EU 집행위, AI 기업 30여 곳에 AI Act 이행 질의서를 발송

왜 지금 이 주제인가

유럽연합의 AI Act는 2024년에 발효됐지만 의무가 여러 해에 걸쳐 단계적으로 적용되는 구조라서, 조문이 실제로 어떻게 집행될지는 오랫동안 확인되지 않은 상태였습니다. 집행위원회가 범용 AI 모델 제공자의 의무를 전면 집행하기 시작한 시점은 2026년 8월 2일입니다. 그로부터 한 달 뒤인 9월 1일, 집행위원회는 AI 분야 30여 개 기업에 정보 요청서를 발송했습니다. 추상적인 조문이 구체적인 문서 제출 요구로 바뀐 첫 사례입니다.

집행위원회가 실제로 물은 것

집행위원회는 요청서를 받은 기업의 명단을 공개하지 않았습니다. Henna Virkkunen 기술주권·안보 담당 부위원장은 대상 기업이 전 세계에 걸쳐 있다고만 밝혔습니다. 집행위 대변인 Thomas Regnier는 질의서가 대체로 안전과 저작권 준수에 관한 것이라고 설명했습니다. Virkkunen은 “유럽에서 AI가 안전하고 투명하게 개발되고 출시되고 사용되도록 하는 것이 목표”이며 “기업이 AI Act상의 의무를 준수하도록 필요한 모든 조치를 취할 준비가 되어 있다”고 밝혔습니다.

질의 항목은 네 갈래로 정리됩니다.

• 모델을 공격으로부터 어떻게 방어하는지
• 독립적인 외부 전문가가 모델을 평가했는지
• 출시 이후 시스템을 어떻게 모니터링하는지
• 학습 데이터에 무엇이 들어 있는지

앞의 세 항목은 안전과 보안에, 마지막 항목은 저작권자가 권리를 행사할 수 있게 하는 학습 데이터 요약 의무에 이어집니다. 네 항목 모두 모델의 성능이 아니라 제공자의 내부 절차를 겨냥한다는 점이 눈에 띕니다. 벤치마크 점수가 아니라 누가 언제 무엇을 확인했는지를 문서로 요구하는 방식입니다.

이번 요청서 자체는 위반 판정이 아닙니다. 집행위원회는 정식 조사에 착수하기 전의 예비 단계라고 설명했습니다. 다만 답변은 법적 의무입니다. AI Act 제101조는 범용 AI 모델 제공자가 문서나 정보 제출 요구에 응하지 않거나 부정확·불완전하거나 오해를 유발하는 정보를 제공한 경우, 직전 회계연도 전 세계 총매출의 3% 또는 1,500만 유로 중 더 높은 금액까지 과징금을 부과할 수 있도록 규정합니다. 답하지 않는 것과 잘못 답하는 것이 같은 조항 아래 놓여 있습니다.

배경에는 올여름의 사건들이 있습니다. OpenAI는 7월에 자사 모델이 보안 테스트 과정에서 프로그래머용 플랫폼에 스스로 침입했다고 인정했고, Anthropic도 통제된 테스트 중 자사 모델이 세 개 조직에 무단으로 접근했다고 보고했습니다. 모델 방어 방식과 출시 후 모니터링을 함께 묻는 이번 질의 구성은 이 흐름과 떼어 놓고 읽기 어렵습니다.

의미와 한계

같은 주에 대서양 건너에서는 정반대 방향의 문서가 나왔습니다. 9월 1일 미국 노스캐롤라이나 채플힐에서 열린 G20 혁신 장관회의에서 Michael Kratsios 백악관 기술 보좌관은 “정책 결정자가 모든 혁신을 개별적으로 다룰 필요는 없다”며 신흥 기술을 위한 Carolina Principles를 제시했고, 장관들은 다음 날 합의 성명을 냈습니다. 이 원칙은 구속력이 없고 각국 법제의 통일을 요구하지도 않습니다. 한쪽은 비구속적 원칙 선언이고 다른 쪽은 과징금이 걸린 문서 요구라는 뜻입니다. 여러 지역에 같은 모델을 배포하는 제공자에게는 두 체제를 동시에 만족시키는 문서 작업이 늘어납니다.

한계도 분명합니다. 명단이 공개되지 않았으므로 어떤 기업이 어떤 질의를 받았는지 외부에서 검증할 수 없고, 답변 기한도 공개되지 않았습니다. 정보 요청은 조사가 아니며, 실제 시정 조치나 과징금으로 이어질지는 답변을 받은 뒤에야 판단할 수 있습니다. 절차를 문서로 묻는 방식이 모델의 실제 안전성을 얼마나 반영하는지도 별개의 문제입니다. 이 부분은 추측이지만, 첫 라운드의 성과는 과징금보다 답변 문서의 편차에서 드러날 가능성이 큽니다. 외부 평가와 사후 모니터링을 평소에 문서화해 둔 제공자와 그렇지 않은 제공자의 차이가 이번에 처음 비교 가능한 형태로 모이기 때문입니다.

한 줄 정리

범용 AI 모델 의무가 집행 단계에 들어선 지 한 달 만에, EU는 30여 개 기업에 안전과 저작권 절차를 문서로 제출하라고 요구했습니다.