EU AI Act의 범용 인공지능 의무는 2025년 8월에 적용되기 시작하여, 유럽연합 내 인공지능 규제에 있어 중요한 이정표를 세웠다. 2024년 8월 1일에 발효된 AI Act는 AI 시스템에 대한 위험 기반 프레임워크를 수립하며, 의무 사항은 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 이 타임라인의 일부인 범용 인공지능(GPAI) 의무는 대규모 언어 모델 및 생성형 AI 시스템과 같은 기반 모델 제공자를 대상으로 하며, 투명성, 저작권 및 안전 기준을 충족하도록 요구한다.
이러한 의무는 EU 시장 내에서 GPAI 모델을 제공하는 모든 제공자에게 적용되며, 역외에 기반을 둔 제공자도 포함되어 규제의 역외 적용 범위를 반영한다. 2025년 8월 날짜는 특히 범용 인공지능 모델 제공자에 대한 의무를 촉발하며, 훈련 데이터 요약 게시, 저작권 정책 채택, 기술 문서 제공 등을 포함한다. 체계적 위험이 있는 고영향 모델은 추가 평가 및 적대적 테스트 요구 사항을 충족해야 한다.
배경 및 입법 타임라인
유럽위원회는 2021년 4월 21일에 AI Act를 제안했지만, ChatGPT와 같은 생성형 AI 시스템의 급속한 부상으로 인해 원래 위험 범주에 맞지 않는 범용 기능을 다루기 위한 수정이 필요했다. 유럽의회는 2024년 3월 13일에 이 법안을 통과시켰고, EU 이사회는 2024년 5월 21일에 만장일치로 승인했다. 이 규정은 2024년 8월 1일에 발효되었으며, 의무 사항은 이후 몇 달에 걸쳐 단계적으로 시행되었다. 원래 2025년 8월로 예정된 GPAI 의무는 이러한 단계적 시행의 일부였으며, 제공자에게 적응할 시간을 주었다.
GPAI 의무의 범위
AI Act는 범용 인공지능 모델을 광범위한 데이터로 대규모 훈련되고, 출력의 일반성을 위해 설계되었으며, 다양한 작업에 적응할 수 있는 모델로 정의한다. 여기에는 트랜스포머 아키텍처를 기반으로 구축된 ChatGPT와 같은 모델 및 기타 기반 모델이 포함된다. 제공자는 다음과 같은 몇 가지 핵심 의무를 준수해야 한다:
- 사용된 훈련 데이터에 대한 상세한 요약을 출처 및 선택 기준을 포함하여 게시한다.
- 특히 텍스트 및 데이터 마이닝과 관련하여 EU 저작권법을 존중하는 정책을 채택한다.
- 다운스트림 제공자 및 감독 당국에 기술 문서를 제공하여 모델의 기능과 한계를 이해할 수 있도록 한다.
오픈소스 모델의 경우, 가중치와 설계가 공개적으로 제공되는 경우 요구 사항이 축소된다: 훈련 데이터 요약과 저작권 정책을 게시해야 하지만, 더 넓은 투명성 의무는 면제된다. 폐쇄형 모델은 전체 의무 세트를 충족해야 한다.
고영향 모델 및 체계적 위험
훈련에 10^25 부동 소수점 연산 이상이 필요한 모델은 체계적 위험을 제기하는 것으로 지정된다. 이러한 고영향 모델은 편향, 보안 실패 및 기타 사회적 피해와 같은 위험을 평가하고 완화하기 위해 모델 평가 및 적대적 테스트를 포함한 추가 평가를 거쳐야 한다. 또한 심각한 사고를 당국에 보고하고 적절한 수준의 사이버 보안을 보장해야 한다. 이 범주는 OpenAI, Anthropic 및 Google DeepMind가 개발한 것과 같은 가장 크고 가장 강력한 모델을 포착한다.
행동 강령 및 준수
제공자가 준수 여부를 입증하도록 돕기 위해 유럽위원회는 2025년 7월 10일에 발표된 범용 인공지능 행동 강령 개발을 촉진했다. 이 강령은 투명성, 저작권, 안전 및 보안에 관한 세 가지 주요 장으로 구성된다. 참여는 자발적이지만, 제공자는 이를 사용하여 AI Act의 요구 사항 준수를 입증할 수 있다. 이 강령은 산업계, 학계 및 시민 사회의 의견을 수렴하여 개발되었으며 책임 있는 AI 개발을 위한 모범 사례를 반영한다.
위험 기반 프레임워크와의 관계
GPAI 의무는 이 법의 네 가지 위험 범주(허용 불가, 고위험, 제한적, 최소)와 함께 존재한다. 허용 불가 위험 애플리케이션은 금지되고, 고위험 애플리케이션은 엄격한 보안 및 품질 의무에 직면하며, 제한적 위험 애플리케이션은 투명성 의무가 있고, 최소 위험 애플리케이션은 규제되지 않는다. 범용 인공지능 모델은 다용도성으로 인해 별도의 범주로 취급되며, 의무는 기능에 따라 확장된다. 이러한 구조는 중요한 위험을 초래할 가능성이 있는 시스템에 감독이 집중되도록 하면서 덜 민감한 용도에는 더 가벼운 접근 방식을 허용한다.
집행 및 역외 적용
EU의 일반 데이터 보호 규정과 마찬가지로 AI Act는 역외 적용이 가능하다. EU 외부의 제공자는 EU 내 사용자에게 GPAI 모델을 제공하는 경우 준수해야 한다. 집행은 국가 간 협력을 촉진하고 일관된 적용을 보장하는 유럽 인공지능 위원회를 통해 조정된다. 국가 감독 당국은 준수 여부를 모니터링하고 위반에 대해 제재를 부과할 책임이 있다. 2025년 8월 날짜는 이러한 의무의 시작을 표시했으며, 제공자는 그때까지 시스템을 갖출 것으로 예상되었다.
AI 산업에 미치는 영향
2025년 8월 GPAI 의무는 전 세계 AI 개발자에게 중요한 의미를 갖는다. OpenAI, Anthropic 및 Google DeepMind와 같은 회사는 모델이 EU 투명성 및 안전 기준을 충족하는지 확인해야 한다. Meta 또는 Mistral AI와 같은 오픈소스 이니셔티브는 축소된 요구 사항의 혜택을 받아 더 개방적인 개발을 잠재적으로 장려한다. 이러한 의무는 또한 GPAI 모델을 제품에 통합하는 다운스트림 제공자에게 영향을 미치며, 업스트림 제공자의 문서에 의존해야 한다.
향후 전망
2025년 8월 현재 GPAI 의무가 시행 중이지만 규제 환경은 계속 진화하고 있다. 유럽위원회는 고위험 애플리케이션 목록을 업데이트하고 체계적 위험 기준을 개선할 수 있다. 행동 강령은 구현 경험에 따라 개정될 가능성이 높다. 제공자는 관행을 적응시킬 것으로 예상되며, AI Act의 영향력은 EU를 넘어 AI 거버넌스에 대한 글로벌 표준을 형성할 가능성이 높다. 2025년 8월 날짜는 혁신과 기본 권리 및 안전 보호의 균형을 맞추는 범용 인공지능 규제에 있어 중추적인 순간이다.