[디지털비즈온 김맹근 기자] EU의 AI 규제 강화는 글로벌 테크 기업들에게 새로운 도전과 과제를 안겨주고 있다. 2023년 유럽의회를 통과한 'AI 규제법(AI Act)'은 AI 시스템을 위험 수준에 따라 4단계로 분류하고 차등 규제하는 것이 골자이다. 특히 고위험 AI에 대해서는 엄격한 의무사항을 부과하고, 규제 위반 시 최대 3,000만 유로의 과징금을 물리는 등 그 파급력이 만만치 않아 보인다.

“EU의 AI 규제 강화와 빅테크의 대응 보고서”에 따르면, 디지털 규제 3번은 EU 디지털 경제에서의 공정경쟁과 소비자 보호를 위해 일련의 법안을 도입하고 있다. 2022년 발효된 '디지털서비스법(DSA)'은 온라인 플랫폼의 불법 콘텐츠 관리 책임을 강화했고, 2023년 시행된 '디지털시장법(DMA)'은 거대 플랫폼의 시장 지배력 남용을 금지했다.

그리고 최근 2024년 'AI 규제법(AI Act)'이 유럽의회를 통과함에 따라 EU는 세계 최초로 AI에 관한 포괄적 규제 체계를 갖추게 되었다. AI 규제법은 위험 수준에 따라 AI 시스템을 4 단계(최소-제한-높음-허용불가)로 분류하고 차등 규제하는 것이 핵심이다.

예를 들어 범죄 예측, 사회신용평가 등 '허용 불가' 시스템은 아예 금지되고, 교육·고용·의료 등 '고위험' 분야 AI는 엄격한 의무사항이 적용됩니다. 반면 챗봇처럼 '제한적 위험'으로 분류된 경우엔 투명성 의무만 부과되고, 게임 속 AI나 스팸 필터 등 '최소 위험'은 규제에서 제외된다.

따라서 AI 규제법의 주요 내용은 AI 규제법에서 가장 비중 있게 다루어지는 것은 '고위험 AI 시스템'이다. 주로 안전이 중요한 제품이나 서비스에 사용되는 AI가 여기에 해당된다. 고위험 AI 시스템의 제공자(개발자)는 다음과 같은 의무를 준수해야 한다.

전 주기에 걸친 위험 관리 시스템 구축, 데이터 품질 및 거버넌스 확보, 기술문서 작성 및 이벤트 로깅, 사용 설명서 제공, 인간 감독 설계, 정확성, 강건성, 사이버 보안성 확보, 품질경영시스템 수립이 있다.

배포자 역시 사용자 모니터링, 불만 처리, 위험 경감 조치 등 일부 준수사항이 있으며, 이는 EU 역내 사업자 뿐 아니라 EU 시장을 겨냥한 해외 기업에도 동일하게 적용된다.

우선 모든 GPAI 제공자는 기술문서 작성, 저작권법 준수, 학습데이터 요약본 공개 등의 의무를 지인다. 추가로 '전신적 위험(systemic risk)'이 있다고 판단되는 대형 모델의 경우, 적대적 테스트를 포함한 위험 평가와 사고 보고 등 고위험 AI에 준하는 규제가 적용된다.

GPAI 제공자가 자발적으로 행동강령을 준수하면 적합성 추정의 혜택을 볼 수 있고, 그렇지 않을 경우 위원회 승인을 받아야 하는 점도 특징적이다. 아울러 GPAI 제공자의 규제 준수를 감독하기 위한 'AI 사무국'이 집행위 내에 설치될 예정이다.

종합해 보면 AI 규제법은 기술 발전 속도에 규제가 뒤처지지 않도록 사전 예방적 접근을 취하고 있다. 잠재적 위험성에 주목하되 그 정도에 따라 유연한 규제를 적용함으로써 '안전'과 '혁신'의 균형을 모색하고 있다고 평가할 수 있겠다.

특히 GPAI 조항은 기존 AI 규제 프레임워크로는 포착하기 어려웠던 대규모 언어 모델의 위험성을 규율하기 위한 선제적 대응으로 주목할 만하다. 물론 기술 발전 속도를 따라잡기엔 역부족일 수 있지만, GPAI 거버넌스의 토대를 마련했다는 점에서 상징적 의미가 크다 하겠다.

결과적으로 EU 역시 과도한 규제로 인한 혁신 저해를 경계하며, 기업·시민사회와의 소통을 통해 균형점을 찾으려 애쓰고 있다. 결국 각 주체 간 협력을 통해 윤리와 혁신의 선순환 구조를 만들어 갈 때, 모두가 Win-Win할 수 있는 건강한 AI 생태계가 구축될 수 있을 것이다.