주벨기에 유럽연합 대한민국 대사관 겸 주북대서양조약기구 대한민국 대표부

AI는 1956년 미국의 컴퓨터 과학자 존 매카시가 처음 용어를 사용한 이래 황금기와 침체기를 거치며 진화해 왔다. AI 기술은 1970년대 메모리 등 컴퓨터 성능의 한계로 연구가 어려워 AI 지원이 중단된 첫 번째 시련과 1980년대 말에서 1990년대 초 AI 개발을 위한 하드웨어의 고비용 문제 등으로 AI에 대한 회의론이 확산된 두 번째 시련, 즉 ‘AI의 겨울’이라는 두 번의 암흑기를 거쳤다. 이후 데이터 축적, 컴퓨팅 파워 성장, 알고리즘(딥러닝) 진화를 계기로 2010년 이후 기하급수적으로 발전하기 시작했다.

현재 일반 시민들은 챗GPT, AI 스마트폰, AI 챗봇 등 삶의 곳곳에서 AI 기능이 탑재된 제품과 서비스의 혜택을 누리고 있다. 하지만 사회 전 부문에 걸쳐 변화를 초래하는 사회 변혁적 기술(transformative technology)로서 AI에 대한 기대가 커지는 가운데 허위 조작된 정보의 대규모 생산, 사회적 편견 고착화, 고숙련 일자리 대체 등 노동시장 교란, 중요 인프라에 AI 시스템 내재 시 심각한 안전 및 보안 위험 발생 등 잠재적 위험에 대한 우려도 함께 확대되고 있다.

이에 따라 AI 관련 책임·윤리·인권 및 사회 문제에 대응하기 위한 안전장치 마련과 국제 공조가 필요하다는 논의가 유엔, G7, OECD 등 국내외적으로 활발한 상황에서 지난 5월 21일 EU 이사회는 「AI법」을 최종 승인했다. 해당 법은 고위험 AI로부터 기본권, 민주주의, 법치, 환경적 지속가능성을 지켜나가는 동시에 혁신을 촉진함으로써 유럽이 AI 분야 리더로 자리매김하는 것을 목표로 하고 있다. AI의 잠재적 위험과 영향 수준에 따라 AI의 의무를 규정하고 있는 「AI법」은 시민들이 AI를 신뢰하며 활용할 수 있도록 AI 관련 규제유형에 따라 비례적(proportionate)이고 유연하게 제시한, EU 전역에 적용되는 최초의 AI 규제 법안이라는 특징이 있다.

「AI법」의 적용 대상은 법인 설립지와 무관하게 EU 역내에서 AI 시스템을 시장에 공급하는 제공자와 EU 역내 소재의 AI 시스템 이용자(deployers)다. 다만 개인적이고 비영리적 활동과정에서 AI 시스템을 사용하는 경우는 제외된다. 또한 EU 역외 소재의 AI 시스템 제공자나 이용자의 AI 시스템 생성물이 EU 역내에서 사용되는 경우나 AI 시스템이 탑재된 제품을 자신의 명의 또는 상호로 EU시장에 출시하는 경우도 모두 적용 대상에 포함된다.

AI 활용 분야에 따라 4단계 위험 등급으로 구분,
그중 ‘고위험 AI’ 규제가 시장에 가장 큰 영향

「AI법」은 AI를 사용 목적에 따라 ‘금지 대상 AI’, ‘고위험 AI’, ‘제한된 위험을 갖는 AI’, ‘최소 위험 AI’ 등 4단계로 구분하며, 위험 수준에 따라 제재 수준도 달리한다. ‘금지 대상 AI’는 사회적 차별을 심화하거나 개인의 민감한 정보를 추론하는 AI, 국가의 사회 구성원 감시에 영향을 미쳐 자유나 권리가 침해될 수 있는 유형들로, 원칙적으로 사용이 금지되고 테러리즘 수색 등에만 예외적으로 허용된다. 따라서 법 집행기관에서 예외적으로 이러한 시스템을 사용할 때, 납치 등 범죄 피해자 수색, 안전을 위협하는 테러 예방 등 그 사용 목적과 경우를 구체적으로 명시하는 것이 필요하다.



현실적으로 시장에 가장 큰 영향을 미치는 것은 ‘고위험 AI’ 분야다. 미국의 싱크탱크 데이터혁신센터(Center for Data Innovation)가 발표한 「유럽 AI 규제안에 따른 비용 보고서」는 EU GDP의 35%인 3조4천억 유로 규모가 고위험 AI 범주에 들어갈 것으로 추정했다. 여기에는 중요 인프라 운영, 채용 프로세스나 직원 평가에 사용되는 시스템, 신용평가 시스템, 자동화된 보험 청구 처리 또는 고객을 위한 위험 보험료 설정과 관련된 시스템이 있다.

고위험 AI 시스템을 사용하려면 시장에 출시하기 전 기본권 영향평가(Fundamental Rights Impact Assessment)와 적합성 평가(Conformity Assessment) 등 일련의 평가를 받아야 한다. 또한 고위험 AI 시스템들은 EU의 AI 데이터베이스에 등록돼야 하고, 적절한 AI 위험 관리 시스템 운영, 결과 추적을 위한 로그 활동의 기록·관리, 인간에 의한 감독·소유 등 여러 요구사항을 준수해야 한다.

한편 「AI법」에는 규제뿐만 아니라 EU 전역에서 혁신을 지원하기 위한 조항들도 담겨 있다. AI 규제 샌드박스를 통해 잠재적 제공자가 시장에 AI 시스템을 출시하기 전에 자발적으로 시스템을 실험, 테스트, 훈련 및 검증할 수 있는 통제된 환경을 제공하고, 실제 환경에서의 테스트도 제한적으로 허용한다.

한편 범용 AI(GPAI; General Purpose AI)는 대량의 데이터로 자가 훈련이 되고 일반성을 띠며 다양한 응용 프로그램으로 통합·사용될 수 있는 모델을 뜻한다. 그중 훈련에 사용된 연산 능력의 누적량 등이 일정 기준[예: 1025플롭스(FLOPs; Floating Point Operations)]을 초과한 모델은 시스템 위험을 보유한 고영향 GPAI로 분류된다.

GPAI에는 기술 문서 업데이트, EU 「저작권법」 준수, 학습데이터 요약본 공개 등 투명성 의무가 부과된다. 특히 고영향 GPAI의 경우에는 시스템 위험의 평가 및 완화, EU 집행위원회에 중대사고 및 시정조치 보고, 사이버 보안 및 물리적 보호 보장, 예상 에너지 소비량 기록 및 보고 등의 의무사항이 추가된다.

EU 이사회 승인을 거친 「AI법」은 6월에 EU 관보에 게재된다. 관보 게재 후 20일 후에 발효되며 발효 후 24개월이 경과한 날부터 완전히 적용된다. 단 ①금지 행위(발효 후 6개월), ②실천강령(발효 후 9개월), ③거버넌스를 포함한 GPAI 규칙(발효 후 12개월), ④고위험 AI 시스템에 대한 의무(발효 후 36개월)는 각 해당 기간이 경과한 날부터 적용된다.




EU 「AI법」, 글로벌 표준 될 가능성 높아
유럽 진출 고려하는 기업은 각별한 법 검토 필요

미국 경제잡지 『포춘』에 따르면 EU 「AI법」은 미국, 중국이 주도하고 있는 AI 기술에 EU가 국제적 기준을 제시함으로써 기술 주도권을 확보하고자 하는 움직임이라는 평가가 있다. EU는 세계 최고의 단일 시장이고, 「AI법」 위반 시 유형에 따라 ‘750만 유로(약 100억 원) 또는 전 세계 매출액의 1.5%’부터 ‘3,500만 유로(약 500억 원) 또는 매출액의 7%’까지 상당한 벌금이 부과된다. 이를 감안하면 결국 유럽에 진출하는 모든 기업이 「AI법」을 준수해야 하는 상황이므로, 「AI법」은 글로벌 표준이 될 가능성이 크다고 볼 수 있다. EU는 지난해 설치한 100명 규모의 핵심기구 ‘AI 오피스’를 통해 「AI법」의 점진적인 시행을 추진할 계획이다. 또한 해당 법이 완전히 적용되기 전까지 AI협약(AI Pact)을 통해 기업들이 자발적으로 법안을 준수할 것을 촉구하고 있다.
무엇보다 IT 기업뿐만 아니라 EU시장에 AI 제품을 출시하려는 우리 기업은 제품을 기획하거나 개발하는 단계부터 EU 「AI법」의 규제 범위와 내용에 대한 각별한 검토가 요구된다. 즉 AI 시스템이 탑재된 전자기기, 의료기기 등 제조자나 서비스업자가 「AI법」을 확실히 준수할 수 있도록 적절한 거버넌스 및 모니터링 조치가 필요하다. AI 기능이 탑재된 자율주행차의 경우 별도의 자동차 안전 관련 규정(Type-Approval Framework Regulation, General Safety Regulation 등)이 적용돼 현재 「AI법」의 규제 대상 목록에서는 제외돼 있다. 하지만 궁극적으로 부문별 법령들도 「AI법」을 고려해 제정 및 개정될 것으로 예상되므로, 당장은 규제 대상에 포함되지 않은 제품의 제조사도 「AI법」 내용 및 향후 이행 상황을 관찰할 필요가 있다고 판단된다.