2024년 3월 13일 유럽 의회가 인공지능법(AI Act)을 채택한 것은 글로벌 기술 거버넌스에 있어 분수령이 되는 순간이었다. 이 법안은 찬성 523표, 반대 46표, 기권 49표로 공식 승인되면서 세계 최초의 포괄적인 인공지능 법적 체계를 마련했다. 이 법은 위험 기반 규제 시스템을 확립하여 AI 시스템의 개발자와 배포자에게 구속력 있는 의무를 부과하며, 중요한 인프라, 교육, 고용, 법 집행에 사용되는 것과 같은 고위험 애플리케이션에는 더 엄격한 요구 사항을 적용한다.
AI 법의 통과는 3년 이상의 초안 작성, 협상, 정치적 타협의 정점이었다. 유럽 위원회는 산업계, 시민 사회, 학계 전문가와의 광범위한 협의를 거쳐 2021년 4월에 처음 이 법안을 제안했다. 이 제안은 의회, 유럽 연합 이사회, 위원회 간의 3자 협상 과정에서 상당한 수정을 거쳤으며, 최종 텍스트는 2023년 12월에 합의되었다. 2024년 3월 투표는 이 과정의 정점으로, 제안을 단계적 시행 일정을 가진 구속력 있는 법으로 전환시켰다.
위험 기반 분류 체계
AI 법의 핵심 혁신은 기본 권리와 안전에 미치는 위험 수준에 따라 AI 시스템을 분류하는 계층적 접근 방식이다. 이 체계는 허용할 수 없는 위험, 고위험, 제한적 위험, 최소 위험 애플리케이션을 구분한다. 정부의 사회적 점수 매기기, 공공 장소에서의 실시간 원격 생체 인식(좁은 예외 있음), 조작적 또는 착취적 AI와 같이 허용할 수 없는 위험을 초래하는 시스템은 완전히 금지된다. 이러한 금지 조치는 2024년 8월 1일에 발효된 법 시행 6개월 후에 적용된다.
고위험 AI 시스템에는 중요한 인프라, 교육, 고용, 필수 서비스, 법 집행, 이민, 사법에 사용되는 시스템이 포함되며 가장 광범위한 의무가 부과된다. 개발자는 위험 관리 시스템을 구현하고, 고품질 훈련 데이터를 사용하고, 기술 문서를 유지하고, 인간의 감독을 가능하게 하고, 견고성과 사이버 보안을 보장해야 한다. 이러한 요구 사항은 24개월에서 36개월에 걸쳐 단계적으로 적용되며, 대부분의 고위험 의무는 2026년 8월부터 적용된다. 챗봇과 딥페이크와 같은 제한적 위험 시스템은 콘텐츠가 AI 생성임을 공개하는 것을 포함한 투명성 요구 사항을 충족해야 한다.
거버넌스 및 집행
이 법은 유럽 연합 전역에서 일관된 적용을 보장하기 위해 다층적 거버넌스 구조를 수립한다. 유럽 위원회는 각 회원국의 국가 감독 기관과 협력하는 새로운 유럽 인공지능 사무소를 감독할 것이다. 2024년 6월부터 운영되는 AI 사무소는 구현 모니터링, 조사 수행, 지침 발행을 담당한다. 국가 당국은 일상적인 집행을 처리하며, 불이행 시 벌금을 부과할 권한을 가진다.
이 법에 따른 처벌은 상당하다. 금지된 관행 위반 시 최대 3,500만 유로 또는 글로벌 연간 매출의 7% 중 더 높은 금액의 벌금이 부과될 수 있다. 고위험 의무 불이행 시 최대 1,500만 유로 또는 매출의 3%의 벌금이 부과되며, 규제 기관에 잘못된 정보를 제공하면 최대 750만 유로 또는 매출의 1%의 벌금이 부과될 수 있다. 이러한 처벌은 가장 큰 기술 기업조차 규칙을 무시하지 못하도록 억지력을 발휘하도록 설계되었다.
범용 AI에 대한 의무
입법 과정에서 중요한 추가 사항은 대규모 언어 모델과 기반 모델을 포함한 범용 AI 모델의 규제였다. 이 법은 범용 AI 모델과 시스템적 위험이 있는 모델을 구분하며, 후자는 특정 계산 임계값(구체적으로 10^25 부동 소수점 연산 이상으로 훈련된 모델)을 초과하는 능력으로 정의된다. 범용 모델 제공자는 기술 문서를 유지하고, 저작권법을 준수하고, 훈련 데이터 요약을 게시해야 한다. 시스템적 위험이 있는 모델은 적대적 테스트, 위험 평가, 사고 보고를 포함한 추가 요구 사항에 직면한다.
범용 AI 조항의 포함은 입법 과정에서 생성형 AI 기술의 급속한 발전을 반영했다. 오픈AI와 앤트로픽이 개발한 것과 같은 대규모 언어 모델 시스템의 등장으로 입법자들은 전통적인 좁은 AI 애플리케이션을 넘어 법의 범위를 확장하게 되었다. 시스템적 위험에 대한 계산 임계값은 가장 강력한 모델을 포착하면서도 더 작은 오픈 소스 모델이 더 가벼운 의무로 운영될 수 있도록 설정되었다.
글로벌 AI 규제에 미치는 영향
AI 법의 채택은 전 세계 규제 논의에 깊은 영향을 미쳤다. 세계 최초의 포괄적인 AI 법으로서 다른 관할권의 정책 입안자들에게 기준점이 되었다. 미국은 포괄적인 법안 대신 행정 명령과 기관 지침을 통한 부문별 접근 방식을 추구했지만, AI 법의 위험 기반 체계는 의회의 논의에 영향을 주었다. 영국, 일본, 캐나다는 모두 자체 규제 제안에서 EU 법안을 인용했지만, 대부분 더 가벼운 접근 방식을 선택했다.
이 법은 유럽 연합 외부의 기업에도 영향을 미친다. 역외 적용 범위로 인해 EU 사용자에게 AI 시스템이나 서비스를 제공하는 모든 조직은 회사 본사 위치와 관계없이 준수해야 한다. 이로 인해 구글 클라우드, 아마존 웹 서비스, 애저를 포함한 주요 기술 기업들이 AI 제품에 대한 준수 프로그램을 준비하게 되었다. 이 법의 영향은 기술 표준 개발에도 확장되며, 유럽 위원회는 표준화 기관과 협력하여 AI 시스템에 대한 조화된 표준을 만들고 있다.
구현 일정 및 과제
이 법의 단계적 구현은 기업과 규제 기관에 전환 기간을 제공한다. 주요 이정표는 다음과 같다: 2025년 2월부터 허용할 수 없는 위험에 대한 금지; 2025년 8월부터 범용 AI에 대한 거버넌스 규칙과 의무; 2026년 8월부터 EU 안전 법안에 이미 포함된 제품에 대한 고위험 시스템 요구 사항; 2027년 8월까지 독립형 AI 시스템에 대한 고위험 의무의 완전한 적용. 이 단계적 일정은 규제 확실성과 실질적 실현 가능성의 균형을 목표로 한다.
구현은 상당한 과제에 직면해 있다. 조화된 표준 개발은 일정보다 늦어지고 있으며, 유럽 위원회와 표준화 기관은 2025년 중반까지 기술 사양을 생산하기 위해 노력하고 있다. AI 사무소는 조사와 지침을 처리할 직원을 고용하고 훈련해야 하며, 국가 당국은 자체 감독 역량을 구축해야 한다. 중소기업은 규제 샌드박스와 연구 및 오픈 소스 개발에 대한 축소된 의무를 포함한 법 조항에도 불구하고 준수 비용으로 어려움을 겪을 수 있다.
반응 및 비판
AI 법은 다양한 이해 관계자로부터 찬사와 비판을 받았다. 시민 사회 조직은 기본 권리에 대한 보호, 특히 사회적 점수 매기기와 생체 인식 감시 금지를 환영했다. 산업계는 규제 부담과 혁신 장벽 가능성에 대한 우려를 표명하며, 이 법이 미국과 중국의 기업과 경쟁하는 유럽 AI 기업을 불리하게 할 수 있다고 주장했다. 일부 연구자들은 시스템적 위험에 대한 계산 임계값이 자의적이라고 비판했으며, 다른 이들은 법의 정의가 기술이 발전함에 따라 구식이 될 수 있다고 지적했다.
법률 학자들은 일반 데이터 보호 규정 및 제안된 AI 책임 지침을 포함한 기존 EU 법과의 상호 작용을 논의해 왔다. 인간 감독 요구 사항은 특히 고위험 영역에서 자동화된 의사 결정의 책임에 대한 질문을 제기했다. 원격 생체 인식의 특정 사용 금지는 논쟁의 지점이었으며, 법 집행 기관은 공공 안전을 위한 더 넓은 예외를 추구하고 있다.
더 넓은 의미
AI 법은 억제되지 않은 혁신보다 예방과 기본 권리를 우선시하는 독특한 규제 철학을 나타낸다. 그 채택은 민주적 제도가 급속한 기술 변화에 포괄적인 법적 체계로 대응할 수 있음을 보여준다. 이 법의 위험 기반 접근 방식은 의료, 금융, 운송 분야의 머신 러닝 애플리케이션을 포함한 다른 영역의 템플릿으로 설명되어 왔다. 구현이 진행됨에 따라 이 법은 규제가 딥 러닝과 신경망 기술의 진화를 따라잡을 수 있는지 시험할 것이다.
이 법안은 또한 유럽 연합이 디지털 경제에서 규칙 제정자로 자리매김하려는 더 넓은 지정학적 역학을 반영한다. 전 세계 기업이 EU 시장에 접근하기 위해 충족해야 하는 표준을 수립함으로써, 이 법은 유럽의 가치와 규범을 국경 너머로 확장한다. 앞으로 몇 년 동안 이 접근 방식이 신뢰할 수 있는 AI 개발을 촉진하는지 아니면 유럽의 경쟁력을 저해하는 비용을 부과하는지가 드러날 것이다. AI 법의 성공 또는 실패는 수십 년 동안 AI 거버넌스의 미래를 형성할 가능성이 높다.
향후 전망
2025년 초 현재 AI 법은 초기 구현 단계에 있다. 유럽 위원회는 금지된 관행에 대한 지침을 발표했으며 범용 AI에 대한 실행 강령을 개발 중이다. AI 사무소는 시스템적 위험 평가 방법론에 대해 산업계와 시민 사회와의 협의를 시작했다. 첫 번째 집행 조치는 2025년 2월 금지 조치가 발효된 후 발생할 것으로 예상된다. 이 법의 장기적 영향은 규제 기관이 조항을 얼마나 효과적으로 해석하는지, 기업이 개발 관행을 어떻게 적응시키는지, 기술 자체가 어떻게 진화하는지에 달려 있다. 2024년 3월 의회의 투표는 결정적인 순간이었지만, 진정한 시험은 법의 구현과 혁신과 보호의 균형을 맞추는 능력에 있다.