범용 인공지능 행동 강령(General-Purpose AI Code of Practice)은 2025년 유럽 위원회가 발표한 규제 문서 초안으로, EU AI 법안에 따라 범용 인공지능(GPAI) 모델 제공자에게 부과된 의무를 구체화하기 위한 것이다. 이 강령은 높은 수준의 입법 요구 사항을 기반 모델(대규모 언어 모델 및 기타 생성형 AI 시스템 포함)을 개발하고 배포하는 기업을 위한 구체적이고 실행 가능한 조치로 전환한다. 이는 혁신과 기본권 보호의 균형을 맞추며 AI 거버넌스의 글로벌 표준을 확립하려는 EU의 노력에서 핵심적인 단계를 나타낸다.
이 강령은 산업계 대표, 시민 사회 조직, 학계, 독립 전문가가 참여하는 다중 이해관계자 프로세스를 통해 개발되었다. 이는 투명성 및 저작권 준수, 위험 식별 및 평가, 내부 위험 관리, 시스템적 위험 평가 및 완화의 네 가지 주요 축을 다룬다. 초안은 공개 협의를 위해 발표되었으며, 이해관계자와 유럽 AI 사무소의 피드백을 반영한 최종 버전이 예상된다.
배경 및 법적 근거
2024년 공식 채택된 EU AI 법안은 AI 시스템에 대한 위험 기반 규제 프레임워크를 도입했다. 대규모 데이터로 훈련되고 광범위한 작업을 수행할 수 있는 GPAI 모델은 법안 제51조~제56조에 따라 특정 의무를 받는다. 여기에는 기술 문서 제공, 훈련 데이터 요약 게시, EU 저작권법 존중 정책 시행이 포함된다. 시스템적 위험(높은 계산 용량 또는 상당한 영향력)이 있는 모델의 경우 적대적 테스트 및 사고 보고와 같은 추가 요구 사항이 적용된다.
행동 강령은 독립적인 법적 문서가 아니라 유럽 위원회가 준수 기준으로 사용하려는 지침 문서이다. 강령을 준수하는 제공자는 AI 법안의 GPAI 조항을 준수하는 것으로 추정된다. 이러한 "소프트 법" 접근 방식은 위원회가 유럽 표준화 기구를 통해 조화된 표준을 개발하는 동안 명확성과 유연성을 제공하는 것을 목표로 한다.
개발 과정
2024년 11월, 유럽 AI 사무소는 강령 초안 작성을 위한 협의 프로세스를 시작했다. 네 개의 작업 그룹이 설립되었으며, 각 그룹은 특정 축에 초점을 맞췄다. 그룹에는 OpenAI, Anthropic, Google DeepMind, Amazon Web Services와 같은 주요 기술 기업 대표, 유럽 스타트업, Access Now와 같은 시민 사회 단체, MIT CSAIL 및 Stanford AI Lab을 포함한 학술 기관이 포함되었다. 이 프로세스는 컴퓨터 과학자 Michael I. Jordan과 법학자 Marietje Schaake를 포함한 독립 전문가가 주재했다.
작업 그룹은 수개월에 걸쳐 온라인 및 대면으로 회의를 열고 반복적인 초안을 작성했다. 첫 번째 완전한 초안은 2025년 4월 14일에 발표되었으며, 6주간의 공개 의견 수렴 기간이 이어졌다. 40개국에서 500건 이상의 제출이 접수되어 EU AI 규제에 대한 글로벌 관심을 반영했다. 최종 버전은 2025년 말에 채택될 예정이며, 제공자가 관행을 조정할 수 있는 전환 기간이 제공된다.
축 1: 투명성 및 저작권
첫 번째 축은 GPAI 제공자가 모델 아키텍처, 훈련 데이터 출처, 사용된 계산 리소스를 포함한 상세한 기술 문서를 유지하도록 요구한다. 제공자는 AI 법안 제53조(1)(a)에 따라 훈련 콘텐츠에 대한 충분히 상세한 요약을 게시해야 한다. 강령은 이 요약에 데이터 범주, 언어, 데이터 세트의 출처에 대한 정보가 포함되어야 하지만 영업 비밀은 존중되어야 한다고 명시한다.
저작권 준수는 핵심 관심사이다. 강령은 제공자가 기계 판독 가능한 옵트아웃 프로토콜 사용과 같은 저작권 보유자가 표시한 권리 보류를 식별하고 존중하기 위한 최신 조치를 구현하도록 의무화한다. 또한 텍스트 및 데이터 마이닝 예외와 관련하여 디지털 단일 시장 저작권 지침을 준수하는 정책을 문서화하도록 요구한다. 초안은 제공자가 저작권 관련 불만 및 해결 기록을 유지해야 한다고 제안한다.
축 2: 위험 식별 및 평가
두 번째 축은 GPAI 모델과 관련된 위험을 식별하고 평가하기 위한 내부 프로세스에 초점을 맞춘다. 제공자는 데이터 수집 및 훈련부터 배포 및 시판 후 모니터링까지 전체 모델 수명 주기를 포괄하는 위험 관리 시스템을 구축해야 한다. 강령은 EU 맥락에 맞게 조정된 NIST AI 위험 관리 프레임워크와 같은 기존 프레임워크를 기반으로 한 구조적 접근 방식을 권장한다.
특정 위험 범주에는 편향 및 차별, 개인 정보 침해, 안전 실패, 허위 정보 또는 사이버 공격에 대한 잠재적 오용이 포함된다. 제공자는 특히 고성능 모델의 경우 레드 팀링 및 적대적 테스트를 수행해야 한다. 강령은 또한 편향 측정(예: 인구 통계적 패리티) 및 견고성 측정(예: 분포 변화 하 성능)에 사용되는 지표를 포함한 위험 평가 방법론의 문서화를 요구한다.
축 3: 내부 위험 관리
세 번째 축은 거버넌스 및 운영 조치를 자세히 설명한다. 제공자는 명확한 책임 라인을 가진 AI 준수 담당자 또는 팀을 임명해야 한다. 강령은 윤리학자와 법률 전문가를 포함한 다양한 관점을 포함하는 내부 검토 위원회를 설립하여 위험 결정을 감독할 것을 권장한다. 직원을 위한 AI 안전 및 윤리 교육 프로그램도 의무화된다.
기술적 조치에는 의도하지 않은 동작을 줄이기 위한 Model Pruning 및 기타 최적화 기술 구현, 모델 업데이트를 위한 버전 제어 및 감사 추적 유지가 포함된다. 제공자는 또한 15일 이내에 심각한 사고를 유럽 AI 사무소에 보고하는 절차를 포함한 사고 대응 프로토콜을 구축해야 한다. 강령은 Data Augmentation 및 Curriculum Learning이 모델 견고성을 개선하고 알려진 실패 모드를 줄이는 방법으로서의 중요성을 강조한다.
축 4: 시스템적 위험 평가 및 완화
훈련 실행당 10^25회 이상의 부동 소수점 연산이 필요한 것으로 정의된 시스템적 위험이 있는 모델의 경우, 강령은 추가 의무를 부과한다. 제공자는 사이버 공격 능력, 화학 또는 생물학적 무기 지식, 자율 복제 잠재력 평가를 포함한 표준화된 벤치마크 및 스트레스 테스트를 사용한 포괄적 평가를 수행해야 한다. 초안은 BAIR (Berkeley AI Research) 및 University of Oxford의 프론티어 AI 위험 평가 방법론을 참조한다.
완화 조치에는 훈련을 안정화하기 위한 Reinforcement Learning from AI Feedback (RLAIF)(AI 피드백 기반 강화 학습) 및 Gradient Clipping 구현, 생성 동작을 제어하기 위한 Top-K Sampling 및 Temperature Scaling 배포가 포함된다. 제공자는 또한 안전 결과를 유럽 AI 사무소와, 적절한 경우 다른 제공자와 공유해야 한다. 강령은 Anthropic 및 Google DeepMind가 주도하는 공동 안전 연구 이니셔티브 참여를 장려한다.
산업계 반응 및 비판
초안 강령은 엇갈린 반응을 얻었다. 대형 기술 기업은 일반적으로 제공된 명확성을 환영했지만 준수 비용과 과도한 규제 가능성에 대한 우려를 표명했다. OpenAI와 Anthropic은 강령 요구 사항을 충족하겠다고 공개적으로 약속했으며, Google Cloud와 Microsoft Azure는 분열을 피하기 위한 국제적 조정의 필요성을 언급했다. AI21 Labs 및 Mistral AI와 같은 유럽 스타트업은 문서화에 대한 강조가 자원이 제한된 소규모 플레이어에게 불리할 수 있다고 주장했다.
시민 사회 조직은 투명성과 저작권에 대한 초점을 칭찬했지만 구속력 있는 집행 메커니즘의 부재를 비판했다. Melanie Mitchell 및 Aleksander Madry를 포함한 일부 학자는 현재 평가 방법이 예측할 수 없는 능력을 예측하기에 불충분하다고 언급하며 제안된 위험 평가의 실현 가능성에 의문을 제기했다. 독립 자문 기구인 OpenPanel은 훈련 데이터의 공개 공개에 대한 더 강력한 조항과 더 엄격한 제3자 감사를 권장했다.
다음 단계 및 구현 일정
유럽 위원회는 협의 피드백을 반영하여 2025년 12월까지 강령을 확정할 계획이다. 채택되면 강령은 GPAI 의무에 대한 AI 법안의 일반 적용 날짜와 일치하는 2026년 8월 2일에 발효된다. 제공자는 관행을 조정할 수 있는 6개월의 전환 기간을 가지며, 유럽 AI 사무소는 2027년 초부터 준수 점검을 시작한다.
강령은 EU를 넘어 AI 거버넌스에 영향을 미칠 것으로 예상되며, 캐나다와 일본을 포함한 다른 관할권도 유사한 프레임워크 채택에 관심을 표명했다. Artificial intelligence 커뮤니티는 특히 시스템적 위험 임계값이 어떻게 적용되는지와 강령이 혁신과 공공 안전의 균형을 성공적으로 맞추는지 면밀히 모니터링할 것이다. 2025년 중반 현재 최종 텍스트는 변경될 수 있으며, 이해관계자는 계속해서 규칙 제정 프로세스에 참여하고 있다.