EU AI Act — 이미 시행 중인 의무와 아직 남은 의무

EU AI Act 에 대한 보도 대부분은 이것을 하나의 사건처럼 다룬다. 아니다. 2024년 8월 1일에 발효한 뒤, 의무가 대상별로 나뉘어 차례로 켜졌다. 지금 우리에게 해당되는지 알아내는 가장 빠른 길은 일정표를 읽는 것이다.

단계별 일정

이 표로 계획을 세우기 전 두 가지 단서. 첫째, 경과 규정은 이미 시장에 나와 있던 시스템과 신규 시스템을 다르게 다룬다. 둘째, 이 일정 자체가 «간소화»와 «유예»를 둘러싼 정치적 논쟁의 대상이 돼 왔다. 규정 자체의 날짜가 기준선이지만 이행법령·정합 표준·가이던스는 계속 나온다. 요약본 — 이 글을 포함해 — 을 믿지 말고 집행위의 시행 페이지를 확인하라.

네 개의 위험 등급

허용 불가 — 금지. 공공기관의 사회적 점수화, 행동을 실질적으로 왜곡해 피해를 주는 조작 기법, 얼굴 이미지를 무차별 수집해 인식 데이터베이스를 만드는 행위, 직장·학교에서의 감정 추론, 그리고 좁고 승인된 예외를 제외한 공공장소에서의 법집행 목적 실시간 원격 생체인식.

고위험 — 허용하되 강하게 조건화. 진입 경로가 둘이다. 부속서 III 에 열거된 AI(생체인식, 핵심 인프라, 교육, 고용, 필수 공공·민간 서비스, 법집행, 이민, 사법행정), 또는 이미 EU 법이 규율하는 제품의 안전 구성요소로 작동하는 AI. 고위험 시스템에는 위험관리 체계, 데이터 거버넌스, 기술 문서, 로깅, 인적 감독, 정확성·사이버보안 조치, 적합성 평가, 등록이 요구된다.

제한적 위험 — 투명성. 명백한 경우가 아니라면 AI 와 상호작용 중임을 알려야 한다. 합성 이미지·오디오·영상은 기계 판독 가능한 방식으로 표시해야 하고, 딥페이크는 고지해야 한다. 이 등급이 고위험 등급보다 훨씬 많은 일상 제품에 걸리며, 소비자 대상 팀이 가장 과소평가하는 부분이다.

최소 위험. 그 밖의 전부. 의무 없음.

범용 모델은 별도 트랙

GPAI 제공자에게는 별도의 의무가 붙는다. 기술 문서, 그 모델 위에 만드는 하위 제공자를 위한 정보 제공, EU 저작권법 준수 정책, 그리고 학습 콘텐츠에 대한 충분히 상세한 공개 요약. 시스템적 위험이 있다고 판단된 모델에는 모델 평가, 적대적 테스트, 사고 보고, 사이버보안 보호가 추가된다.

집행위의 범용 AI 실무 준칙(Code of Practice) 이 이 등급의 준수를 입증하는 경로로 의도돼 있다. 형식상 자발적이며, 서명하면 다른 방식으로 준수를 증명하는 것보다 행정 부담이 줄어드는 구조다.

범용 모델 위에 무언가를 짓는 쪽은 하위 효과에 주목해야 한다. 기반 모델 제공자가 필요한 문서를 주지 않으면 우리 컴플라이언스 서사에 구멍이 생긴다. 계약 «후»가 아니라 «전»에 제기할 조달 문제다.

회사가 아니라 역할

이 법은 역할에 따라 의무를 배분하며, 한 조직이 둘 이상을 갖는 경우가 흔하다.

• 제공자 — 시스템을 개발하거나 개발시켜 자기 이름·상표로 시장에 내놓는다.
• 배치자 — 직업적 맥락에서 자기 권한으로 사용한다.
• 수입자·유통자 — 제3자 시스템을 EU 시장에 내놓거나 제공한다.

걸리는 조항은 이것이다. 고위험 시스템에 자기 이름을 붙이거나, 실질적으로 개조하거나, 사용 목적을 바꾼 배치자는 규정상 제공자가 되고 고위험 의무 일체가 따라붙는다. 모델을 파인튜닝해 자사 기능으로 출시하는 행위가 바로 그 방아쇠가 될 수 있다.

다음 분기에 할 일

대부분의 조직에게 정직한 첫걸음은 인벤토리다 — 어떤 AI 를 쓰고 있고, 누가 공급했고, 무엇을 결정하며, 각각에서 우리 역할이 무엇인가. 오늘 이 질문에 답할 수 있는 팀은 매우 적고, 나머지 컴플라이언스 작업은 이것 없이 시작되지 않는다.

그다음은 대략 이 순서다. 운영 중인 것 중 금지 목록에 걸리는 게 없는지 확인하고, 이 시스템을 다루는 직원에 대한 AI 리터러시 의무를 이행하고, 부속서 III 에 해당하는 용도가 있는지 판정하고, 챗봇·생성 미디어에 투명성 표시를 넣고, 범용 모델 위에 짓는다면 제공자 문서를 «서면으로» 확보한다.

이 법은 자기가 무엇을 돌리고 있는지 아는 조직에게 유리하다. 화려하지 않고, 일은 거기에 있다.