EU에서의 인공지능(AI) 규제 법안의 현황과 전망은? 일본 기업에 미치는 영향도 해설

인공지능(AI)의 발전으로 업무에 ChatGPT 등의 AI 도구가 사용되는 등, AI 관련 비즈니스가 활발해지는 한편, 국제적인 AI 규제에 대한 문제도 주목받고 있습니다.

일본에서는 경제산업성이 「AI 원칙 실천을 위한 거버넌스 가이드라인 Ver. 1.1」[ja]을 발표했습니다(집필 시점). 2023년(2023년) 6월 14일에는 세계 최초의 국제적인 「AI 규제법」이 EU 유럽의회에서 채택되어, 일본에서도 주목을 받고 있습니다.

본 기사에서는 AI 규제법의 현황과 전망을 소개하며, 일본 기업에 미치는 영향에 대해 설명하겠습니다.

AI 규제법(AI Act)이란?

2023년(2023) 6월 14일, AI 전반에 걸친 활용을 대상으로 한 포괄적인 ‘AI 규칙안’이 EU의 유럽 의회에서 채택되었습니다. EU의 통일된 규칙(이차법)으로, 85조로 구성된 세계 최초의 국제적인 ‘AI 규제법(AI Act)’입니다.

앞으로, 2023년(2023) 내의 합의를 목표로 삼자(유럽위원회・유럽의회・유럽이사회)에 의한 비공식 협상(트릴로그)이 진행되며, 입법 기관인 유럽의회와 유럽이사회의 승인을 거쳐 성립되어, 2024년에도 시행될 예정입니다.

EU 법체계

EU 법체계는 일차법(조약), 이차법(공동체 입법), 판례의 세 가지 유형으로 구성되어 있습니다.

이차법은 일차법(조약)을 근거로 제정되며, EU 영역 내에서 직접적이거나 간접적으로 회원국을 규제하는 법령으로, EU 법, 파생법이라고 불립니다.

큰 범주로 다음의 다섯 가지 유형이 있지만, ‘EU AI 규제법’은 규칙(Regulation)에 해당하여, 직접 EU 회원국을 구속하는 통일된 규칙이 됩니다.

EU 법령(이차법)에는 다음과 같은 다섯 가지 유형이 있습니다.

• 규칙(Regulation) : 모든 회원국에 구속력을 가지며, 채택되면 직접 적용성(회원국 내의 비준 절차를 거치지 않고 국내 법체계의 일부가 됨)을 갖습니다.
• 지침(Directive) : 각 회원국은 목표 달성을 위해 국내 법을 새로 제정하거나 개정하는 등 법적 의무를 지게 됩니다.
• 결정(Decision) : 법적 구속력을 가진 법의 형태 중 하나로, 대상을 일반적이지 않고 특정한 것으로 하는 법이며, 대상에는 특정 회원국이나 기업, 개인이 될 수 있습니다.
• 권고(Recommendation) : 유럽위원회가 회원국의 정부나 기업, 개인 등에게 특정 행위나 조치를 취할 것을 권하는 것입니다. 법적 구속력이나 강제력은 없지만, EU 회원국 내에서의 법제화나 개정 등을 촉구하는 것으로 여겨집니다.
• 의견(Opinion) : ‘견해’라고도 불리지만, 유럽위원회가 특정 주제에 대해 의견을 표명하는 것으로, 법적 구속력이나 강제력은 없습니다.

‘규칙(Regulation)’은 이차법 중에서 가장 강제력이 있는 법으로 위치지어지며, 예를 들어 GDPR(General Data Protection Regulation)＝’일반 데이터 보호 규칙’ 등이 규칙의 예로 들 수 있습니다.

AI 규제법의 적용 범위

EU의 ‘AI 규제법’은 EU 영역 내에 직접 적용되며, 거래국인 제3국에도 영역 외 적용되어 법적 구속력을 가지게 됩니다. 규제 대상은 유럽 시장을 타깃으로 AI 시스템·서비스를 도입하는 사업자로, AI의 개발자·배포자·제공자·수입업자·판매업자·위탁자가 해당됩니다.

AI 규제법은 AI의 특정 시스템에 대한 명확한 요구 사항과 사업자의 의무를 정하고 있으나, 동시에 중소기업(SME)에 대한 행정적 및 재정적 부담을 경감할 것을 요구하고 있습니다.

해당 법안은 AI의 안전성과 기본적인 권리를 보장하고, EU 전체에서의 AI에 대한 접근·투자·혁신을 강화하는 것을 목표로 하는 광범위한 AI 패키지의 일부입니다.

유럽 규제는 기본 사상인 유럽 연합 기본 조약에 부합해야 합니다. 즉, AI 기술에서도 EU 영역 내의 인권과 자유가 보장되어야 하며, 그를 위한 안전장치가 필요하다는 것입니다.

법안에서는 규제의 목적에 대해 ‘인간의 감독을 통해 신뢰할 수 있는 AI의 사용을 촉진하고, AI의 위험으로부터 건강·안전·기본적 권리·민주주의와 법의 지배·환경을 보호하기 위함’이라고 설명하고 있습니다.

구체적으로는, 아래의 ‘모든 AI 시스템에 적용되는 일반 원칙’이 기술되어 있습니다.

• 인간에 의한 자율성과 감독 (human agency and oversight)
• 기술적인 견고성 (technical robustness and safety)
• 프라이버시와 데이터 거버넌스 (privacy and data governance)
• 투명성 (transparency)
• 다양성·차별 금지·공정성 (diversity, non-discrimination and fairness)
• 사회 및 환경에 대한 건전성 (social and environmental well-being)

본 규제법에서는, AI 원칙의 달성을 위해 AI 개발자·위탁자·제공자의 AI 리터러시를 확보하는 조치도 필수적이라는 지침이 명확히 제시되어 있습니다.

위반 시에는 전 세계 매출 기준으로 거액의 제재금이 부과됩니다(최대 3,000만 유로(약 47억 엔) 또는 전 세계 매출액의 6% 중 높은 쪽이 상한), EU 지역 내에서 AI 비즈니스를 할 수 없게 될 위험이 있습니다.

따라서, 일본을 포함해 EU 시장에서 현재 AI 비즈니스를 도입하고 있는 기업이나, 앞으로 EU 시장 진출을 고려하고 있는 기업도, EU의 새로운 AI 규제에 부합하는 대응이 요구됩니다.

AI 규제 법제정의 배경

생성 AI는 편리한 도구이지만, 범죄를 조장하거나 민주주의를 위협하는 리스크도 내포하고 있습니다. AI 기술의 발전과 보급이 진행됨에 따라, 이러한 문제들은 피할 수 없는 과제가 되고 있습니다.

2016년(헤이세이 28년) 이후, 유럽연합(EU), 미국, 중국은 AI에 관한 지침과 국가 전략안을 발표하고 있습니다. 특히 EU는 AI 및 빅데이터 규제의 정비를 추진하고 있으며, 2017년부터 2022년 사이에 중요한 지침, 선언, 규제안이 작성되었습니다.

예를 들어, 2016년 4월에는 ‘일반 데이터 보호 규정(GDPR)’이 제정되었고, 2021년 4월 21일에는 ‘AI 규제 법안’을 발표하였으며, 2022년 5월 30일에는 ‘유럽 데이터 거버넌스 법(DGA)’이 제정되어 2023년 9월 24일부터 시행되고 있습니다.

이러한 규제는 AI와 빅데이터가 사회 전체에서 안전하고 공정하게 사용될 수 있도록 보장하고, 동시에 혁신과 경제 성장을 촉진하는 것을 목표로 하고 있습니다.

EU는 디지털 전략으로 ‘디지털 시대에 걸맞은 유럽(A Europe fit for the Digital Age)’을 내세우고 있습니다.

‘AI 규제 법안’이 발표된 후에도, 생성 AI의 급속한 진화와 보급을 받아들여, 유럽위원회는 2023년 6월 14일 생성 AI에 관한 새로운 고려 사항과 요구 사항이 추가된 수정안을 채택하였습니다.

AI 규제법의 특징

‘AI 규제법’의 핵심은 크게 세 가지 특징으로 구성되어 있습니다: ‘위험 기반 AI 분류’, ‘요구 사항 및 의무’, 그리고 ‘혁신 지원’입니다.

이 규제는 ‘위험 기반 접근법’이라 불리는 방법론을 채택하고 있으며, AI의 위험 수준을 네 단계로 분류하여 각각에 맞는 규제를 적용하게 됩니다.

구체적으로는 아래 표와 같이 AI 시스템의 네 가지 위험 수준에 따른 금지 사항과 요구 사항 및 의무가 정해져 있습니다. 고위험 AI에 대해서는 인간의 신체 및 생명의 안전성과 자기 결정권의 보장, 민주주의 및 적절한 절차의 유지 관점에서 사용이 특정되어 있습니다.

AI 규제법의 일본에 미치는 영향

EU는 인권 보장, 개인정보 보호, 환경 보전 등의 분야에서 국제적으로 선도적인 규제를 도입하며, 이후 각국의 제도 설계에 있어 ‘골든 스탠다드’가 되어왔습니다.

일본에서의 개인정보 보호법 개정도 분권적 규제를 통합하는 목적 외에, EU의 GDPR(General Data Protection Regulation, 일반 데이터 보호 규정)에 대응하는 것이 큰 과제로 추진되었습니다. 또한, ‘특정 디지털 플랫폼의 투명성 및 공정성 향상에 관한 법률'(2021년(2021) 2월 1일 시행)과 같이, EU의 법규제를 참고하여 제도 설계된 법규제도 존재합니다.

현재 일본에서는 AI에 대해 하드로(hard law)에 의한 규제는 이루어지고 있지 않으며, 소프트로(soft law)에 의한 자율 규제로 대응하는 방침을 채택하고 있습니다.

앞서 언급한 바와 같이 EU의 ‘AI 규제법’은 EU 회원국에 직접 적용될 뿐만 아니라, EU 영역 내에서 사업을 전개할 경우에도 국경을 넘는 적용이 되며, 해외에 소재하는 사업자에게도 적용됩니다.

이후에 설명하겠지만, EU 영역 내에서 AI 제품의 출하에는 다른 관점에서 정해진 여러 법률이 적용될 가능성이 있으며, 이에 대한 대책이 필수적입니다. 일본 기업도 향후의 동향을 주시하며, 적법한 대응책을 강구할 필요가 있습니다.

생성 AI를 포함한 수정안의 채택

AI 규제법은 EU의 삼자(유럽이사회, 유럽의회, 유럽위원회)에 의한 수정안이 적용된 법률입니다.

2023년 5월 11일, IMCO(내부시장 및 소비자 보호 위원회)와 LIBE(시민의 자유, 사법 및 내무 위원회)는 AI 규제법에 관한 수정안을 가결하였습니다.

이러한 수정안은 2023년 6월 14일에 유럽의회에서 채택되었습니다.

이 보고서에는 예측 경찰의 금지, 고위험으로 분류된 독립형 AI 목록에 대한 다수의 추가, 새로운 AI 사무소(EAIB, 유럽인공지능위원회를 대체하는 기관 설립)의 강력하고 포괄적인 역할 등, 입법 제안의 중요한 수정이 포함되어 있습니다.

또한 GDPR(일반 데이터 보호 규정)과의 더 강력한 연계가 제안되었으며, 특정 분야에서 이해관계자의 참여가 증가하고 있고, 생성 AI 및 범용 AI에 관련된 특정 규정이 도입되었습니다.

이후 2023년 10월 24일에 AI 규제법에 관한 네 번째 트라이로그(삼자 협의)가 개최되었고, 정치적으로 민감한 문제에 대해 많은 진전이 이루어졌습니다. 특히, 논란의 여지가 많은 고위험 AI 시스템의 필터 메커니즘(Art. 6)에 대해 잠정 합의가 이루어졌습니다.

더 나아가 기반 모델/범용 AI 시스템, 거버넌스, 금지 사항, 법 집행 기관에 관한 향후 방향성에 대한 정치적 가이드라인이 제시되었고, 기술 팀은 위 문제에 관한 구체적인 텍스트 제안 작업에 착수하도록 요구받았습니다.

AI 규제와 관련된 법률에 대하여

AI 규제법은 다양한 관점에서 정의된 여러 법률과 관련이 있습니다. 이 세 가지 법률은 디지털 공간에서 개인정보 보호와 공정한 경쟁을 확보하기 위해 유럽연합(EU)에 의해 제정되었습니다.

DSA（디지털 서비스 법）

EU의 ‘디지털 서비스 법'(DSA=Digital Services Act)은 2022년 11월 16일에 시행된 EU 내 전자상거래에 관한 포괄적인 규칙입니다(2024년 2월 17일 전면 시행 예정).

EU에서는 2000년에 전자상거래 지침이 제정되었으나, 인터넷이나 온라인 플랫폼 등 디지털 환경의 진화에 적용하기 어려워지자, 해당 지침을 개정하는 형태로 EU 통일 규칙인 DSA(디지털 서비스 법)가 시행되었습니다.

EU 내 시장의 중개 서비스를 적절히 기능하게 함으로써, 위탁자의 기본적 권리를 보호하고, 더 안전한 디지털 환경을 유지하는 것을 목적으로 제정되었습니다. 규제 대상 사업자는 온라인 중개 서비스, 호스팅 서비스, 온라인 플랫폼(VLOP, VLOSE 포함)입니다.

불법 콘텐츠가 게시된 경우의 책임 소재와 분쟁이 발생했을 때의 처리 방법을 정한, BtoB와 BtoC 양면에 대해 포괄적으로 규제하는 법률입니다.

구체적으로는 불법 콘텐츠나 제품, 서비스를 제거하는 조치를 의무화하고, 위탁자의 기본적인 권리 보호를 강화하며, 투명성 확보와 설명 책임을 요구하는 포괄적인 규칙이 되었습니다.

또한 EU 내 위탁자가 월평균 4,500만 명 이상인 VLOP(매우 큰 온라인 플랫폼)와 VLOSE(매우 큰 온라인 검색 엔진)에 대해서는 더 엄격한 규칙이 의무화되어 있습니다.

지정된 VLOP, VLOSE는 결정 통지로부터 4개월 이내에 자사의 시스템과 자원, 프로세스를 DSA에 맞게 조정하고, 완화 조치의 도입과 법규 준수를 위한 독립된 시스템을 구축해야 합니다. 그 위에 감사와 첫 연간 위험 평가를 실시하고, 유럽위원회에 보고해야 합니다.

DSA(디지털 서비스 법)는 2024년 2월 17일부터 전면적으로 적용될 예정이며, VLOP, VLOSE를 제외한 사업자의 DSA 이행 상황은 앞으로 유럽위원회와 회원국 당국에 의해 감시될 것입니다.

회원국은 2024년 2월 17일까지 DSA의 준수 상황을 감독하는 독립된 권한을 가진 ‘디지털 서비스 조정관’을 설치해야 하며, 의무 위반 시 부과되는 벌금을 포함한 처벌 권한이 부여되어 있습니다.

한편 VLOP, VLOSE에 대해서는 유럽위원회가 직접 감독하며, 처벌 집행 권한을 가집니다.

법을 위반한 경우의 벌금은 해당 사업자의 전년도 전 세계 연간 매출액의 6%가 상한으로 설정되어 있습니다.

이 법률은 ‘디지털 시대에 걸맞은 유럽’으로 알려진 EU의 디지털 전략의 일환으로 적용되며, 진화하는 디지털 시대의 새로운 도전과 위험에 대응하려는 것입니다.

DMA（디지털 시장 법）

EU의 ‘디지털 시장 법’ (DMA=Digital Markets Act)은 2023년 5월 2일부터 대체로 시행되며, 디지털 시장을 공정하고 경쟁력 있는 것으로 만들고, 특정 디지털 플랫폼이 시장을 지배하는 것을 방지하는 것을 목적으로 하고 있습니다.

규제 대상이 되는 것은 지정된 게이트키퍼로, 그 의무를 정하고, 위반한 경우에는 전 세계 매출액의 10%를 상한으로 하는 벌금 등의 제재 조치가 적용됩니다.

‘게이트키퍼’란, 유럽연합 내에서 운영되는 최대 규모의 디지털 플랫폼으로, 일부 디지털 분야에서 시장에서 지속적인 위치를 차지하고 있으며, 위탁자 수, 매출액, 자본금 등에 관한 일정한 기준을 충족하고 있기 때문에 이렇게 불립니다.

유럽위원회는 2023년 9월 6일까지 최신의 게이트키퍼를 지정하고, 그 기업들은 디지털 시장 법의 새로운 의무를 준수하기 위해 최대 6개월 (2024년 3월까지)의 유예 기간이 주어집니다. 이때 ‘게이트키퍼’에 지정된 것은 알파벳, 아마존, 애플, 바이트댄스, 메타 및 마이크로소프트의 6개사로, 이들 게이트키퍼가 제공하는 총 22개의 주요 플랫폼·서비스가 법의 대상에 지정되었습니다.

이 법은 대규모 디지털 플랫폼이 시장력을 남용하는 것을 방지하고, 신규 참여자가 시장에 참여하기 쉽게 만드는 것을 목표로 하고 있습니다.

GDPR（일반 데이터 보호 규정）

GDPR（일반 데이터 보호 규정）은 2018년 5월 25일에 시행된 EU의 새로운 ‘데이터 보호법’입니다.

EU 내외의 개인으로부터 개인정보를 수집하고 처리하는 것에 대한 지침을 설정하는 법적 틀입니다. 이 규정은 EU를 대상으로 하거나, 또는 EU 내의 사람들과 관련된 데이터를 수집하는 기관에 의무를 부과합니다.

관련 기사：GDPR에 대응한 프라이버시 정책을 작성할 때의 요점을 설명[ja]

향후 예상되는 AI 규제 동향

앞서 언급한 AI 리스크 분류표 중, 기업이 주목해야 할 AI 시스템에 대해 설명하겠습니다.

사회적 신용 점수 사용 금지

EU 규제법에서 ‘금지되는 위험’에 해당하는 AI 시스템 중 하나로 사회적 신용 점수(소셜 크레딧 스코어)가 지목되었습니다. 이는 개정안에 따라 공공기관뿐만 아니라 전면적으로 금지됩니다.

‘소셜 크레딧 스코어’란 개개인의 시민의 사회적 지위나 행동을 기반으로 점수를 매기는 시스템을 말합니다.

중국에서는 감시 사회의 도구로 기능하고 있으며, 국가 정책으로 ‘공무’, ‘상업’, ‘사회’, ‘사법’의 네 분야에서 사회 신용 시스템을 구축하고 있습니다.

구체적인 제한으로는 항공기나 고속철도 이용 금지, 사립학교에서의 배제, NPO 등의 조직 설립 금지, 명성이 높은 직업에서의 배제, 호텔에서의 배제, 인터넷 회선 속도 저하, 웹사이트나 미디어에서의 개인정보 공개 등이 있습니다. 반면, 점수가 높으면 다양한 ‘특전’을 받을 수 있습니다.

그러나 이러한 시스템은 개인의 프라이버시와 자유에 대한 우려를 일으키고 있으며, 그 운영에 대해서는 논란이 계속되고 있습니다.

EU 영역 내에서의 사회적 신용 점수 사용 금지는 AI 기술의 사용이 공정하고 투명해야 한다는 것을 보장하기 위한 조치입니다.

생성 AI의 규제 강화

EU 규제법에서 ‘제한된 위험’에 해당하는 AI 시스템 중 하나로 생성 AI가 있습니다.

생성 AI(Generative AI)란 학습 데이터를 기반으로 새로운 콘텐츠나 솔루션을 생성하는 AI의 한 종류로, Chat GPT 등 최근 주목받고 있습니다. 그러나 생성 AI에는 다양한 문제가 있으며, 이로 인해 규제가 필요하다고 여겨집니다.

AI 규제법에서는 생성 AI의 급속한 발전과 보급을 감안하여, 생성 AI에 대한 관점과 요구 사항이 추가되고 있습니다.

구체적으로는 OpenAI를 포함한 생성 AI 벤더들에게 LLM(Large Language Model, 대규모 언어 모델) 학습에 사용된 저작권 데이터의 공개를 의무화하는 것 등이 요구됩니다.

이러한 조치의 목적은 생성 AI의 투명성을 확보하고 리스크 관리를 강화하는 데 있습니다.

EU 입법에서는 GDPR(일반 데이터 보호 규정)을 비롯하여 전통적으로 ‘투명성(Transparency)’ 원칙을 중시하며, 보호 조치나 AI의 용도 및 목적을 대상자에게 사전에 공개할 의무가 부과되어, 이 원칙이 국제적인 ‘골든 스탠다드’가 되고 있습니다.

감정 인식 AI의 사용 제한

EU 규제법에서 ‘제한된 위험’에 해당하는 감정 인식 AI 역시 투명성 의무가 적용되는 AI 시스템으로, AI 사용에 대한 사전 고지 등 제한적인 의무가 부과됩니다.

‘감정 인식 AI’란 인간의 감정 변화를 읽어낼 수 있는 AI를 말합니다.

구체적으로는 다음의 4가지 종류가 있으며, 마이크나 카메라, 센서 등을 통해 기쁨, 분노, 슬픔, 즐거움 또는 관심의 수준을 분석합니다.

• 텍스트 감정 인식 AI: 사람이 입력한 문장이나 음성 데이터를 텍스트로 변환한 정보를 분석하여 감정을 판단합니다.
• 음성 감정 인식 AI: 사람이 내는 음성에서 감정을 분석합니다.
• 표정 감정 인식 AI: 카메라를 통해 얼굴 표정에서 감정을 읽어냅니다.
• 생체 정보 감정 인식 AI: 뇌파나 맥박 등의 생체 정보에서 감정을 인식합니다.

이러한 기술은 접객업, 콜센터, 영업직 등 다양한 장면에서 활용되고 있습니다. 앞으로 기술이 더 발전하면 의료 분야에서의 활용도 기대됩니다.

다만, 생체 정보나 취득한 개인 정보에 의한 프라이버시 보호와, 그에 따른 법적 정비가 필요합니다.

요약: AI 규제법의 현황과 향후 전망

지금까지 유럽연합(EU)의 ‘AI 규제법’의 현황과 향후 전망, 그리고 일본 기업에 미치는 영향에 대해 설명드렸습니다. 세계 최초의 ‘EU AI 규제법’은 국제적인 ‘골든 스탠다드’가 될 가능성이 높다고 할 수 있습니다.

앞으로 EU 시장에 진출할 일본 기업에게도 이 AI 규제법의 동향을 주시하는 것은 중요해질 것입니다. EU 지역에서의 AI 규제법에 대해서는 국제 법무와 AI 기술에 정통한 변호사와 상담하는 것이 좋습니다.

우리 사무소의 대책 안내

모노리스 법률사무소는 IT, 특히 인터넷과 법률의 양면에서 풍부한 경험을 가진 법률사무소입니다. AI 비즈니스에는 많은 법적 리스크가 동반되며, AI 관련 법적 문제에 정통한 변호사의 지원이 필수적입니다. 우리 사무소는 AI에 정통한 변호사와 엔지니어 등의 팀으로, ChatGPT를 포함한 AI 비즈니스에 대해 계약서 작성, 비즈니스 모델의 적법성 검토, 지적재산권 보호, 프라이버시 대응 등 고도의 법적 지원을 제공하고 있습니다. 아래 기사에서 자세한 내용을 기술하고 있습니다.

모노리스 법률사무소의 취급 분야：AI(예: ChatGPT 등) 법무[ja]