EU AI Act 회원국 당국은 각 유럽연합 회원국이 2024년 8월 1일 발효된 인공지능법(AI Act)을 집행하기 위해 지정한 국가 감독 기관이다. 이 당국은 해당 법의 위험 기반 요구 사항 준수 여부를 모니터링하고, 조사를 수행하며, 각각의 관할 구역 내에서 위반에 대한 제재를 부과하는 책임을 진다. 이 규정은 각 회원국이 최소한 하나의 국가 관할 당국을 지정해야 하는 체계를 확립하며, 여기에는 일반적으로 시장 감시 당국과 통보 당국이 포함되어 해당 국가 내에서 시장에 출시되거나 사용되는 AI 시스템을 감독한다.
AI Act는 2021년 4월 21일 유럽위원회가 제안했으며, 2024년 3월 13일 유럽의회를 통과했고, 2024년 5월 21일 EU 이사회에서 만장일치로 승인되었다. 이 법은 군사, 국가 안보, 연구 목적 또는 비전문적 사용에만 사용되는 AI를 제외하고 다양한 분야의 대부분의 AI 시스템을 다룬다. 제품 규제의 한 형태로서 이 법은 개인 권리를 창설하지 않으며, 대신 AI 제공자와 전문적 맥락에서 AI를 사용하는 조직에 의무를 부과한다. 이 법은 EU 내 사용자가 있는 경우 EU 외부의 제공자에게도 역외 적용될 수 있으며, 이는 EU의 일반 데이터 보호 규정(GDPR)과 유사하다.
지정 및 구조
각 회원국은 AI Act를 구현하고 집행하기 위해 국가 관할 당국을 지정해야 한다. 지정 과정에는 적합성 검사와 집행 조치를 처리하는 시장 감시 당국과 적합성 평가 기관의 평가 및 통보를 관리하는 통보 당국을 설립하는 것이 포함된다. 많은 회원국에서 이러한 기능은 데이터 보호 당국이나 소비자 보호 기관과 같은 기존 규제 기관에 할당되며, 다른 국가에서는 전담 AI 감독 사무소를 신설했다. 이 당국은 집행 의무에서 독립적으로 운영되지만, 국가 간 협력을 촉진하고 EU 전역에서 규정의 일관된 적용을 보장하는 유럽 인공지능 위원회를 통해 조정한다.
국가 당국은 AI 제공자와 배포자에게 문서 및 정보를 요청하고, 사전 통보 없는 검사를 수행하며, AI 시스템 훈련 및 테스트에 사용되는 데이터 세트에 접근할 수 있는 권한을 가진다. 또한 경고를 발행하고, 시정 조치를 부과하며, 비준수 AI 제품의 시장 철수 또는 회수를 명령할 수 있다. 이 법은 이 당국이 기능을 수행하는 데 충분한 자원과 전문성을 갖추도록 요구하며, 여기에는 Artificial intelligence 시스템 및 관련 위험에 대한 기술적 지식이 포함된다.
집행 권한
회원국 당국의 집행 권한은 AI 시스템의 위험 범주에 따라 다르다. 고위험 애플리케이션의 경우, 당국은 적합성 평가를 요구하고, 시정 조치를 명령하며, 건강, 안전 또는 기본 권리에 중대한 위협을 제기하는 시스템의 사용을 중지하거나 금지할 수 있다. 이 법에 따라 금지된 허용 불가 위험 애플리케이션의 경우, 당국은 즉각적인 제거를 명령하고 상당한 벌금을 부과할 수 있는 권한을 가진다. 이 법은 회원국이 구현해야 하는 제재 체계를 설정하며, 비준수에 대한 벌금은 위반 회사의 전 세계 연간 매출액의 일정 비율 또는 고정 금액 중 더 높은 금액에 이를 수 있다.
당국은 또한 AI 시스템에 관한 시민 불만을 처리하며, 개인의 권리에 영향을 미치는 고위험 AI의 결정에 대한 설명을 제공해야 한다. 위반 신고를 위한 접근 가능한 절차를 수립하고 비준수를 신고하는 내부 고발자를 보호해야 한다. 집행 접근 방식은 제품 안전 모델을 따르며, 규제 의무는 제공자와 배포자에게 할당되고, 건강, 안전 또는 기본 권리에 대한 잠재적 영향이 증가함에 따라 이러한 의무는 더 엄격해진다.
유럽 인공지능 위원회와의 조정
유럽 인공지능 위원회는 회원국 당국을 위한 중앙 조정 메커니즘 역할을 한다. 정보 교환을 촉진하고, 법의 일관된 해석에 대한 지침을 개발하며, 국가 당국 간의 분쟁 해결을 돕는다. 위원회는 또한 기술 표준 및 구현 문제에 대해 유럽위원회에 조언한다. 회원국 당국은 위원회 활동에 적극적으로 참여하고 집행 조치, 시장 감시 결과 및 AI 시스템과 관련된 새로운 위험에 대한 정보를 공유해야 한다.
위원회는 여러 회원국에 배포될 수 있는 Large language model 시스템과 같은 범용 AI 모델과 관련된 경우에 특히 중요한 역할을 한다. 시스템적 위험이 식별되면 위원회는 공동 조사를 조정하고 집행 조치가 관할 구역 간에 일관되게 이루어지도록 보장한다. 이 조정은 법의 역외 적용으로 인해 EU 외부의 제공자, 예를 들어 OpenAI 및 Google DeepMind와 같은 회사가 동시에 여러 국가 당국의 감독을 받을 수 있기 때문에 필수적이다.
위험 기반 감독 책임
회원국 당국의 감독 책임은 법의 네 가지 위험 수준과 범용 AI 범주에 따라 구조화된다. 특정 예외를 제외하고 금지된 허용 불가 위험 애플리케이션의 경우, 당국은 인간 행동을 조작하거나, 공공 장소에서 실시간 원격 생체 인식 식별을 사용하거나, 사회적 점수 매기기에 관여하는 AI 시스템에 대한 금지를 적극적으로 모니터링하고 집행해야 한다. 건강, 교육, 채용, 중요 인프라 관리, 법 집행 또는 사법과 같은 분야의 고위험 애플리케이션의 경우, 당국은 품질, 투명성, 인간 감독 및 안전 의무 준수 여부를 검증하고, 배포 전에 기본 권리 영향 평가를 요구할 수 있다.
딥페이크와 같은 이미지, 소리 또는 비디오를 생성하거나 조작하는 시스템을 포함한 제한된 위험 시스템은 투명성 의무의 적용을 받으며, 당국은 사용자가 AI 시스템과 상호 작용할 때 정보를 받도록 보장한다. 비디오 게임이나 스팸 필터에 사용되는 AI와 같은 최소 위험 애플리케이션은 규제되지 않으며, 최대 조화 규칙으로 인해 회원국은 추가 규제를 부과할 수 없다. 범용 AI의 경우, 당국은 훈련 데이터 요약 및 저작권 정책을 포함한 투명성 요구 사항을 감독하며, 시스템적 위험을 제기하는 고성능 모델에 대해서는 추가 평가가 요구된다.
제재 및 시정 조치
이 법은 회원국이 위반에 대한 효과적이고 비례적이며 억지력 있는 제재를 수립하도록 요구한다. 구체적인 벌금 금액은 국내법에 의해 결정되지만, 법은 회원국이 구현해야 하는 최대 수준을 설정한다. 허용 불가 위험 AI 애플리케이션과 관련된 위반의 경우, 벌금은 위반 회사의 전 세계 연간 매출액의 7% 또는 3,500만 유로 중 더 높은 금액에 이를 수 있다. 고위험 시스템 또는 범용 AI와 관련된 의무 위반과 같은 기타 위반의 경우, 벌금은 전 세계 연간 매출액의 3% 또는 1,500만 유로에 이를 수 있다. 당국에 잘못되거나 오해를 불러일으키는 정보를 제공하는 경우 전 세계 연간 매출액의 1% 또는 750만 유로의 벌금이 부과될 수 있다.
당국은 또한 재정적 제재 외에 시정 조치를 부과할 수 있는 권한을 가지며, 여기에는 제공자가 AI 시스템을 준수 상태로 만들도록 요구하고, 비준수 시스템의 시장 출시를 제한하거나 금지하며, 이미 사용 중인 제품의 회수를 명령하는 것이 포함된다. AI 시스템이 심각한 위험을 제기하는 긴급한 경우, 당국은 전체 평가를 완료하기 전에 즉각적인 조치를 취할 수 있으며, 이후 검토를 받게 된다.
구현 일정 및 전환
AI Act의 조항은 2024년 8월 1일 발효일로부터 6개월에서 36개월에 걸쳐 점진적으로 구현된다. 회원국 당국은 구현 초기 몇 달 내에 지정되고 운영 가능해야 했다. 허용 불가 위험 애플리케이션에 대한 금지는 6개월 후 적용되었으며, 범용 AI 및 고위험 시스템에 대한 의무는 더 긴 기간에 걸쳐 단계적으로 도입되고 있다. 법 초안은 ChatGPT와 같은 생성 AI 시스템의 인기 상승을 해결하기 위해 수정되었으며, 이러한 시스템의 범용 기능이 주요 체계에 맞지 않았고, 이 수정으로 2023년에 범용 AI 범주가 추가되었다.
전환 기간 동안 회원국 당국은 운영 절차를 개발하고, 기술 직원을 고용하며, 다른 규제 기관과의 협력 프로토콜을 수립하고 있다. 또한 관할 구역 내에서 사업을 운영하는 기업을 위한 지침 문서를 준비하고 있으며, 적합성 평가를 지원할 조화된 표준 개발에 참여하고 있다. 점진적 구현은 가장 심각한 위험이 신속하게 해결되도록 보장하면서 당국과 규제 대상 주체 모두에게 새로운 요구 사항에 적응할 시간을 제공하도록 설계되었다.
다른 규제 기관과의 관계
AI Act에 따른 회원국 당국은 관련 책임을 가진 다른 규제 기관과 함께 운영된다. 개인 데이터를 처리하는 AI 시스템에 대해 데이터 보호 당국과 조정하며, 의료, 금융 서비스 및 운송과 같은 분야의 부문별 규제 기관과도 조정한다. 이 법은 또한 기존 제품 안전 법규와 상호 작용하며, 당국은 집행 조치가 다른 EU 규정과 일치하도록 보장해야 한다. AI 시스템이 Amazon Web Services 또는 Microsoft Azure와 같은 제공자의 클라우드 서비스를 통해 배포된 Machine learning 모델과 같은 다른 기술과 함께 사용되는 경우, 당국은 여러 규제 체계에 걸쳐 조정해야 할 수 있다.
법의 역외 적용은 당국이 특히 미국, 중국 또는 기타 주요 AI 개발 허브에 기반을 둔 AI 제공자의 경우 비EU 국가의 규제 기관과도 협력할 수 있음을 의미한다. 이 국제적 차원은 집행에 복잡성을 추가하며, 당국은 다른 관할 구역의 법적 체계와 법의 요구 사항을 균형을 맞추면서 EU 시민이 유해한 AI 애플리케이션으로부터 보호되도록 해야 한다.