유럽연합 AI법(EU AI Act)과 주요 시사점

1. 개요

EU AI Act는 유럽연합(EU)이 제정한 세계 최초의 포괄적 인공지능 규제로, 2024년 8월 1일부터 발효되었다. 목적은 AI 기술의 혁신을 촉진하면서도 안전성, 기본권 보호, 투명성 및 신뢰성을 확보하는 데 있다. 군사·국방·국가안보 및 순수 연구 목적의 AI는 원칙적으로 적용 대상에서 제외된다. EU AI 법은 2018년 유럽연합이 인공지능(AI)의 윤리적 사용을 위한 가이들라인을 검토하기 시작하면서 논의가 시작되었다. 2020년 2월 유럽연합 집행위원회는 “AI백서(White Paper on AI)”를 발표하였고, 2021년 4월 EU AI법의 초안이 공개되었으며, 2024년 2월 최종법안이 합의되고 8월에 발효되었다(법안번호 : Regulation(EU) 2024/1689).

​

2. 위험기반 규제체계

AI Act는 위험도에 따라 금지(Unacceptable Risk), 고위험(High Risk), 제한적 위험(Limited Risk), 최소 위험(Minimal Risk)으로 구분한다. 금지 AI에는 사회적 점수화, 인간 행동 조작, 특정 실시간 원격 생체인식, 등이 포함된다. 고위험 AI는 의료, 교육, 채용, 중요 인프라, 법집행 및 사법 분야 등에 적용되며 엄격한 규제를 받는다. 제한적 위험 AI는 사용자에게 AI 사용 사실을 알리는 투명성 의무가 있으며, 최소 위험 AI는 별도 규제를 받지 않는다. 이러한 위험 기반 제도는 제품 안전 모델을 따르며 AI 시스템의 제공자와 배포자에게 규제 의무가 주어진다.

그러나, 군사, 국가안보, 순수 과학 연구 및 개발에 사용되는 AI시스템은 AI법에서 일부 항목들이 면제될 수 있다.

EU AI Act (출처 : channelx.world)

3. 고위험 AI 요구사항

고위험 AI는 위험관리 체계 구축, 데이터 품질 확보, 기술문서 작성, 기록 및 추적성 확보, 인간의 감독(Human Oversight), 정확성·강건성·사이버보안 확보 등의 요구사항을 충족해야 한다. 또한 시장 출시 전과 운영 전 과정에서 적합성 평가를 수행해야 하며, 필요 시 기본권 영향평가(FRIA)를 실시해야 한다.

​

4. 범용 AI(GPAI) 및 생성형 AI 규제

AI Act는 ChatGPT와 같은 범용 AI(General Purpose AI)를 별도 범주로 규정하였다. 제공자는 학습데이터 요약본, 저작권 준수 정책, 기술문서를 제공해야 한다. 특히 시스템적 위험(Systemic Risk)을 초래할 수 있는 고성능 모델은 추가 평가, 적대적 테스트, 위험 완화 조치 및 사고 보고 의무를 부담한다.

​

5. 거버넌스 및 집행체계

EU는 AI Office(AI 사무국), European AI Board(유럽 인공지능 위원회), Advisory Forum(자문 포럼) 및 Scientific Panel(독립 전문가들의 고학 패널)을 설치하여 법 집행을 지원한다. 회원국은 국가 감독기관과 적합성평가기관을 지정해야 하며, 이들은 시장감시와 규정 준수 여부를 확인한다. AI Act는 EU 에서 2008년 제정한 EU 신입법체계(New Legislative Framework)를 기반으로 운영되어 외부 AI들에 대해 EU 내부시장 진입을 규제하게 된다. 즉 AI Act에는 모든 AI 시스템이 EU 시장에 진입하기 위해 필수적으로 충족해야 하는 요건이 포함되어 있다. 이러한 필수 요구사항은 유럽 표준화 기구(Standardization Organisation)로 전달되며, 이들은 더욱 상세히 규정하는 기술 표준을 개발하게 된다.

이러한 기술규정에 따라 AI 시스템은 자체평가 또는 제3자 평가를 통해 적합성을 입증해야 하는데, 이것은 기존 EU에서 운영하는 CE 등과 비슷한 적합성 인증 체계이다. 규정을 위반할 경우 최대 3,500만 유로 또는 전 세계 연매출의 7%에 해당하는 과징금이 부과될 수 있다. 일반 의무 위반 및 허위 정보 제공에 대해서도 별도의 과징금이 적용된다. 물론 EU AI Act에도 규제 샌드박스를 규정하고 있는데, 국가 권한 기관이 운영하는 통제된 테스트 환경을 토해 개발자들이 AI 시스템을 시장에 내놓기 전에 감독 하에 시험할 수 있도록 하여 혁신을 지원하면서 안전장치를 유지할 수 있도록 한다.

​

6. 산업계 영향 및 시사점과 향후 진행 방향

향후 진행 방향 – EU AI Act는 다음과 같이 적용될 예정이다.

2026년 12월 : AI 생성 콘텐츠에 대한 워터마킹 및 출처 표시 의무가 2026년 12월부터 도입

2027년 12월 : 고위험 AI에 대한 전면의무 적용 시한

2028년 8월 : 의료기기나 기계와 같은 규제 대항 제품의 고위험 AI에 대한 의무 적용 시한

 

EU AI Act는 AI 제품과 서비스를 유럽 시장에 공급하는 기업에 직접적인 영향을 미친다. 특히 휴머노이드 로봇, 자율시스템, 의료 AI, 산업용 AI 기업은 고위험 AI 규정 준수 체계를 마련해야 한다. 국내 시험인증기관은 AI 성능평가, 기능안전, 사이버보안, 신뢰성 평가 분야의 신규 인증 서비스를 개발할 필요가 있다.

​

그림. EU AI Act의 향후 적용 일정(출처 : www.gdprregister.eu)