EU AI Act 협상은 유럽연합 집행위원회, 유럽의회, 유럽연합 이사회 간에 인공지능법(AI Act)의 최종 문안을 확정하기 위해 개최된 일련의 3자 회의(trilogue meetings)였다. 협상은 2023년 12월 8일 정치적 합의로 종결되었으며, 이후 이 법은 2024년 3월 13일 의회에서 공식 채택되고 2024년 5월 21일 이사회의 승인을 받았다. 이 규정은 2024년 8월 1일 발효되었으며, 조항은 이후 6개월에서 36개월에 걸쳐 단계적으로 시행되었다.
AI Act는 EU 내 인공지능에 대한 공통 규제 및 법적 프레임워크를 수립한다. 이는 군사, 국가 안보, 연구 목적 또는 비전문적 사용에만 사용되는 AI를 제외하고 광범위한 분야에 걸쳐 대부분의 AI 시스템을 포괄한다. 제품 규제의 한 형태로서 개인 권리를 창설하지 않으며, 대신 AI 제공자와 전문적 맥락에서 AI를 사용하는 조직에 의무를 부과한다.
배경 및 제안
유럽연합 집행위원회는 2021년 4월 21일 AI Act를 제안했다. 초기 초안은 AI 윤리 및 제품 안전 규제 분야의 기존 작업을 바탕으로 한 AI 애플리케이션의 위험 기반 프레임워크에 초점을 맞췄다. 이 제안은 입법 과정에서 광범위한 검토와 수정을 거쳤다.
OpenAI의 ChatGPT와 같은 생성형 AI 시스템의 부상은 기존 프레임워크에 도전 과제를 제기했다. 이러한 범용 모델은 광범위한 작업을 수행할 수 있어 사전 정의된 위험 범주에 깔끔하게 맞지 않았다. 초안 법안은 이를 해결하기 위해 수정되었으며, 범용 AI에 대한 특정 범주를 추가했다.
3자 회의 협상
3자 회의 협상은 입법 제안에 대한 서로 다른 입장을 조정하기 위해 유럽의회, 이사회, 유럽연합 집행위원회 대표 간의 비공식 3자 회의이다. AI Act의 경우, 이러한 협상은 의회가 2023년 6월 협상 입장을 채택하고 이사회가 2022년 12월 일반 접근 방식을 합의한 후 시작되었다.
3자 회의에서는 고위험 AI의 정의, 기반 모델의 처리, 공공 장소에서의 실시간 원격 생체 인식 사용 등 여러 논쟁적 문제를 다루었다. 의회는 생체 인식 감시에 대한 더 엄격한 규칙과 범용 AI에 대한 더 강력한 의무를 추진한 반면, 이사회는 혁신과 소비자 보호의 균형을 모색했다.
이전 초안은 의회 위원회 표결에서 거부되어 수정된 위임안으로 이어졌다. 최종 정치적 합의는 새벽까지 이어진 마라톤 협상 끝에 2023년 12월 8일 도달되었다.
주요 결과
AI Act의 최종 문안은 허용 불가, 고위험, 제한적, 최소 위험의 4단계 위험 분류를 도입했다. 허용 불가 위험 애플리케이션은 특정 예외를 제외하고 금지된다. 고위험 애플리케이션은 보안, 투명성, 품질 의무를 준수하고 적합성 평가를 거쳐야 한다. 제한적 위험 애플리케이션은 투명성 의무가 있으며, 최소 위험 애플리케이션은 규제되지 않는다.
2023년에는 범용 AI에 대한 새로운 범주가 추가되었다. 여기에는 광범위한 작업을 수행할 수 있는 기반 모델이 포함된다. 모델의 가중치와 설계가 오픈소스로 공개된 경우 개발자는 훈련 데이터 요약과 저작권 정책을 게시해야 하며, 폐쇄형 소스 모델은 더 광범위한 투명성 요구 사항을 충족해야 한다. 시스템적 위험을 초래하는 고영향 모델(훈련에 10^25 부동 소수점 연산 이상 필요)은 추가 평가를 받아야 한다.
이 법은 또한 국가 간 협력을 촉진하고 준수를 보장하기 위해 유럽 인공지능 위원회(European Artificial Intelligence Board)를 설립했다. EU의 일반 데이터 보호 규정(GDPR)과 마찬가지로, 이 법은 EU 내 사용자가 있는 경우 EU 외부 제공자에게도 역외 적용될 수 있다.
위험 범주 상세
허용 불가 위험에는 인간 행동을 조작하는 AI 애플리케이션, 공공 장소에서 실시간 원격 생체 인식(예: 얼굴 인식)을 사용하는 경우, 또는 사회적 점수 매기기에 사용되는 경우가 포함된다. 이러한 경우는 좁은 예외를 제외하고 금지된다.
고위험 애플리케이션에는 건강, 교육, 채용, 핵심 인프라 관리, 법 집행 또는 사법에 사용되는 AI 시스템이 포함된다. 이들은 품질, 투명성, 인간 감독 및 안전 의무를 준수해야 한다. 일부는 배포 전에 기본 권리 영향 평가(FRIA)를 요구한다. 시민은 권리에 영향을 미치는 고위험 AI가 내린 결정에 대해 불만을 제기하고 설명을 받을 권리가 있다.
제한적 위험에는 이미지, 소리 또는 비디오를 생성하거나 조작하는 AI 시스템(딥페이크 등)이 포함되며, 사용자에게 AI와 상호 작용하고 있음을 알려야 한다. 최소 위험에는 비디오 게임과 스팸 필터가 포함되며 규제되지 않으며, 최대 조화 규칙으로 인해 회원국은 추가 규정을 부과할 수 없다.
범용 AI 의무
범용 AI 모델 제공자는 훈련 데이터 요약을 게시하고, 저작권법을 준수하는 정책을 채택하며, 하위 제공자와 감독 기관에 기술 문서를 제공해야 한다. 시스템적 위험을 초래하는 것으로 지정된 모델은 모델 평가 및 적대적 테스트를 수행하고, 편향 및 보안 실패와 같은 위험을 평가 및 완화하며, 심각한 사고를 보고하고, 적절한 사이버 보안을 보장해야 한다.
2025년 7월 10일에 게시된 범용 AI 행동 강령(General-Purpose AI Code of Practice)은 투명성, 저작권, 안전 및 보안에 관한 세 가지 주요 장을 설명하여 제공자가 준수를 입증하는 데 도움을 준다. 강령 참여는 자발적이다.
예외 및 역외 적용
제2.3조 및 제2.6조는 군사 또는 국가 안보 목적으로 사용되거나 순수 과학 연구 및 개발에 사용되는 AI 시스템을 AI Act에서 면제한다. 이 규정은 AI 시스템이 군사, 국방 또는 국가 안보 목적으로만 사용되거나 이러한 이유로만 개발 및 운용되는 시스템에는 적용되지 않는다.
이 법은 GDPR의 역외 적용 범위와 유사하게 EU 내 사용자가 있는 경우 EU 외부 제공자에게도 적용될 수 있다. 이는 미국, 중국 또는 기타 지역에 기반을 둔 기업이 EU 거주자에게 AI 서비스를 제공할 때 준수해야 함을 의미한다.
시행 일정
AI Act는 2024년 8월 1일 발효되었다. 조항은 이후 6개월에서 36개월에 걸쳐 점진적으로 운영될 것이다. 첫 번째 주요 단계로 허용 불가 위험 AI 애플리케이션에 대한 금지가 2025년 2월에 시행되었다. 범용 AI 모델에 대한 의무는 2025년 8월부터 적용될 것으로 예상되며, 고위험 규칙의 전체 적용은 2027년까지 완료될 예정이다.
의의
AI Act는 세계 최초의 포괄적인 AI 법적 프레임워크를 대표한다. 이는 미국과 중국을 포함한 다른 관할권의 정책 논의에 영향을 미쳤다. 협상은 EU가 혁신과 기본 권리 보호의 균형을 맞추면서 위험 기반 제품 안전 모델을 통해 신흥 기술을 규제하는 접근 방식을 보여주었다.
이 법의 성공은 국가 당국과 유럽 인공지능 위원회의 시행 및 집행에 달려 있다. 2025년 현재, 준수를 지원하기 위한 많은 기술 표준과 지침 문서가 여전히 개발 중이다.