EU AI Act 조화 표준(Harmonised Standards)은 유럽연합의 인공지능법(AI Act)의 준수를 지원하기 위해 개발 중인 기술 사양으로, 이 법은 EU 내 인공지능에 대한 공통 규제 및 법적 프레임워크를 확립하는 규정이다. AI Act는 2024년 8월 1일에 발효되었으며, 조항은 6개월에서 36개월에 걸쳐 단계적으로 시행된다. 조화 표준은 AI 제공자와 배포자에게 실용적이고 추정적 적합성 메커니즘을 제공하여, 법의 위험 기반 의무를 측정 가능하고 감사 가능한 요구사항으로 전환하는 것을 목표로 한다. 이 표준은 유럽 표준화 기구(예: CEN 및 CENELEC)가 유럽 위원회의 표준화 요청에 대응하여 개발하며, 특히 고위험 AI 시스템과 범용 AI 모델에 대한 법 시행에서 중요한 역할을 할 것으로 예상된다.
이 표준의 개발은 산업 전문가, 규제 기관 및 기타 이해관계자가 참여하는 협력적 노력이다. 이 과정은 표준화 위임을 발행하는 유럽 위원회와 국가 간 협력을 촉진하고 일관된 적용을 보장하는 유럽 인공지능 위원회(European Artificial Intelligence Board)가 감독한다. 2025년 현재 표준은 완전히 최종화되지 않았지만, 초안과 작업 프로그램이 발표되었으며, 위험 관리, 데이터 거버넌스, 투명성, 인간 감독 및 적합성 평가 절차와 같은 영역을 다룬다. 채택되면 이러한 조화 표준 준수는 AI Act 요구사항에 대한 적합성 추정을 제공하여 조직의 규제 부담을 완화한다.
배경 및 법적 프레임워크
AI Act는 2021년 4월 21일 유럽 위원회가 제안했으며, 2024년 3월 13일 유럽 의회를 통과하고 2024년 5월 21일 EU 이사회에서 만장일치로 승인되었다. 이 법은 군사, 국가 안보, 연구 및 비전문적 사용을 제외하고 다양한 분야의 대부분의 AI 시스템을 다룬다. 이 법은 AI 애플리케이션을 허용 불가, 고위험, 제한적, 최소의 네 가지 위험 수준과 별도의 범용 AI 범주로 분류한다. 사회적 점수화 또는 공공 장소에서의 실시간 원격 생체 인식 식별과 같은 허용 불가 위험 애플리케이션은 금지된다. 건강, 교육, 채용 및 법 집행 분야를 포함한 고위험 애플리케이션은 보안, 투명성 및 품질 의무를 준수하고 적합성 평가를 받아야 한다. 딥페이크와 같은 제한적 위험 애플리케이션은 투명성 의무가 있으며, 스팸 필터와 같은 최소 위험 애플리케이션은 규제되지 않는다. 이 법은 또한 EU 내 사용자가 있는 경우 EU 외부 제공자에게도 역외 적용된다.
조화 표준은 이러한 의무를 실행하는 핵심 메커니즘이다. 이 표준은 자발적으로 설계되었지만, 준수는 '안전 항구'를 제공하여 국가 당국의 사례별 평가 필요성을 줄인다. 표준은 ISO/IEC 42001과 같은 국제 규범과 일치하도록 개발되지만, AI Act의 특정 요구사항에 맞게 조정된다.
개발 과정
유럽 위원회는 2023년 CEN 및 CENELEC에 표준화 요청을 발행하여 AI Act를 위한 조화 표준 초안 작성을 요청했다. 이 요청은 위험 관리, 데이터 품질, 투명성, 인간 감독 및 사이버 보안을 포함한 우선 영역을 식별했다. 개발 과정에는 여러 기술 위원회가 참여하며, 산업계, 학계, 시민 사회 및 국가 표준화 기구의 의견이 포함된다. 초안 표준은 최종 채택 전에 공개 협의 및 수정을 거친다. 2025년 현재 여러 초안 표준이 의견 수렴을 위해 발표되었지만, AI Act 하에서 조화 표준으로 공식 채택된 것은 없다. 최종화 일정은 복잡성과 법의 단계적 시행과의 정렬 필요성으로 인해 2026년까지 연장될 것으로 예상된다.
표준화의 주요 영역
조화 표준은 여러 중요한 영역을 다룬다:
- 위험 관리: AI 시스템 수명 주기 전반에 걸쳐 위험을 식별, 평가 및 완화하기 위한 표준으로, 위험 관리 시스템 및 문서화 요구사항을 포함한다.
- 데이터 거버넌스: 훈련, 검증 및 테스트 데이터를 포함한 데이터 품질 사양으로, 정확성, 완전성 및 대표성을 보장하고 편향을 해결한다.
- 투명성: 사용자가 AI 시스템과 상호 작용하고 있음을 알리고 시스템 기능 및 한계에 대한 명확한 정보를 제공하기 위한 요구사항.
- 인간 감독: 특히 고위험 애플리케이션에서 인간의 개입, 모니터링 및 결정을 무시할 수 있는 능력을 허용하는 AI 시스템 설계를 위한 표준.
- 적합성 평가: 위험 수준에 따라 내부 또는 제3자 평가를 포함하여 시장 출시 전 AI 시스템을 평가하는 절차.
- 사이버 보안: AI 시스템을 공격으로부터 보호하고 견고성을 보장하기 위한 조치로, 고영향 모델에 대한 적대적 테스트를 포함한다.
이러한 표준은 기술 중립적으로 설계되어 머신 러닝, 딥 러닝 및 대규모 언어 모델과 같은 생성형 AI 시스템을 포함한 다양한 AI 기술에 적용 가능하다.
범용 AI 및 기반 모델
조화 표준의 중요한 초점은 2023년에 ChatGPT와 같은 시스템을 다루기 위해 추가된 범용 AI에 있다. 오픈 소스 모델의 경우 개발자는 훈련 데이터 요약과 저작권 정책을 게시해야 하며, 폐쇄 소스 모델은 더 광범위한 투명성 요구사항에 직면한다. 훈련에 10^25 부동 소수점 연산 이상이 필요한 고영향 모델은 시스템적 위험을 초래하는 것으로 간주되어 적대적 테스트 및 사고 보고를 포함한 추가 평가를 받아야 한다. 2025년 7월 10일에 발표된 범용 AI 행동 강령(General-Purpose AI Code of Practice)은 투명성, 저작권 및 안전 조치를 개요로 설명하여 표준을 보완한다. 조화 표준은 훈련 계산량 계산 및 모델 평가 수행 방법과 같은 이러한 의무를 지원하는 기술 사양을 제공할 것이다.
기존 규정과의 관계
조화 표준은 일반 데이터 보호 규정(GDPR) 및 제조물 책임 지침과 같은 다른 EU 규정과 일치하도록 설계되었다. 또한 글로벌 무역을 촉진하기 위해 국제 표준을 고려한다. 예를 들어, 데이터 거버넌스 표준은 GDPR 원칙을 활용하고, 사이버 보안 표준은 EU 사이버 보안법을 참조한다. 이러한 정렬은 중복을 줄이고 AI에 대한 일관된 규제 환경을 보장하는 것을 목표로 한다.
과제 및 논란
AI Act를 위한 조화 표준 개발은 여러 과제에 직면했다. 한 가지 문제는 특히 생성형 AI에서 기술 변화의 속도가 표준 설정을 앞지를 수 있다는 점이다. 또 다른 문제는 혁신과 안전 사이의 균형으로, 지나치게 규범적인 표준은 개발을 저해할 수 있고, 느슨한 표준은 기본 권리를 보호하지 못할 수 있다. 고위험 애플리케이션에 대한 표준 범위에 대한 논쟁도 있으며, 일부 이해관계자는 더 엄격한 요구사항을 요구하는 반면, 다른 이들은 유연성을 원한다. 또한 표준의 자발적 성격은 효과성에 대한 의문을 제기하며, 일부 조직이 준수하지 않기로 선택할 수 있어 EU 전역에서 일관되지 않은 집행이 발생할 수 있다.
향후 전망
2025년 현재 조화 표준은 여전히 개발 중이며, 2026년까지 최종화될 것으로 예상된다. 유럽 위원회와 표준화 기구는 표준이 실용적이고 최신 상태를 유지하도록 노력하고 있다. 채택되면 표준은 EU 공식 저널에 게시되어 법적 효력을 갖게 된다. 이 표준은 새로운 AI 애플리케이션과 위험을 해결하기 위해 시간이 지남에 따라 진화할 것으로 예상된다. AI Act의 성공은 부분적으로 이러한 표준의 품질과 채택에 달려 있으며, 이는 EU 및 그 너머에서 AI가 개발되고 배포되는 방식을 형성할 것이다.
결론
EU AI Act 조화 표준은 EU의 AI 규제 프레임워크의 중요한 구성 요소로, 준수를 지원하는 기술 지침을 제공한다. 이 표준은 협력적 과정을 통해 개발되며 위험 관리, 데이터 거버넌스 및 투명성과 같은 주요 영역을 다룬다. 과제가 남아 있지만, 표준은 EU에서 AI 시스템이 안전하고 투명하며 기본 권리를 존중하도록 보장하는 데 중심적인 역할을 할 준비가 되어 있다. 이들의 개발은 AI 거버넌스의 표준화라는 더 넓은 추세를 반영하며, 글로벌 AI 규제에 영향을 미친다.