유럽 연합의 인공지능법(AI Act)은 인공지능에 대한 포괄적인 규제 체계를 확립하며, 벌금은 주요 집행 수단으로 기능한다. 2024년 8월 1일 발효된 이 규정은 허용 불가능한 위험 애플리케이션에 대한 금지부터 제한적 위험 시스템에 대한 투명성 의무까지, 위반에 대해 단계적 제재를 설정한다. 벌금 구조는 불이행을 억제하고 AI 시스템의 제공자와 배포자가 법의 요구 사항을 준수하도록 보장하기 위해 설계되었다.
AI Act는 AI 애플리케이션을 네 가지 위험 범주 - 허용 불가능, 높은 위험, 제한적, 최소 - 및 범용 AI에 대한 별도 범주로 분류한다. 인간 행동을 조작하거나 사회적 점수를 가능하게 하는 애플리케이션과 같은 허용 불가능한 위험 애플리케이션은 전면 금지된다. 건강, 교육, 채용 또는 법 집행에 사용되는 것을 포함한 높은 위험 애플리케이션은 엄격한 품질, 투명성 및 인간 감독 의무를 충족해야 한다. 딥페이크 생성기와 같은 제한적 위험 시스템은 투명성 의무만 직면하는 반면, 스팸 필터와 같은 최소 위험 애플리케이션은 규제되지 않는다. 대규모 언어 모델을 포함한 범용 AI 모델은 추가 요구 사항이 있으며, 고영향 모델은 추가 평가를 받는다.
AI Act에 따른 벌금 구조는 위반의 심각성과 유형에 따라 계층화된다. 금지된 관행(허용 불가능한 위험)과 관련된 위반의 경우, 벌금은 회사의 총 전 세계 연간 매출액의 7% 또는 €35백만 중 더 높은 금액에 이를 수 있다. 높은 위험 AI 시스템 또는 범용 모델에 대한 의무 불이행은 전 세계 매출액의 3% 또는 €15백만까지의 벌금을 초래할 수 있다. 지정 기관 또는 국가 당국에 부정확하거나 불완전하거나 오해를 유발하는 정보를 제공하는 것은 매출액의 1% 또는 €7.5백만까지의 벌금을 부과할 수 있다. 이러한 기준은 비례성을 보장하기 위해 매출액 기반 제재를 사용하는 EU의 일반 데이터 보호 규정(GDPR) 접근 방식과 일치한다.
집행 및 일정
AI Act의 조항은 발효일로부터 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 허용 불가능한 위험 애플리케이션에 대한 금지는 규정이 시행된 지 6개월 후인 2025년 2월 2일에 적용되었다. 투명성 및 저작권 요구 사항을 포함한 범용 AI 모델에 대한 의무는 2025년 8월 2일부터 적용된다. 기존 EU 제품 안전 법률의 적용을 받는 높은 위험 AI 시스템은 2026년 8월 2일까지 준수해야 하며, 다른 부문의 높은 위험 시스템은 2027년 8월 2일까지 준수해야 한다. 유럽 위원회는 범용 AI 모델을 감독할 책임이 있으며, 국가 당국은 다른 AI 시스템에 대한 규칙을 집행한다.
금지된 관행에 대한 벌금
AI Act에 따른 금지된 관행에는 행동을 왜곡하기 위해 잠재의식 기술을 사용하거나, 특정 집단의 취약성을 악용하거나, 사회적 점수에 기반하여 개인을 평가하는 AI 시스템이 포함된다. 공개적으로 접근 가능한 공간에서의 실시간 원격 생체 인식 식별도 금지되며, 엄격한 사법 감독 하에 법 집행을 위한 좁은 예외가 있다. 이러한 가장 심각한 위반의 경우, 최대 벌금은 전 세계 연간 매출액의 7% 또는 €35백만 중 더 높은 금액이다. 이 수준은 대규모 언어 모델 또는 생성형 AI 시스템을 개발하는 대형 기술 기업에 대한 억지 효과를 의도한다.
높은 위험 및 범용 AI 의무에 대한 벌금
높은 위험 AI 시스템은 배포 전에 적합성 평가를 거쳐야 하며, 경우에 따라 기본 권리 영향 평가를 받아야 한다. 제공자는 품질 관리 시스템을 구현하고, 기술 문서를 보장하며, 인간 감독을 가능하게 해야 한다. OpenAI 또는 Anthropic과 같은 제공자의 범용 AI 모델은 훈련 데이터 요약을 게시하고, 저작권 정책을 채택하며, 기술 문서를 제공해야 한다. 이러한 의무를 충족하지 못하면 전 세계 매출액의 3% 또는 €15백만까지의 벌금이 부과될 수 있다. 시스템적 위험 모델의 경우, 추가 요구 사항에는 모델 평가, 적대적 테스트 및 사고 보고가 포함되며, 불이행은 동일한 제재 수준에 적용된다.
부정확한 정보에 대한 벌금
지정 기관 또는 국가 당국에 부정확하거나 불완전하거나 오해를 유발하는 정보를 제공하는 것은 별도의 위반이다. 여기에는 문서 업데이트 실패 또는 적합성 평가 중 AI 시스템의 기능을 잘못 표현하는 것이 포함된다. 이러한 위반에 대한 벌금은 전 세계 연간 매출액의 1% 또는 €7.5백만으로 상한된다. 이 낮은 수준은 잘못된 정보로 인한 피해가 실질적 의무의 직접적인 위반보다 덜 심각하다는 점을 인정하지만, 여전히 책임성을 보장한다.
역외 적용
GDPR과 마찬가지로 AI Act는 역외 적용 범위를 가진다. EU 외부에 기반을 둔 제공자는 AI 시스템을 EU 시장에 출시하거나 시스템의 출력이 EU 내에서 사용되는 경우 준수해야 한다. 이는 Google DeepMind 또는 Amazon Web Services와 같은 회사가 EU 사용자에게 AI 서비스를 제공하는 경우 동일한 벌금의 적용을 받는다는 것을 의미한다. 법에 의해 설립된 유럽 인공지능 위원회는 국가 감독을 조정하고 회원국 간 일관된 집행을 보장한다.
GDPR 벌금과의 비교
AI Act의 벌금 구조는 GDPR의 계층적 접근 방식을 반영한다. 심각한 위반에 대한 GDPR 벌금은 전 세계 매출액의 4% 또는 €20백만에 이를 수 있으며, 덜 심각한 위반은 최대 2% 또는 €10백만을 부과한다. AI Act의 더 높은 최대치 - 금지된 관행에 대해 7% 또는 €35백만 - 는 AI 시스템이 광범위한 피해를 초래할 가능성을 반영한다. 그러나 두 규정 모두 매출액을 기준으로 사용하여 벌금이 회사 규모에 비례하도록 보장한다.
AI 산업에 대한 영향
벌금 구조는 AI 개발자가 준수 조치에 투자하도록 촉구했다. 예를 들어, OpenAI와 Anthropic은 전담 신뢰 및 안전 팀을 설립했으며, Google DeepMind는 모델 카드와 투명성 보고서를 게시했다. AI21 Labs 또는 Inflection AI와 같은 소규모 제공자는 문서 요구 사항을 충족하는 데 어려움을 겪을 수 있지만, 법은 오픈 소스 모델에 대한 의무 축소를 제공한다. 2025년 7월 10일에 발표된 자발적 범용 AI 행동 강령은 준수 입증에 대한 지침을 제공하여 벌금 위험을 잠재적으로 줄인다.
향후 발전
유럽 위원회는 벌금 계산 및 집행 우선 순위에 대한 추가 지침을 발행할 것으로 예상된다. 2025년 현재, 대부분의 조항에 대한 유예 기간이 아직 진행 중이므로 AI Act에 따른 벌금은 부과되지 않았다. 그러나 국가 당국은 집행 메커니즘을 준비하고 있으며, 유럽 인공지능 위원회는 모범 사례를 개발 중이다. 법의 위험 기반 접근 방식과 벌금 구조는 다른 관할권이 유사한 체계를 고려함에 따라 전 세계 AI 규제에 영향을 미칠 가능성이 높다.
요약하면, EU AI Act 벌금은 단계적 제재를 통해 준수를 강제하도록 설계된 규정의 중요한 구성 요소이다. 벌금을 위반의 심각성과 전 세계 매출액에 맞춤으로써, 법은 혁신을 촉진하면서 AI 제공자의 책임을 확보하는 것을 목표로 한다. EU에서 운영되는 기업은 이러한 제재를 이해하고 상당한 재정적 노출을 피하기 위해 강력한 준수 프로그램을 구현해야 한다.