인공지능법(AI Act)은 유럽 연합 전역에서 인공지능에 대한 공통 규제 및 법적 체계를 확립하는 유럽 연합 규정이다. 이 법은 AI 애플리케이션을 허용 불가, 고위험, 제한적, 최소 위험의 네 가지 위험 수준과 범용 AI를 위한 별도 범주로 분류한다. 허용 불가한 위험을 지닌 애플리케이션은 특정 예외를 조건으로 전면 금지된다. 이 규정은 2024년 8월 1일에 발효되었으며, 조항은 이후 6개월에서 36개월에 걸쳐 단계적으로 적용된다.
허용 불가한 위험의 AI 시스템 금지는 AI Act의 위험 기반 접근 방식에서 가장 엄격한 단계이다. 이는 EU 내 개인의 기본권, 안전 또는 민주적 절차에 명백한 위협을 제기하는 AI 애플리케이션을 대상으로 한다. 준수 의무를 충족해야 하는 고위험 시스템과 달리, 허용 불가한 위험 시스템은 좁게 정의된 예외에 해당하지 않는 한 EU 시장에 허용되지 않는다. 이 금지는 일반 데이터 보호 규정을 반영하여 역외 적용되며, EU 내 사용자가 있는 경우 EU 외부 제공자에게도 적용된다.
금지 범위
AI Act는 자유 의지를 우회하는 방식으로 인간 행동을 조작하는 AI 애플리케이션, 예를 들어 잠재의식적 기법 또는 특정 집단(예: 아동 또는 장애인)의 취약성을 악용하여 해를 끼치는 경우를 금지한다. 또한 공공 당국이 불리한 처우를 위해 개인적 특성, 사회경제적 지위 또는 행동에 기반하여 개인을 순위 매기는 사회적 점수화를 금지한다. 공개적으로 접근 가능한 공간에서의 실시간 원격 생체 인식 식별(얼굴 인식 포함)은 법 집행 목적으로 금지되며, 특정 중대 범죄, 테러 또는 실종자에 대한 제한적 예외가 사법적 승인을 조건으로 적용된다.
추가 금지 관행에는 연령, 장애 또는 사회적·경제적 상황으로 인한 취약성을 악용하는 AI와 의료 또는 안전상의 이유를 제외하고 직장 또는 교육 환경에서 감정을 추론하는 AI가 포함된다. 이 목록은 완전한 것으로, 이 범주 아래에서 다른 관행은 자동으로 금지되지 않는다. 유럽 위원회는 위임 행위를 통해 목록을 업데이트할 수 있지만, 확장에는 완전한 입법 개정이 필요하다.
금지 예외
AI Act의 제2.3조 및 제2.6조는 군사, 국방 또는 국가 안보 목적으로만 사용되는 AI 시스템과 순수 과학 연구 및 개발을 예외로 한다. 이러한 예외는 좁은 범위로, AI 시스템은 이중 사용 능력이 아닌 해당 목적으로만 사용되어야 한다. 비전문적 개인 사용도 적용 범위에서 제외된다. 예외는 상업적 배포 또는 군사·보안 기관이 개발했더라도 민간 맥락에서 사용되는 시스템에는 적용되지 않는다.
실시간 원격 생체 인식 식별의 경우, 금지는 세 가지 시나리오에서 법 집행을 위한 특정 예외 조항을 포함한다: 납치 또는 인신매매 피해자 수색, 임박한 심각한 테러 위협 방지, 중대 범죄(국가법에 정의된 대로)를 저지른 것으로 의심되는 사람의 위치 확인 또는 식별. 모든 사용은 사법 또는 독립 행정 당국의 승인을 받아야 하며, 결정은 객관적 증거에 기반해야 한다. 승인은 시간 제한 및 지리적 제한이 있으며, 유럽 인공지능 위원회에 대한 의무 보고가 수반된다.
역사적 배경 및 입법 과정
유럽 위원회는 2021년 4월 21일에 AI Act를 제안했다. 원래 초안에는 범용 AI를 위한 전용 범주가 포함되지 않았지만, ChatGPT와 같은 생성형 AI 시스템 - 대규모 언어 모델 기반 - 의 급속한 부상으로 개정이 촉진되었다. 유럽 의회는 2024년 3월 13일에 이 법을 통과시켰고, EU 이사회는 2024년 5월 21일에 만장일치로 승인했다. 최종 텍스트에는 광범위한 작업을 수행할 수 있는 기반 모델을 다루기 위해 2023년에 추가된 범용 AI 범주가 포함되었다.
허용 불가한 위험 관행에 대한 금지는 초기 제안에 존재했지만, 그 범위는 협상 과정에서 정제되었다. 초기 초안에는 '조작적 기법'에 사용되는 AI에 대한 더 광범위한 금지가 포함되었으며, 이는 자유 의지를 우회하는 기법에 초점을 맞추도록 축소되었다. 사회적 점수화 금지도 공공 당국에 특별히 적용되도록 명확히 되었으며, 민간 주체는 제외되었지만, 불리한 처우로 이어지는 민간 사용은 다른 조항에 따라 여전히 적용될 수 있다.
준수 및 집행
이 법에 의해 설립된 유럽 인공지능 위원회는 국가 간 협력을 촉진하고 일관된 집행을 보장한다. 국가 감독 당국은 각 회원국 내에서 준수를 모니터링할 책임이 있다. 허용 불가한 위험 시스템의 경우, 주요 의무는 시장에 출시하거나 사용하지 않는 것이다. 제공자 또는 배포자가 금지된 시스템을 사용하는 것으로 발견되면, 금지 위반에 대해 최대 3,500만 유로 또는 전 세계 연간 매출액의 7% 중 더 높은 금액의 벌금에 처한다.
집행은 위험 기반이다: 당국은 시장 감시를 수행하고, 문서를 요청하며, 감사를 실시할 수 있다. 이 법은 개인 권리를 창설하지 않으므로, 시민은 AI Act 자체에 따라 손해 배상을 직접 청구할 수 없다. 기존 국가법 또는 일반 데이터 보호 규정에 의존해야 한다. 그러나 시민은 허용 불가한 위험 금지에 해당한다고 믿는 AI 시스템을 포함하여 국가 당국에 불만을 제기할 수 있다.
다른 위험 범주와의 관계
허용 불가한 위험 시스템의 금지는 다른 세 가지 단계와 함께 존재한다. 고위험 애플리케이션 - 예: 건강, 교육, 채용, 핵심 인프라, 법 집행 또는 사법에 사용되는 AI - 은 보안, 투명성 및 품질 의무를 준수하고 적합성 평가를 거쳐야 한다. 일부 고위험 시스템은 배포 전에 기본권 영향 평가가 필요하다. 제한적 위험 시스템, 예: 딥페이크 생성기는 투명성 의무만 있다. 최소 위험 시스템, 예: 비디오 게임 AI 또는 스팸 필터는 규제되지 않으며, 최대 조화로 인해 회원국은 추가 규칙을 부과할 수 없다.
허용 불가와 고위험의 구분은 실제로 항상 명확하지 않다. 예를 들어, 채용에서 감정 인식에 사용되는 AI 시스템은 고위험(채용에 영향을 미치므로)으로 간주될 수 있지만, 취약성을 악용하는 경우 금지될 수도 있다. 유럽 위원회는 경계 사례를 분류하는 데 도움을 주기 위해 지침을 발표했지만, 2025년 현재 이는 구속력이 없다. 법률 학자들은 위험 기반 체계가 제품 안전 모델을 따르며, 규제 의무가 건강, 안전 또는 기본권에 대한 잠재적 영향에 따라 증가한다고 지적한다.
범용 AI 및 금지
범용 AI 모델, 기반 모델을 포함하여, 자동으로 금지되지는 않지만 투명성 요구 사항을 따른다. 오픈소스 모델은 훈련 데이터 요약과 저작권 정책을 공개해야 하며, 폐쇄형 소스 모델은 더 광범위한 투명성 의무에 직면한다. 훈련에 10^25 부동 소수점 연산 이상이 필요한 고영향 모델은 시스템적 위험에 대한 추가 평가를 거쳐야 한다. 2025년 7월 10일에 발표된 범용 AI 행동 강령은 투명성, 저작권 및 안전에 관한 장을 설명하지만, 참여는 자발적이다.
허용 불가한 위험 관행에 대한 금지는 금지된 애플리케이션에 사용될 때 범용 AI에 적용된다. 예를 들어, 사회적 점수화에 사용되는 생성형 AI 시스템은 기본 모델이 그 외에는 합법적이더라도 금지된다. 이는 이중 의무를 창출한다: 제공자는 모델이 금지된 방식으로 사용되지 않도록 보장해야 하며, 배포자는 그러한 맥락에서 사용하지 않아야 한다. 이 법은 제공자가 금지된 사용에 대한 기술적 안전장치를 구축하도록 요구하지 않지만, 배포자가 모델의 능력과 한계를 이해하는 데 도움이 되는 문서를 제공해야 한다.
영향 및 비판
금지는 얼굴 인식 및 사회적 점수화와 관련하여 AI 규제에서 강력한 선례를 설정한 것으로 시민 사회 단체에서 칭찬을 받았다. 그러나 산업계 비평가들은 금지가 지나치게 광범위하며, 특히 머신 러닝 애플리케이션에서 합법적 사용이 있는 혁신을 억제할 수 있다고 주장한다. 일부 법률 전문가는 군사 및 국가 안보에 대한 예외가 광범위하여 악용될 수 있다고 지적하지만, 이 법은 그러한 시스템이 해당 목적으로 '전용'으로 사용되어야 한다고 요구한다.
금지의 역외 적용 범위도 주목을 받았다. OpenAI, Anthropic 및 Google DeepMind와 같은 주요 AI 개발자를 포함한 비EU 기업은 EU 사용자에게 서비스를 제공할 때 금지된 관행에 관여하지 않도록 보장해야 한다. 이는 지리적 차단 또는 시스템 동작 조정과 같은 준수 노력으로 이어졌다. 2025년 현재, 공개적으로 보고된 주요 집행 조치는 없지만, 유럽 위원회는 허용 불가한 위험 시스템 모니터링을 우선시할 것이라고 밝혔다.
AI Act의 허용 불가한 위험 AI 금지는 AI 거버넌스에 대한 이전의 더 자발적인 접근 방식에서 중요한 이탈을 나타낸다. 이는 특정 애플리케이션에 대한 명확한 한계선을 설정하면서, 고위험 시스템이 엄격한 조건 하에 운영될 수 있는 여지를 남긴다. 조항의 점진적 도입은 금지의 완전한 집행이 2027년 8월까지 완료될 것임을 의미하며, 특정 의무에 대한 더 이른 마감일이 있다. 실질적 영향은 국가 당국이 예외를 해석하는 방식과 유럽 위원회가 기술 발전에 대응하여 금지 관행 목록을 업데이트하는 방식에 달려 있다.