 및 데이터 마이닝 예외와 옵트아웃 메커니즘이 포함된다. 제공업체는 권리 보유자가 기계 판독 가능한 수단을 통해 권리를 명시적으로 보류한 저작물이 훈련 데이터에 포함되지 않도록 합리적인 노력을 기울여야 한다. 강령은 또한 옵트아웃을 용이하게 하기 위해 robots.txt 및 콘텐츠 등록부와 같은 기술적 도구의 사용을 권장한다.
웹 스크래핑 데이터를 사용하는 제공업체의 경우, 강령은 출처 기록을 유지하고 권리 보유자 요청에 신속하게 응답하도록 요구한다. 또한 옵트아웃 콘텐츠를 걸러내기 위한 '최선의 노력' 표준을 채택할 것을 제안하며, 완벽한 준수가 기술적으로 어렵다는 점을 인정한다. 최종 버전은 업계의 타당성 우려를 반영하여 의무적 필터링에 대한 초기 제안을 완화했다.
시스템적 위험 관리
시스템적 위험 장은 AI Act가 설정한 임계값인 누적 훈련 컴퓨팅이 10^25 FLOPs를 초과하는 GPAI 모델에 적용된다. 2025년 기준으로 여기에는 OpenAI의 GPT-4 및 GPT-5, Anthropic의 Claude 3, Google의 Gemini Ultra와 같은 모델이 포함된다. 이 강령은 이러한 제공업체에게 사이버 공격 능력, 생물학적 위협 생성, 통제 상실과 같은 잠재적 피해를 식별하기 위해 레드팀 테스트 및 적대적 테스트를 포함한 엄격한 모델 평가를 수행하도록 요구한다.
제공업체는 위험 평가 프레임워크, 완화 조치, 사고 보고 프로토콜을 포함하는 위험 관리 시스템을 구현해야 한다. 강령은 평가가 가능한 경우 독립적인 제3자에 의해 수행되어야 하며 결과는 AI 사무국과 공유되어야 한다고 명시한다. 또한 제공업체는 배포 후 위험을 확대할 수 있는 새로운 능력을 모니터링해야 한다.
주목할 만한 조항은 제공업체가 최소 1년에 한 번 업데이트되는 '시스템적 위험 완화 계획'을 수립해야 한다는 요구사항이다. 이 계획은 화학, 생물학, 방사선, 핵(CBRN) 위협뿐만 아니라 사이버 공격 및 조작과 관련된 위험을 다루어야 한다. 강령은 평가 벤치마크를 개발하기 위해 BAIR (Berkeley AI Research) 및 기타 학술 기관과의 협력을 권장한다.
거버넌스 및 준수 메커니즘
이 강령은 AI 사무국 산하에 거버넌스 구조를 설립하며, AI 사무국은 자체 평가와 감사를 결합하여 준수 여부를 모니터링한다. 제공업체는 연간 준수 보고서를 제출해야 하며, AI 사무국은 민원이나 새로운 위험에 대응하여 표적 검토를 수행할 수 있다. 강령은 또한 해석 및 업데이트에 대해 조언하기 위해 독립 전문가로 구성된 'GPAI 행동 강령 패널'을 만든다.
오픈소스 모델의 경우, 강령은 공개된 가중치의 다양한 위험 프로필을 인식하여 일부 문서 요구사항을 완화하는 특별 섹션을 포함한다. 그러나 오픈소스 제공업체는 컴퓨팅 임계값을 초과하는 모델의 경우 저작권 의무와 시스템적 위험 조항을 계속 준수해야 한다. 강령은 MIT CSAIL 및 기타 연구 그룹이 대중화한 모델 카드 및 데이터 시트 사용을 권장한다.
강령을 준수하지 않는다고 해서 자동으로 제재가 가해지는 것은 아니지만, 제공업체가 대체 준수 수단을 입증해야 하는 입증 책임이 전환된다. AI Act는 GPAI 의무 위반에 대해 전 세계 연간 매출의 최대 3%에 해당하는 벌금을 규정하고 있으며, 이는 제공업체가 기본 법적 요구사항을 충족하지 못하는 경우 적용될 수 있다.
업계 반응 및 채택
주요 AI 기업들은 강령에 대해 신중한 지지를 표명했지만, 일부는 행정적 부담과 특정 저작권 조치의 실현 가능성에 대해 우려를 제기했다. OpenAI와 Anthropic은 강령이 제공하는 명확성을 환영하는 성명을 발표했지만, 일부 조항은 추가적인 기술 개발이 필요하다고 지적했다. Google DeepMind는 강령이 다른 관할권의 규제에 영향을 미칠 수 있으므로 국제적 정렬의 중요성을 강조했다.
Mistral AI 및 Aleph Alpha와 같은 유럽 스타트업은 강령의 문서 요구사항이 소규모 업체에게 불리하게 작용할 수 있다고 주장하며 더 비판적이었다. Hugging Face와 같은 그룹으로 대표되는 오픈소스 커뮤니티는 오픈 모델에 대한 완화된 조항을 환영했지만 '충분히 상세한' 훈련 데이터 요약이 무엇을 구성하는지에 대한 더 명확한 지침을 요구했다.
Access Now 및 European Digital Rights(EDRi)를 포함한 시민 사회 단체는 투명성에 대한 강령의 강조를 높이 평가했지만 더 강력한 집행 메커니즘을 촉구했다. 그들은 강령의 자발적 성격으로 인해 제공업체가 이를 무시할 수 있으며, AI 사무국이 자체 보고에 의존하기보다는 사전 감사를 수행해야 한다고 지적했다.
다른 규정 및 표준과의 관계
GPAI 행동 강령은 디지털 서비스법 및 일반 데이터 보호 규정(GDPR)을 포함한 다른 EU 법률을 보완하도록 설계되었다. 또한 OECD AI 원칙 및 유럽 평의회 AI 기본 협약과 같은 국제적 이니셔티브와도 일치한다. 강령은 보다 세분화된 사양을 제공할 유럽 표준화 기구인 CEN-CENELEC에서 개발 중인 기술 표준을 참조한다.
강령의 시스템적 위험 접근 방식은 Deep learning 연구의 방법론, 특히 Neural network 안전 평가에 사용되는 레드팀 관행을 활용한다. 또한 안전 지침에 따라 모델을 정렬하는 방법을 제공업체에 알려준 Reinforcement Learning from AI Feedback (RLAIF)(AI 피드백 기반 강화 학습) 문헌의 교훈을 통합한다. 강령은 제공업체가 평가 결과를 연구 커뮤니티와 공유하여 투명성 문화를 조성하도록 권장한다.
향후 개정 및 영향
이 강령은 살아있는 문서로 설계되었으며 2년마다 검토 주기를 가진다. 첫 번째 검토는 2027년으로 예정되어 있으며, AI 사무국은 강령이 위험을 효과적으로 줄였는지, 임계값 조정이 필요한지 평가할 것이다. 저작권 및 시스템적 위험에 대한 강령의 조항은 기술적 역량과 법적 해석이 발전함에 따라 진화할 가능성이 높다.
2025년 말 현재, 이 강령은 이미 기업 관행에 영향을 미쳤다. OpenAI 및 Anthropic을 포함한 여러 제공업체는 초기 준수 보고서를 게시하고 강령의 템플릿에 맞게 모델 문서를 업데이트했다. 이 강령은 또한 기반 모델에 대한 유사한 프레임워크를 개발 중인 캐나다와 일본을 포함한 다른 관할권의 참고 자료로도 사용되었다.
강령의 장기적 영향은 AI 사무국의 집행 접근 방식과 제공업체의 건설적인 참여 의지에 달려 있을 것이다. 강령은 자발적이지만, 상세한 사양은 준수에 대한 강력한 인센티브를 제공하며, 이탈 시 제공업체가 대체 조치를 정당화해야 하기 때문이다. 이러한 역학 관계로 인해 일부 관찰자들은 강령을 '딱딱한 가장자리를 가진 연성 법률'로 묘사하며, 비구속적 성격에도 불구하고 AI 산업의 행동을 형성할 잠재력을 반영한다.