유럽의회, 세계 최초 'AI 규제법' 통과…위험도 따라 4단계 차등 규제

과거 GDPR이 전 세계 IT 기업의 약관을 통째로 뜯어고치게 만들었던 것처럼, 이제 AI 개발진과 테크 기업들이 새로운 규제 장벽을 마주하게 됐습니다.

유럽의회는 수요일 본회의에서 찬성 523표, 반대 46표, 기권 49표의 압도적인 지지로 세계 최초의 포괄적 인공지능 규제법인 'EU AI 법(AI Act)'을 최종 통과시켰습니다. 티에리 브르통 EU 내부시장 담당 집행위원은 SNS를 통해 유럽이 이제 AI 분야의 글로벌 표준 설정자가 됐다고 밝혔습니다.

이 법안은 2021년 처음 발의되어 지난해 12월 잠정 합의를 거쳤습니다. 5월 유럽연합 이사회의 최종 승인을 거쳐 발효된 뒤, 2025년부터 단계적으로 본격 시행될 예정입니다.

4단계 위험도 분류, 일부 기술은 전면 퇴출

EU의 규범 체계는 기술을 일괄 규제하는 대신 위험도에 따라 '용인할 수 없는 위험', '고위험', '중간 위험', '저위험' 등 네 가지 범주로 나눕니다.

가장 강력한 '용인할 수 없는 위험'에 속하는 기술은 시장에서 즉각 퇴출됩니다. 민감한 개인 특성에 기반한 생체 인식 및 안면 인식, 사회적 신용 평가(소셜 스코어링), 인간의 취약점을 악용하거나 행동을 조작하는 AI가 여기에 해당합니다. 이 금지 조항은 법안 발효 후 이르면 6개월 뒤부터 적용됩니다.

핵심 인프라, 교육, 채용 및 고용 관리 등에 쓰이는 AI는 고위험군으로 지정됩니다. 이들 서비스는 시장 진입을 위해 엄격한 위험 평가, 데이터 투명성 확보, 인간의 상시 감독 의무를 완수해야 합니다.

혁신 저해 우려와 '법안의 노후화' 딜레마

법안은 통과됐지만 유럽 내부의 반발도 만만치 않았습니다. 유망 AI 스타트업이 밀집한 독일과 프랑스는 과도한 규제가 미국 및 중국 빅테크와의 경쟁에서 유럽 기업들의 발목을 잡을 수 있다며 민간 자율 규제를 옹호해 왔습니다.

법안 협상을 이끈 드라고스 투도라케 의원은 합의를 환영하면서도 이제 가장 큰 장벽은 실제 현장에서의 집행이라고 짚었습니다.

법조계 전문가들의 우려도 이어집니다. 로펌 하틀앤루이스의 엠마 라이트 파트너는 생성형 AI의 폭발적 발전 속도를 볼 때, 2025년 이후 단계적으로 시행되는 법안 내용이 기술 발전 속도를 따라가지 못해 빠르게 구식이 될 수 있다고 경고했습니다.

왜 중요한가

AI 기반 프로덕트를 만드는 기업이라면 유럽 시장 진출을 위해 지금 즉시 규제 검토에 들어가야 합니다. 채용 선발이나 인프라 제어 등 고위험군에 닿아 있는 도구를 개발 중이라면 시스템 감사와 인간 개입 프로세스를 갖추는 데 상당한 비용이 발생하게 됩니다. 일반 이용자 입장에서는 출처 불명의 딥페이크나 무차별적인 생체 감시로부터 권리를 보호받는 방패를 얻게 됩니다.

산업 전반으로 보면 GDPR의 기시감이 뚜렷합니다. 글로벌 대형 로펌 전문가들의 평가처럼, EU가 가장 먼저 촘촘한 그물망을 쳐버리면 다국적 빅테크들은 시스템 운영의 일관성을 위해 결국 유럽 기준에 제품을 맞추게 되고, 이는 타국 정부의 입법에도 기준점으로 작용합니다.

우리가 보기에 EU의 결정은 정치적 주도권을 쥔 영리한 한 수이지만, 혁신 측면에서는 치명적인 위험을 안고 있습니다. 사회적 위험도가 높은 기술을 선제적으로 차단한 점은 돋보이지만, AI가 주 단위로 진화하는 시대에 관료적 법률 체계가 이를 뒤따르는 구조는 본질적인 한계가 뚜렷합니다. 자칫 기술의 미래를 규제하려다 유럽 내 혁신 싹부터 잘라버리는 자충수가 될 가능성도 배제할 수 없습니다.