EU AI Act 공표는 2024년 7월 12일 유럽연합 공식 저널에 규정(EU) 2024/1689가 공식 게재된 것을 의미한다. 이 사건은 2021년 4월 유럽위원회의 제안으로 시작된 다년간의 입법 과정의 정점을 이루었다. 공표는 2023년 12월에 도달한 정치적 합의를 구속력 있는 법률로 전환하여, 주요 관할권에서 인공지능 시스템에 대한 최초의 포괄적 수평 규제를 창설했다. 이 법은 공표 20일 후인 2024년 8월 1일에 발효되었으며, 2030년까지 이어지는 단계적 시행 일정을 갖추고 있다.
이 공표는 글로벌 기술 거버넌스의 획기적인 순간이었다. 이 규제는 EU 기반 개발자뿐만 아니라 출력물이 EU 시장 내에서 사용되는 AI 시스템의 제공자와 배포자에게도 적용되기 때문이다. 위험 기반 접근 방식은 AI 애플리케이션을 네 가지 계층으로 분류한다: 허용할 수 없는 위험(금지), 고위험(엄격한 의무 적용), 제한적 위험(투명성 의무), 최소 위험(자발적 행동 강령). 이 법은 또한 유럽 AI 사무소와 국가 당국 및 새로운 유럽 인공지능 위원회를 포함하는 거버넌스 구조를 설립했다.
입법 배경과 정치적 여정
공표까지의 경로는 길고 논쟁적이었다. 마르그레테 베스타게르 집행부위원장과 티에리 브르통 위원이 이끄는 유럽위원회는 2021년 4월 21일에 초안을 발표했다. 이 제안은 신뢰할 수 있는 AI를 보장하는 프레임워크를 요구했던 2019년 고위 전문가 그룹의 보고서를 포함한 초기 전문가 조언에 기반했다. 초안은 위험 계층 시스템을 도입하고 위반 시 글로벌 연간 매출의 최대 6%에 달하는 벌금을 제안했다.
이후 유럽의회와 EU 이사회는 3자 협상에 참여했다. 2023년 6월에 채택된 의회의 입장은 대규모 언어 모델과 같은 시스템에 대한 우려를 반영하여 기반 모델과 범용 AI에 대한 조항을 추가했다. 2022년 12월에 확정된 이사회의 일반 접근 방식은 집행 실용성을 강조했다. 2023년 12월 8일 최종 3자 협상 후, 협상가들은 잠정 합의에 도달했다. 의회는 2024년 3월 13일에 523표 찬성으로 텍스트를 승인했고, 이사회는 2024년 5월 21일에 최종 승인을 내렸다. 이후 법적 텍스트는 공표를 위해 준비되었으며, 최종 버전은 부속서를 포함해 400페이지가 넘는다.
공표된 텍스트의 주요 조항
공표된 규정은 113개 조항과 13개 부속서를 포함한다. 제5조는 잠재의식 기술을 사용하거나 특정 집단의 취약성을 악용하거나 공공 기관의 사회적 점수를 가능하게 하는 AI 관행을 금지한다. 공공 접근 가능한 장소에서의 실시간 원격 생체 인식 식별은 법 집행 목적으로 금지되며, 사법 승인을 요하는 좁은 예외가 있다. 부속서 III에 정의된 고위험 시스템은 중요 인프라, 교육, 고용, 필수 서비스, 법 집행, 이주 및 민주적 과정을 포함한다.
고위험 시스템의 경우 제8조 내지 제15조는 위험 관리, 데이터 거버넌스, 기술 문서, 기록 보존, 투명성, 인간 감독, 정확성, 견고성 및 사이버 보안에 대한 요구 사항을 부과한다. 제공자는 통지 기관이 포함된 적합성 평가 절차를 거쳐야 한다. 제50조는 콘텐츠를 생성하거나 조작하는 시스템에 대한 투명성 의무를 도입하여 콘텐츠가 AI 생성임을 명확히 공개하도록 요구한다. 이 조항은 챗봇 및 딥페이크 기술을 포함한 생성형 AI 애플리케이션에 직접적인 영향을 미친다.
이 법은 또한 제51조 내지 제56조에서 범용 AI 모델을 다룬다. 누적 컴퓨팅 성능이 10^25 FLOPs를 초과하는 모델은 시스템적 위험을 제기하는 것으로 추정되며 적대적 테스트 및 사고 보고를 포함한 추가 의무를 부담한다. 이 임계값은 오픈AI, 앤트로픽, 구글 딥마인드와 같은 개발자의 최첨단 모델을 포착하도록 조정되었지만, 텍스트는 특정 회사를 명명하지 않는다.
시행 일정과 주요 이정표
공표는 단계적 출시를 설정했다. 허용할 수 없는 위험 관행에 대한 금지는 발효 6개월 후인 2025년 2월 2일에 효력을 발휘했다. 위원회 내 유럽 AI 사무소 설립을 포함한 거버넌스 조항은 2024년 8월 2일부터 적용되었다. 범용 AI 모델에 대한 의무는 2025년 8월 2일부터 적용된다. 고위험 시스템 요구 사항은 2026년 8월 2일에 시작되며, 이미 시장에 있는 시스템에 대한 추가 전환 기간이 있다. 의료 기기 및 기계와 같은 부문별 법률의 적용을 받는 제품에 사용되는 고위험 AI에 대한 규칙은 2027년 8월 2일부터 적용된다. 2030년까지 대규모 IT 시스템의 AI 구성 요소에 대한 조항을 포함한 모든 나머지 조항이 완전히 운영될 것이다.
회원국은 2025년 8월 2일까지 권한 있는 국가 당국을 지정해야 했다. 회원국 대표로 구성된 유럽 AI 위원회는 2024년 말에 활동을 시작했다. 위원회는 또한 조기 준수를 장려하는 자발적 이니셔티브인 AI 협약을 시작했으며, 공표 시점에 700개 이상의 서명자를 확보했다.
글로벌 영향과 규제 확산
공표는 EU 외부에서 상당한 반응을 촉발했다. 2023년 10월 AI에 관한 행정 명령을 발표한 미국은 부문별 접근 방식을 계속했지만 연방 입법 요구에 직면했다. 영국은 2024년 2월에 원칙 기반 접근 방식을 선호하는 자체 AI 규제 프레임워크를 발표했다. 중국은 이미 2023년 8월에 생성형 AI에 대한 임시 조치를 제정했다. EU 법은 캐나다, 브라질, 일본을 포함한 다른 관할권이 유사한 위험 기반 프레임워크를 초안하는 참조점이 되었다.
마이크로소프트, 구글 클라우드, 아마존 웹 서비스를 포함한 다국적 기업은 법의 조항에 대비하여 준수 프로그램을 발표했다. 많은 기업이 AI 윤리 위원회를 설립하고 책임 AI 책임자를 임명했다. 공표는 또한 기술 표준 개발에 영향을 미쳤다. 유럽위원회는 CEN 및 CENELEC에 표준화 요청을 발행했으며, 조화 표준은 2025년까지 예상된다. 이러한 표준은 고위험 시스템에 대한 적합성 추정을 제공할 것이다.
집행과 벌칙
법의 집행 설계는 국가 시장 감시 당국에 의존한다. 위반에 대한 벌금은 금지된 관행의 경우 최대 3,500만 유로 또는 전 세계 연간 매출의 7%, 대부분의 기타 위반의 경우 1,500만 유로 또는 3%, 잘못된 정보 제공의 경우 750만 유로 또는 1.5%에 달한다. 범용 AI 제공자의 경우 벌금은 1,500만 유로 또는 매출의 3%에 이를 수 있다. 유럽 데이터 보호 감독관은 EU 기관과 관련된 사건을 처리한다.
새로운 특징은 국가 당국에 불만을 제기할 권리와 영향을 받는 개인이 고위험 AI에 기반한 개별 의사 결정에 대한 설명을 요청할 가능성이다. 이 법은 또한 배포자가 공공 부문의 고위험 시스템에 대한 기본 권리 영향 평가를 수행하도록 의무화한다. 2024년 6월부터 운영되는 유럽 AI 사무소는 집행을 조정하고 지침을 발행할 수 있지만, 최종 제재 권한은 국가 기관에 있다.
기술 및 산업 반응
산업 반응은 다양했다. 대형 기술 기업은 일반적으로 규제 명확성을 환영했지만 준수 비용과 혁신 제약에 대한 우려를 표명했다. 오픈AI와 앤트로픽은 투명성 요구 사항을 공개적으로 지지하면서 훈련 데이터 출처 문서화의 어려움을 지적했다. AI21 랩스와 인플렉션 AI와 같은 유럽 스타트업은 이 법을 사용자 신뢰를 구축할 수 있는 경쟁 우위로 보았다. 일부 미국 기반 기업은 EU 시장에서 제품을 보류하겠다고 위협했지만, 대부분은 나중에 입장을 바꿨다.
기술 커뮤니티는 특정 요구 사항의 실현 가능성에 대해 논쟁했다. 시스템적 위험에 대한 컴퓨팅 성능 임계값인 10^25 FLOPs는 임의적이고 검증하기 어렵다고 비판받았다. 스탠포드 AI 랩과 버클리 AI 연구의 연구자들은 훈련 효율성에 따라 이 임계값이 1,000억 개 이상의 매개변수를 가진 모델을 포착할 수 있다는 분석을 발표했다. 훈련 데이터 설명을 포함한 상세한 기술 문서 요구 사항은 영업 비밀과 지적 재산권에 대한 질문을 제기했다.
다른 EU 법률과의 관계
AI 법은 일반 데이터 보호 규정(GDPR) 및 디지털 서비스 법과 같은 기존 EU 법률과 상호 작용한다. 제2조는 AI 법이 GDPR 의무에 영향을 미치지 않으며, 충돌이 발생할 경우 더 구체적인 데이터 보호 규칙이 우선한다고 명시한다. 이 법은 또한 2024년에 AI 관련 피해를 다루기 위해 개정된 제품 책임 지침을 보완한다. 유럽위원회는 2024년 12월에 이러한 상호 연결을 설명하는 지침을 발표하여 개인 데이터를 처리하는 AI 시스템이 두 프레임워크를 모두 준수해야 한다고 강조했다.
제3조에 포함된 법의 AI 정의는 의도적으로 광범위하여 기계 학습, 논리 기반 접근 방식 또는 통계 방법을 사용하는 시스템을 포함한다. 여기에는 신경망, 트랜스포머 아키텍처 및 딥러닝 모델이 포함된다. 이 정의는 단순한 수학적 최적화와 기본 데이터 처리를 제외하여 기존 소프트웨어의 과도한 규제를 피하는 것을 목표로 한다.
향후 개정과 AI 법의 진화
완전한 시행 이전에도 개정에 대한 논의가 시작되었다. 유럽의회 위원회는 2025년 초에 법의 운영을 검토하기 시작했으며, 신경망 기반 로봇 공학 및 자율 주행 차량과 같은 신흥 기술과의 상호 작용에 초점을 맞췄다. 위원회는 FLOPs 측정 방법론을 포함한 기술 세부 사항을 지정하는 위임 법안을 발행할 계획을 발표했다. 제112조의 검토 조항은 2028년 8월 2일까지 포괄적인 평가를 요구하며, 위험 분류 및 금지 사항의 가능한 개정을 포함한다.
공표는 또한 EU AI 혁신 패키지와 AI 규제 샌드박스 설립을 포함한 병행 이니셔티브를 촉발했다. 제57조에 의해 의무화된 이러한 샌드박스는 기업이 완전한 시장 진입 전에 감독 하에 혁신적인 AI 시스템을 테스트할 수 있도록 한다. 2025년 중반까지 여러 회원국이 샌드박스를 시작했으며, 스페인, 독일, 프랑스가 가장 먼저 시작했다.
AI 생태계에 대한 중요성
EU AI Act 공표는 인공지능 거버넌스의 분수령을 나타낸다. 이는 논의를 자발적 원칙에서 집행 가능한 법적 의무로 전환시켜 전 세계 기업 행동에 영향을 미쳤다. 법의 위험 기반 분류 체계는 다른 규제 기관의 템플릿으로 채택되었으며, 투명성 조항은 AI 책임에 대한 논의의 기준선이 되었다. 연구자와 개발자에게 이 법은 특히 의료, 금융 및 공공 행정의 고위험 애플리케이션에 대해 새로운 문서화 및 테스트 의무를 부과한다.
공표는 또한 모델 감사, 편향 탐지 및 설명 가능성을 위한 도구를 포함한 준수 기술의 개발을 가속화했다. 삼바노바와 그록과 같은 전문 AI 하드웨어를 제공하는 회사는 효율적이고 감사 가능한 추론을 통해 준수를 촉진하는 제품으로 마케팅하기 시작했다. MIT CSAIL과 옥스퍼드 대학교를 포함한 학술 기관은 기술 및 법적 전문 지식의 교차점을 반영하여 AI 법과 정책에 대한 과정을 시작했다.
2025년 중반 현재, 법의 초기 시행이 진행 중이며, 유럽 AI 사무소는 금지된 관행과 투명성 의무에 대한 첫 번째 지침 문서를 발행했다. 전체 영향은 향후 몇 년에 걸쳐 펼쳐질 것이지만, 2024년 7월의 공표는 이미 유럽과 그 너머에서 AI 거버넌스를 위한 지속 가능한 법적 기반을 확립했다.