EU AI 법은 인공지능에 대한 공통 규제 체계를 수립하는 유럽연합 규정이다. 2024년 8월 1일 발효되었으며, 조항은 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 이 법은 AI 애플리케이션을 허용 불가, 고위험, 제한적, 최소 위험의 위험 범주로 분류하며, 범용 AI를 위한 별도 범주도 포함한다. 허용 불가 위험을 제기하는 애플리케이션은 전면 금지된다. 이 법은 개인 권리를 창설하지 않지만 제공자와 전문 배포자에게 의무를 부과하며, EU 내 사용자가 있는 비EU 제공자에게 역외 적용될 수 있다.
‘허용 불가 위험’ 관행에 대한 금지는 이 규정의 가장 중요한 부분 중 하나이다. 이는 기본권과 민주적 가치를 훼손할 수 있는 특정 AI 사용에 대해 확고한 선을 긋는 정책적 선택을 반영한다. 이 법은 일부 유연성을 허용하지만, 특정 면제가 적용되지 않는 한 이러한 금지는 절대적이며, 유럽위원회는 금지 조항의 범위를 명확히 하기 위한 지침을 제공했다.
금지 조항에 따른 금지 관행
이 법의 금지 조항은 취약성을 악용하거나, 행동을 조작하거나, 사회적 점수를 부여하거나, 특정 형태의 생체 인식 감시를 배치하는 AI 시스템을 다룬다. 구체적으로, 다음은 좁은 예외를 조건으로 EU 내 어디에서 발생하든 허용 불가로 간주된다:
행동 조작 및 악용. 잠재의식적, 조작적 또는 기만적 기법을 사용하여 개인의 행동을 왜곡하고 중대한 해를 끼치도록 설계된 AI 시스템은 금지된다. 여기에는 연령, 장애 또는 사회경제적 상황과 관련된 개인의 취약성을 악용하는 경우가 포함되며, 해당 관행이 행동을 실질적으로 왜곡하고 그 사람 또는 다른 사람에게 해를 끼치거나 끼칠 가능성이 있는 경우를 말한다. 예를 들어, 음성 지원을 사용하여 어린이가 위험한 행동을 하도록 부추기는 장난감은 금지된다.
사회적 점수 부여. 이 법은 다양한 맥락에서 개인의 사회적 행동을 평가하거나 분류하는 AI 시스템을 금지한다. 여기서 결과적으로 얻어진 사회적 점수가 원래 데이터나 상황에 비해 과도한 불리하거나 불공정한 대우로 이어지는 경우를 말한다. 이 금지는 공공 또는 민간 행위자가 시민에게 사회적 신용 점수를 부여하여 원래 데이터와 관련 없는 맥락에서 더 나쁜 대우를 초래하는 관행을 겨냥한다.
이 금지 조항은 가장 해로운 것으로 간주되는 특정 관행을 다루고 유럽 법률을 대중의 기대와 인권 의무에 부합하도록 하기 위해 마련되었다.
실시간 생체 인식 감시
이 규정은 법 집행 목적으로 공개적으로 접근 가능한 공간에서 실시간 원격 생체 인식 식별을 수행하는 AI 시스템을 좁게 정의된 상황을 제외하고 금지한다. 실시간이란 상당한 지연 없이 지체 없이 이루어지는 처리를 의미한다. 금지는 공공 공간(예: 공원, 거리, 경기장 및 이러한 공간의 디지털 버전)에 적용된다. 특히 보안 목적으로 개인을 실시간으로 식별하는 얼굴 인식 기술을 겨냥한다.
그러나 특정 정당한 목적이나 중대한 이익을 위해 필요한 경우 법 집행 기관이 이를 사용할 수 있도록 하는 좁게 규정된 예외가 있다. 여기에는 국가 안보 또는 이 법에 명시된 다음이 포함된다:
- 특정 실종자의 수색.
- 테러 공격의 위협.
- 살인, 아동 성학대, 강간과 같은 특정 중대 범죄의 기소 또는 적발 - 사용이 필요하다고 간주되고 엄격한 보호 장치가 적용되는 경우.
이러한 모든 사용은 독립적인 행정 법원 또는 행정 당국의 승인을 받아야 한다. 승인은 객관적 증거에 기반해야 하며 목적을 정의해야 하고, 궁극적으로 일반 법적 체계와 충돌하지 않도록 범위를 제한한다. 실제로 이러한 예외는 적법 절차 요건이 충족되는 경우 법 집행 기관이 예외적인 사례에서 원격 생체 인식 식별을 사용할 수 있도록 허용할 것이다.
범위 및 면제
여러 범주는 AI 법의 적용 범위에서 완전히 제외된다. 여기에는 군사, 국방 또는 국가 안보 목적으로만 사용되는 AI 시스템과 순수 과학 연구 또는 개발을 위해 사용되는 시스템이 포함되며, 제2조 제3항에 따른다. 또한 개인적 비전문적 용도로 배치된 AI는 적용 대상이 아니다. 금지 조항은 그러한 시스템에는 적용되지 않지만, EU 지역에서 금지된 시스템을 사용하는 운영자를 헌법적 보호에서 면제하지는 않는다.
시행 일정 및 금지 조항
제5조에 정의된 허용 불가 위험 관행에 대한 금지는 2025년 2월 2일부터 적용된다. 이는 2024년 8월 1일 발효 후 6개월로 설정되었다. 이 규정은 2021년 4월 21일 유럽위원회가 제안했고, 2024년 3월 13일 유럽의회가 채택했으며, 2024년 5월 21일 EU 이사회가 승인했다. 최종 텍스트는 대규모 언어 모델과 같은 범용 AI의 부상을 고려하여 강화되었으며, 조작적 사용과 감정 인식을 고려하여 금지 조항도 그에 맞게 정비되었다.
유예 기간은 제공자가 새로운 제한 사항을 준수하도록 AI 시스템을 변경할 수 있게 하고, 당국이 준비할 수 있도록 설계되었다. 금지 이후 사업자와 공공 기관은 금지된 방법에 의존하거나 금지된 범주에 속하지 않도록 AI 시스템을 감사해야 했다.
덧붙여, 유럽위원회는 해석에 관한 지침을 발표했지만, 문구가 정치적 타협의 산물이기 때문에 여전히 상당히 광범위하다. 취약 계층을 조작하는 수단으로 사용하는 것과 같은 일부 관행은 피해가 보장되지 않거나 의도가 악의적이지 않은 경우 엄격히 금지되지 않는다. 또한 사회적 신용에 대한 금지는 가장 심각하고 차별적인 대우만을 겨냥하지만, 덜 심각한 결과는 여전히 고위험 범주 또는 기타 규제 의무에 해당할 수 있다.
집행 및 제재
각 EU 회원국은 시장 감시를 담당하는 당국을 지정한다. 당국은 위반에 대해 재정적 제재를 부과할 권한이 있다. 금지된 관행의 경우 제재는 최대 3,500만 유로 또는 위반 회사의 전 세계 연간 매출액의 7% 중 더 높은 금액에 이를 수 있다. 이는 일반 데이터 보호 규정(GDPR)의 접근 방식을 반영하며, 당국은 특정 AI 시스템을 시장에서 금지하는 것과 같은 시정 조치를 내릴 수도 있다.
역외 적용 범위 때문에 EU 외부에 기반을 둔 제공자는 EU 내에 공인된 대리인을 지정해야 하며, 그 대리인에게 책임을 져야 한다. 회사가 다른 곳에 본사를 두고 운영하더라도 EU 내 사용자에게 시스템을 시장에 출시하거나 서비스를 제공하는 경우 여전히 책임을 질 수 있다.
유럽 인공지능 위원회
전체 규제 체계를 감독하기 위해 이 법은 유럽 인공지능 위원회(European Artificial Intelligence Board)를 설립한다. 위원회는 각 회원국에서 한 명씩 총 21명의 대표와 유럽 데이터 보호 감독관으로 구성된다. 위원회는 국가 감독 당국을 조정하고 지침과 의견을 발행한다. 특히 금지 조항의 *해석과 운영*에 대한 일관된 접근 방식을 촉진할 것이다.
위원회는 명시적으로 금지 목록에 포함되지 않았지만 평가에서 허용 불가로 간주되는 관행에 대한 조사에서 중요한 역할을 할 수도 있다. 그러나 위원회는 자체 발의로 행동할 수 있는 권한으로 제한된다. 위원회는 제한 조치의 실제 적용을 감독한다.
더 넓은 맥락: AI 법의 위험 모델
금지된 관행은 위험 피라미드의 정점을 나타낸다. 고위험 AI 애플리케이션은 적합성 의무를 지며, 제한적 위험 애플리케이션은 투명성 의무를 진다. 생성형 AI 시스템(예: 딥페이크)은 AI 생성 콘텐츠로 공개되어야 한다. 금지 목록은 개인과 사회에 대한 실제 위협을 좁게 겨냥한다.
고위험 애플리케이션 범주에는 일부 ‘생체 인식 식별’이 포함되지만, 이것이 금지되는 것은 아니다. 고위험 시스템은 적합성 평가를 거쳐야 하지만, 법 집행을 지원하지 않는 경우 허용되는 사용이다. 예를 들어, 범죄 데이터베이스에서 지문을 매칭하는 AI 시스템은 허용 불가 위험이 아니지만, 혼잡한 공간에서의 실시간 원격 생체 인식 식별은 허용 불가 위험이다. 이것이 우선순위이다.
AI 법은 제품 규정으로서 개인의 소송 권리를 창설하지 않지만, 시스템 배포자에게 의무를 부과한다. 또한 준수를 위한 조정 및 기술 자문을 제공하는 패널을 만든다. 일부 영향 평가에서는 특히 실제 예외에 대해 금지된 고위험 시스템 간의 경계를 명확히 할 필요가 있다고 지적한다. 그리고 유럽위원회는 이 가능성을 약속했다.
잠재적 글로벌 영향
사회적 점수 부여 및 이와 유사한 금지 조항은 캐나다와 다른 관할권이 AI 법을 모델로 인용하면서 기술 산업에도 어느 정도 영향을 미쳤다. 특히 공공 공간에서의 생체 인식 식별 금지는 안전과 기본권으로 인해 일부 사용이 위험-피해 분석으로는 정당화될 수 없다는 합의를 반영한다.
최소한의 생체 인식 식별 사용에 대한 예외가 남용될지는 지켜봐야 한다. 단기적으로는 OpenAI, Anthropic, Google DeepMind와 같은 기술 대기업들이 법적 예방 조치가 아니라 제한 사항을 반영하도록 정책을 조정했다. 이 금지는 특정 AI 관행이 민주 사회에서 결코 용납될 수 없다는 선례를 세웠다.
결론
EU AI 법의 금지 관행은 이 규정의 특징적인 요소이다. 강압적 조작, 사회적 점수 부여, 실시간 생체 인식 감시에 대해 레드라인을 긋는 것은 주요 법적 혁신으로, 제약 없는 기술 발전과 충돌할 때 기본권을 우선시한다. 2025년 초 현재, 기업은 준수를 위해 AI 시스템을 신중하게 감사해야 하며, AI 법은 향후 2~3년에 걸쳐 시행될 나머지 의무를 점진적으로 도입하고 있다. 위원회의 활동은 금지 관행의 정확한 경계를 해석하는 데 중요할 것이며, 금지 조항은 지속적인 검토를 받게 될 것이다. 법률의 변경은 수정을 통해 이루어져야 하지만, EU는 가까운 시일 내에 이 영역을 축소할 의도가 없다.
모든 법률과 함께 경계는 조정될 수 있지만, 허용 불가 위험에 대한 엄격한 금지는 AI 법과 EU 디지털 정책의 핵심으로 남을 것이다.