2024년 04월

유럽이 인공지능(AI) 사용을 법적으로 규제하려 한다. 전세계 어디에서도 찾아볼 수 없는 일이다. 이는 어떤 결과를 초래할까? 유럽의회는 2024년 3월13일 프랑스 스트라스부르에서 열린 본회의에서 ‘AI법’(AI Act) 최종안을 찬성 523표, 반대 46표, 기권 49표로 가결했다.

▲ 유럽연합은 AI법이 미국 대기업들에도 영향을 미치는 이른바 ‘브뤼셀 효과’를 바란다. 2023년 11월 영국에서 열린 ‘AI 안전 정상회의’에서 각국 정상 및 대표와 기업인들이 기념사진을 찍고 있다. REUTERS

인공지능(AI) 법률 꼭 필요한가?

AI법이 없는 것보다 있는 게 더 낫다. 유럽연합(EU)의 AI 규제에 관한 새 법안을 지지하는 사람들이 답으로 내놓는 이유다. 최근까지 경제단체, 연구자, 시민사회단체들은 AI 규제 법안을 통과시켜야 한다고 강력히 요구했다. 그들의 공개 요구서에는 ‘법적 규제를 확실히 갖춰놓지 않는다면 유럽의 기본권 보호 및 혁신이 위험해질 것’을 우려하는 내용도 있다. 하지만 기우였다. 2024년 2월2일, AI법이 EU 이사회에서 합의됐고, 3월13일 프랑스 스트라스부르에서 열린 유럽의회 본회의에서 압도적으로 가결됐기 때문이다. 여러 해 동안 이견이 좁혀지지 않았는데 세계 최초로 포괄적인 AI 법률 시행의 마무리 단계에 와 있는 셈이다. 이 법은 2021년부터 준비됐다. 그러던 중 2022년 11월 챗지피티(Chat-GPT)가 전세계적인 AI 열풍을 일으키면서 많은 이가 앞으로 세상에서 AI가 인터넷과 마찬가지로 모든 삶의 영역을 변화시키라는 사실을 확실히 알게 됐다. 이것이 기술에 적용할 법률이 필요하다는 의견에 기름을 부었다. 그러나 법률 적용 범위를 어디까지 해야 하느냐를 놓고 마지막까지 의견이 분분했다. 독일 의회에서 폴커 비싱 디지털·교통부 장관은 규제가 너무 심하면 유럽 기업이 미국 대기업과의 경쟁에서 그들을 따라잡는 데 발목 잡힐 수 있다고 우려했다. 그러나 비싱은 내각에서 이 의견을 관철하지 못했고, 독일 정부는 다른 모든 회원국과 마찬가지로 AI법에 찬성했다. AI법의 주요 내용은 AI 시스템을 개발하거나 사용하는 기업을 상대로 한 규정이다. 자신들에게 부과되는 이 의무를 모든 기업이 달가워하는 건 아니다. 그럼에도 법적 안정성을 확보하기 위해 자발적으로 이 법안에 찬성하는 기업도 몇몇 있었다. AI법은 인간에게 영향을 미칠 자동화된 (알고리듬의) 결정이 누구나 쉽게 이해할 수 있고 공정하게 이뤄지도록 보장하려 한다. 그래서 간혹 AI 적용을 완전히 금지할 수도 있다. 예를 들어 고용주가 직원들의 표정이나 목소리 톤을 감시해서 그들의 감정을 자동으로 알려주는 시스템 같은 것을 작업장에 설치할 수 없도록 말이다. 이런 규제는 의미가 있다. 많은 사람이 납득할 수 있기 때문이다.

AI법에는 어떤 규제 내용이 있나?

이 법의 핵심은 AI 응용프로그램을 위험등급으로 분류하는 것이다. 위험이 낮은 프로그램은 거의 규제받지 않는다. 반면 위험이 큰 응용프로그램에는 특별 규정이 적용된다. 고위험 사례의 예를 들면, 어떤 사람의 실업수당 수급 여부 결정을 AI가 보조하는 프로그램이다. 이 프로그램이 잘못된 조언을 하거나 다른 그룹에 비해 특정 그룹에 불이익을 주도록 짜였다면 그 결과가 미치는 악영향이 클 것이다. 망명 신청서 처리에 사용하는 시스템이나 구직서류에 근거해 적합한 직원을 선발해내는 인사 보조 시스템도 고위험 응용프로그램의 사례가 될 것이다. 이런 프로그램을 개발하거나 사용하는 기업은 위험을 최소화하기 위해 규정을 따라야 한다. 예를 들어 AI 훈련에 사용한 데이터가 적절한 대표성이 있어야 한다. 이 외에 AI 결정을 사람이 모니터링하고 검토할 수 있어야 한다. 물론 그 기술을 사용하는 과정에서 절대 문제가 생기지 않는다는 보장은 없다. 그럼에도 많은 전문가가 규제 법안, 즉 AI 자체를 규제하는 것이 아니라 이 기술의 특정 응용프로그램만을 규제하는 법안을 마련하는 것이 옳다고 여긴다. 중요한 영역에 사용될 경우 단순한 AI 시스템조차 치명적인 영향을 미칠 수 있기 때문이다.

▲ 유럽연합(EU)은 세계 최초로 인공지능(AI) 사용을 법적으로 규제하려 한다. 2024년 2월2일, AI법이 유럽연합 이사회에서 합의됐다. REUTERS

고성능 AI에 해당하는 규정은?

챗지피티 같은 거대언어모델(LLM)을 운용하는 기술을 어떻게 규제해야 할지를 놓고 최근까지도 논쟁이 있었다. 응용 가능성이 큰 프로그램이어서 챗지피티는 위험등급을 간단히 어느 하나로 분류하기 어렵다. 이런 AI ‘기반 모델’(Foundation Model)은 단순한 챗봇 운영 수단을 넘어, 법률사무소나 인사부서의 소프트웨어처럼 중요한 결정을 내리기 위한 도구로도 사용될 수 있다. 이런 시스템이 오류를 범하면 AI 기반 모델을 잘못 응용했거나, 아니면 기반 모델이 잘못됐다고 봐야 한다. 따라서 원인을 파악할 수 있으려면 모델의 제공 업체가 사용자에게 관련 정보를 제공해야 한다. 다시 말해, 오픈에이아이(OpenAI)나 구글 같은 대규모 AI 개발자들은 독일 중소기업에 모델의 기술적인 세부 사항을 많이 알려줘, 사용자인 독일 기업들이 AI 기본 시스템의 기능과 한계를 충분히 이해하게 해줘야 한다는 것을 의미한다. AI법은 특별히 규모가 크고 기술적으로 정교한 AI 시스템을 제공하는 업체에는 더 엄격한 규정을 적용한다. 예를 들어 사이버보안 조처를 갖춰야 한다. 강력한 모델이면 위험도 그만큼 더 클 수 있기에 상당수 AI 연구자는 그동안 이런 규정이 필요하다고 강력하게 주장했다. 어떤 시스템에 엄격한 규정을 적용하는지는 무엇보다도 AI 훈련에 사용하는 컴퓨터의 성능, 즉 컴퓨팅 파워에 달렸다. 그 기준이 매우 높아서 현재 시장에서 제공하는 어떤 시스템도 기준을 넘지 않는다. 독일 정부는 기반 모델에 어떤 특별한 규제도 하지 않는 것에 역점을 두고 협상에 힘썼다. 그 배경에는 미국이나 중국과 경쟁하는 유럽 기업이 EU의 규정 탓에 막대한 손해를 입을 수 있다는 우려가 자리잡고 있다. 이 점은 유럽에서 촉망받는 두 개의 AI 꿈나무 기업, 즉 프랑스의 AI 기업 ‘미스트랄(Mistral) AI’와 독일 스타트업 ‘알레프 알파’(Aleph Alpha)가 이미 지적했다. 기반 모델 생산 기업이기도 한 두 회사는 AI법으로 자기들의 사업이 제대로 부상하기도 전에 벌써 제동이 걸릴까 불안해하고 있다. 만약 그렇게 된다면 유럽인들은 AI 개발과 이 분야에서의 미래 패권을 다시 미국 대기업들에 내주게 될 것이다.

유럽은 세계적 모범이 될까?

EU는 AI법이 미국 대기업들에도 영향을 미치는 이른바 ‘브뤼셀 효과’를 바란다. 그들이 EU 고객을 포기하지 않으리라는 계산에서다. 각기 다른 표준으로 제품을 생산하려면 비용도 많이 들고 복잡하기도 할 테니, 미국의 생산자들은 결국 규제가 가장 엄격한 시장, 곧 유럽 시장의 규정에 맞출 것이라고 기대한다. 마이크로소프트가 EU의 개인정보보호기본법을 전세계 시장에서 지키는 것은 그 효과를 보여주는 긍정적 사례다. AI법이 EU 이외 지역의 AI 개발자들에게 실제 얼마나 큰 영향을 미칠지는 AI 시스템이 어느 지역이나 국가에서 사용되는지에 따라 각각 다를 것이다. 미국 시민의 신용평가나 영국 정부 기관의 AI 응용프로그램 등 특정 국가에 맞춘 지역 응용프로그램일 때는 AI법이 영향을 미칠 여지가 별로 없을 것이다. 하지만 이미지 생성기나 챗봇처럼 전세계적 플랫폼을 통해 운영되는 소비자 제품의 경우엔 그렇지 않다. 유럽연합 AI법이 국제적 표준으로 적용될 수 있다. EU가 ‘고위험’으로 평가해 특별히 높은 수위의 보안 대책을 요구하는 응용프로그램에는 이 법이 공히 적용된다. 이에 따라 이 분야와 관련한 연구 의뢰가 들어오고 자금도 지원될 수 있다. 해당 AI 시스템이 EU 규정을 준수하는지 확인하려면 학문적으로도 엄청난 노력을 해야 하기 때문이다. 어떻게 작동하는지를 제3자도 이해할 수 있고, 공정한 결정을 내릴 수 있어야 하며, 사이버 공격에 끄떡없이 대항할 수 있는 AI 시스템을 개발하기 위해서도 과학적 노력이 필요하다. 다음으로, 투명성이라는 새로운 의무도 있다. AI법은 기업들이 훈련 데이터를 공개할 것을 요구한다. 지금까지 대형 기술기업이 시장지배력을 키워올 수 있었던 데는, 개발사인 대기업이 데이터세트를 비밀로 유지해온 것도 한몫했다. 독립적인 개발자에게는 자신이 만든 기계를 대기업과 비슷한 규모의 데이터로 훈련할 기회가 도무지 주어지지 않았으니 말이다. EU는 이제 대기업들의 기밀 유지 행태에 종지부를 찍으려 한다. 투명성 의무가 어떤 구체적인 결과를 낼지, 만약 낸다면 어떤 변화가 있을지는 AI법을 시행해봐야 비로소 드러날 것이다.