유럽 연합 이사회는 2024년 5월 21일 인공지능법(AI Act)에 대한 최종 승인을 내렸으며, 이는 2021년 4월 21일 유럽 집행위원회의 제안으로 시작된 입법 절차를 마무리하는 것이었다. 회원국 장관들의 만장일치 투표는 규정이 발효되기 전 마지막 주요 관문이었으며, 세계 최초의 포괄적인 인공지능 법적 체계를 위한 토대를 마련했다. 이 법은 앞서 2024년 3월 13일 유럽 의회를 통과했으며, 최종 본문에는 오픈AI의 ChatGPT와 같은 생성형 인공지능 시스템의 급속한 부상에 대응하여 이루어진 중요한 수정 사항이 통합되었다. 이러한 시스템의 범용 능력은 원래의 위험 기반 프레임워크에 맞지 않았다.
이 규정은 공식적으로 2024년 8월 1일에 발효되었으며, 조항들은 이후 6개월에서 36개월에 걸쳐 점진적으로 적용될 예정이다. 이러한 단계적 시행은 기업, 국가 당국, 인공지능 시스템 제공자에게 새로운 의무에 적응할 충분한 시간을 주기 위해 설계되었다. AI법은 모든 EU 회원국에 걸쳐 인공지능에 대한 공통 규제 및 법적 체계를 수립하며, 군사, 국가 안보, 연구 목적 또는 비전문적 사용에만 사용되는 인공지능은 면제하고, 광범위한 분야의 대부분의 인공지능 시스템을 규율한다. 제품 규제의 한 형태로서 개인 권리를 창설하지는 않지만, 인공지능 제공자와 전문적 맥락에서 인공지능을 사용하는 조직에 의무를 부과한다.
위험 기반 분류
이 법은 면제되지 않는 인공지능 애플리케이션을 허용 불가, 고위험, 제한적, 최소의 네 가지 위험 수준과 범용 인공지능을 위한 추가 범주로 분류한다. 이 위험 기반 체계는 제품 안전 모델을 따르며, 건강, 안전 또는 기본권에 대한 잠재적 영향이 커질수록 제공자와 배포자에게 부과되는 규제 의무가 더욱 엄격해진다. 이 구조는 상당한 위험을 초래할 가능성이 있는 시스템에 감독이 집중되도록 하면서 덜 민감한 용도에는 보다 가벼운 접근 방식을 허용한다.
허용 불가한 위험을 가진 애플리케이션은 특정 면제를 제외하고 전면 금지된다. 여기에는 인간 행동을 조종하는 인공지능 시스템, 공공 장소에서 실시간 원격 생체 인식(예: 얼굴 인식)을 사용하는 시스템, 개인적 특성, 사회경제적 지위 또는 행동에 따라 개인을 평가하는 사회적 점수 시스템이 포함된다. 고위험 애플리케이션은 보안, 투명성 및 품질 의무를 준수해야 하며 배포 전에 적합성 평가를 거쳐야 한다. 여기에는 의료, 교육, 채용, 중요 인프라 관리, 법 집행 또는 사법에 사용되는 인공지능 시스템이 포함되며, 경우에 따라 기본권 영향 평가(FRIA) - 기본권에 대한 잠재적 영향을 식별하고 완화하기 위한 사전 검토 - 도 받아야 한다.
제한적 위험 애플리케이션은 투명성 의무만 가지며, 사용자가 인공지능 시스템과 상호 작용하고 있음을 알고 정보에 입각한 선택을 할 수 있도록 보장한다. 이 범주에는 딥페이크 생성 도구 및 이미지, 사운드 또는 비디오를 조작하는 기타 시스템이 포함된다. 최소 위험 애플리케이션(예: 비디오 게임이나 스팸 필터의 인공지능)은 규제되지 않으며, 최대 조화 규칙으로 인해 회원국은 추가 규정을 부과할 수 없다. 대부분의 인공지능 애플리케이션은 이 범주에 속할 것으로 예상되며, 모범 사례를 위한 자발적 행동 강령이 제안된다.
범용 인공지능 조항
2023년에 추가된 범용 인공지능 범주는 대규모 언어 모델 및 기타 기계 학습 시스템을 포함하여 광범위한 작업을 수행할 수 있는 기반 모델을 다룬다. 모델의 가중치와 설계가 오픈 소스로 공개된 경우 개발자는 훈련 데이터 요약과 저작권 정책을 게시해야 하며, 폐쇄형 소스 모델은 더 광범위한 투명성 요구 사항을 충족해야 한다. 체계적 위험을 제기하는 고영향 모델 - 훈련에 10^25회 이상의 부동 소수점 연산이 필요한 것으로 정의됨 - 은 모델 평가, 적대적 테스트, 편향 및 보안 실패에 대한 위험 평가, 심각한 사고 보고, 적절한 사이버 보안 조치를 포함한 추가 평가를 받아야 한다.
기본적인 투명성 의무 외에도 범용 인공지능 모델 제공자는 훈련 데이터 요약을 게시하고, 저작권법을 준수하는 정책을 채택하며, 하류 제공자와 감독 당국에 기술 문서를 제공해야 한다. 2025년 7월 10일에 게시된 범용 인공지능 행동 강령은 투명성, 저작권, 안전 및 보안에 관한 세 가지 주요 장으로 구성되어 제공자가 준수 여부를 입증하는 데 도움을 준다. 강령 참여는 자발적이다.
면제 및 역외 적용
법 제2.3조와 제2.6조는 군사, 국방 또는 국가 안보 목적으로만 사용되는 인공지능 시스템과 순수 과학 연구 및 개발을 면제한다. 이 규정은 또한 이러한 목적으로만 개발되고 서비스에 투입된 시스템에는 적용되지 않는다. EU의 일반 데이터 보호 규정과 마찬가지로 AI법은 EU 내 사용자가 있는 경우 EU 외부 제공자에게 역외 적용될 수 있으며, 이는 구글 딥마인드, 앤트로픽 또는 아마존 웹 서비스와 같은 회사가 본사 위치와 관계없이 EU 고객에게 인공지능 서비스를 제공하는 경우 준수해야 함을 의미한다.
거버넌스 및 집행
이 법은 국가 간 협력을 촉진하고 규정 준수를 보장하기 위해 유럽 인공지능 위원회를 창설한다. 이 위원회는 회원국 전역의 감독 당국을 조정하여 규칙의 일관된 적용을 용이하게 한다. 시민은 인공지능 시스템에 대해 불만을 제기하고 권리에 영향을 미치는 고위험 인공지능의 결정에 대한 설명을 받을 권리가 있다. 고위험 애플리케이션 목록은 AI법 자체를 수정하지 않고도 시간이 지남에 따라 확장될 수 있어 프레임워크가 새로운 위험에 적응할 수 있다.
입법 과정 및 수정
2021년 4월 21일 유럽 집행위원회의 원래 제안은 이해관계자 협의와 다양한 기존 연구를 기반으로 했으며, 유럽 의회 연구 서비스의 초기 평가에 따르면 그렇다. 법안 초안은 협상 과정에서 생성형 인공지능 시스템의 인기 상승에 대응하기 위해 수정되었으며, 그 범용 능력은 주요 프레임워크에 맞지 않았다. 최종 본문은 혁신 우려와 기본권 보호 사이의 균형을 맞췄으며, 기술 기업, 시민 사회 단체, 학계를 포함한 다양한 이해관계자의 의견을 통합했다.
2024년 5월 21일 EU 이사회의 만장일치 승인은 인공지능 규제에 대한 초당파적, 초국가적 합의를 보여주는 중요한 정치적 성과였다. 단계적 시행 일정은 서로 다른 조항이 서로 다른 시점에 적용됨을 의미하며, 가장 시급한 금지 및 투명성 요구 사항이 먼저 발효되고, 그 다음 몇 달 동안 고위험 시스템 및 범용 인공지능 모델에 대한 의무가 뒤따른다.
산업에 대한 영향
AI법의 역외 적용 범위와 포괄적 적용 범위는 전 세계 주요 기술 기업이 개발 및 배포 관행을 조정해야 함을 의미한다. 대규모 언어 모델 시스템, 신경망 기반 애플리케이션 및 기타 인공지능 도구 제공자는 훈련 데이터를 문서화하고, 저작권 정책을 구현하며, 위험 평가를 수행해야 한다. 오픈 소스와 폐쇄형 소스 모델 간의 구분은 서로 다른 준수 부담을 만들어 기업이 인공지능 시스템을 출시하는 방식을 잠재적으로 영향을 미칠 수 있다. 이 법의 위험 기반 접근 방식은 의료, 교육, 법 집행과 같은 분야에도 영향을 미치며, 고위험 인공지능 애플리케이션은 가장 엄격한 요구 사항에 직면한다.
더 넓은 맥락
AI법은 포괄적인 입법을 통해 글로벌 표준을 수립하는 EU의 패턴을 따르는 기술 규제의 이정표를 나타낸다. 그 위험 기반 프레임워크는 유사한 접근 방식을 고려하는 다른 관할권의 규제 기관에 의해 연구되어 왔다. 이 법의 투명성, 인간 감독, 기본권 보호에 대한 강조는 민주주의, 프라이버시 및 개인 자율성에 대한 인공지능의 영향에 대한 광범위한 사회적 우려를 반영한다. 조항이 점진적으로 시행됨에 따라 실제 구현은 전 세계 산업, 시민 사회 및 정책 입안자들이 면밀히 주시할 것이다.
이 규정의 성공은 국가 당국과 유럽 인공지능 위원회의 효과적인 집행과 인공지능 제공자의 협력에 달려 있다. 최소 위험 애플리케이션을 위한 자발적 행동 강령과 범용 인공지능 행동 강령은 준수 지침을 제공하며, 법의 유연성은 인공지능 기술이 발전함에 따라 향후 업데이트를 허용한다. 따라서 2024년 5월 21일 이사회의 승인은 끝이 아니라 시작 - 건강, 안전 및 기본권을 보호하기 위해 설계된 명확하고 집행 가능한 규칙에 대한 준수를 입증해야 하는 EU에서 운영되는 인공지능 시스템의 새로운 시대의 시작을 의미했다.