37시간 진통 끝 타결, 안면인식 등 엄격 규제
위반 시 벌금 최대 500억원 또는 전 세계 매출의 7%
우리나라 AI 법안은 과방위 문턱도 못 넘고 있어

유럽연합(EU)이 인공지능(AI) 기술 이용을 규제하고, 위반하는 기업에 거액의 벌금을 부과하는 'AI 규제법'에 최종 합의했다. 최근 AI 기술이 빠르게 고도화하고 있는 만큼 다른 국가들도 AI 규제법안 마련에 한창이다. 그러나 우리나라의 AI 법안은 거의 1년째 국회에 발목이 잡혀 있는 상태다.

AI 위험성 분류 및 투명성 강화

11일 EU 집행위원회(EC)에 따르면 8일(현지시간) EU 집행위원회와 유럽의회, EU 27개 회원국 대표 등은 37시간이 넘는 마라톤 회의 끝에 AI 규제법 도입에 합의했다. AI의 위험성을 분류하고 투명성을 강화하며, 규정을 준수하지 않는 기업에는 벌금을 부과하는 내용이 골자다. AI 규제법은 AI 기술의 위험을 크게 4개 등급으로 분류했다. 이 중 가장 강한 등급인 ‘수용불가(unacceptable risk)’ 단계의 기술은 전면 금지된다. 이 단계에는 정치, 종교적 신념이나 성적 지향, 인종 등을 기준으로 사람을 분류하는 안면 인식 데이터베이스 구축을 위해 인터넷이나 보안 영상에서 생체 정보를 수집하는 행위가 해당된다. 다만 사법당국의 범죄 용의자 추적 등을 위한 실시간 안면 인식은 허용되는 등 일부 예외 조항을 마련했다.

AI 기술을 채택한 교육기관 입학이나 기업 채용에서는 편향된 판단이 내려지지 않도록 감시 체계를 갖추도록 했다. 챗GPT 등의 대규모언어모델(LLM)도 규제 대상에 들어가며 투명성 확보가 강제되지만, 국가 안보와 법 집행을 위해 활용되는 경우는 예외 조항을 뒀다. 또한 투명성 확보 측면에서 생성형 AI가 만든 이미지와 영상, 문장에는 AI가 생성했음을 명시해야 한다.

생성형 AI 모델 중에서도 애플리케이션의 기반이 되는 파운데이션 모델은 투명성 요구 사항 충족에 대한 규제가 적용된다. 특히 범용 AI(GPAI)는 위험성이 큰 것으로 인정돼 별도의 강력한 요구 사항을 충족해야 한다. 투명성 요건 측면에서 오픈소스 모델은 면제가 가능하지만, 자체 개발 모델의 경우 시스템 카드를 통해 세부 사항을 공개해야 한다. 일정 수준 이상의 작업량을 처리하는 모델에도 추가 규칙이 적용되는데 이 기준에 도달한 모델로는 ‘GPT-4’가 꼽힌다.

EU는 법을 위반하는 AI 기업에는 최대 3,500만 유로(약 497억원) 또는 글로벌 매출의 7%를 벌금으로 부과하기로 했다. 이 외 규제법에 명시된 세부 규정을 어긴 IT 기업에는 1,500만 유로(약 213억원) 또는 전 세계 연간 매출액의 3%에 달하는 벌금을 부과한다. 이번 합의안은 지난 6월 유럽 의회를 통과했으나, 독일, 프랑스, 이탈리아 등이 이에 반대해 논의에 진통을 겪은 것으로 알려졌다. AI 규제법은 향후 유럽 의회와 회원국들의 공식 승인을 거쳐야 하며, 승인 후 완전히 발효되기까지 2년이 소요될 예정이다. 또한 EU는 AI 규제법의 발효 이후 실행을 위한 별도의 규제 기관을 창설할 예정이다.

우리나라 AI 기술 규제의 현주소

우리나라도 지난 2016년 이른바 ‘알파고 쇼크’ 사태 이후 2019년 AI 국가 전략을 발표하고, 2021년부터는 과학기술정보통신부 주도로 ‘AI 법제정비단’을 운영해 왔다. 국회에서는 윤두현 국민의힘 의원 등 7명의 의원 발의안을 병합한 ‘인공지능 산업 육성 및 신뢰 기반 조성 등에 관한 법률안’이 지난 2월 과학기술정보방송통신위원회 법안소위를 통과했으나 정쟁에 밀려 한 치도 나아가지 못하고 있는 형국이다.

정부가 지난 9월 내놓은 ‘디지털 권리장전’도 지지부진하긴 마찬가지다. 윤석열 대통령은 당시 “AI와 디지털 규범 정립, 국제기구 설립을 우리 대한민국이 주도하고자 한다”고 말했지만, 정부의 의지와는 달리 디지털 권리장전은 사회적 관심에서 멀어졌다. 디지털 권리장전의 국민적 관심을 모으고 의견을 수렴하는 공론화 작업이 사실상 멈춘 상태기 때문이다. 실제로 지난 10월 29일 정보기술(IT) 업계에 따르면 과기부가 디지털 권리장전 공론화를 위해 만든 온라인 전용 공간인 '디지털 공론장'에는 디지털 권리장전 발표 직전까지 달린 수십 건의 의견 외에 게시물 게재가 대부분 중단된 상태다.

개인정보보호위원회의 ‘AI 사전 적정성 검토제’도 여전히 준비 단계에 머물러 있다. 개보위는 지난 10월 AI의 데이터 수집·학습·처리 과정에서 개인정보를 침해할 가능성을 점검하겠다며 AI 프라이버시팀을 신설, AI 사전 적정성 검토제의 시범 운영에 나선 바 있다. 그러나 이 조차도 신기술의 개인정보보호법 저촉 여부가 불확실한 사업자가 개보위에 검토를 신청해 컨설팅을 받는 제도인 만큼, 신청하지 않은 기업까지 아우르는 보호막 역할을 하기는 어려워 보인다.