EU AI Act(Regulation (EU) 2024/1689)는 2024년 유럽연합이 채택한 인공지능에 대한 포괄적인 법적 체계이다. 이 법은 AI 시스템에 대한 위험 기반 분류 체계를 수립하며, 건강, 안전, 기본권에 미치는 위험 수준에 따라 다양한 의무를 부과한다. 이 법의 조항은 단일 블록으로 발효되는 것이 아니라 2025년 2월부터 2027년 8월 사이에 서로 다른 날짜에 의무화되는 단계적 일정에 따라 적용된다. 이러한 단계적 접근 방식은 제공자, 배포자 및 국가 당국이 새로운 규칙에 적응할 시간을 제공하면서 가장 시급한 금지 조항과 거버넌스 구조를 우선 처리하도록 설계되었다.
이 법은 EU 내에 소재하는지 여부와 관계없이, AI 시스템을 개발하는 제공자와 전문적 자격으로 사용하는 배포자 모두에게 적용되며, AI 시스템이 EU 시장에 출시되거나 그 출력이 EU 내에서 사용되는 한 적용된다. 또한 Machine learning, 대규모 언어 모델, 생성형 AI 시스템 등 광범위한 AI 기술을 포괄하지만, 국가 안보 및 군사 목적과 같은 특정 영역은 제외된다.
발효 및 초기 조항
AI Act는 2024년 7월 12일 EU 공식 저널에 게재되었으며, 20일 후인 2024년 8월 1일에 발효되었다. 그러나 첫 번째 구속력 있는 의무는 2025년 2월 2일에 시작되었다. 이 초기 단계는 가장 긴급하다고 간주되는 조항, 즉 허용 불가한 위험 AI 관행에 대한 금지와 AI 리터러시 규칙에 초점을 맞추었다.
2025년 2월 2일부터 다음 사항이 적용되었다:
- 금지된 관행 (제5조) - 잠재의식적 기법을 사용하여 행동을 왜곡하거나, 특정 집단(예: 아동 또는 장애인)의 취약성을 이용하거나, 사회적 행동에 기반하여 개인을 평가하거나 분류(사회 점수)하거나, 공개적으로 접근 가능한 장소에서 실시간 원격 생체 인식 식별을 보안 업무에 사용하거나(좁은 예외 포함), 단순 프로파일에 기반한 범죄 및 행정 위반을 예측하는 AI 시스템을 금지한다.
- AI 리터레시의무(제4조) - 제공자와 배포자가 직원과 기타 AI 시스템 운영 참여자가 기술적 지식, 경험, 교육, 훈련을 고려한 충분한 AI 리터러시 수준을 갖추도록 보장해야 한다.
- 유럽연합 집행위원회 내 유럽 AI 사무국 설립 - 중앙 집행 및 조율 기구의 역할.
일반 목적 AI 모델 (2025년 8월)
두 번째 주요 이정표인 일반 목적 AI(GPAI) 모델 제공자에 대한 의무는 2025년 8월 2일에 효력을 발휘했다. GPAI 모델은 대규모 자기 지도 학습으로 훈련된 AI 모델을 포함하여, 광범위한 다양한 작업을 유능하게 수행할 수 있는 AI 모델로 정의된다. 이 범주에는 대부분의 기본을 모델과 대형 언어 모델이 포함되며, OpenAI, Anthropic, Google DeepMind에서 개발된 것들도 해당된다.
이 규칙에 따라, GPAI 모델 제공자는 다음을 수행해야 한다:
- 훈련 데이터 설명, 모델 아키텍처, 평가 결과를 포함한 최신 기술 문서 유지.
- 자체 AI 시스템에 모델을 통합하는 다운스트림 제공자에게 정보 및 문서 제공.
- 텍스트 및 데이터 마이닝과 관련된 EU 저작권 법률을 존중하는 저작권 정책 수립.
- 훈련 콘텐츠에 대한 충분히 상세한 요약을 출판.
시스템적 위험 - 누적 통과 연산이 10^25 FLOPs(부동 소수점 연산)를 초과하는 모델로 정의 - 을 제시하는 GPAI 모델에는 추가 의무가 적용된다. 여기에는 모델 평가, 적대적 테스트, 심각한 사고를 유럽 AI 사무국에 보고하는 것이 포함된다. 위원회는 기능 또는 영향에 기반하여 컴퓨팅 기준보다 낮은 모델도 시스템적 위험으로 지정할 수 있다.
고위험 시스템 및 거버넌스 (2026년 8월)
가장 광범위한 의무 세트는 2026년 8월 2일에 적용되었다. 이 날짜는 개정지의 제6조 및 부록 I과 III에 따른 고위험 AI 시스템에 대한 요구를 포함한다. 고위험 시스템에는 기반 시설, 교육 및 직업 훈련, 고용 및 근로자 관리, 필수적인 사적 및 공적 서비스, 법 집행, 이민 및 망명 관리, 사법의 집행에 사용되는 AI를 포함한다.
이 날짜부터 고위험 AI 시스템 제공자는 포괄적인 의무 세트를 준수해야 한다:
- 시스템 수명 주기 동안 실행되는 위험 관리 시스템 수립.
- 관련성 있고 대표성이 있으며 오류 및 편향 없음이 관련된 훈련, 검증, 및 시험 데이터 사용.
- 준수 여부를 입증하는 기술 문서 작성.
- 추적성 보장을 위한 신용 공정 자동 이벤트 로그 기록 가능.
- 배포자에 대한 투명성 제공(사용 지침 포함).
- 인간 감독 조치 구현.
- 견고성, 정확성, 사이버 보안 보장.
또한 2026년 8월 2일부터 거버넌스 구조가 완전히 가동된다. 여기에는 회원국들이 국가 대표 기관을 지정하고 적합성 평가를 담당하는 통지 기관을 설립 요건이 포함된다. 또한 회원국 대표로 구성된 유럽 인공지능 위원회가 완전히 활성화된다.
제한 위험 시스템에 대한 투명성 의무 (2026년 8월)
또한 2026년 8월 2일에는 제한 위험 AI 시스템에 대한 투명성 의무가 효력을 발생한다. 이는 챗봇등 인간과 대하거나 하는 AI 시스템 및 딥페이크 등 콘텐츠를 생성하거나 조작하는 시스템에 적용된다. 제공업체는 사용자가 AI 시스템과 대화하고 있다는 것을 알 수 있도록 해야 하며, 상황에서 명백하게 판단되지 않는 한 이를 알려야 한다. AI가 생성하거나 조작한 콘텐츠는 인공임을 나타내도록 기계-독해 가능한 형식으로 표시되어야 한다. 딥페이크와 AI 생성 텍스트, 오디오, 비디오를 포함한다.
부록 I의 고위험 시스템 (2027년 8월)
최종 주요 적용 날짜는 2027년 8월 2일이다. 이는 기계, 장난감, 의료 기기, 차량 등 이미 EU 제품 안전법에 따라 시스템의 안전 구성 요소인 고위험 AI 시스템을 대상으로 한다. 이러한 시스템은 부록 III의 시스템과 동일한 고위험 요구 사항을 충족해야 하지만, 제조업체가 관련 분야별 법률에 맞추고는 것을 허용하기 위해 적용이 연기되었다. 또한 법은 부록에 명시된 제품에 대한 기술 문서 및 적합성 평가 절차를 업데이트하도록 위원회에 요구한다.
시장 전 모니터링 및 집행
2026년 8월 2일부터 고위험 AI 시스템 제공업체는 시판 전 모니터링 시스템을 수립하여 수명 기간 동안 시스템 성능에 대한 데이터를 적극적으로 수집·분석해야 한다. 이 시스템은 문서화되어 해당 당국에 보고되어야 한다. 또한 심각한 사고와 오작동을 처리하는 절차가 도입된다.
집행은 유럽 AI 사무국이 조율하는 국가 시장 독립 당국이 수행한다. 불이행에 따른 처벌은 중대한: 금지된 관행을 위반하면 최대 3,500만 유로 또는 회사 전세계 연간 매출의 7% 중 더 큰 금액, 기타 대부분의 의무 위반 시 1,500만 유로 또는 매출의 3% 중 더 큰 금액, 당국에 잘못된 정보를 제공하면 750만 유로 또는 매출의 1.5% 중 더 큰 금액까지 부과된다. 중소기업(SME)과 스타트업의 경우, 이러한 벌금은 더 작은 금액으로 상한이 설정된다.
실무 코드 및 표준
구현을 지원하기 위해 유럽 AI 사무국은 2025년에 완성된 일반 목적 AI 제공자 실무 코드 개발을 지원했다. 이 코드는 법적 의무를 실질적인 장점으로 변환하며, 투명성, 저작권, 시스템적 위험 관리와 같은 영역을 일부. 이 코드를 준수하는 제공자는 법정 요구 사항을 준수한 것으로 간주된다.
이 법은 또한 유럽 표준화 조직(CEN, CENELEC, ETSI)이 개발한 조화된 기술 표준에 크게 의존한다. 2025년과 2026년에 걸쳐 초안이 작성되는 이러한 표준은 적합성 평가, 위험 관리, 데이터 품질에 대한 기술 사양을 제공할 예정이다. 표준이 발표될 때까지 제공업체는 대안적 방법을 사용할 수 있지만, 대체 방법으로 준수를 입증해야 한다.
AI 업계에 미치는 영향
단계적 적용 날짜는 AI 시스템을 개발·배포하는 회사에 상당한 영향을 미친다. OpenAI, Anthropic, Google DeepMind와 같은 주요 연구소를 포함한 GPAI 모델 제공업체는 2025년 8월 마감일을 대비하여 상당한 문서화 및 투명성 노력을 해야 했다. 많은 회사가 내부 규정 준수 팀을 구축하고 데이저 훈련 및 모델 행동 추적 도구를 개발했다.
고위험 AI 애플리케이션의 경우, 2026년 8월과 2027년 8월 마감일은 개발자에게 더 많은 시간을 주지만, 조기 계획이 필요하다. 의료(예: Intuitive Surgical), 자율 주행(예: Waymo, Tesla) 같은 분야의 기업과 금융 서비스 기업은 적합성 평가를 수행해야 하며, 종종 제3자 알림 기관에 참여해야 한다. 또한 이 법은 Amazon Web Services, Microsoft Azure, Google Cloud과 같은 클라우드 서비스 제공자, AI 플랫폼을 제공하며 역할에 따라 배포자 또는 제공자가 될 수 있는 대상에 영향을 미친다.
이 법은 또한 글로벌 AI 거버넌스에 영향을 미쳤으며, 다른 규제 당국이 EU를 규제 모델로 주목하고 있다. 그러나 이 단계적 일정의 복잡성은 비평의 대상이 되기도 하며, 일부 업계 단체는 단계적 접근이 불확실성과 규제 부담을 야기한다고 주장한다. EU 집행위원회는 문서 지침과 모호한 조항을 명확화하기 위한 위한 이해관계자 협의 절차를 발표하면서 대응했다.
미래 발전
2025년 현재, 유럽 집행위원회는 특히 시스템적 위험의 정의, 기존 분야별 법과의 상호작용, 투명성 요건의 실용적 적용에 관한 추가 시행 법과 지침을 마련 중이다. 또한 위원회는 2027년까지 법의 금지 행위 및 고위험 영역 목록을 검토할 예정이며, 새로운 AI 애플리케이션으로 범위를 확장할 가능성도 있다. AI Act의 전체 영향은 다양한 날짜가 통과하고 집행 조치가 시작된 후에만 분명해질 것이다.