인공지능법(AI Act)은 유럽연합 전역에서 인공지능에 대한 공통 규제 및 법적 체계를 수립하는 유럽연합 규정이다. 이 법은 2024년 8월 1일에 발효되었으며, 조항들은 이후 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 이 법은 광범위한 분야에 걸쳐 대부분의 AI 시스템을 대상으로 하지만, 군사, 국가 안보, 연구 목적 또는 비전문적 사용에만 사용되는 AI는 면제된다. 제품 규제의 한 형태로서 이 법은 개인 권리를 창설하지 않으며, 대신 AI 제공자와 전문적 맥락에서 AI를 사용하는 조직에 의무를 부과한다.
이 법은 면제되지 않은 AI 애플리케이션을 위해 피해를 초래할 위험 수준에 따라 허용 불가, 고위험, 제한적, 최소의 네 가지 수준으로 분류하며, 범용 AI에 대한 추가 범주를 포함한다. 허용 불가한 위험을 가진 애플리케이션은 금지된다. 고위험 애플리케이션은 보안, 투명성 및 품질 의무를 준수하고 적합성 평가를 받아야 한다. 제한적 위험 애플리케이션은 투명성 의무만 있다. 최소 위험 애플리케이션은 규제되지 않는다. 범용 AI의 경우 투명성 요구 사항이 부과되며, 오픈 소스 모델에는 요구 사항이 축소되고, 고성능 모델에는 추가 평가가 적용된다. 이 법은 또한 국가 간 협력을 촉진하고 규정 준수를 보장하기 위해 유럽 인공지능 위원회를 설립한다. EU의 일반 데이터 보호 규정(GDPR)과 마찬가지로, 이 법은 EU 내 사용자가 있는 경우 EU 외부 제공자에게도 역외 적용될 수 있다.
제안 및 입법 과정
유럽 위원회는 2021년 4월 21일에 AI Act를 제안했다. 초안은 기존 제품 안전 법규와 유사한 위험 기반 접근 방식을 따라 단일 시장 전역에서 AI 시스템에 대한 규칙을 조화시키도록 설계되었다. 초기 제안은 전통적인 머신 러닝 및 딥 러닝 시스템에 초점을 맞추었으며, 피해를 초래할 잠재력에 따라 분류했다.
입법 과정에서 ChatGPT와 같은 생성형 AI 시스템의 부상은 상당한 수정을 촉구했다. 원래 체계는 다양한 분야에서 광범위한 작업을 수행할 수 있는 범용 모델을 적절히 다루지 못했다. 2023년에 초안은 범용 AI에 대한 전용 범주를 포함하도록 수정되었으며, 이는 기반 모델과 대규모 언어 모델을 포함한다. 이 수정은 ChatGPT와 같은 시스템과 다른 대규모 언어 모델이 더 좁은 애플리케이션과 다른 규제 처리를 필요로 한다는 점을 인정했다.
의회 승인 및 이사회 채택
유럽 의회는 광범위한 협상과 수정을 거쳐 2024년 3월 13일에 AI Act를 통과시켰다. 의회 버전은 기본 권리에 대한 조항을 강화하고, 고위험 시스템에 대한 기본 권리 영향 평가 요구 사항을 추가했으며, 생성형 AI에 대한 투명성 의무를 확대했다. EU 이사회는 2024년 5월 21일에 최종 텍스트를 만장일치로 승인하여 입법 과정을 완료했다.
최종 규정은 2024년 7월에 EU 공식 저널에 게재되었으며, 2024년 8월 1일에 발효되었다. 단계적 시행 일정에 따라 서로 다른 의무가 서로 다른 날짜에 적용되며, 허용 불가한 위험 애플리케이션에 대한 금지는 고위험 시스템에 대한 요구 사항보다 먼저 시행된다.
위험 범주 상세
이 법은 네 가지 주요 위험 범주와 범용 AI에 대한 별도 범주를 설정한다. 허용 불가한 위험 애플리케이션은 특정 면제를 제외하고 완전히 금지된다. 여기에는 인간 행동을 조작하는 AI, 공공 장소에서의 실시간 원격 생체 인식 식별, 개인 특성이나 행동에 따라 개인을 순위 매기는 사회 점수 시스템이 포함된다.
고위험 애플리케이션은 건강, 안전 또는 기본 권리에 중대한 위협을 초래할 것으로 예상되는 것이다. 여기에는 건강, 교육, 채용, 중요 인프라 관리, 법 집행 및 사법에 사용되는 AI 시스템이 포함된다. 이러한 시스템은 품질, 투명성, 인간 감독 및 안전 의무를 충족해야 한다. 일부는 배포 전에 기본 권리 영향 평가를 요구하며, 이는 기본 권리에 대한 잠재적 영향을 식별하고 완화하기 위한 사전 검토이다. 고위험 시스템은 시장 출시 전과 수명 주기 전반에 걸쳐 평가되어야 한다. 고위험 애플리케이션 목록은 AI Act 자체를 수정하지 않고도 시간이 지남에 따라 확장될 수 있다. 시민들은 AI 시스템에 대해 불만을 제기하고 권리에 영향을 미치는 고위험 AI의 결정에 대한 설명을 받을 권리가 있다.
제한적 위험 시스템은 투명성 의무가 있어 사용자가 AI와 상호 작용하고 있음을 알고 정보에 입각한 선택을 할 수 있도록 보장한다. 이 범주에는 딥페이크와 같은 이미지, 소리 또는 비디오를 생성하거나 조작하는 애플리케이션이 포함된다. 비디오 게임 AI 및 스팸 필터를 포함한 최소 위험 시스템은 규제되지 않으며, 최대 조화 규칙으로 인해 회원국은 추가 규정을 부과할 수 없다.
범용 AI 조항
2023년에 추가된 범용 AI 범주는 생성형 AI 시스템을 포함하여 광범위한 작업을 수행할 수 있는 기반 모델을 다룬다. 모델의 가중치와 설계가 오픈 소스로 공개된 경우 개발자는 훈련 데이터 요약과 저작권 정책을 게시해야 한다. 폐쇄 소스 모델은 더 광범위한 투명성 요구 사항을 충족해야 한다. 훈련에 1025회 이상의 부동 소수점 연산이 필요한 것으로 정의된 시스템적 위험을 초래하는 고영향 모델은 추가 평가를 받아야 한다.
2025년 7월 10일에 게시된 범용 AI 행동 강령은 투명성, 저작권, 안전 및 보안에 관한 세 가지 주요 장을 설명하여 제공자가 규정 준수를 입증하도록 돕는다. 강령 참여는 자발적이다. 기본 투명성 의무 외에도, 이 법은 범용 AI 모델 제공자에 대한 공통 의무 목록을 설정한다. 제공자는 훈련 데이터 요약을 게시하고, 저작권 준수 정책을 채택하며, 하류 제공자와 감독 기관에 기술 문서를 제공해야 한다. 시스템적 위험을 초래하는 것으로 지정된 모델은 모델 평가 및 적대적 테스트를 수행하고, 편향 및 보안 실패와 같은 위험을 평가하고 완화하며, 심각한 사고를 보고하고, 적절한 사이버 보안을 보장해야 한다.
면제 및 적용 범위
제2.3조 및 제2.6조는 군사 또는 국가 안보 목적이나 순수 과학 연구 및 개발에 사용되는 AI 시스템을 AI Act에서 면제한다. 이 규정은 AI 시스템이 군사, 국방 또는 국가 안보 목적으로만 사용되거나 과학 연구를 위해서만 개발되고 서비스에 투입된 시스템에는 적용되지 않는다. 이 면제는 회원국의 안보 문제에 대한 통제를 유지하면서 혁신과 규제의 균형을 맞출 필요성을 인정한다.
시행 및 집행
이 법은 국가 간 협력을 촉진하고 규정 준수를 보장하기 위해 유럽 인공지능 위원회를 설립한다. 유럽 AI 위원회는 일반 데이터 보호 규정이 수립한 거버넌스 구조와 유사하게 회원국 전역의 감독 기관을 조정한다. 단계적 시행 일정은 시행 일정에 자세히 설명되어 있으며, 발효 후 6, 12, 24, 36개월에 서로 다른 의무가 활성화된다.
역외 적용 범위로 인해 EU 내 사용자가 있는 경우 EU 외부 제공자도 규정을 준수해야 한다. 이는 GDPR의 접근 방식을 반영하며 미국, 중국 및 기타 주요 AI 시장을 포함한 전 세계 AI 개발자에게 중대한 영향을 미친다. 이 법의 위험 기반 체계는 규제 의무가 제공자와 배포자에게 할당되고 건강, 안전 또는 기본 권리에 대한 잠재적 영향이 증가함에 따라 의무가 더 엄격해지는 제품 안전 모델을 따른다.
더 넓은 맥락과 영향
AI Act는 지역 수준에서 인공지능을 규제하려는 최초의 포괄적 시도 중 하나를 대표한다. 그 개발은 현대 대규모 언어 모델의 기반이 되는 트랜스포머 아키텍처를 포함한 머신 러닝 및 딥 러닝 기술의 급속한 발전과 병행했다. 입법 일정은 빠르게 변화하는 분야를 규제하는 과제를 반영하며, 2023년 수정은 생성형 AI 도구의 폭발적 성장에 대응했다.
이 법의 접근 방식은 다른 관할권의 논의에 영향을 미쳤지만, 시행이 진행됨에 따라 전체 영향은 아직 지켜봐야 한다. 유럽 의회 연구 서비스는 위원회의 영향 평가에 대한 초기 평가를 제공했으며, 이는 정책 옵션을 비교할 때 이해 관계자 협의와 기존 연구를 활용했다. 법률 학자들은 이 법이 "신뢰할 수 있는 AI"를 안전 및 위험 임계값 준수를 입증할 수 있는 시스템으로 규정하여 AI 거버넌스에 대한 규정 준수 중심 접근 방식을 확립한다고 지적했다.
단계적 출시는 조직이 적응할 시간을 제공하지만, 특히 고위험 및 범용 AI에 대한 요구 사항의 복잡성은 기술 부문 전반에 걸쳐 상당한 규정 준수 활동을 생성했다. 이 법의 발효 시점 기준으로, EU 전역 및 그 너머의 AI 개발자, 배포자 및 사용자에 대한 완전한 운영 영향은 계속 전개되고 있다.