EU 인공지능법
더 많은 작업
- Artificial Intelligence Act, AI Act, Regulation (EU) 2024/1689; EU 인공지능법
- 유럽연합이 인공지능 시스템의 개발, 시장 출시, 사용을 위험 수준에 따라 차등 규율하기 위해 제정한 규정
EU 인공지능법(Artificial Intelligence Act, AI Act)은 유럽연합(EU)이 2024년 6월 13일 채택한 규정(Regulation) (EU) 2024/1689이다. 정식 명칭은 "인공지능에 관한 통일 규칙을 정하고 여러 규정과 지침을 개정하는 2024년 6월 13일 유럽의회와 이사회 규정"이며, 2024년 7월 12일 EU 관보에 실렸다.[1] 지침(Directive)과 달리 회원국의 국내 입법 없이 모든 회원국에 직접 적용된다.
AI 시스템을 위험 수준에 따라 나누어, 용납할 수 없는 위험은 금지하고, 고위험 시스템에는 위험 관리와 데이터 품질, 사람의 감독 같은 의무를 지우며, 챗봇과 생성형 AI에는 투명성 의무를, 그 밖의 시스템에는 원칙적으로 의무를 두지 않는다. 생성형 AI의 확산을 반영해 범용 AI 모델(general-purpose AI model, GPAI) 제공자에 대한 별도 의무도 두었다. 포괄적 AI 규제 법률로는 처음 나온 대규모 입법이라는 평가를 받으며, EU 시장에 AI를 내놓는 역외 기업에도 적용되어 GDPR처럼 다른 나라 규제에 영향을 준다. 한국의 인공지능기본법과 비교되는 일이 많다.
| 날짜 | 단계 |
|---|---|
| 2021-04-21 | 유럽 집행위원회 법안 제안(COM(2021) 206)[2] |
| 2023-12-08 | 유럽의회와 이사회 협상단, 범용 AI 안전장치, 법 집행용 생체 인식 제한, 사회적 점수 금지 등을 담은 잠정 합의[3] |
| 2024-03-13 | 유럽의회 본회의 가결(찬성 523, 반대 46, 기권 49)[4] |
| 2024-05-21 | 이사회 채택[1] |
| 2024-06-13 | 서명 |
| 2024-07-12 | 관보 게재 |
| 2024-08-01 | 발효(관보 게재 20일째 되는 날)[1] |
| 2025-07-10 | 범용 AI 행동 강령(Code of Practice) 공개[5] |
| 2025-11-19 | 집행위원회, 디지털 옴니버스의 일부로 AI법 개정안(AI 옴니버스) 제안[6] |
| 2026-07-27 | AI 옴니버스(규정 (EU) 2026/1744) 발효, 고위험 의무 적용일 연기[6] |
초기 제안에는 생성형 AI에 대한 규정이 거의 없었으나, 2022년 말 ChatGPT 등장 이후 협상 과정에서 범용 AI 모델 규정이 추가되었다.
EU 역내에서 AI 시스템을 시장에 내놓거나 서비스에 투입하는 제공자(provider)는 설립지가 EU 밖이어도 적용 대상이다. 역외의 제공자와 배포자(deployer)도 AI 시스템의 출력이 EU 안에서 쓰이면 적용된다. 수입자, 유통자, 제조자도 각자의 의무를 진다.[1]
법은 AI 시스템을 "다양한 수준의 자율성으로 작동하도록 설계되고 배포 후 적응성을 보일 수 있으며, 명시적이거나 암묵적인 목적을 위해 입력으로부터 물리적·가상 환경에 영향을 줄 수 있는 예측, 콘텐츠, 추천, 결정 같은 출력을 생성하는 방법을 추론하는 기계 기반 시스템"으로 정의한다(제3조 제1호).[1]
다음은 적용에서 제외된다(제2조).[1]
- 군사, 국방, 국가 안보 목적으로만 쓰이는 AI 시스템
- 과학 연구와 개발만을 목적으로 개발되고 사용되는 AI 시스템이나 모델, 시장 출시 전 단계의 연구·시험·개발 활동
- 순수하게 개인적이고 비직업적인 활동에서 쓰는 경우
- 무료 오픈 소스 라이선스로 공개된 AI 시스템. 단 고위험 시스템, 금지 관행, 제50조 투명성 대상에 해당하면 적용된다
집행위원회는 법의 체계를 네 단계 위험으로 설명한다. 이와 별도로 범용 AI 모델이라는 축이 있다.
| 단계 | 근거 조항 | 대상 예 | 규율 |
|---|---|---|---|
| 용납할 수 없는 위험 | 제5조 | 사회적 점수 매기기, 취약성 악용, 직장·학교 감정 인식 | 금지 |
| 고위험 | 제6조, 부속서 I·III | 의료기기 안전 부품, 채용 심사, 신용 평가, 법 집행 | 적합성 평가, 위험 관리, 데이터 품질, 사람의 감독 등 의무 |
| 제한적 위험(투명성) | 제50조 | 챗봇, 생성형 AI, 딥페이크, 감정 인식 | 고지와 표시 의무 |
| 최소 위험 | 제95조 | 스팸 필터, 게임 AI 등 그 밖의 시스템 | 의무 없음, 자율 행동 강령 권장 |
제5조가 금지하는 AI 관행은 다음과 같다.[1]
- 사람의 의식을 넘어서는 잠재의식 기법이나 의도적인 조작·기만 기법으로 행동을 왜곡해 중대한 해를 끼치는 시스템
- 나이, 장애, 사회적·경제적 상황에서 오는 취약성을 악용해 행동을 왜곡하는 시스템
- 사회적 행동이나 성격 특성으로 사람을 평가해, 무관한 맥락에서 불리하게 대우하거나 부당하게 불리한 대우로 이어지는 사회적 점수 매기기
- 프로파일링이나 성격 특성만으로 개인의 범죄 위험을 평가·예측하는 시스템
- 인터넷이나 CCTV 영상에서 얼굴 이미지를 무차별 수집해 얼굴 인식 데이터베이스를 만들거나 늘리는 시스템
- 직장과 교육 기관에서의 감정 추론. 의료·안전 목적은 예외
- 생체 정보로 인종, 정치적 견해, 노동조합 가입, 종교, 성생활, 성적 지향을 추론하는 생체 분류
- 법 집행을 위해 공공장소에서 실시간 원격 생체 식별을 하는 것. 납치·인신매매 피해자와 실종자 수색, 생명에 대한 임박한 위협이나 테러 위협 방지, 중대 범죄 용의자 확인 등 엄격히 정한 목적에 필요한 경우는 예외
2026년 AI 옴니버스 개정으로 동의 없는 성적·친밀 콘텐츠나 아동 성 착취물을 생성하는 AI 시스템(이른바 누디파이 앱)이 금지 목록에 더해졌다.[6]
고위험 시스템은 두 갈래로 정해진다(제6조).[1]
- 제품 안전 법령 연계: 부속서 I에 열거된 EU 제품 안전 법령(기계, 장난감, 승강기, 의료기기 등)의 대상 제품이거나 그 안전 부품이면서 제3자 적합성 평가를 받아야 하는 AI 시스템.
- 부속서 III 영역: 생체 인식(원격 생체 식별, 민감 속성 분류, 감정 인식), 핵심 기반 시설, 교육·직업 훈련, 고용·노동자 관리, 필수 공공·민간 서비스(공공 급여 자격 심사, 신용 평가, 생명·건강 보험 위험 평가, 긴급 출동 분류), 법 집행, 이민·망명·국경 관리, 사법과 민주적 절차(선거 결과나 투표 행동에 영향을 주려는 시스템 포함)의 여덟 영역.
부속서 III에 해당해도 좁은 절차적 작업, 이미 끝난 사람의 작업 개선, 의사결정 패턴 탐지, 준비 작업처럼 건강, 안전, 기본권에 중대한 위험이 없으면 고위험으로 보지 않는다(제6조 제3항).
고위험 시스템 제공자가 지켜야 할 요건은 다음과 같다.
| 조항 | 요건 | 내용 |
|---|---|---|
| 제9조 | 위험 관리 체계 | 생애 주기 전체에 걸친 위험 식별, 평가, 완화 |
| 제10조 | 데이터와 데이터 거버넌스 | 학습·검증·시험 데이터의 품질, 대표성, 편향 검토. 편향 탐지와 교정에 꼭 필요하면 엄격한 조건에서 민감 정보 처리를 예외 허용 |
| 제11조 | 기술 문서 | 부속서 IV 항목에 따른 문서 작성 |
| 제12조 | 기록 보존 | 사건을 자동으로 기록하는 로그 기능 |
| 제13조 | 투명성과 정보 제공 | 배포자에게 사용 설명서 제공 |
| 제14조 | 사람의 감독 | 사람이 효과적으로 감독하고 개입할 수 있는 설계 |
| 제15조 | 정확성, 견고성, 사이버 보안 | 적절한 수준의 성능과 공격 저항성 |
| 제16~17조 | 제공자 의무, 품질 관리 체계 | 적합성 평가, CE 표시, EU 데이터베이스 등록, 시판 후 감시 |
배포자는 사용 설명서에 따라 쓰고, 역량 있는 사람에게 감독을 맡기고, 입력 데이터의 적절성을 확인하고, 운영을 모니터링해야 한다(제26조). 공공 기관, 공공 서비스를 제공하는 민간 주체, 신용 평가나 생명·건강 보험 위험 평가에 쓰는 배포자는 사용 전에 기본권 영향 평가를 해야 한다(제27조).[1] 영향을 받은 사람은 고위험 시스템 출력에 근거한 결정에 대해 설명을 요구할 권리가 있다(제86조).
제50조는 위험 등급과 관계없이 특정 AI 시스템에 고지와 표시 의무를 둔다.[1]
- 사람과 직접 상호작용하는 AI 시스템은 상대가 AI라는 사실을 알려야 한다(제1항).
- 합성 음향, 이미지, 영상, 텍스트를 생성하는 시스템의 제공자는 출력을 기계 판독 가능한 형식으로 표시하고 AI 생성물임을 검출할 수 있게 해야 한다(제2항). 구현 기술은 AI 워터마크 문서 참고.
- 감정 인식이나 생체 분류 시스템의 배포자는 노출되는 사람에게 알려야 한다(제3항).
- 딥페이크를 만드는 배포자는 인공적으로 생성·조작되었음을 공개해야 하며, 공익 사안을 알리려고 발행하는 AI 생성 텍스트도 사람의 편집 책임이 없으면 공개해야 한다(제4항).
범용 AI 모델 제공자는 모두 다음 의무를 진다(제53조).[1]
- 학습·시험 과정과 평가 결과를 포함한 기술 문서 작성과 유지
- 모델을 자기 시스템에 통합하려는 하위 제공자에게 능력과 한계에 관한 정보 제공
- EU 저작권법 준수 정책 수립, 특히 텍스트·데이터 마이닝에 대한 권리 유보 확인
- 학습에 쓴 콘텐츠의 충분히 상세한 요약을 AI 사무국 양식에 따라 공개
가중치와 구조 정보를 공개하는 무료 오픈 소스 모델은 앞의 두 의무가 면제되지만, 시스템적 위험이 있는 모델은 면제되지 않는다.
학습에 쓴 누적 연산량이 부동소수점 연산(FLOPs)을 넘으면 고영향 능력을 가진 것으로 추정되어 '시스템적 위험이 있는 범용 AI 모델'로 분류된다(제51조). 이런 모델의 제공자는 적대적 시험을 포함한 모델 평가, EU 차원의 시스템적 위험 평가와 완화, 중대 사고의 추적과 보고, 모델과 물리적 기반 시설의 사이버 보안 확보 의무를 추가로 진다(제55조).[1] 제공자는 행동 강령을 따름으로써 의무 준수를 입증할 수 있으며, 집행위원회와 AI 이사회는 2025년 7월 공개된 범용 AI 행동 강령이 이 목적에 적합한 자율 수단이라고 확인했다.[5]
- AI 사무국(AI Office, 제64조): 집행위원회 안에서 범용 AI 모델 감독 등을 맡는다. AI 옴니버스로 범용 모델 기반 시스템과 대형 온라인 플랫폼·검색 엔진에 내장된 AI에 대한 감독 권한이 넓어졌다.[6]
- 유럽 인공지능 이사회(제65조): 회원국 대표로 구성되어 일관된 적용을 조정한다.
- 자문 포럼(제67조)과 독립 전문가 과학 패널(제68조): 산업계·시민사회의 의견과 과학적 자문을 제공하며, 과학 패널은 시스템적 위험에 대한 경보를 낼 수 있다.
- 국가 관할 당국(제70조): 회원국마다 시장 감시 당국과 통보 당국을 지정한다.
- 규제 샌드박스(제57조): 회원국은 국가 수준의 AI 규제 샌드박스를 최소 하나 운영해야 한다. 고위험 시스템은 일정 조건에서 샌드박스 밖 실제 환경 시험도 할 수 있다(제60조). 중소기업과 스타트업에는 샌드박스 우선 이용 등 지원이 있다(제62조).[1]
- AI 리터러시(제4조): 제공자와 배포자는 직원의 AI 이해 수준을 확보하도록 노력해야 한다. AI 옴니버스로 기업 의무가 간소화되고 집행위원회와 회원국의 진흥 역할이 커졌다.[6]
| 위반 | 상한(둘 중 높은 금액) | 조항 |
|---|---|---|
| 금지 관행(제5조) 위반 | 3,500만 유로 또는 전 세계 연 매출의 7% | 제99조 제3항 |
| 제공자·배포자 등의 의무, 제50조 투명성 의무 위반 | 1,500만 유로 또는 전 세계 연 매출의 3% | 제99조 제4항 |
| 당국에 부정확하거나 오해를 부르는 정보 제공 | 750만 유로 또는 전 세계 연 매출의 1% | 제99조 제5항 |
| 범용 AI 모델 제공자의 위반(집행위원회 부과) | 1,500만 유로 또는 전 세계 연 매출의 3% | 제101조 |
중소기업과 스타트업에는 두 금액 가운데 낮은 쪽이 상한이 된다(제99조 제6항).[1] 법안 협상 과정의 초안에는 다른 비율이 제시되기도 했으나, 확정된 조문은 위 표와 같다.
규정은 2024년 8월 1일 발효했지만 조항마다 적용일이 다르다(제113조).[1]
| 적용일 | 적용되는 내용 |
|---|---|
| 2025-02-02 | 제1장(총칙, AI 리터러시)과 제2장(금지 관행) |
| 2025-08-02 | 통보 기관(제3장 제4절), 범용 AI 모델(제5장), 거버넌스(제7장), 과징금(제12장, 제101조 제외), 비밀 유지 |
| 2026-08-02 | 나머지 전체. 부속서 III 고위험 시스템, 투명성 의무(제50조), 범용 AI 과징금(제101조) 등 |
| 2027-08-02 | 제6조 제1항(부속서 I 제품 연계 고위험 시스템)과 관련 의무 |
2025년 8월 2일 이전에 출시된 범용 AI 모델은 2027년 8월 2일까지 의무를 갖추면 된다(제111조 제3항).
고위험 의무에 필요한 표준과 지침이 늦어진다는 산업계 요구에 따라, 집행위원회는 2025년 11월 19일 디지털 옴니버스 패키지의 일부로 AI법 개정안을 제안했다. 이사회는 2026년 3월 13일 협상 입장을, 유럽의회는 3월 26일 입장을 정했고, 5월 7일 3자 협상에서 합의한 뒤 유럽의회가 6월 16일 승인했다.[7] 이사회의 최종 승인을 거쳐 규정 (EU) 2026/1744로 공포되었고 2026년 7월 27일 발효했다.[6][8]
| 대상 | 원래 적용일 | 개정 후 적용일 |
|---|---|---|
| 부속서 III 고위험 AI 시스템 | 2026-08-02 | 2027-12-02 |
| 부속서 I 제품 내장 고위험 AI(기계, 장난감, 승강기 등) | 2027-08-02 | 2028-08-02 |
개정에는 이 밖에 중소기업 대상 간소화 규정을 중소·중견기업(small mid-cap)으로 확대, EU 수준 규제 샌드박스 신설, 면제된 AI 시스템의 EU 데이터베이스 등록 의무 간소화, 편향 탐지·교정을 위한 민감 정보 처리 허용, 누디파이 앱 금지가 포함되었다.[6]
| 항목 | EU 인공지능법 | 한국 인공지능기본법 |
|---|---|---|
| 형식 | EU 규정, 회원국에 직접 적용 | 법률(「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」) |
| 시행 | 2024-08-01 발효, 2025~2028년 단계 적용 | 2026-01-22 시행 |
| 성격 | 규제 중심, 일부 혁신 지원 | 산업 진흥과 신뢰 기반을 함께 규정 |
| 역외 적용 | EU 시장 출시, 출력의 EU 내 사용 시 적용 | 국외 행위라도 국내 시장이나 이용자에 영향이 있으면 적용(제4조 제1항)[9] |
| 적용 제외 | 군사·국방·국가 안보 전용, 순수 연구, 개인적 이용, 일부 오픈 소스 | 국방·국가 안보 목적 전용으로 대통령령이 정하는 AI(제4조 제2항)[9] |
| 금지 관행 | 있음(제5조) | 없음 |
| 고위험 범주 | 고위험 AI(부속서 I 제품, 부속서 III 8개 영역) | 고영향 인공지능(에너지, 먹는물, 보건의료, 의료기기, 원자력, 수사용 생체 정보, 채용·대출 심사, 교통, 공공 의사결정, 학생 평가 등, 제2조 제4호)[10] |
| 고위험 의무 | 위험 관리, 데이터 거버넌스, 기술 문서, 로그, 사람의 감독, 적합성 평가 등 | 위험관리방안, 설명 방안, 이용자 보호 방안, 사람의 관리·감독, 문서 작성·보관(제34조)[11] |
| 기본권 영향 평가 | 공공 기관 등 일부 배포자에게 의무(제27조) | 노력 의무(제35조)[12] |
| 생성형 AI 투명성 | AI 상호작용 고지, 기계 판독 가능한 표시, 딥페이크 공개(제50조) | 사전 고지, 생성물 표시, 실제와 구분하기 어려운 결과물 고지·표시(제31조)[13] |
| 대규모 모델 | 누적 연산량 FLOPs 초과 시 시스템적 위험 추정(제51조), 평가·사고 보고·사이버 보안 의무 | 누적 연산량이 대통령령 기준 이상인 시스템에 위험 식별·평가·완화와 위험관리체계 구축, 결과 제출 의무(제32조)[14] |
| 역외 사업자 대리인 | EU 역내 대리인 지정 | 국내대리인 지정(제36조) |
| 제재 | 최대 3,500만 유로 또는 연 매출 7% 과징금 | 사전 고지 위반, 국내대리인 미지정, 중지·시정명령 불이행에 3천만 원 이하 과태료(제43조)[15] |
두 법 모두 위험에 비례한 규율을 택했지만, EU는 금지 목록과 높은 과징금으로 강제력을 확보한 반면, 한국은 금지 조항 없이 진흥과 신뢰 기반 조성을 함께 규정하고 제재를 과태료로 한정했다는 차이가 있다.
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 1.11 1.12 1.13 1.14 Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act), OJ L, 2024/1689, 2024-07-12.
- ↑ Proposal for a Regulation laying down harmonised rules on artificial intelligence (Artificial Intelligence Act), COM(2021) 206 final, EUR-Lex.
- ↑ Artificial Intelligence Act: deal on comprehensive rules for trustworthy AI, 유럽의회, 2023-12-09.
- ↑ Artificial Intelligence Act: MEPs adopt landmark law, 유럽의회, 2024-03-13.
- ↑ 5.0 5.1 The General-Purpose AI Code of Practice, 유럽 집행위원회.
- ↑ 6.0 6.1 6.2 6.3 6.4 6.5 6.6 AI Omnibus enters into force, 유럽 집행위원회, 2026-07-27.
- ↑ Digital Omnibus on AI, 유럽의회 조사처(EPRS), 2026.
- ↑ Regulation (EU) 2026/1744, EUR-Lex.
- ↑ 9.0 9.1 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제4조, 국가법령정보센터.
- ↑ 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제2조, 국가법령정보센터.
- ↑ 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제34조, 국가법령정보센터.
- ↑ 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제35조, 국가법령정보센터.
- ↑ 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제31조, 국가법령정보센터.
- ↑ 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제32조, 국가법령정보센터.
- ↑ 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제43조, 국가법령정보센터.