쉬루이 徐路易 저우첸첸 周芊岍 리쯔쉬안 李子璇
<차이신주간> 기자
 

▲ 세계 최초 인공지능(AI) 규제법인 유럽연합(EU)의 ‘AI법’이 2024년 2월2일 EU 이사회 상주대표회의 표결을 통과했다. 2023년 11월2일 영국 블레츨리파크에서 열린 AI 안전 정상회의에서 각국 대표가 기념촬영을 하고 있다. REUTERS

4년간의 준비 과정을 거친 유럽연합(EU) ‘인공지능법’(AI Act)이 2024년 2월2일 EU 이사회 상주대표회의 표결을 통과했다. 2024년 상반기에 이 법률이 발효되면 세계 최초의 AI 규제법이 될 것이다.
그에 앞서 2023년 12월8일, EU 집행위원회와 의회, 이사회가 AI법에 대한 3자 합의에 도달했다. 이는 입법 과정에서 있었던 모든 쟁점을 해결했다는 뜻이다. 그 후에 이어지는 이사회 상주대표회의 표결과 EU 의회 본회의 표결은 표준 입법 과정이다. AI 기술은 수많은 이해관계자가 얽혀 있어서 2024년 초까지만 해도 상주대표회의 표결을 통과할지 전망이 불투명했는데, 1월 말이 돼서야 프랑스와 독일 등 EU 주요국이 AI법 지원 의사를 밝혔다.
2024년 1월24일, EU 집행위원회는 AI 관련 사무를 관리하고 책임질 AI사무소를 설치한다고 밝혔다. AI법 시행을 위해 설립되는 이 사무소는 AI 기술의 발전과 응용이 EU의 가치관과 안보 기준에 부합하도록 감독하는 기관이다. 같은 날 EU 의회 정책 고문 로라 카롤리는 소셜미디어에 최종 AI법 법안을 공개했다. 이 법안은 각 회원국의 심의를 거쳐 2월 초에 표결을 통과한 것이다.
EU의 법안이 관보에 게재되면 20일 후 효력이 발생하고 24개월 후 적용된다. 다만 일부 조항은 사전에 적용할 수 있다. 예를 들어 허용하면 안 되는 AI 시스템 규제는 6개월 후부터 적용할 예정이다. 고위험 AI 시스템의 의무 등 나머지는 공포 후 36개월이 지나야 적용할 것으로 보인다.

▲ <뉴욕타임스>가 챗지피티(ChatGPT)를 개발한 오픈AI와 마이크로소프트가 자사의 보도를 불법으로 사용해 AI 모델을 훈련했다고 고소한 사건의 영향을 받아 AI법은 훈련 데이터의 사용 상황을 공개하게 했다. REUTERS

최종 법안 공개
258쪽에 달하는 AI법 법안을 보면 EU는 AI 기술에 ‘위험 기반 접근방법’(Risk Based Approach)을 적용했다. 위험 정도를 ‘허용할 수 없는 위험’ (Unacceptable Risk)과 ‘고위험’(High Risk), ‘제한된 위험’(Limited Risk), ‘저위험 또는 최소 위험’(Minimal Risk) 등 4등급으로 구분했다. 등급마다 상응하는 규제를 설정해 AI 기술의 안전과 투명성, 공평성을 확보하는 방법이다.
법안은 부속서Ⅲ에서 ‘허용할 수 없는 위험’에 속하는 AI 시스템의 사례를 열거했다. 주로 사회적 신분과 행동 특성, 연령, 신체 또는 경제 상황의 약점 등 사회 특징에 따라 인간을 분류하는 AI 시스템이다. 법안은 이런 AI 시스템이 개인이나 집단이 정보를 바탕으로 결정하는 능력을 저해하고 이들의 행위를 실질적으로 왜곡할 위험이 있다고 지적했다. 그 밖에도 인신매매 피해자나 테러 공격의 위협을 검색하는 등의 특정 상황을 제외한 원격 생체정보 식별 시스템 사용을 금지했다. 인터넷 또는 폐쇄회로 녹화영상에서 얼굴 이미지를 수집해 안면인식 데이터베이스를 만들거나 확충하는 것도 포함된다.
법안에서 열거한 ‘고위험’ AI 시스템은 8개 분야로 나뉜다. EU나 관련국 법률에서 사용을 허용한 원격 생체정보 식별 기술과 핵심 사회기반시설, 교육과 직업훈련, 채용과 인사 관리, 자영업의 인사 결정, 자연인의 의료보험 등 기본적인 민간서비스와 공공서비스, 복지의 수급 자격 평가, 법 집행, 이민과 난민, 출입국 관리, 자연인의 투표권 행사에 영향을 미치는 등 사법과 민주적 절차의 집행이다.
취쥔위 중국 구이저우대학 법학대학원 부교수는 “이런 차등 규제는 최근 많은 공감을 얻은 규제 방법으로 위험 평가 결과에 따라 규제 강도를 결정한다”고 말했다. 이는 기술발전에 대한 포용성이 강해 기술혁신에 유리하고 규제비도 절감할 수 있다. “AI 시대의 위험에 대응하면서 사회발전에도 부합하는 방법이다.”

범용 AI 모델의 사례
취쥔위 교수는 EU의 위험 관리를 기조로 하는 규제는 권리에 대한 절대적인 보호를 강조하지 않아서 권리 보호를 기조로 하는 규제보다 국민이 자기 권리를 스스로 통제하는 정도가 약하다고 지적했다. 이는 위험을 통제할 수 있는 상황에서 국민은 자기 의사와 상관없이 ‘AI 시대’를 맞이하고 위험 등급에 오류가 있을 경우 규제 강도가 적합하지 않아 국민의 권리를 심각하게 침해할 수도 있다.
일부 전문가는 EU가 채택한 위험 기반 분류 방법을 참고할 수는 있지만 과거 경험과 연구결과를 생각해보면 이런 분류는 복잡해서 기업과 감독기관도 어떤 시스템이 어느 유형에 속하는지 구분하기 어렵고, 기업의 준법 리스크와 관리비만 늘어날 수 있다고 지적했다. 그러나 EU는 부동 소수점 연산 등 위험 분류에 사용하는 기술지표를 제공하고 구체적인 AI 시스템의 위험 등급을 계량화했는데 이런 도구의 유효성은 향후 집행 과정에서 검증될 것이다.
법안을 심의하고 수정하는 과정에서 생성형 AI 지피티(GPT)3와 이미지 생성 모델인 달리(DALL-E), 미드저니(Midjourney) 등 대표 범용 AI(AGI∙ Artificial General Intelligence)가 출시됐고 입법담당자의 주목을 받았다. 그 결과 초안에 ‘AGI 시스템’ 특별 규제 조치가 추가됐다. EU의 인공일반지능(AGI)에 대한 규제와 위험 통제가 엄격해서 AGI 기준에 부합하는 시스템에 고위험 AI 시스템의 규제를 적용했다.
업계에서는 범용 AI가 효율적인 학습과 강한 일반화(Generalization) 능력을 갖춰 복잡한 동태 환경에서 스스로 임무를 만들어 완수해야 한다고 본다. 자율적인 인지와 인식, 결정, 학습, 집행과 사회적 협력 능력을 갖추고, 인간의 감정과 윤리, 도덕 관념 등의 특징에 부합해야 한다. 따라서 최근 지피티3로 대표되는 거대언어모델(LLM) 또는 멀티모달모델은 기술적으로 AGI에 속하지 않지만, AI법의 정의에서는 “대형 생성형 AI 모델은 AGI 모델의 전형적인 사례”라고 규정했다. 이는 EU가 법률적으로 앞에서 설명한 거대모델이 AGI의 정의에 부합한다고 판단해 상응하는 규정에 따라 관리할 것이라는 뜻이다.
이와 함께 AI법은 “AGI 모델을 AI 시스템에 통합하거나 그 일부가 됐을 경우 해당 시스템을 AGI 시스템으로 간주한다. 이런 통합으로 해당 시스템이 각종 목적에 부응하는 능력을 갖추게 되기 때문이다. AGI 시스템을 직접 사용할 수 있고 다른 AI 시스템에 통합할 수 있다”고 밝혔다. 개발자가 지피티 모델의 응용프로그램이 제공한 데이터와 기능을 사용해 자신의 특정한 수요와 데이터를 결합해 새로운 모델을 최적화하고 훈련했을 때도 AGI 시스템으로 간주해 규제한다는 의미다.
 

▲ 유럽연합(EU) ‘인공지능법’(AI Act)은 이미지 생성 모델인 미드저니 등 범용 AI에 대한 특별 규제 조치를 포함했다. 미드저니로 이미지를 만드는 모습. REUTERS

데이터 사용 상황 공개해야
생성형콘텐츠(AIGC) 유형의 기반모델(Foundation Model), 예를 들면 챗지피티(ChatGPT)의 지피티처럼 복잡한 텍스트와 이미지, 오디오와 비디오 콘텐츠를 만드는 AI 기반모델에 대해서는 시스템 제공자와 기반모델을 AIGC에 사용한 시스템 제공자에게 추가 요건을 제시했다. 투명성 의무를 준수하고 EU 법률에 어긋나는 콘텐츠를 만들거나 기본권과 표현의 자유를 침해하지 않도록 기반모델을 훈련하는 것 등이다.
그리고 관련국과 EU의 저작권법에 영향을 주지 않는 상황에서 저작권법의 보호를 받는 훈련 데이터의 사용 상황을 기록하고 공개해야 한다. 이는 <뉴욕타임스>가 챗지피티를 개발한 오픈AI와 마이크로소프트가 자사의 보도를 불법으로 사용해 AI 모델을 훈련했다고 고소한 사건의 영향으로 보인다.
저작권보호 외에도 AI법은 데이터와 개인정보보호를 강조해서 AI 시스템의 개발과 응용이 EU가 2018년 5월에 발표한 ‘일반개인정보보호법’(GDPR)에 부합해야 한다고 요구했다. 투명성과 책임 원칙도 준수해야 하는데, AI 시스템의 조작자가 AI 시스템이 어떻게 동작하고 어떤 목적으로 사용되며 개인과 사회에 어떤 영향을 미치는지 상세한 정보를 제공해야 한다. 고위험 AI 시스템에 대해서는 더 높은 수준의 투명성을 요구했다.
일부에서는 지피티 등 생성형 기반 모델에 대해 AI법의 요구에 따라 모델을 설계하고 개발하는 단계부터 표현의 자유를 비롯한 EU의 법률과 기본권 규정을 지켜야 하고 AI을 사용해 생성된 콘텐츠라는 사실을 알려야 한다고 지적했다.
위험 등급에 따른 AI 규제원칙 외에도 AI 윤리준칙도 제시했다. 취쥔위 부교수는 “EU의 AI법에서 참고할 내용이 많다”고 말했다. ‘규제 샌드박스’(Regulatory Sandbox)가 대표적이다. 규제 샌드박스는 새로운 제품이나 서비스를 시험하고 개발할 수 있는 환경을 제공하는 혁신적인 감독방식이다. 이런 제품과 서비스는 현행 법률에 도전적일 수 있고 시험은 보통 6개월 정도 걸린다. AI법은 혁신을 지원하고 과학의 자유를 존중한다고 강조했다. 따라서 과학연구와 개발 목적의 AI 시스템과 모델을 규제 대상에서 제외해 AI 시스템이나 모델이 시장에 출시되거나 사용되기 전까지 규제를 적용하지 않는다. AI법은 회원국이 최소한 한 개 이상의 AI 규제 샌드박스를 설치하고 신생기업에 먼저 규제 샌드박스 혜택을 제공해야 한다고 규정했다.

21가지 쟁점 법안
규제 샌드박스는 보통 AI나 핀테크처럼 기술개발 속도가 빠른 분야에 도입한다. 참여한 기업은 특정 법률의 적용을 면제받아 기술혁신과 동시에 모든 규정을 지켜야 하는 부담에서 벗어날 수 있다. 규제 샌드박스로 수집한 기술과 시장 정보는 감독기관이 특정 법률의 적용 여부와 조정의 필요성을 평가하는 데 도움이 된다. 이런 방법은 규제가 신기술 발전에 더 유연하게 대응하도록 돕는다.
2023년 12월 EU 집행위원회와 의회, 이사회가 AI법을 둘러싼 쟁점을 21가지로 정리하고 하나씩 토론해 합의한 후 최종 법안을 작성했다. “마치 문제가 20개 정도인 시험지를 푸는 것 같았다.” 주웨 중국 퉁지대학교 법학대학원 교수 겸 상하이시 AI 사회거버넌스 협력혁신센터 연구원은 이렇게 말했다.
주웨 교수는 “EU 회원국은 주로 국가안보와 안면인식, AGI 등 세 가지 분야에서 의견이 엇갈렸다”고 말했다. 저우후이 중국사회과학원 법학연구소 네트워크 및 정보법 연구실 부주임이자 중국 AI시범법(전문가 건의안) 수석전문가는 이 세 가지 쟁점에 의견이 두 가지로 나뉘었다고 소개했다. 개인정보보호 등 기본권 보호를 고려해 위험 요인이 있는 AI를 전부 AI법의 관리 범주에 넣어야 한다는 의견과 공공의 안전 등을 목적으로 AI를 응용할 경우 특정 조건에서는 면제할 수 있다는 의견이었다. 최종 법안에서 고위험 AI 응용에 관한 수정안에 이런 의견이 반영됐다.
AI법의 입법이 진행되는 동안 AIGC 열풍이 불었고, 혁신과 규제의 균형에 대한 의견이 엇갈렸다. 2021년 4월 EU 집행위원회가 AI법 초안을 전달한 후 EU 의회와 이사회가 여러 차례 법안을 수정하고 논의했다. 2022년 10월19일 EU 이사회 순환의장국 체코가 법안의 네 번째 수정안을 공개했고, 2022년 12월 EU 이사회에서 법안에 관한 공동입장에 합의했다.
그사이 챗지피티와 달리 등 생성형 AI 기술이 세상에 나왔고, AI 열풍이 시작됐다. EU 의회는 관련 기술에 관한 논의를 위해 AI법의 심의 일정을 연기했다.

ⓒ 財新週刊 2024년 제7호
歐盟<人工智能法案>將落地
번역 유인영 위원