인공지능법(AI Act)은 유럽연합(EU) 전역에 걸쳐 인공지능(AI)에 대한 공통 규제 및 법적 프레임워크를 확립하는 EU 규정이다. 이 법은 2024년 8월 1일에 발효되었으며, 대부분의 조항은 이후 6개월에서 36개월에 걸쳐 단계적으로 적용된다. 이 법은 위험 기반 분류를 도입하여 건강, 안전 또는 기본권에 더 큰 잠재적 피해를 초래할 수 있는 AI 시스템에 더 엄격한 의무를 부과한다. 주로 전문적 맥락에서 AI 시스템의 제공자와 배포자를 규제하며, 개인 권리를 창설하지는 않는다.
유럽위원회가 2021년 4월 21일에 제안한 이 법은 2024년 3월 13일에 유럽의회를 통과했고, 2024년 5월 21일에 EU 이사회에서 만장일치로 승인되었다. 최종 텍스트는 ChatGPT와 같은 생성형 AI 시스템의 급속한 부상을 해결하기 위해 수정되었으며, 이는 원래 프레임워크에서 예상되지 않았던 범용 기능을 도입했다.
위험 범주
이 법은 면제 대상이 아닌 AI 애플리케이션을 네 가지 위험 수준으로 나누며, 범용 AI에 대한 별도 범주를 추가한다.
허용 불가능한 위험: 이러한 AI 애플리케이션은 특정 예외를 제외하고 금지된다. 금지 대상에는 인간 행동을 조작하는 시스템, 사회적 점수 매기기(개인 특성, 사회경제적 지위 또는 행동에 따라 개인을 순위 매기는 것)에 사용되는 시스템, 공공 장소에서의 실시간 원격 생체 인식(예: 얼굴 인식)이 포함된다.
고위험: 건강, 교육, 채용, 핵심 인프라 관리, 법 집행 또는 사법과 같은 중요한 분야에서 사용될 때 건강, 안전 또는 기본권에 중대한 위협을 제기하는 AI 시스템. 이러한 시스템은 보안, 투명성 및 품질 의무를 준수해야 하며, 시장 출시 전과 전체 수명 주기 동안 적합성 평가를 거쳐야 한다. 일부 고위험 사용은 배포 전에 기본권 영향 평가(FRIA)를 요구한다 - 이는 기본권에 대한 영향을 식별하고 완화하기 위한 사전 검토이다. 시민은 고위험 AI 시스템에 대해 불만을 제기하고 권리에 영향을 미치는 결정에 대한 설명을 받을 수 있다.
제한적 위험: 이 범주의 AI 시스템은 투명성 의무를 수반하며, 사용자가 AI와 상호작용할 때 정보를 제공받아야 한다. 이는 딥페이크와 같은 이미지, 사운드 또는 비디오를 생성하거나 조작하는 시스템에 적용된다.
최소 위험: 비디오 게임과 스팸 필터를 포함한 대부분의 AI 애플리케이션이 여기에 해당한다. 이들은 규제되지 않으며, 최대 조화 원칙으로 인해 회원국은 추가 규칙을 부과할 수 없다. 자발적 행동 강령이 제안된다.
위험 기반 접근 방식은 잠재적 영향이 증가함에 따라 의무가 증가하는 제품 안전 모델을 따른다. 법률 학자들은 이 법이 "신뢰할 수 있는 AI"를 이러한 안전 기준 준수를 입증하는 시스템으로 규정한다고 지적한다.
범용 AI
2023년에 추가된 이 범주는 광범위한 작업을 수행할 수 있는 기반 모델을 다룬다. 공개적으로 제공되는 가중치를 가진 오픈소스 모델은 훈련 데이터 요약과 저작권 정책을 게시해야 한다. 폐쇄형 소스 모델은 더 광범위한 투명성 요구 사항에 직면한다. 시스템적 위험을 제기하는 고영향 모델 - 훈련에 10^25회 이상의 부동 소수점 연산이 필요한 모델 - 은 모델 테스트와 적대적 테스트를 포함한 추가 평가를 거쳐야 한다. 2025년 7월 10일에 게시된 범용 AI 행동 강령은 투명성, 저작권 및 안전에 대한 자발적 지침을 제공한다.
면제
제2.3조와 제2.6조는 군사, 국가 안보 또는 순수 과학 연구 목적으로 사용되는 AI를 면제한다. 이 규정은 군사, 국방 또는 국가 안보 전용으로 사용되는 시스템이나 연구 개발 전용으로 개발된 시스템에는 적용되지 않는다.
집행 및 거버넌스
이 법은 국가 당국 간의 협력을 촉진하고 일관된 준수를 보장하기 위해 유럽 인공지능 위원회를 창설한다. GDPR과 마찬가지로, 이 법은 EU 내 사용자가 있는 경우 EU 외부의 제공자에게도 역외 적용될 수 있다.
시행 일정
이 규정은 2024년 8월 1일에 발효되었지만, 조항은 6개월에서 36개월에 걸쳐 단계적으로 도입된다. 초기 마감일에는 2025년 2월까지 허용 불가능한 위험 애플리케이션 금지, 2025년 8월까지 범용 AI 의무, 2026년 8월까지 고위험 시스템 요구 사항이 포함되며, 특정 고위험 사용에 대한 추가 의무는 2027년까지 적용된다. 2025년 말 현재, 유럽위원회는 구현을 지원하기 위해 지침을 발행하고 협의 절차를 시작했다.
AI 생태계에 미치는 영향
이 법의 역외 적용 범위는 OpenAI, Anthropic, Google DeepMind 및 EU 사용자에게 AI 서비스를 제공하는 기타 기업이 본사 위치와 관계없이 준수해야 함을 의미한다. 위험에 따른 시스템 분류는 개발자들이 문서화, 모델 평가 및 투명성 조치에 투자하도록 촉구했다. 예를 들어, ChatGPT와 같은 대규모 언어 모델 제공자는 이제 훈련 데이터 요약을 게시하고 저작권 정책을 준수한다. 2025년 7월에 게시된 범용 AI 자발적 행동 강령은 여러 주요 제공자에 의해 승인되었으며, 이는 법적 프레임워크 내에서 자율 규제로의 전환을 시사한다.
이 법의 조항은 또한 다양한 분야의 머신러닝, 딥러닝 및 신경망 애플리케이션에 영향을 미친다. 의료 및 채용 분야의 고위험 사용은 적합성 평가를 거쳐야 하며, 이는 배포를 지연시킬 수 있지만 공공 신뢰를 구축하는 것을 목표로 한다. 과학 연구 면제가 비상업적 작업을 다루지만 배포된 시스템은 여전히 준수해야 하므로 연구 개발과의 상호작용이 논쟁의 대상이 되어 왔다. 이 법은 제품 규정으로 설계되어 데이터 보호 규칙과 같은 기존 부문별 법률을 보완하며, 직접적인 개인 권리를 창설하지 않는다.
비판과 과제
산업계 그룹은 위험 분류의 복잡성과 준수 부담이 특히 중소기업의 혁신을 늦출 수 있다는 우려를 표명했다. 일부 학자들은 FRIA 요구 사항에 명확한 기준이 부족하여 일관되지 않은 구현으로 이어질 수 있다고 주장한다. 집행은 국가 당국 간의 조정된 조치가 필요하기 때문에 실질적으로 여전히 과제로 남아 있다. 이 법은 또한 특정 조항이 기본권을 침해한다고 주장하는 법적 도전에 직면하고 있지만, 2025년 중반 현재 주요 판결은 내려지지 않았다.
이러한 과제에도 불구하고, AI 법은 미국과 일본과 같은 다른 관할권의 유사한 입법 노력에 영향을 미치고 AI 안전에 대한 국제적 논의를 형성하며 글로벌 선례를 설정한다. 단계적 접근 방식은 이해관계자에게 적응할 시간을 주지만, 전체 영향은 향후 몇 년 동안 개별 조항이 적용됨에 따라 알려질 것이다.
결론
EU AI 법은 포괄적이고 위험 기반 방식으로 AI를 규제하려는 획기적인 시도를 나타낸다. 명확한 범주와 의무를 확립함으로써 혁신과 건강, 안전 및 기본권 보호 사이의 균형을 목표로 한다. 발효는 제공자와 배포자 모두가 준수 조치를 구현해야 하는 전환 기간의 시작을 의미한다. 이 법의 성공은 효과적인 거버넌스, 국제 협력 및 급속한 기술 변화에 적응하는 능력에 달려 있다. 프레임워크가 전개됨에 따라 전 세계 AI 규제에 영향을 미치고 신뢰할 수 있는 AI 개발의 기준을 설정할 가능성이 높다.