AI 법의 대대적 합의 도달한 EU… ‘우려는 여전’

전문가들은 유럽연합(EU)의 새 AI 규정이 기업에 상당한 규정 준수 부담을 가중시킬 것이며 일부에서는 빠르게 발전하는 기술의 성장을 저해할 수도 있다고 주장했다.
 

EU가 최근 인공지능 규제법(AI Act)에 대한 대대적 합의에 도달했다. 이는 세계 최초로 AI 사용을 규제하는 포괄적 법률을 도입하는 주요 사례다. 2024년 초 예정된 표결에서 유럽의회의 승인을 받고 나면 이 법안은 EU 법으로 발효된다.

잠정 합의안은 생체 인식 감시(biometric surveillance)에 있어 AI 거버넌스에 대한 규칙과 챗GPT와 같은 범용 AI 시스템(GPAIS)을 규제하는 방법을 정의한다. 유럽의회는 보도자료를 통해 “이 규정은 기본권, 민주주의, 법치, 환경적 지속 가능성을 고위험 AI로부터 보호하는 동시에 혁신을 촉진하고 유럽을 해당 분야의 리더로 만드는 것을 목표로 한다”라고 밝혔다.

미국과 영국을 비롯한 다른 국가들도 AI의 혜택을 누리면서 위험을 완화할 수 있는 규제를 마련하기 위해 노력하고 있다. 최근 최소 28개국이 블레츨리 선언(Bletchley Declaration)에 서명해 AI로 인한 공통의 기회와 위험을 규명하기도 했다.

EU 및 비 EU 기업에 미치는 영향
AI 법은 EU에서 활동하는 기업에 적용되지만, EU 외부에 기반을 두고 해당 지역에 고객을 보유한 기업도 이를 준수해야 하는지는 불분명하다. 컨스텔레이션리서치의 수석 애널리스트이자 설립자인 레이 왕은 “비EU 기업은 앞으로 EU에서 사업을 운영할 가치가 있는지 여부를 결정해야 할 것이다. 규칙이 너무 엄격하거나 비용이 많이 든다면 비EU 기업은 EU 시장을 포기할 수도 있다”라고 말했다.

업계의 관련 협회도 AI 법이 기업에 미칠 영향에 대한 의문을 제기했다. 무역 협회인 디지털유럽(DigitalEurope)은 성명에서 “데이터법과 같은 다른 포괄적 법률과 더불어 새로운 요구 사항은 기업이 준수하는 데 많은 자원이 필요하다. 자원은 AI 엔지니어를 고용하는 대신 변호사를 고용하는 데 쓰이게 될 것이다. 특히 제품 법규에 익숙하지 않은 여러 중소기업 소프트웨어 기업에게는 미지의 영역이기 때문에 우려된다”라고 전했다.

규정을 준수하지 않을 경우 위반 사항과 기업 규모에 따라 800만 달러(750만 유로)에서 3,760만 달러 또는 매출액의 1.5%에서 7%에 이르는 벌금이 부과될 수 있다. 다만 중요한 사실은 이 법이 소비자가 불만을 제기하고 설명을 들을 수 있는 권리를 제공한다는 점이다.

왕은 “EU는 발전을 규제하고 외국의 거대 AI기업으로부터 자국민을 보호하는 역할을 이어가고 있다. 모든 회원국의 비준을 받아야 하지만 통과될 가능성이 높다. AI 발전이 정책의 속도를 앞지르기 때문에 현재 진행 중인 작업이라고 본다”라고 언급했다.

AI 혁신에 미치는 영향
일각에서는 EU AI 법이 기술 혁신을 저해할 수 있는 과잉 규제 사례라고 주장했다. 왕은 “AI 법은 강제력이 거의 없으면서도 혁신 기술 기업의 발목을 잡기 위해 고안된 또 다른 과잉 규제 사례다. EU나 어떤 정부든 AI 윤리에 대해 진지하게 생각한다면, 모든 사람은 자신의 유전자 데이터와 개인 식별 정보에 대한 재산권을 갖고 있다고 선언하는 데서 시작해야 한다. 그렇다면 해당 데이터를 사용하고자 하는 모든 기업은 허가를 받고 가치 교환을 해야 할 것이다”라고 말했다.

그러나 의원들은 기자회견에서 이 규정이 실제로는 ‘친혁신적’이며 조직이 자신 있게 AI를 사용할 수 있도록 해줄 것이라고 주장했다.

유럽 내부 시장 담당 집행위원인 에리 브르통은 “AI 법이 혁신을 저해한다는 주장은 오해다. 이는 사실이 아니다. 오히려 AI 활용을 촉진할 수 있다. 우리는 규제 샌드박스, 실제 테스트, 오픈소스(투명성 요구 사항에서 오픈소스 AI 시스템이 제외)를 통해 혁신을 촉진한다. 기업에게 매우 중요한 법적 확실성을 보장하는 균형 잡힌 규정을 마련하는 것이다. … 유럽은 무엇을 해야 할지 알고 있는 유일무이한 대륙이다. 그리고 이는 혁신과 비즈니스에 매우 중요하다”라고 말했다.

EU는 2021년 처음으로 AI 관련 법안 작업을 시작했다. 하지만 EU의 발 빠른 움직임과 최근의 잠정 합의에도 불구하고 2025년 이전에 법안이 발효되기는 어려울 것으로 예상되고 있다. 또한 AI의 발전 속도가 매우 빨라 이 법안만으로는 충분하지 않을 수도 있다.

IBM은 AI 법에 대한 성명에서 “의원들이 나머지 기술적 세부 사항을 검토할 때, 우리는 EU 정책 입안자들이 알고리즘보다는 위험과 책임에 초점을 맞출 것을 권장한다”라고 밝혔다.

GPAIS 제한 사항
챗GPT와 같은 GPAIS가 빠르게 인기를 얻으면서 당국은 거버넌스 모델 도입에 박차를 가하고 있다. AI 법은 GPAIS가 기술 문서, EU 저작권법 준수, 교육에 사용된 콘텐츠의 상세 요약 공유 등 엄격한 투명성 요구 사항을 준수해야 한다고 규정했다. 

시스템 위험이 있는 GPAIS 모델은 더 엄격한 의무가 적용된다. EU는 “이러한 모델이 특정 기준을 충족할 경우 모델 평가를 수행하고 시스템 위험을 평가 및 완화하며 적대적 테스트를 수행해야 한다. 또한 심각한 사고에 대해 위원회에 보고하고 사이버 보안을 보장하며 에너지 효율성을 보고해야 한다”라고 설명했다.

반면 국민의 안전과 건강, 기본권을 해칠 수 있는 고위험군 AI 시스템은 기본권 영향 평가(fundamental rights impact assessment)를 거쳐야 한다. 이는 보험 및 은행 업종의 AI 시스템에도 적용된다.

이때 오픈소스를 기반으로 하는 모델은 투명성 요구 사항에서 제외된다. 스페인의 디지털화 및 AI 담당 국무장관인 카르메 아르티가스 브루갈은 기자 회견에서 “모델에 따라 시스템 리스크가 낮은 단계와 높은 단계로 구분한다. 현재 모든 유럽 기업이 속해 있는 낮은 단계는 매우 가벼운 요구 사항이 적용된다. 그리고 오픈소스 모델도 기본권 영향 평가를 제외하고는 이러한 투명성 평가에서 제외된다”라고 언급했다.

생체 인식 감시 금지
이 법안은 정치적, 종교적 신념 등 ‘민감한 속성’으로 생체 인식을 분류 및 사용하는 것을 금지하고 있다. 또한 인터넷이나 CCTV 영상, 소셜 스코어링, 사람의 행동을 조작하거나 취약점을 악용하는 AI 시스템에서 표적화되지 않은 얼굴 이미지를 스크랩하는 것도 금지한다.

다만 입법 과정에서 법 집행 기관이 사법부 허가를 받으면 정해진 범죄 목록에 따라 생체 인식 시스템을 사용할 수 있는 예외 조항이 도입됐다. 생체 인식 기반 식별 시스템의 실시간 사용은 제한된 시간과 장소에서만 허용되며, 몇 가지 조건이 뒤따른다.

당국은 피해자에 대한 표적 검색, 테러 위협 방지, 규정에 명시된 범죄를 저지른 것으로 의심되는 사람의 신원을 확인하는 데 시스템을 사용할 수 있다. ciokr@idg.co.kr