EU AI Act 지침은 유럽연합의 인공지능 포괄 규제인 인공지능법(AI Act)의 적용을 지원하기 위해 유럽위원회가 발행한 공식 지침 문서로, 제공자, 배포자 및 국가 당국을 대상으로 한다. AI Act 자체는 2024년 8월 1일에 발효되었으며, 의무는 6개월에서 36개월에 걸쳐 단계적으로 적용된다. 지침은 법적 구속력이 없지만 규정의 조항을 해석하고, 위험 분류를 명확히 하며, EU 내에서 운영되거나 EU 사용자에게 서비스를 제공하는 기업 및 공공 기관을 위한 준수 경로를 설명한다.
AI Act는 모든 EU 회원국에 걸쳐 AI에 대한 공통 규제 프레임워크를 수립하며, AI 제공자와 전문 사용자에게 의무를 부여하는 제품 안전 모델을 따른다. 이는 건강, 교육, 고용, 법 집행 등의 분야에서 대부분의 AI 시스템을涵盖하지만, 군사, 국가 안보, 연구 또는 비전문적 목적으로만 사용되는 시스템은 면제한다. 제품 규제의 한 형태로서 개인 권리를 창설하지 않지만 조직에 의무를 부과한다. 이 규정은 EU 내 사용자가 있는 경우 EU 외부 제공자에게도 역외 적용될 수 있으며, 이는 일반 데이터 보호 규정의 범위를 반영한다.
배경 및 입법 연혁
유럽위원회는 2021년 4월 21일에 AI Act를 처음 제안했다. 초안은 Generative AI 시스템(예: ChatGPT)의 급속한 부상 이후 상당한 수정을 거쳤으며, 이러한 시스템의 범용 기능은 원래 위험 프레임워크에 맞지 않았다. 유럽의회는 2024년 3월 13일에 수정된 텍스트를 통과시켰고, EU 이사회는 2024년 5월 21일에 만장일치로 승인했다. 규정은 2024년 8월 1일에 발효되었으며, 조항은 이후 6개월에서 36개월에 걸쳐 점진적으로 적용되었다. 지침은 2025년부터 단계적으로 발행되었으며, 위험 범주 및 고위험 시스템에 대한 의무에 대한 실용적 설명으로 시작되었다.
위원회의 지침은 이해관계자 협의와 기존 연구를 활용한 영향 평가를 기반으로 한다. 유럽의회 연구 서비스는 혁신과 기본 권리 보호의 균형을 맞추는 과제를 지적하며 정책 옵션에 대한 초기 평가를 제공했다. 지침은 특히 중소기업을 위한 불확실성을 줄이기 위해 구체적인 예와 적합성 평가를 위한 단계별 지침을 제공하는 것을 목표로 한다.
위험 분류 프레임워크
지침은 법이 설정한 네 가지 위험 수준과 범용 AI에 대한 별도 범주를 자세히 설명한다. 허용할 수 없는 위험을 제기하는 애플리케이션은 좁은 예외를 제외하고 전면 금지된다. 여기에는 인간 행동을 조작하는 AI 시스템, 공공 장소에서 실시간 원격 생체 인식 식별을 사용하는 시스템, 또는 개인 특성이나 사회경제적 지위에 기반한 사회 점수를 가능하게 하는 시스템이 포함된다.
고위험 애플리케이션은 보안, 투명성 및 품질 의무를 준수해야 하며, 시장 출시 전에 적합성 평가를 받아야 한다. 지침은 고위험 범주에 건강, 교육, 채용, 중요 인프라 관리, 법 집행 및 사법에 사용되는 AI가 포함된다고 명시한다. 제공자는 인간 감독을 구현하고, 기술 문서를 유지하며, 경우에 따라 배포 전에 기본 권리 영향 평가(FRIA)를 수행해야 한다. FRIA는 기본 권리에 대한 잠재적 영향을 식별하고 완화하기 위한 사전 검토로, 영향을 받는 커뮤니티 식별, 가능한 피해 설명 및 공개 심사 가능성을 제안한 초기 알고리즘 영향 평가 작업을 기반으로 한다. 고위험 애플리케이션 목록은 법 자체를 수정하지 않고도 시간이 지남에 따라 확장될 수 있다.
제한적 위험 시스템은 투명성 의무만 적용된다. 사용자는 AI 시스템과 상호 작용할 때, 특히 딥페이크와 같은 이미지, 사운드 또는 비디오를 생성하거나 조작하는 애플리케이션의 경우 정보를 받아야 한다. 비디오 게임 및 스팸 필터를 포함한 최소 위험 시스템은 규제되지 않으며, 최대 조화 규칙으로 인해 회원국은 추가 요구 사항을 부과할 수 없다. 지침은 대부분의 AI 애플리케이션이 이 범주에 속할 것으로 예상되며 자발적 행동 강령이 권장된다고 지적한다.
범용 AI 의무
지침은 광범위한 작업을 수행할 수 있는 대규모 언어 모델과 같은 기반 모델을 포괄하기 위해 2023년에 추가된 범용 AI 범주에 상당한 주의를 기울인다. 이러한 모델의 제공자는 훈련 데이터 요약을 게시하고, 저작권 정책을 채택하며, 하류 제공자 및 감독 당국에 기술 문서를 제공해야 한다. 오픈 소스 모델은 요구 사항이 축소되는 반면, 폐쇄 소스 모델은 더 넓은 투명성 표준을 충족해야 한다.
훈련에 1025 부동 소수점 연산 이상이 필요한 것으로 정의된 시스템적 위험을 제기하는 고영향 모델은 추가 평가를 받아야 한다. 여기에는 모델 평가, 적대적 테스트, 편향 및 보안 실패에 대한 위험 평가, 심각한 사고 보고 및 적절한 사이버 보안 조치가 포함된다. 2025년 7월 10일에 발행된 범용 AI 행동 강령은 투명성, 저작권 및 안전과 보안에 관한 세 가지 주요 장을 설명한다. 강령 참여는 자발적이지만, 지침은 강령을 따르면 준수를 입증하는 데 도움이 될 수 있음을 명확히 한다.
적합성 평가 및 집행
지침은 고위험 AI 제공자가 따라야 하는 적합성 평가 절차를 설명한다. 이러한 평가는 시스템이 데이터 거버넌스, 기술 문서, 추적 가능성, 인간 감독, 정확성 및 견고성에 대한 법의 요구 사항을 충족하는지 검증한다. 제공자는 시장 출시 전과 수명 주기 전반에 걸쳐 시스템을 평가해야 하며, 업데이트가 필요한 경우 재평가를 촉발한다.
법은 국가 간 협력을 촉진하고 회원국 전반에 걸쳐 일관된 집행을 보장하기 위해 유럽 인공지능 위원회를 창설한다. 국가 감독 당국은 시장 감시, 불만 처리 및 불이행에 대한 벌칙 부과를 담당한다. 시민은 AI 시스템에 대해 불만을 제기하고 권리에 영향을 미치는 고위험 AI의 결정에 대한 설명을 받을 권리가 있다. 지침은 당국이 분열을 피하고 균일한 적용을 보장하기 위해 위원회를 통해 조정할 것을 권장한다.
실용적 구현 지침
AI를 배포하는 조직을 위해 지침은 시스템이 법의 범위에 속하는지와 어떤 위험 범주가 적용되는지 결정하기 위한 실용적 단계를 제공한다. 면제를 확인하기 위한 예비 심사 후 위험 기준에 대해 시스템 기능을 매핑할 것을 권장한다. 고위험 시스템의 경우 제공자는 품질 관리 시스템을 구축하고, 로그를 유지하며, 인간 감독 메커니즘을 보장해야 한다.
지침은 또한 AI Act와 다른 EU 법률, 특히 일반 데이터 보호 규정 간의 상호 작용을 다룬다. AI Act가 데이터 보호 규칙을 대체하지 않고 보완하며, 개인 데이터를 처리하는 시스템에 대해 중복 의무가 있음을 명확히 한다. 배포자는 AI 사용이 두 프레임워크를 모두 준수하도록 보장해야 하며, 지침은 실제로 요구 사항을 조정하는 방법에 대한 예를 제공한다.
부문별 고려 사항
지침에는 건강, 교육, 채용 및 법 집행과 같은 영역을 포괄하는 부문별 예가 포함된 부록이 포함된다. 건강의 경우 진단 또는 치료 권장에 사용되는 AI 시스템은 일반적으로 고위험으로, 엄격한 테스트와 임상 검증이 필요하다. 교육에서는 학생 성과를 평가하거나 교육 기회에 대한 접근을 결정하는 시스템이 고위험 의무에 해당한다. 후보자를 선별하거나 순위를 매기는 채용 도구도 고위험으로, 투명성과 비차별 요구 사항이 적용된다.
법 집행 애플리케이션은 사용의 민감한 특성으로 인해 특별한 주의를 받는다. 지침은 특정 심각한 범죄에 대한 제한된 예외와 사전 사법 승인을 조건으로 공공 장소에서의 실시간 원격 생체 인식 식별 금지를 반복한다. 또한 범죄 예측 또는 위험 평가에 사용되는 AI 시스템은 인간 감독 및 기본 권리 영향 평가를 포함한 고위험 의무를 충족해야 한다고 명확히 한다.
향후 개발 및 개정
지침은 기술과 법의 단계적 구현과 함께 진화하도록 의도된다. 위원회는 특히 범용 AI 및 고위험 시스템에 대해 새로운 조항이 적용됨에 따라 추가 지침을 발행할 것이라고 밝혔다. 최소 위험 시스템에 대한 자발적 행동 강령은 이해관계자 피드백에 따라 업데이트될 수 있다. 지침은 또한 고위험 애플리케이션 목록이 위임 행위를 통해 확장될 수 있으며, 위원회는 Machine learning 및 Deep learning의 발전과 같은 기술 개발을 모니터링하여 규제 조정이 필요한지 결정할 것이라고 지적한다.
2025년 현재 지침은 살아있는 문서로 남아 있으며, 위원회는 산업, 시민 사회 및 국가 당국의 피드백을 장려한다. 목표는 EU에 배포된 AI 시스템이 기본 권리와 안전 표준을 존중하도록 보장하면서 혁신을 지원하는 것이다. 주요 기술 기업을 포함한 EU 외부 제공자는 EU 사용자에게 서비스를 제공하는 경우 법의 역외 적용 범위가 적용되므로 이러한 지침을 숙지해야 한다.