[법무법인 화우 이근우 파트너변호사] 지난 2021년 4월 21일 EU 집행위원회(European Commission)가 제안한 ‘AI 법률안(EU AI 법률안)’이 올해 3월 13일 유럽의회 본 회의와 수정안 가결 처리를 거쳐 12일 관보에 게재, 다음 달 2일 드디어 발효된다.

EU AI 법률은 유럽 연합 공식 저널에 게재된 후 20일째 되는 날 발효돼 오는 2026년 8월 2일부터 적용된다.

현재 사업자들이나 일반인들이 가장 쉽게 접하는 것이 범용인공지능으로 분류되는 생성형 AI인데, 생성형 AI에 대한 EU AI 법률의 규율은 크게는 생성형 AI 제공자(Provider)에 대한 규율과 생성형 AI 활용자(Deployer)에 규율로 나눌 수 있다. EU AI 법률에서 “제공자(Provider)”는 AI 시스템 또는 범용 AI 모델을 개발하거나 개발된 AI 시스템 또는 범용 AI 모델을 자신의 이름 또는 상표로 시장에 배포하거나 서비스를 제공하는 자연인 또는 법인, 공공 기관, 기관 또는 기타 단체를 의미한다(제3조 제3호). 한편 ‘활용자(Deployer)’는 AI 시스템을 개인 비전문 활동의 과정에서 사용하지 않는 한 자신의 권한 하에 사용하는 자연인 또는 법인, 공공 기관, 기관 또는 기타 단체를 의미한다(제3조 제4호).

우선 생성형 AI 제공자의 경우, 경우에 따라 3가지 유형으로 분류될 수 있다.

먼저 생성형 AI 제공자가 특정 AI 시스템 제공자에 해당할 수 있고, 그러한 경우라면 EU AI 법률 제50조에 따라 AI 시스템 제공자는 AI 시스템이 자연인과 직접 상호작용하도록 설계되고 개발될 때, 해당 자연인이 AI 시스템과 상호작용하고 있음을 알 수 있도록 해야 하되, 해당 자연인이 AI 시스템과 상호작용하고 있음을 분명하게 인지할 수 있을 때는 그러한 의무를 부담하지 않는다. 그리고 같은 조 제2항에 따라 합성 오디오, 이미지, 비디오 또는 텍스트 콘텐츠를 생성하는 AI 시스템을 포함한 AI 시스템의 제공자는 AI 시스템의 출력물이 인위적으로 생성되거나 조작된 것으로 표시되도록 해야 한다.

다음으로 생성형 AI 제공자가 범용 AI 모델 제공자에 해당할 수도 있으며, 그 경우라면 EU AI 법률 53조 제1항에 따라 모델의 기술 문서를 작성하고 최신 상태로 유지하되 부속서 XI에 명시된 최소한의 정보를 포함해야 하며, 저작권 및 관련 권리에 관한 법률을 준수하기 위한 정책을 마련해야 하고, 특히 2019/790 EU 지침 제 4(3)조에 따라 저작권자의 권리 유보를 식별하고 그에 따라 저작권자의 권리를 존중해야 한다. 마지막으로 생성형 AI 제공자는 그 규모나 학습량을 고려해 이용자에게 미칠 영향이 상당한 경우 시스템적 위험성을 지닌 AI 모델 제공자에 해당할 수 있는데, 이러한 경우라면 EU AI 법률 제55조에 따라 추가적인 의무를 부담한다.

그러한 의무에는 △최신 표준 프로토콜 및 도구에 따라 모델 평가를 수행하며, 시스템적 위험을 식별하고 완화하기 위해 모델에 대한 적대적 테스트를 수행하고 이를 문서화 △시스템적 위험을 평가하고 완화 △심각한 사고 및 이를 해결하기 위한 가능한 수정 조치에 대한 관련 정보를 AI 사무국 및 필요 시 국가 유관 당국에 지체 없이 추적, 문서화 및 보고 △시스템적 위험이 있는 범용 AI 모델과 모델의 물리적 인프라에 대한 적절한 수준의 사이버 보안 보호 보장 등이 포함된다.

한편 생성형 AI 활용자(Deployer)의 경우라면 EU AI 법률 제50조 제3항에 따라 특정 AI 시스템이 감정 인식 시스템이나 생체 인식 분류 시스템에 해당하는 경우 활용자는 해당 시스템에 노출된 자연인에게 시스템의 작동을 알리고 개인데이터를 처리해야 한다. 그리고 같은 조 제4항에 따라 이미지, 오디오 또는 비디오 콘텐츠를 생성하거나 조작하는 AI 시스템의 활용자는 해당 콘텐츠가 인위적으로 생성되거나 조작된 것임을 공개해야 한다. 만일 공공의 이익과 관련된 문제에 대해 대중에게 정보를 제공할 목적으로 게시된 텍스트를 생성하거나 조작하는 AI 시스템이라면 같은 조 제4항 후단에 따라 그 활용자는 해당 텍스트가 인위적으로 생성되거나 조작된 것임을 공개해야 한다.

우리나라 기업들의 경우 생성형 AI 제공자에 해당하는 경우도 있지만 상당수는 생성형 AI 제공자로부터 제공되는 범용의 서비스를 그대로 사용하거나, 자신의 사업에 맞춰 별도의 생성형 AI를 만들어 내는 경우에 해당할 것이다. 우선 생성형 AI 제공자에 해당한다면 EU AI 법률의 적용범위(제2조)에 따라 EU로 시스템이나 모델을 출시하거나 해당 시스템의 결과물이 유럽 연합내에서 사용되는 경우에는 앞서의 생성형 AI 제공자에 상응하는 의무를 부담하게 될 수 있다.

다음으로 생성형 AI 제공자로부터 제공되는 범용의 서비스를 그대로 사용하거나, 자신의 사업에 맞춰 별도의 생성형 AI를 만들어 내는 경우라도, EU AI 법률의 적용범위(제2조)에 따라 EU로 자기의 상표 등을 달고 사업에 맞춰 별도로 만들어낸 생성형 AI 모델을 출시하거나, AI 시스템의 결과물이 유럽 연합내에서 사용되는 경우에는 생성형 AI 활용자, 경우에 따라서는 생성형 AI 제공자에 해당해 역시 위에서 정리한 의무를 부담할 수 있다.

따라서 국내에서 생성형 AI를 제작하거나 사용하는 사업자의 경우, 당연히 저작권, 개인정보보호법 등 전통적인 법적 이슈에 대해 신경쓰는 것이 필요하거니와 EU AI 법률의 생성형 AI와 관련된 규율에 대해서도 관심을 기울여야 한다.

<이근우 변호사 약력>

(현)법무법인(유) 화우 파트너변호사

(현)개인정보보호위원회 자문변호사

(현)대한변호사협회 ESG 특별위원회 위원

(현)산업통상자원부 산업기술분쟁조정위원회 위원

(현)한국정보법학회 회원

(현)산업기술보호협회 영업비밀보호 전문위원(강사)

(현)법무부 해외진출 중소기업 법률자문단 자문위원