EU AI Act 2028은 유럽연합의 인공지능법(AI Act)이 2024년 8월 1일 발효된 이후 시작된 단계적 시행을 완료하며 전면적인 운영 집행에 도달하는 이정표가 되는 해를 가리킨다. AI Act는 EU 내 인공지능에 대한 공통 규제 및 법적 프레임워크를 수립하는 포괄적인 규정으로, 광범위한 분야에 걸쳐 대부분의 AI 시스템을 대상으로 한다. 이 법은 면제 대상이 아닌 AI 애플리케이션을 위해 발생시킬 수 있는 피해의 위험 수준에 따라 허용 불가, 고위험, 제한적, 최소의 네 가지 수준과 일반 목적 AI를 위한 추가 범주로 분류한다. 제품 규제의 한 형태로서 개인 권리를 창설하지 않지만, AI 제공자와 전문적 맥락에서 AI를 사용하는 조직에 의무를 부과한다.
이 법은 2021년 4월 21일 유럽위원회가 제안했고, 2024년 3월 13일 유럽의회를 통과했으며, 2024년 5월 21일 EU 이사회에서 만장일치로 승인되었다. 초안은 ChatGPT와 같은 생성형 AI 시스템의 부상을 해결하기 위해 수정되었는데, 이러한 시스템의 일반 목적 역량은 주요 프레임워크에 맞지 않았기 때문이다. 2028년까지 고위험 애플리케이션과 일반 목적 AI 모델에 대한 조항을 포함한 모든 규정이 완전히 적용될 예정이며, 유럽 인공지능 위원회(European Artificial Intelligence Board)가 국가 간 협력과 준수를 감독한다.
위험 범주 및 의무
AI Act의 위험 기반 체계는 제품 안전 모델을 따른다. 허용 불가 위험을 지닌 애플리케이션은 특정 면제를 제외하고 금지되며, 여기에는 인간 행동을 조작하는 AI, 공공 장소에서의 실시간 원격 생체 인식 식별, 사회적 점수 매기기가 포함된다. 건강, 안전 또는 기본권에 중대한 위협을 제기하는 고위험 애플리케이션 - 예를 들어 의료, 교육, 채용, 핵심 인프라, 법 집행 또는 사법 분야 - 은 보안, 투명성 및 품질 의무를 준수하고 적합성 평가를 받아야 한다. 일부는 배포 전 기본권 영향 평가(Fundamental Rights Impact Assessment)를 요구하는데, 이는 기본권에 대한 잠재적 영향을 식별하고 완화하기 위한 사전 검토이다. 이러한 시스템은 시장 출시 전과 전체 수명 주기에 걸쳐 평가되어야 하며, 시민들은 고위험 AI가 자신의 권리에 영향을 미치는 결정에 대해 이의를 제기하고 설명을 받을 권리가 있다.
제한적 위험 시스템(예: 딥페이크 생성기)은 사용자가 AI와 상호작용하고 있음을 알 수 있도록 하는 투명성 의무가 있다. 최소 위험 애플리케이션(예: 비디오 게임 또는 스팸 필터)은 규제되지 않으며, 최대 조화(maximum harmonisation) 규칙으로 인해 회원국은 추가 규정을 부과할 수 없다. 고위험 애플리케이션 목록은 법 자체를 수정하지 않고도 시간이 지남에 따라 확장될 수 있다.
일반 목적 AI 및 기반 모델
2023년에 추가된 일반 목적 AI 범주에는 대규모 언어 모델과 같이 광범위한 작업을 수행하는 기반 모델이 포함된다. 모델의 가중치와 설계가 오픈 소스인 경우 개발자는 훈련 데이터 요약과 저작권 정책을 게시해야 하며, 폐쇄형 소스 모델은 더 광범위한 투명성 요구 사항에 직면한다. 훈련에 10^25회 이상의 부동 소수점 연산이 필요한 시스템적 위험을 제기하는 고영향 모델은 추가 평가를 받아야 한다. 2025년 7월 10일에 게시된 일반 목적 AI 행동 강령(General-Purpose AI Code of Practice)은 투명성, 저작권, 안전 및 보안에 관한 장을 개괄하여 제공자가 준수를 입증하는 데 도움을 주며, 참여는 자발적이다. 일반 목적 AI 모델 제공자는 훈련 데이터 요약을 게시하고, 저작권 정책을 채택하며, 하위 제공자와 당국에 기술 문서를 제공해야 한다. 시스템적 위험을 제기하는 것으로 지정된 모델은 모델 평가, 적대적 테스트를 수행하고, 편향 및 보안 실패와 같은 위험을 평가 및 완화하며, 심각한 사고를 보고하고, 적절한 사이버 보안을 보장해야 한다.
면제 및 역외 적용
제2.3조와 제2.6조는 군사, 국방 또는 국가 안보 목적으로만 사용되는 AI 시스템과 순수 과학 연구 및 개발을 AI Act에서 면제한다. EU의 일반 데이터 보호 규정(GDPR)과 마찬가지로, 이 법은 EU 내에 사용자가 있는 경우 EU 외부의 제공자에게 역외 적용될 수 있다. 이는 미국, 아시아 또는 다른 곳에 기반을 둔 기업이 시스템이 개발된 장소와 관계없이 EU 거주자에게 AI 서비스를 제공할 때 준수해야 함을 의미한다.
집행 일정 및 2028년 이정표
이 규정은 2024년 8월 1일에 발효되었으며, 조항은 6개월에서 36개월에 걸쳐 점진적으로 시행된다. 2028년까지 특히 의료, 교육, 법 집행과 같은 분야의 고위험 AI 시스템에 대한 최종 의무 단계가 발효된다. 이 법에 의해 창설된 유럽 인공지능 위원회는 국가 간 협력을 촉진하고 회원국 전반의 균일한 준수를 보장하는 데 중심적인 역할을 한다. 국가 감독 당국은 적합성 평가 절차를 수립했을 것으로 예상되며, 제공자는 고위험 시스템에 대한 인증을 완료했어야 한다. 2028년 이정표는 또한 불이행에 대한 제재를 포함한 법의 전체 집행 메커니즘이 모든 범주에서 작동하는 시점을 의미한다.
AI 개발 및 배포에 미치는 영향
2028년의 전면 시행은 AI 개발자와 배포자로 구성된 광범위한 생태계에 영향을 미친다. OpenAI, Anthropic, Google DeepMind와 같은 일반 목적 모델을 생산하는 기업들은 자사 모델이 EU에서 사용될 경우 투명성 및 평가 요건을 준수해야 한다. NVIDIA(목록에는 없지만 생태계상 암시됨) 및 AMD와 같은 하드웨어 공급업체는 자사 칩이 체계적 위험 평가 대상 모델에 전력을 공급함에 따라 간접적 영향을 받을 수 있다. Amazon Web Services, Microsoft Azure, Google Cloud와 같은 클라우드 서비스 제공업체는 자사 AI 서비스가 이 법의 기준을 충족하도록 보장해야 한다. MIT CSAIL, Stanford AI Lab, BAIR (Berkeley AI Research)를 포함한 연구 기관은 자사 모델이 EU에서 상업적으로 배포될 때 영향을 받지만, 순수 연구는 면제된다. 이 법의 투명성 및 위험 완화 강조는 Model Pruning, Data Augmentation, AI 피드백 기반 강화 학습과 같은 기술적 관행과 일치하며, 이는 준수 입증에 도움이 될 수 있다.
준수 과제 및 업계 대응
2028년 현재, 많은 조직은 상당한 준수 과제에 직면한다. 고위험 AI 시스템은 엄격한 문서화, 인간 감독 메커니즘, 지속적 모니터링을 요구한다. 알고리즘 영향 평가에 대한 초기 작업에서 비롯된 기본권 영향 평가 절차는 영향을 받는 커뮤니티 식별, 가능한 피해 설명, 공공 검토의 근거 제공을 요구한다. 일반 목적 모델의 경우, 체계적 위험 지정을 위한 10^25 부동소수점 연산 임계값은 주요 연구소에서 훈련된 모델과 같은 가장 큰 모델을 포괄한다. 자발적 행동 강령은 의무는 아니지만 공급업체가 투명성, 저작권, 안전을 포괄하는 준수를 입증할 수 있는 구조화된 접근 방식을 제공한다. 업계 대응에는 내부 거버넌스 프레임워크 개발, 평가 도구 투자, 유럽 인공지능 위원회와의 협력이 포함된다. 특히 오픈소스 모델을 제공하는 일부 소규모 공급업체는 요건이 완화되는 혜택을 받지만, 여전히 훈련 데이터 요약과 저작권 정책을 공개해야 한다.
글로벌 AI 거버넌스에 대한 광범위한 영향
EU AI 법 2028은 전 세계 AI 규제의 기준점 역할을 한다. 위험 기반 접근 방식과 역외 적용은 미국 및 아시아를 포함한 다른 관할권의 정책 논의에 영향을 미친다. 이 법의 오픈소스 및 클로즈드소스 모델 구분은 혁신과 안전에 대한 논쟁을 촉발했으며, 일부는 오픈소스 투명성 요건이 불충분하다고 주장하고 다른 일부는 균형 잡힌 접근 방식으로 본다. 2028년 시행은 또한 Machine learning 및 Deep learning의 발전과 일치하며, 여기에는 Transformer (architecture) 아키텍처 및 Multi-Head Attention 메커니즘의 발전이 포함되어 규제 프레임워크가 완전히 예측하지 못한 새로운 기능을 도입할 수 있다. 고위험 목록 업데이트 및 기술 변화 적응에 관한 이 법의 조항은 이러한 진화를 해결하도록 설계되었지만, 그 효과는 유럽 인공지능 위원회의 대응성에 달려 있다. 2028년 현재, AI 혁신, 시장 경쟁, 기본권 보호에 대한 이 법의 전반적 영향은 법학자, 기술자, 정책 입안자들 사이에서 지속적인 분석 주제로 남아 있다.
향후 전망
2028년 이후를 내다보면, AI 법은 AI 기술이 발전함에 따라 진화할 것으로 예상된다. 유럽 위원회는 신경망 해석 가능성, 대규모 언어 모델 정렬, 또는 자율 주행 차량과 같은 자율 시스템에서의 AI와 같은 신흥 분야를 다루기 위한 수정안을 제안할 수 있다. 이 법의 최대 조화 조항은 회원국이 최소 위험 시스템에 추가 규정을 부과하는 것을 방지하지만, 고위험 목록 확장은 허용한다. 일반 목적 AI 행동 강령은 새로운 기술 표준과 모범 사례를 반영하여 업데이트될 수 있다. 따라서 2028년 이정표는 종착점이 아니라 지속적인 규제 적응의 기반을 나타내며, EU는 AI 거버넌스의 글로벌 리더로 자리매김하고 있다. 이 법과 데이터 보호 및 디지털 서비스와 같은 다른 EU 규정 간의 상호 작용은 EU 내외의 AI 제공업체 및 배포자를 위한 준수 환경을 계속 형성할 것이다.