인공지능법(AI Act)은 유럽연합(EU) 내 인공지능에 대한 공통 규제 및 법적 체계를 확립하는 EU 규정이다. 이 법은 2024년 8월 1일에 발효되었으며, 조항들은 이후 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 이 법은 군사, 국가 안보, 연구 목적 또는 비전문적 사용에만 사용되는 AI를 제외하고, 광범위한 분야에 걸쳐 대부분의 AI 시스템을 규율한다. 제품 규제의 한 형태로서 개인 권리를 창설하지 않으며, 대신 AI 제공자와 전문적 맥락에서 AI를 사용하는 조직에 의무를 부과한다.
이 법은 비면제 AI 애플리케이션을 피해 발생 위험에 따라 허용 불가, 고위험, 제한적, 최소의 네 가지 수준으로 분류하며, 범용 AI에 대한 추가 범주를 포함한다. 이러한 위험 기반 체계는 제품 안전 모델을 따르며, 규제 의무는 AI 시스템의 제공자와 배포자에게 할당되고, 건강, 안전 또는 기본권에 대한 잠재적 영향이 커질수록 의무는 더 엄격해진다. 이 구조는 상당한 위험을 초래할 가능성이 있는 시스템에 감독을 집중하면서 덜 민감한 용도에는 더 가벼운 접근을 허용하는 것을 목표로 한다.
입법 연혁
유럽위원회는 2021년 4월 21일에 AI Act를 제안했다. 유럽의회는 2024년 3월 13일에 이를 통과시켰고, EU 이사회는 2024년 5월 21일에 만장일치로 승인했다. 입법 과정에서 초안은 ChatGPT와 같은 생성형 AI 시스템의 인기 상승에 대응하기 위해 수정되었는데, 이러한 시스템의 범용 능력은 주요 체계에 맞지 않았다. 이 수정은 2023년에 광범위한 작업을 수행할 수 있는 기반 모델을涵盖하는 범용 AI 범주를 추가했다.
이 법은 또한 국가 간 협력을 촉진하고 준수를 보장하기 위해 유럽 인공지능 위원회(European Artificial Intelligence Board)를 설립한다. EU의 일반 데이터 보호 규정(GDPR)과 마찬가지로, 이 법은 EU 내에 사용자가 있는 경우 EU 외부의 제공자에게도 역외 적용될 수 있다.
위험 범주
허용 불가 위험
이 범주의 AI 애플리케이션은 특정 면제를 제외하고 금지된다. 면제가 적용되지 않는 경우, 인간 행동을 조작하는 AI 애플리케이션, 공공 장소에서 실시간 원격 생체 인식(예: 얼굴 인식)을 사용하는 AI, 그리고 개인적 특성, 사회경제적 지위 또는 행동에 따라 개인을 순위 매기는 사회 점수(social scoring)에 사용되는 AI가 포함된다.
고위험
고위험 애플리케이션은 개인의 건강, 안전 또는 기본권에 중대한 위협을 초래할 것으로 예상되는 것이다. 특히, 건강, 교육, 채용, 핵심 인프라 관리, 법 집행 또는 사법에 사용되는 AI 시스템이 이 범주에 속한다. 이러한 시스템은 품질, 투명성, 인간 감독 및 안전 의무를 따른다. 일부 경우, 배포 전에 기본권 영향 평가(FRIA)가 필요하다 - 이는 기본권에 대한 잠재적 영향을 식별하고 완화하기 위한 사전 검토이다. 이러한 시스템은 시장 출시 전과 수명 주기 전반에 걸쳐 평가되어야 한다. 고위험 애플리케이션 목록은 AI Act 자체를 수정하지 않고도 시간이 지남에 따라 확장될 수 있다. 시민은 AI 시스템에 대해 불만을 제기하고 권리에 영향을 미치는 고위험 AI의 결정에 대한 설명을 받을 권리가 있다.
제한적 위험
제한적 위험 AI 시스템은 투명성 의무를 가지며, 사용자가 AI 시스템과 상호 작용하고 있음을 인지하고 정보에 입각한 선택을 할 수 있도록 보장한다. 이 범주에는 딥페이크와 같은 이미지, 소리 또는 비디오를 생성하거나 조작하는 AI 애플리케이션이 포함된다.
최소 위험
최소 위험 애플리케이션에는 비디오 게임이나 스팸 필터에 사용되는 AI 시스템이 포함된다. 대부분의 AI 애플리케이션은 이 범주에 속할 것으로 예상된다. 이러한 시스템은 규제되지 않으며, 최대 조화(maximum harmonisation) 규칙으로 인해 회원국은 추가 규제를 부과할 수 없다. 이러한 시스템의 설계 또는 사용에 관한 기존 국가 법률은 무효화된다. 그러나 자발적 행동 강령이 제안된다.
범용 AI
2023년에 추가된 범용 AI 범주는 광범위한 작업을 수행할 수 있는 기반 모델을 포함한다. 모델의 가중치와 설계가 오픈 소스로 공개된 경우, 개발자는 훈련 데이터 요약과 저작권 정책을 게시해야 한다. 폐쇄 소스 모델은 더 광범위한 투명성 요구 사항을 충족해야 한다. 훈련에 10^25 부동 소수점 연산 이상이 필요한 체계적 위험을 초래하는 고영향 모델은 추가 평가를 거쳐야 한다.
기본 투명성 의무 외에도, 이 법은 범용 AI 모델 제공자에 대한 공통 의무 목록을 설정한다. 제공자는 훈련 데이터 요약을 게시하고, 저작권법을 준수하는 정책을 채택하며, 하류 제공자와 감독 당국에 기술 문서를 제공해야 한다. 체계적 위험을 초래하는 것으로 지정된 모델은 모델 평가 및 적대적 테스트를 수행하고, 편향 및 보안 실패와 같은 위험을 평가하고 완화하며, 심각한 사고를 보고하고, 적절한 수준의 사이버 보안을 보장해야 한다.
2025년 7월 10일에 발표된 범용 AI 행동 강령(General-Purpose AI Code of Practice)은 투명성, 저작권, 안전 및 보안에 관한 세 가지 주요 장을 개요로 하여 제공자가 준수를 입증하는 데 도움을 준다. 강령 참여는 자발적이다.
면제
제2.3조 및 제2.6조는 군사 또는 국가 안보 목적 또는 순수 과학 연구 개발에 사용되는 AI 시스템을 AI Act에서 면제한다. 이 규정은 AI 시스템이 군사, 국방 또는 국가 안보 목적으로만 사용되거나, 그러한 목적을 위해 개발되고 서비스에 투입된 시스템에는 적용되지 않는다.
시행 일정
이 규정은 2024년 8월 1일에 발효되었으며, 조항은 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 이러한 단계적 접근은 제공자와 배포자가 새로운 의무에 적응할 시간을 제공한다. 유럽 인공지능 위원회는 국가 간 협력과 회원국 전반의 일관된 집행을 지원한다.
영향 및 해석
일부 법학자들은 실제로 이 법이 "신뢰할 수 있는 AI"를 안전 및 위험 기준에 대한 준수를 입증할 수 있는 시스템으로 규정한다고 주장한다. 유럽의회 연구 서비스(European Parliamentary Research Service)의 초기 평가에 따르면, 위원회의 영향 평가는 위험 기반 체계에 대한 정책 옵션을 비교할 때 이해관계자 협의와 광범위한 기존 연구를 활용했다. 역외 적용은 EU 사용자가 있는 비EU 제공자도 GDPR의 범위와 유사하게 준수해야 함을 의미한다.
관련 개념
AI Act의 위험 기반 접근은 인공지능 거버넌스의 광범위한 발전과 관련이 있다. 범용 AI에 대한 조항은 대규모 언어 모델 및 생성형 AI와 같은 기술과 교차한다. 딥페이크에 대한 투명성 요구 사항은 딥러닝 애플리케이션과 연결된다. 의료 및 법 집행과 같은 고위험 분야에 대한 이 법의 초점은 Google DeepMind 및 OpenAI와 같은 조직이 안전 연구에서 다루는 우려를 반영한다. 기본권 영향 평가는 MIT CSAIL 및 Stanford AI Lab과 같은 기관의 연구와 유사한 알고리즘 영향 평가의 초기 작업을 기반으로 한다.