EU AI Act 개정안은 유럽연합이 제안한 인공지능법(AI Act)의 초기 제안과 최종 채택 사이에 이루어진 일련의 변경 사항을 의미한다. 2021년 4월 21일 유럽연합 집행위원회가 제안한 이 규정 초안은 EU 전역에 걸쳐 AI에 대한 공통 규제 및 법적 프레임워크를 구축하는 것을 목표로 했다. 그러나 생성형 AI 시스템, 예를 들어 ChatGPT와 같은 시스템의 급속한 부상으로 인해, 그 범용 능력이 원래의 위험 기반 프레임워크에 맞지 않아 입법 과정에서 상당한 수정이 촉발되었다. 2023년에 추가된 이러한 개정안은 범용 AI를 위한 전용 범주를 도입하고 투명성 및 평가 의무를 그에 맞게 조정했다. 최종 텍스트는 2024년 3월 13일 유럽 의회를 통과했고 2024년 5월 21일 EU 이사회에서 만장일치로 승인되어 2024년 8월 1일 발효되었으며, 조항은 이후 6개월에서 36개월에 걸쳐 점진적으로 시행되었다.
이 개정안은 규제 논의의 더 넓은 변화를 반영했는데, 입법자들은 전통적인 제품 안전 모델이 다양한 용도로 적응될 수 있는 AI 시스템에는 충분하지 않다는 점을 인식했다. 2021년에 작성된 원래 제안은 특정 애플리케이션에 대한 고정된 위험 범주에 초점을 맞췄지만, OpenAI와 Anthropic이 개발한 것과 같은 기반 모델과 대규모 언어 모델의 등장으로 더 유연한 접근 방식이 필요해졌다. 개정된 법안은 특정 애플리케이션에 대한 수직적 위험 기반 의무를 보완하는 범용 AI 모델에 대한 수평적 의무 계층을 도입했다. 이 이중 구조는 개별 AI 사용의 잠재적 피해와 고도로 유능한 다목적 모델이 제기하는 시스템적 위험을 모두 해결하도록 설계되었다.
위험 범주
AI 법은 비면제 AI 애플리케이션을 허용 불가, 고위험, 제한적, 최소의 네 가지 위험 수준으로 분류하며, 범용 AI에 대한 추가 범주를 포함한다. 이 위험 기반 체계는 공급자와 배포자에 대한 규제 의무가 건강, 안전 또는 기본권에 대한 잠재적 영향에 따라 증가하는 제품 안전 모델을 따른다.
허용 불가 위험: 이 범주의 애플리케이션은 특정 면제를 제외하고 금지된다. 여기에는 인간 행동을 조작하는 AI, 공공 장소에서의 실시간 원격 생체 인식(예: 얼굴 인식), 개인 특성이나 행동에 따라 개인을 순위 매기는 사회 점수 시스템이 포함된다. 이러한 금지는 기본권과 민주적 가치에 대한 우려를 반영한다.
고위험: 건강, 안전 또는 기본권에 심각한 위협을 제기하는 AI 시스템이 여기에 해당하며, 의료, 교육, 채용, 핵심 인프라, 법 집행 또는 사법에 사용되는 시스템이 포함된다. 이들은 보안, 투명성 및 품질 의무를 준수하고 적합성 평가를 거쳐야 하며, 일부 경우 배포 전에 기본권 영향 평가(FRIA)가 필요하다. 고위험 애플리케이션 목록은 법 자체를 수정하지 않고도 시간이 지남에 따라 확장될 수 있어 적응성을 허용한다.
제한적 위험: 이러한 시스템은 사용자가 AI와 상호 작용하고 있음을 알 수 있도록 하는 투명성 의무가 있다. 이 범주는 딥페이크와 같은 이미지, 사운드 또는 비디오를 생성하거나 조작하는 애플리케이션을 다룬다. 사용자는 의식적인 선택을 위해 정보를 제공받아야 한다.
최소 위험: 비디오 게임이나 스팸 필터와 같은 대부분의 AI 애플리케이션이 이 범주에 속한다. 이들은 규제되지 않으며, 최대 조화 규칙으로 인해 회원국은 추가 규정을 부과할 수 없다. 이러한 시스템에는 자발적 행동 강령이 제안된다.
범용 AI 범주
원래 제안에 대한 가장 중요한 개정은 2023년 범용 AI를 위한 전용 범주를 추가한 것이다. 이 범주에는 광범위한 작업을 수행할 수 있는 ChatGPT와 같은 기반 모델이 포함된다. 개정안은 모든 범용 AI 공급자에게 투명성 요구 사항을 부과했으며, 오픈 소스 모델에는 축소된 의무를 적용했다. 폐쇄 소스 모델의 경우 훈련 데이터 요약 및 저작권 정책 게시를 포함한 더 넓은 투명성 규칙이 적용된다. 훈련에 10^25 부동 소수점 연산 이상이 필요한 것으로 정의되는 시스템적 위험을 제기하는 고영향 모델은 추가 평가를 거쳐야 한다. 2025년 7월 10일에 발표된 범용 AI 행동 강령은 투명성, 저작권, 안전 및 보안에 관한 세 가지 주요 장을 개요로 제공하여 공급자가 준수를 입증하도록 돕지만, 참여는 자발적이다.
개정안은 또한 범용 AI 공급자에 대한 공통 의무 목록을 설정했다. 이들은 훈련 데이터 요약을 게시하고, 저작권법을 준수하는 정책을 채택하고, 다운스트림 공급자와 감독 기관에 기술 문서를 제공해야 한다. 시스템적 위험을 제기하는 것으로 지정된 모델의 경우 추가 의무에는 모델 평가, 적대적 테스트, 위험 평가 및 완화(예: 편향 및 보안 실패), 심각한 사고 보고, 적절한 사이버 보안 보장이 포함된다. 이러한 조항은 Google DeepMind 및 Xerox PARC 시대 연구와 같은 회사가 개발한 모델의 성장하는 능력에 영향을 받았지만, 법 자체는 연구보다는 배포에 초점을 맞춘다.
면제
제2.3조 및 제2.6조는 군사, 국방 또는 국가 안보 목적으로만 사용되는 AI 시스템과 순수 과학 연구 및 개발을 AI 법에서 면제한다. 비전문적 사용도 제외된다. 이는 MIT CSAIL 또는 Berkeley AI Research와 같은 학술 연구소에서 개발된 연구 중심 AI 시스템이 연구 목적으로만 사용될 때 법의 규제를 받지 않음을 의미한다. 그러나 이러한 시스템이 나중에 상업적으로 배포되면 범위에 포함된다. 군사 애플리케이션에 대한 면제는 국가 안보 우선권을 반영하지만, 민간 법 집행에서 AI 사용은 고위험 의무의 적용을 받는다.
법은 또한 EU의 일반 데이터 보호 규정과 유사하게 역외 적용을 허용한다. EU 외부의 공급자는 EU 내 사용자가 있는 경우 규정의 적용을 받으며, 이는 공정한 경쟁 환경을 보장하고 EU 시민을 보호한다.
제도적 프레임워크
개정안은 회원국 간의 국가 협력을 촉진하고 일관된 준수를 보장하기 위해 EU AI 위원회인 유럽 인공지능 위원회를 도입했다. 위원회는 국가 감독 기관 간의 조정을 촉진하고 법 적용에 대한 지침을 제공한다. 이 제도적 메커니즘은 디지털 단일 시장에서 조화된 집행의 필요성을 해결하기 위해 입법 과정에서 추가되었다.
입법 과정
개정 과정은 반복적이었다. 위원회의 2021년 제안 이후, 유럽 의회와 이사회는 변경 사항을 협상했다. 생성형 AI의 부상, 특히 2022년 말 ChatGPT의 출시는 수정의 필요성을 가속화했다. 협상은 2023년 말 정치적 합의로 절정에 달했으며, 의회는 2024년 3월 13일 최종 텍스트를 채택했고 이사회는 2024년 5월 21일 채택했다. 개정안은 기본 법안을 다시 열지 않고도 범용 모델을 분류할 수 있게 함으로써 법을 미래 지향적으로 만드는 데 중요했다.
시행 일정
법은 2024년 8월 1일 발효되었으며, 조항은 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 이 점진적 시행은 공급자와 당국이 적응할 시간을 제공한다. 위험 기반 의무는 다른 날짜에 적용되며, 허용 불가 위험에 대한 금지가 먼저 발효되고, 그 다음 고위험 의무와 범용 AI 요구 사항이 적용된다. 이 일정은 혁신과 보호의 균형을 맞추기 위한 핵심 개정이었다.
영향
EU AI 법 개정안은 AI 규제의 이정표를 나타낸다. 생성형 AI를 통합함으로써, 이 법은 다른 관할권에 선례를 설정한다. 위험 기반 접근 방식과 범용 AI 감독을 결합하여 혁신을 허용하면서 신뢰를 조성하는 것을 목표로 한다. 2025년 현재, 이 법은 EU 전역에서 시행되고 있으며, EU AI 위원회가 노력을 조정하고 있다. 개정안은 딥러닝, 대규모 언어 모델 및 트랜스포머 아키텍처의 급속한 기술 발전에 보조를 맞추려는 역동적인 규제 환경을 반영한다.