EU AI 법(EU AI Act)은 2024년 3월 유럽연합에서 채택된 세계 최초의 포괄적인 인공지능 규제 법률로, AI 시스템의 안전성과 인권 보호를 보장하고, 책임 있는 혁신을 촉진하는 것을 목표로 하고 있습니다. 앞선 Green Geek 뉴스레터에서도 EU AI 법에 대해 여러 차례 다룬 바 있는데, 오늘은 지난 3월 공개된 범용 인공지능(General-Purpose AI, 이하 GPAI)에 대한 3차 행동 강령 초안에 대해 소개합니다.

GPAI란 뭔가요?

GPAI는 단일 목적이 아닌 여러 작업에 걸쳐 광범위하게 활용 가능한 인공지능 모델을 의미합니다. 예를 들어 GPT(OpenAI), Llama(Meta), Gemini(Google), Mistral(Mistral AI) 등이 대표적인 GPAI 모델에 해당하며, 일반적으로 대규모 언어모델(LLM)들이 이에 포함됩니다. GPAI는 다양한 분야에서 사용되기 때문에 그 사회적 영향력도 크며, 이에 따라 법적 책임과 투명성 확보의 필요성도 강조되고 있습니다.

GPAI 3차 초안의 주요 내용

1. 투명성 강화

• 모델 문서화 양식(Model Documentation Form) 도입: GPAI 제공자가 필요한 정보를 한 곳에서 쉽게 문서화할 수 있도록 설계되었습니다.
• 외부 입력(예: 정부의 참여)이 모델 개발 및 사용에 영향을 미쳤는지 여부를 공개하도록 요구하지만, 외부 입력 자체를 반드시 포함할 필요는 없습니다.

2. 저작권 준수

• 저작권 정책: 제공자는 EU 저작권법 준수를 위한 내부 정책을 수립하고 이를 조직 내에서 실행해야 합니다.
• 웹 크롤러 사용 시, 저작권 보호 기술(예: 페이월)을 존중하고, 저작권 침해 자료를 제공하는 웹사이트(소위 “해적 도메인”)를 배제해야 합니다.
• TDM(Text and Data Mining) 옵트아웃 선언을 준수해야 하며, 이를 위해 기계 판독 가능한 형태(예: robots.txt 프로토콜)를 사용하는 것이 요구됩니다.

3. 위험 관리

• 시스템적 위험(Systemic Risk)을 가진 GPAI 모델 제공자는 위험을 평가하고 완화하는 기술적 및 거버넌스 조치를 마련해야 합니다.
• 이전 초안에서 강조되었던 KPI(Key Performance Indicators)는 삭제되었으며, 대신 보고 의무가 강화되었습니다.

4. 사용자 권리 보호

• 모델이 저작권 침해 출력물을 생성하지 않도록 “합리적인 노력”을 기울이는 것으로 요구 수준이 조정되었습니다. 이전 초안에서 강조되었던 출력 유사성 방지 조치는 삭제되었습니다.
• 오픈 소스 AI 제공자는 저작권 침해 사용 금지를 명시할 필요가 없도록 명확히 규정되었습니다.

GPAI에 대한 행동 강령(Code of Practice)에 대하여

EI AI 법은 범용 인공지능(General-Purpose AI, 이하 GPAI)에 대한 특별한 규정을 마련하고 있습니다. 이에 따르면 GPAI 제공자는 문서화, 저작권 준수 정책 수립, 안전성과 보안 조치 마련 등을 해야 하며, 이러한 요구사항을 실제로 어떻게 이행할 것인지에 대한 구체적인 기준은 아직 부족한 상황이었습니다. 이를 보완하기 위해 마련된 것이 바로 ‘GPAI 행동강령(Code of Practice)’입니다. 이 행동강령은 GPAI 제공자들이 EU AI 법을 자율적으로 준수할 수 있도록 돕는 비구속적인 가이드라인으로, 비록 구속력은 없으나 이 강령이 EU 집행위원회의 승인을 받게 되면 사실상 업계 표준으로 간주될 수 있으며, 이를 따르는 기업은 규제 당국으로부터의 조사나 제재 가능성을 줄일 수 있습니다.

행동 강령은 지난 2024년 11월 14일 1차 초안이 공개된 이후 여러 논의를 거쳐 2025년 3월 11일 행동 강령의 제3차 초안이 공개되었습니다. 행동 강령은 투명성, 저작권, 안전 및 보안, 책임 체계 등 네 가지 핵심 주제를 다루고 있는데, 특히 저작권 관련 조항에서는 GPAI 제공자가 웹 데이터를 크롤링하여 학습 데이터를 수집할 때, robots.txt나 TDM(텍스트·데이터 마이닝) 옵트아웃과 같은 기계 판독 가능한 표준을 반드시 준수해야 한다고 명시하고 있습니다. 또한 불법 복제 콘텐츠를 제공하는 사이트에서 데이터를 수집하지 않도록 하고, 저작권 침해 위험을 완화하기 위한 기술적·정책적 노력을 기울여야 함을 명시하고 있습니다. 다만 3차 초안에서는 2차 초안에 비해 기술적 구속력이 다소 완화되어, ‘과적합 방지’ 같은 구체적 요구 대신 ‘합리적 노력(reasonable efforts)’이라는 표현으로 바뀌었습니다. 이는 기업들이 보다 현실적인 방식으로 규정을 이행할 수 있도록 고려된 부분입니다. 또한 행동 강령을 따르는 GPAI 제공자는 저작권자 등 외부 이해 관계자와 연락할 수 있는 창구를 마련하고, 저작권 침해 관련 신고를 접수·처리할 수 있는 체계도 갖추어야 합니다. 단, 근거 없거나 과도한 신고는 거절할 수 있도록 규정되어 있습니다.

이 행동강령은 현재 초안 상태이며, 2025년 3월 30일까지 이해관계자의 의견을 수렴한 후, 2025년 5월 2일 최종 버전이 발표될 예정입니다. 

EU AI 법 행동 강령 3차 초안에 대한 창작자 연합의 반발

그러나 전 세계 작가, 가수, 배우 등 창작자 권리 단체들은 이 행동강령 3차 초안에 대해 강하게 반발하고 있습니다. 한국음악저작권협회이 이사국으로서 참여하고 있는 국제저작권관리단체연맹(CISAC)을 비롯한  유럽 및 국제 창작자 단체 60여 곳은 지난 3월 28일 공동 성명을 발표하고, 현재의 초안이 EU AI법의 입법 취지를 심각하게 훼손하고 있다고 비판했습니다.

창작자 단체들은 현재 공개된 3차 초안이 GPAI 제공자에게 구체적인 법적 의무를 부과하지 않고, ‘합리적인 노력’만을 요구하고 있어 실효성이 떨어지며, AI 훈련에 사용되는 제3자 데이터셋에 대해 저작권 침해 여부를 사전에 검토할 책임도 사실상 제외되어 있어, 오히려 저작권 침해를 조장할 수 있다고 지적합니다. 

창작자들이 자신의 저작물을 AI 학습에서 제외하기 위해 권리 보유 표시(reservation of rights)를 하는 방식에 있어서도 현재 초안은 robots.txt 파일만을 유일한 수단으로 인정하고 있으며, 그 외의 권리 표시 방식은 무시하거나 단지 선택사항으로 간주하고 있습니다. 게다가 GPAI 제공자가 이러한 요청을 어떻게 이행하고 있는지에 대한 정보를 공개할 의무도 없어, 창작자가 자신의 권리를 실질적으로 행사할 수 있는 수단이 제한됩니다. 

또한 저작권 침해와 관련된 불만을 제기하는 절차 역시 행동강령 내부 절차에만 한정되어 있으며, 이에 대한 해결이나 시정 의무가 없으며, AI 훈련에 사용된 콘텐츠 목록을 공개하도록 한 조항도 구체적인 양식이나 기준이 명시되어 있지 않아, GPAI 제공자가 영업비밀 등을 이유로 이를 회피할 가능성이 높다는 점도 문제입니다.

이에 성명에 참여한 단체들은 이번 초안이 저작권법의 핵심 원칙인 ‘사전 허락’과 ‘무단 사용 금지’ 원칙을 훼손하고 있으며, EU AI 법이 지향하는 ‘책임 있는 AI 개발’과 ‘지속 가능한 문화 창작 생태계 보호’라는 방향성과도 상충된다고 비판하고 있습니다.

결론

이번 GPAI 행동강령 제3차 초안은 AI 기술 발전과 창작자 권리 보호라는 두 과제를 동시에 해결하려는 시도라는 점에서 의미가 있습니다. 하지만 실제 적용 과정에서 창작자들의 권리가 충분히 보장되지 않을 수 있다는 우려도 여전히 존재합니다. 향후 최종안이 공개되기 전까지 창작자 단체들의 의견이 충분히 반영되어 기술과 창작의 균형을 이룰 수 있는 실질적인 기준이 마련되기를 기대해 봅니다.

Green Geek을 구독하시면 지금 보시는 것과 같은 ICT 소식과 정보를 받아보실 수 있습니다.

용어 사전

대규모 언어 모델 (LLM): 엄청나게 많은 텍스트를 학습해서 사람처럼 말하거나 글을 쓰는 AI
모델 문서화 양식 (Model Documentation Form): AI 모델이 어떤 식으로 만들어졌는지, 무슨 데이터를 썼는지 등을 정리하는 문서 양식
웹 크롤러 (Web Crawler): 인터넷 정보를 자동으로 수집하는 프로그램이에요. 검색엔진이 정보를 긁어올 때 자주 사용
저작권 보호 기술 (예: 페이월): 콘텐츠가 무단으로 복사되지 않도록 막는 기술. ‘페이월’은 유료 구독을 해야 볼 수 있는 콘텐츠
해적 도메인 (Pirate Domain): 저작권을 어기고 영화, 음악 등을 불법으로 공유하는 웹사이트
TDM (Text and Data Mining): 텍스트나 데이터를 분석해서 중요한 정보를 뽑아내는 기술
TDM 옵트아웃: “우리 콘텐츠는 AI가 수집하지 말아주세요”라고 명시하는 것
robots.txt: AI나 검색엔진이 웹사이트의 어떤 부분을 읽어도 되는지 알려주는 안내서 같은 파일
출력 유사성 방지 조치: AI가 기존 작품을 너무 비슷하게 따라 하지 않도록 막는 기술적인 방법
오픈 소스 (Open Source): 누구나 자유롭게 사용할 수 있도록 공개된 소프트웨어나 기술
Code of Practice (행동강령): 법은 아니지만 업계에서 따라야 할 권장 지침
과적합 (Overfitting): AI가 훈련 데이터에 너무 맞춰져 있어서, 새로운 데이터를 잘 처리하지 못하는 현상