AI Act EU 인공지능 법
AI Act의 정의부터 금지 AI와 위험분류, 고위험 AI 판정기준, AI 위험관리와 필수 요구사항, AI 생애주기·데이터·사이버보안, 적합성 평가와 시장 출시, 투명성과 범용 AI 모델, 출시 후 모니터링·사고·변경관리, 감독·집행과 과징금까지 차례로 소개합니다.
구성
AI Act란?
규제 개요
| 정식 명칭 | Regulation (EU) 2024/1689 (Artificial Intelligence Act) EU 인공지능 법 |
|---|---|
| 규제 성격 | EU Regulation(규칙)으로, 회원국 추가 전환 없이 직접 적용되는 수직적·위험기반 규제입니다. |
| 목적 | 기반 접근 방식(Risk-based Approach)을 통한 안전하고 신뢰할 수 있는 AI 시장 조성 및 기본권 보호 |
| 대상 | 과 (GPAI)을 대상으로 하며, 등급(Risk Classification)에 따라 차등 적용됩니다. EU 역외 공급자라도 의 출력이 EU에서 사용되면 포함됩니다. |
어떤 산업에 적용되는가
AI 기술을 개발·유통·도입하는 전 산업 분야에 수평적으로(Horizontal Regulation) 적용됩니다.
금지관행 - 산업과 관계없이 EU에서 쓸 수 없는 AI 활용 방식입니다.
고위험 (8개 분야) - 아래 분야에 쓰이는 으로, 고위험 요구사항이 적용됩니다.
(GPAI) - LLM 등 다양한 목적에 쓰이는 기초 모델입니다.
(GPAI) 의무가 적용됩니다.
추가 의무가 적용됩니다.
고위험 해당 여부는 Annex III의 세부 항목을 함께 확인해야 합니다.
누가 의무를 가지는가
AI 가치사슬(Value Chain) 안의 모든 경제 주체에게 의무가 부과됩니다.
이나 (GPAI)을 개발하는 주체입니다.
EU 안에서 을 사용하는 주체입니다.
EU 역외 공급자의 제품을 EU로 수입하는 주체입니다.
공급망 안에서 을 유통하는 주체입니다.
EU 역외 공급자를 EU 안에서 대리하는 주체입니다.
고위험 을 제3자로서 평가하는 기관입니다.
(GPAI)을 감독하는 EU 기관입니다.
공급자로 간주되는 경우
수입자·유통자가 제품을 실질적으로 변경하면 공급자로 간주됩니다.
Article 25어떻게 구성되는가
AI Act는 13개 Chapter, 113개 Article로 구성됩니다. Chapter를 선택하면 아래에 내용이 표시됩니다.
AI Act가 무엇을 규제하고 누구에게 적용되는지 정하는 기본 규칙입니다.
금지 AI·위험분류
AI Act가 금지하는 AI 활용은 무엇인가
금지관행(Prohibited AI Practices)은 산업과 관계없이 EU에서 쓸 수 없는 AI 활용 방식입니다. 항목을 선택하면 오른쪽에 내용이 표시됩니다.
잠재의식·기만적 조작 AI
개인이 충분한 정보를 바탕으로 판단할 능력을 현저히 저해하여 행동을 실질적으로 왜곡하고, 중대한 피해를 초래하거나 초래할 합리적 가능성이 있는 AI 활용을 금지합니다.
Article 5(1)(a)취약성 악용 AI
나이, 장애, 특정 사회·경제적 상황에 따른 취약성을 악용하여 행동을 실질적으로 왜곡하고 중대한 피해를 발생시키거나 그 가능성이 있는 AI 활용을 금지합니다.
Article 5(1)(b)사회적 점수평가 AI
개인 또는 집단의 사회적 행동이나 알려진·추론된 개인적 특성을 일정 기간 평가·분류하고, 부당하거나 불균형한 불이익을 초래하는 사회적 점수평가 AI 활용을 금지합니다.
Article 5(1)(c)범죄위험 예측 AI
개인의 또는 성격·특성 평가만을 근거로 범죄를 저지를 을 평가·예측하는 AI를 금지합니다. 다만 객관적·검증 가능한 범죄 관련 사실에 근거한 인간의 평가를 지원하는 경우에는 별도 예외가 있습니다.
Article 5(1)(d)무차별 얼굴이미지 수집 AI
인터넷 또는 CCTV 영상에서 얼굴이미지를 비표적 방식으로 수집하여 얼굴인식 데이터베이스를 구축하거나 확장하는 AI 활용을 금지합니다.
Article 5(1)(e)직장·교육기관의 감정 인식 AI
직장 및 교육기관에서 개인의 감정을 추론하는 AI 사용을 원칙적으로 금지합니다. 다만 의료 또는 안전 목적에 해당하는 경우 예외가 가능합니다.
Article 5(1)(f)민감정보 추론 생체분류 AI
를 이용하여 인종, 정치적 견해, 노동조합 가입 여부, 종교·철학적 신념, 성생활 또는 성적 지향을 추론·분류하는 특정 AI 활용을 금지합니다. 법정 제외범위가 존재합니다.
Article 5(1)(g)공공장소 실시간 원격 생체 식별 AI
목적으로 에서 실시간 원격 생체 식별 AI를 사용하는 것을 원칙적으로 금지합니다. 실종자 수색, 특정 중대한 위협 방지 등 엄격한 법정 예외가 존재합니다.
Article 5(1)(h)Article 5(2)Article 5(3)Article 5(4)Article 5(5)Article 5(6)Article 5(7)동의 없는 성적 생성·조작 AI
식별 가능한 개인의 신체 은밀한 부위 또는 성적으로 노골적인 활동을 묘사하는 사실적인 이미지·영상·음성 등을 적절한 명시적 동의 없이 생성·조작하는 특정 AI 활용을 금지합니다.
Article 5(1)(ba)Article 5(1a)아동 성적 학대 콘텐츠 생성·조작 AI
관련 EU 법령에서 정의하는 아동 성적 학대 콘텐츠 또는 행위를 생성·조작하는 특정 AI 활용을 금지하며, 법령에서 인정하는 예외조건을 고려해야 합니다.
Article 5(1)(bb)Article 5(1a)고위험 AI는 어떤 경로로 분류되는가
고위험 AI(High-Risk AI)로 분류되는 경로는 두 가지입니다. 금지관행과 달리 고위험 AI는 요구사항을 충족하면 사용할 수 있습니다.
제품안전 관련 고위험 AI
AI가 Annex I에 열거된 EU 제품안전 법령의 적용대상 제품 자체이거나 그 제품의 안전 구성요소이고, 해당 제품에 제3자 적합성 평가가 요구되는 경우 고위험 AI로 분류합니다.
Article 6(1)(a)Article 6(1)(b)Annex I특정 활용영역 고위험 AI
Annex III에 열거된 생체인식, 중요 인프라, 교육, 고용, 필수서비스, 법 집행, 이민·국경관리, 사법·민주적 절차 관련 AI는 원칙적으로 고위험 AI에 해당합니다.
Article 6(2)Annex III고위험 AI 분류기준은 바뀔 수 있는가
EU 집행위원회는 분류 관련 지침을 제공하고, 법정 조건에 따라 Annex III의 활용사례 또는 예외조건을 위임법령으로 변경할 수 있습니다.
Article 6(5)Article 6(6)Article 7High-Risk(고위험) 판정기준
제품안전 경로에서 고위험 AI는 어떻게 판정되는가
EU 조화법령은 EU 회원국에 공통으로 적용되는 제품 안전 법령입니다. Annex I에 그 목록이 있습니다.
두 조건을 모두 충족하는가?
Annex I 관련 제품·라는 조건과 제3자 조건을 모두 만족해야 이 경로의 고위험 AI로 판정합니다.
Article 6(1)(a)Article 6(1)(b)제품안전 법령 적용대상
AI 시스템이 Annex I에 열거된 EU 조화법령의 적용대상 제품 자체이거나 그 제품에 사용되는 안전 구성요소여야 합니다.
Article 6(1)(a)Annex I안전 구성요소 해당 여부
AI가 제품의 안전기능을 수행하거나, 고장·오작동이 사람의 건강과 안전을 위협하는 경우 안전 구성요소에 해당할 수 있습니다.
Article 3(14)Article 6(1a)Article 6(1b)비안전 기능의 제외
단순 사용자 지원, 성능 최적화, 서비스 효율, 자동화, 편의 또는 품질관리 목적으로만 사용되고 안전과 무관한 AI는 안전 구성요소로 보지 않습니다.
Article 6(1a)건강·안전과 무관한 평가의 제외
제3자 적합성 평가가 오직 건강·안전과 무관한 위험 때문에 요구되는 경우에는 Article 6(1)(b)의 조건을 충족하지 않습니다.
Article 6(1c)독립 공급 여부와 무관한 판단
AI가 제품에 내장되어 공급되는지, 별도로 공급되는지와 관계없이 Article 6(1)의 조건을 충족하면 고위험으로 분류합니다.
Article 6(1)Annex III 경로에서 고위험 AI는 어떻게 판정되는가
Annex III 해당 여부 확인
고위험 제외 조건 검토
Annex III에 해당하더라도 건강·안전·기본권에 중대한 위해 위험이 없고, 의사결정 결과에 실질적으로 영향을 주지 않는 등 법정 조건을 충족하면 제외될 수 있습니다.
Article 6(3)AI가 좁은 범위의 절차적 업무만 수행하는 경우 고위험 제외를 검토할 수 있습니다. 단, 위해 위험이 없다는 기본요건도 충족해야 합니다.
Article 6(3)(a)기존 의사결정의 패턴이나 편차를 탐지하되, 적절한 인간 검토 없이 기존 인간의 판단을 대체하거나 영향을 주도록 설계되지 않은 경우 제외를 검토할 수 있습니다.
Article 6(3)(c)여부 확인
제외 판단 후 조치
고위험 제외 판단을 한 공급자는 Article 49(2)에 따른 등록의무가 있으며, 관할 당국의 요청 시 분류 평가문서를 제공해야 합니다.
Article 6(4)Article 49(2)Annex III에 열거된 고위험 AI 활용사례는 무엇인가
원격 생체 식별, 특정 생체분류 및 감정 인식 등 Annex III에 지정된 활용사례입니다. Article 5의 금지행위는 별도로 판단합니다.
Annex III (1)중요 디지털 인프라, 도로교통, 물·가스·난방·전력 공급의 관리·운영에서 로 사용되는 AI입니다.
Annex III (2)입학·배정, 학습성과 평가, 교육수준 판단, 시험 중 금지행위 탐지 등에 사용되는 특정 AI입니다.
Annex III (3)채용·선발, 승진·해고, 업무배정, 근로성과·행동 평가에 사용되는 특정 AI입니다.
Annex III (4)공공지원 자격평가, 신용도 평가, 생명·건강보험 위험평가, 긴급서비스 출동 우선순위 등에 사용되는 특정 AI입니다.
Annex III (5)의 피해자 위험평가, 증거 신뢰성 평가 등 Annex III에 명시된 특정 활용사례입니다.
Annex III (6)이민·망명 관련 위험평가, 신청·증거 평가, 신원확인 지원 등에 사용되는 특정 AI입니다.
Annex III (7)사법기관의 사실·법률 조사 지원 및 선거·투표행동에 영향을 주기 위한 특정 AI입니다.
Annex III (8)AI 위험관리·필수 요구사항
고위험 의 필수 요구사항은 어떻게 구성되는가
Chapter III Section 2는 고위험 이 공통으로 갖춰야 할 요구사항을 정한 부분입니다.
고위험 은 Chapter III Section 2에 규정된 요구사항을 충족해야 하며, 의도된 사용목적과 일반적으로 인정되는 기술수준을 고려해야 합니다.
Article 8(1)고위험 AI의 위험관리체계는 어떻게 운영되는가
잔여위험은 위험관리조치를 적용한 뒤에도 남아 있는 입니다.
| 구분 | 주요 내용 | 근거조항 |
|---|---|---|
| 위험관리체계의 구축과 운영 | 위험관리체계 구축 고위험 AI에 대한 위험관리체계를 수립·구현·문서화하고 지속적으로 유지해야 합니다. | Article 9(1) |
| 전 생명주기 위험관리 개발·출시·운영·변경·출시 후 관리 전반에 걸쳐 위험관리를 반복적으로 검토·갱신해야 합니다. | Article 9(2) | |
| 의 식별과 평가 | 알려진 위험과 예측 가능한 위험 식별 의도된 목적대로 사용하더라도 건강·안전·기본권에 발생할 수 있는 알려진 위험과 합리적으로 예측 가능한 위험을 식별·분석해야 합니다. | Article 9(2)(a) |
| 오사용 위험평가 정상 사용뿐 아니라 합리적으로 예측 가능한 오사용 조건에서도 발생할 수 있는 위험을 추정·평가해야 합니다. | Article 9(2)(b) | |
| 출시 후 위험 재평가 출시 후 모니터링에서 수집한 자료를 분석하여 새롭게 발생하거나 기존에 파악하지 못한 위험을 평가해야 합니다. | Article 9(2)(c)Article 72 | |
| 위험관리조치의 선정과 범위 | 위험관리조치 선정 식별된 위험에 대응하기 위해 구체적이고 적절한 위험관리조치를 마련해야 합니다. | Article 9(2)(d) |
| 위험관리의 대상 범위 이 조항에서 다루는 위험은 AI 시스템의 설계·개발 또는 적절한 기술정보 제공을 통해 합리적으로 줄이거나 제거할 수 있는 위험으로 한정됩니다. | Article 9(3) | |
| 요구사항 간 상호작용 고려 정확성, 인간 감독, 투명성 등 여러 요구사항을 함께 적용했을 때의 효과와 상호작용을 고려하여 위험을 줄여야 합니다. | Article 9(4) | |
| 잔여위험과 저감 순서 | 잔여위험의 수용 가능성 위험관리조치 이후 남는 개별 위험과 AI 시스템 전체의 잔여위험이 수용 가능한 수준인지 판단해야 합니다. | Article 9(5) |
| 설계·개발 단계의 위험 제거 기술적으로 가능한 범위에서 위험을 설계·개발 단계에 우선 제거하거나 줄여야 합니다. | Article 9(5)(a) | |
| 위험 완화·통제조치 설계만으로 제거할 수 없는 위험에는 적절한 완화·통제조치를 적용해야 합니다. | Article 9(5)(b) | |
| 사용정보 및 교육 제공 필요한 사용정보를 제공하고, 적절한 경우 배포자에 대한 교육도 마련해야 합니다. | Article 9(5)(c) | |
| 시험과 검증 | 위험관리조치 검증시험 선정한 위험관리조치가 적절하고 AI 시스템이 의도된 목적과 필수 요구사항을 충족하는지 시험해야 합니다. | Article 9(6) |
| 출시 전 시험 및 평가기준 개발 중 필요한 시점에 시험하고, 늦어도 시장 출시 또는 사용 개시 전에 미리 정한 지표·확률적 기준에 따라 시험해야 합니다. | Article 9(8) | |
| 추가 고려사항 | 취약집단에 대한 영향 18세 미만인 사람과 적절한 경우 기타 취약집단에 미칠 부정적 영향을 고려해야 합니다. | Article 9(9) |
| 기존 EU 위험관리체계와 통합 다른 EU 법률에 따라 이미 위험관리 절차를 운영하는 공급자는 AI Act의 위험관리 요소를 기존 절차에 통합할 수 있습니다. | Article 9(10) |
고위험 AI의 학습·검증·는 어떻게 관리하는가
데이터 거버넌스는 데이터를 어디서 모으고 어떻게 가공·점검할지 정한 관리체계입니다.
데이터를 사용해 AI 모델을 학습하는 고위험 AI는 해당 데이터 세트가 법정 품질기준을 충족하도록 개발해야 합니다.
Article 10(1)데이터 거버넌스에서 관리할 사항
편향 의 검토
건강·안전·기본권 또는 차별에 영향을 줄 수 있는 데이터 편향을 검토하고, 적절한 탐지·예방·완화조치를 마련해야 합니다.
Article 10(2)(f)Article 10(2)(g)데이터 세트가 갖춰야 할 특성
데이터는 의도된 목적에 적합하고 충분한 대표성을 갖추며, 가능한 범위에서 오류가 적고 완전해야 합니다.
Article 10(3)데이터는 필요한 범위에서 실제 운영환경의 지역적·상황적·행동적·기능적 특성을 반영해야 합니다.
Article 10(4)학습하지 않는 AI의
AI 모델 학습기법을 사용하지 않는 고위험 AI에는 Article 10의 관련 데이터 품질·거버넌스 요건이 에 한하여 적용됩니다.
Article 10(6)AI Lifecycle(생애주기)·데이터·사이버보안
고위험 AI의 생애주기는 어떤 단계로 이어지는가
생애주기(Lifecycle)는 AI가 고위험으로 판정되어 개발·출시되고, 운영된 뒤 출시 후 관리까지 이어지는 전 과정입니다.
| 구분 | 주요 내용 | 근거조항 |
|---|---|---|
| 고위험 판정 | 고위험 AI 판정 AI의 사용목적, 안전기능 및 활용영역을 검토하여 고위험 AI 해당 여부를 판단합니다. 이후 적용되는 요구사항을 확정합니다. | Article 6Annex IAnnex III |
| 설계·개발 | 위험관리체계 수립 고위험 AI에 대한 위험관리체계를 수립·실행·문서화하고 지속적으로 유지해야 합니다. | Article 9(1) |
| 전 생명주기 위험관리 AI가 개발되고 사용되는 전 과정에서 위험을 반복적으로 검토하고 평가결과를 갱신해야 합니다. | Article 9(2) | |
| 정상 사용·예측 가능한 오사용 의도된 사용뿐 아니라 합리적으로 예상할 수 있는 잘못된 사용에서 발생하는 위험도 평가해야 합니다. | Article 9(2)(a)Article 9(2)(b) | |
| 설계 단계의 위험 저감 위험을 설계·개발 단계에서 우선 제거하거나 줄이고, 필요한 보호조치와 사용정보를 제공해야 합니다. | Article 9(5) | |
| 데이터 기반 개발 AI 학습·검증·시험에 사용하는 데이터의 품질과 적합성을 관리해야 합니다. | Article 10(1)Article 10(2)Article 10(3)Article 10(4) | |
| 시험 및 성능 검증 AI의 의도된 목적과 위험관리조치의 적절성을 시험하고, 출시 전에 정해진 평가기준으로 확인해야 합니다. | Article 9(6)Article 9(7)Article 9(8) | |
| 기술문서 작성 출시 또는 사용 개시 전에 시스템의 설계·개발·시험·위험관리 내용을 문서화하고 최신 상태로 유지해야 합니다. | Article 11Annex IV | |
| 작동기록 기능 위험상황이나 중대한 변경 등을 추적할 수 있도록 필요한 사건의 자동 기록기능을 갖추어야 합니다. | Article 12 | |
| 인간 감독 설계 사람이 AI의 출력과 작동을 이해하고, 필요한 경우 개입하거나 중단할 수 있도록 설계해야 합니다. | Article 14 | |
| 품질경영시스템 설계·개발·시험, 위험관리, 변경관리, 문서관리, 사고 대응 등을 포함한 품질경영시스템을 운영해야 합니다. | Article 17 | |
| 출시 전 | 출시 전 적합성 평가 고위험 AI의 분류와 적용 법령에 따라 적합성 평가 절차를 수행해야 합니다. | Article 43 |
| 운영 | 운영 중 관리 배포자는 사용 설명서에 따라 AI를 운영하고, 필요한 인간 감독과 작동 모니터링을 수행해야 합니다. | Article 26 |
| 시스템 변경관리 AI의 변경이 중대한 변경에 해당하는지 확인하고, 해당하는 경우 필요한 적합성 재평가를 수행해야 합니다. | Article 3(23)Article 43(4) | |
| 출시 후 | 출시 후 모니터링 공급자는 실제 사용 중 발생하는 성능·위험 정보를 체계적으로 수집·분석하여 지속적인 규제 준수 여부를 평가해야 합니다. | Article 72(1)Article 72(2)Article 72(3) |
| 부적합 및 사고 대응 부적합 사항은 시정하고, 중대한 사고는 적용되는 법정 요건과 기한에 따라 보고해야 합니다. | Article 20Article 73 |
고위험 AI의 데이터는 어떤 기준으로 관리하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
편향 탐지·시정을 위해 엄격히 필요한 경우, 법정 보호조치를 충족하는 범위에서 를 예외적으로 처리할 수 있습니다. 일반적인 처리 허용을 뜻하지 않습니다.
Article 4a(1)Article 4a(2)적합성평가·시장출시·CE
고위험 AI의 는 어떤 순서로 준비하는가
는 이 AI Act의 요구사항을 충족하는지 확인하는 절차입니다.
AI의 사용목적과 제품안전 관련성을 검토하여 Article 6의 고위험 분류기준에 해당하는지 확인합니다.
Article 6(1)Article 6(2)Article 6(3)Annex IAnnex III평가 대상 고위험 AI가 위험관리, 데이터, 문서화, 기록, 투명성, 인간 감독, 정확성·사이버보안 요구사항을 충족하는지 확인합니다.
Article 8Article 9Article 10Article 11Article 12Article 13Article 14Article 15AI의 분류경로와 적용 제품법령에 따라 내부통제 평가 또는 인증기관이 참여하는 평가절차를 결정합니다.
Article 43(1)Article 43(2)Article 43(3)고위험 AI 유형별로 어떤 절차를 따르는가
인증기관(, Notified Body)은 EU 회원국이 지정한 제3자 적합성평가기관입니다.
생체인식 AI의 평가방식
Annex III 1의 고위험 AI는 조화 표준 또는 공통 규격의 적용상황에 따라 내부통제 또는 인증기관 참여 평가를 선택하거나, 인증기관 참여 평가를 의무적으로 거쳐야 합니다.
Article 43(1)조화 표준 미적용 시 평가
Annex III 1의 고위험 AI가 Article 43(1)의 표준 부재·미적용·부분 적용 등 조건에 해당하면 Annex VII 평가절차를 따라야 합니다.
Article 43(1)Annex VIIAnnex III 2~8의 평가방식
중요 인프라, 교육, 고용 등 Annex III 2~8의 고위험 AI는 원칙적으로 인증기관이 참여하지 않는 Annex VI 내부통제 절차를 따릅니다. 단, 제품안전 법령과의 중복 적용은 별도로 검토합니다.
Article 43(2)Article 43(3)Annex VI제품안전 연계 AI 평가
Annex I Section A 제품안전 법령의 적용대상 고위험 AI는 해당 제품법령의 적합성 평가 절차를 따르면서 AI Act의 필수 요구사항도 함께 평가합니다.
Article 43(3)중복 적용 시 평가 우선경로
AI가 Annex I Section A 제품법령과 Annex III의 활용사례에 동시에 해당하는 경우 해당 제품법령에 따른 적합성 평가 절차를 적용합니다.
Article 43(3)평가절차를 판단할 때 주의할 점
내부통제 평가와 인증기관 참여 평가는 어떻게 다른가
공급자가 품질경영시스템, 기술문서, 설계·개발 과정 및 출시 후 모니터링의 적합성을 자체 확인합니다.
Annex VI (1)Annex VI (2)Annex VI (3)Annex VI (4)(Notified Body)이 품질경영시스템과 기술문서를 평가하고, 법정 절차에 따라 사후감독을 수행합니다.
Annex VII (2)Annex VII (3)Annex VII (4)Annex VII (5)과 은 적합성 입증에 어떻게 활용되는가
은 EU가 요구사항 충족 수단으로 공식 인정한 표준이고, 은 이 없을 때 집행위원회가 정하는 규격입니다.
| 활용 | EU 관보에 참조가 공표된 관련 을 적용하면 그 표준이 포괄하는 요구사항에 대해 적합성 추정을 받을 수 있습니다.Article 40 |
|---|---|
| 활용 | 법정 조건에 따라 채택된 을 활용하여 관련 요구사항의 준수를 입증할 수 있습니다.Article 41 |
를 다시 받거나 면제받는 경우는 언제인가
지속학습은 AI가 출시 후에도 새로운 데이터로 계속 학습하며 바뀌는 것입니다.
최초 평가 때 미리 정하고 기술문서에 포함한 지속학습에 따른 변경은 Article 43(4)의 조건에 따라 으로 보지 않습니다.
Article 43(4)Annex IV (2)(f)공공안전, 생명·건강 보호 등 법정 사유가 있는 경우 이 특정 고위험 AI의 ·를 완료 전에 예외적으로 허가할 수 있습니다.
Article 46EU 적합성 선언서는 어떻게 작성·관리하는가
EU 적합성 선언(EU Declaration of Conformity)은 공급자가 이 요구사항을 충족한다고 서면으로 밝히는 문서입니다.
| 적합성 선언 작성 | 공급자는 고위험 AI 시스템별로 서면 EU 적합성 선언을 작성해야 합니다. 기계판독 가능 형식, 종이 또는 전자서명 방식 등 법정 형식을 따라야 합니다.Article 47(1) |
|---|---|
| 적합성 선언의 내용 | 해당 AI가 Chapter III Section 2의 필수 요구사항을 충족한다는 사실과 Annex V의 필수 정보를 포함해야 합니다.Article 47(2)Annex V |
| 선언서 언어 | 해당 AI가 출시·공급되는 회원국의 관할 당국이 쉽게 이해할 수 있는 언어로 번역해야 합니다.Article 47(2) |
| 다른 EU 법령과 통합 선언 | 다른 EU 조화법령에서도 적합성 선언을 요구하는 경우 적용되는 모든 관련 EU 법령을 포괄하는 하나의 선언서를 작성해야 합니다.Article 47(3) |
| 공급자의 법적 책임 | 적합성 선언을 작성함으로써 공급자는 해당 필수 요구사항 준수에 대한 책임을 부담하며 선언서를 적절히 최신 상태로 유지해야 합니다.Article 47(4) |
투명성·GPAI
고위험 AI 공급자는 에게 어떤 정보를 제공해야 하는가
(Deployer)는 고위험 을 실제 업무에 사용하는 주체입니다.
| 고위험 AI의 투명성 확보 | 고위험 AI는 가 출력을 해석하고 적절하게 사용할 수 있을 정도로 투명하게 설계·개발해야 합니다.Article 13(1) |
|---|---|
| 제공 | 공급자는 에게 이해하기 쉽고 접근 가능한 를 제공해야 합니다.Article 13(2) |
| 사용목적과 성능 한계 안내 | AI의 , 정확성, 견고성, 사이버보안 수준, 성능상 한계 및 예상 가능한 을 안내해야 합니다.Article 13(3)(b) |
| 인간 감독 정보 제공 | 가 AI를 효과적으로 감독할 수 있도록 필요한 감독수단과 조치에 관한 정보를 제공해야 합니다.Article 13(3)(d) |
| 유지관리·로그 정보 제공 | 관련되는 경우 필요한 계산·하드웨어 자원, 예상 수명, 유지관리, 로그 수집·저장·해석 방법 등을 안내해야 합니다.Article 13(3)(e)Article 13(3)(f) |
특정 의 투명성 의무는 누구에게 어떻게 적용되는가
(Deepfake)는 실제 인물·사물·장소·사건처럼 보이도록 AI로 생성하거나 조작한 이미지·음성·영상입니다.
AI와의 상호작용 고지
사람이 AI와 직접 대화하거나 상호작용하는 경우, 공급자는 상대방이 AI와 상호작용 중임을 알 수 있도록 설계해야 합니다. 다만 상황상 명백한 경우 등 법정 예외가 있습니다.
Article 50(1)AI 생성 콘텐츠의 기계판독 표시
합성 이미지·음성·영상·텍스트를 생성하는 AI의 공급자는 해당 출력이 AI 생성·조작물임을 기계가 판독할 수 있는 형식으로 표시하고 탐지 가능하도록 해야 합니다.
Article 50(2)공익 관련 AI 생성 텍스트
공익 사안에 관해 대중에게 정보를 제공할 목적으로 공개되는 AI 생성·조작 텍스트는 그 사실을 공개해야 합니다. 단, 인간의 편집·검토와 편집책임 등 법정 예외가 있습니다.
Article 50(4)공급자· 공통 사항
(GPAI)은 무엇이고, 모델은 어떻게 정해지는가
(Systemic Risk)은 영향력이 큰 이 EU 전반에 광범위한 부정적 영향을 미칠 수 있는 입니다. FLOPs는 AI 학습에 쓰인 연산량을 세는 단위입니다.
의 분류
을 갖추거나, EU 집행위원회가 동등한 능력·영향력을 인정한 GPAI 모델은 모델로 분류됩니다.
Article 51(1)학습에 사용된 누적 연산량이 1025 FLOPs를 초과하면 을 가진 것으로 추정합니다.
Article 51(2)Article 51(1)(a) 조건을 충족하거나 충족할 것으로 알려진 경우, 공급자는 지체 없이, 늦어도 2주 이내에 집행위원회에 통지해야 합니다.
Article 52(1)| 정량기준 외 지정 | 연산량 기준을 충족하지 않더라도 Annex XIII 기준에 따라 집행위원회가 모델로 지정할 수 있습니다.Article 51(1)(b)Article 52(4)Annex XIII |
|---|---|
| 예외적 반박 가능성 | 높은 영향력 기준을 충족해도 모델 특성상 이 없다는 충분한 근거를 제출할 수 있습니다. 단, 집행위원회가 이를 받아들여야 합니다.Article 52(2)Article 52(3) |
(GPAI) 공급자는 어떤 의무를 지는가
(Authorised Representative)은 EU 역외 공급자를 대신해 EU 안에서 의무 이행을 맡는 주체입니다.
기본 의무
GPAI 모델을 제품·서비스에 통합하는 다른 공급자가 모델의 기능과 한계를 이해하고 법적 의무를 이행할 수 있도록 정보를 제공해야 합니다.
Article 53(1)(b)Annex XII오픈소스 모델 예외
법정 요건을 충족하는 무료·오픈소스 GPAI 모델은 Article 53(1)(a)·(b)의 일부 문서 의무가 면제됩니다. 저작권 정책과 학습 콘텐츠 요약 의무까지 자동 면제되지는 않습니다.
Article 53(2)협조와 준수 입증
이 공표되기 전에는 Article 56의 행동규범을 활용해 준수를 입증할 수 있으며, 다른 적절한 입증방법도 가능합니다.
Article 53(4)Article 56EU 역외 공급자
EU 역외 GPAI 모델 공급자는 원칙적으로 EU 내 을 지정해야 합니다. 일정한 무료·오픈소스 모델에는 예외가 있습니다.
Article 54(1)Article 54(6)Post-Market(출시 후)·사고·변경관리
고위험 AI의 출시 후 모니터링은 어떻게 운영하는가
출시 후 모니터링(Post-Market Monitoring)은 AI를 시장에 내놓은 뒤에도 실제 성능과 을 계속 확인하는 활동입니다.
기존 제품 모니터링체계 활용
Annex I Section A의 제품안전 법령에 따른 기존 모니터링체계가 있다면 동등한 보호수준을 확보하는 조건으로 AI Act 요구사항을 통합할 수 있습니다.
Article 72(4)고위험 AI의 는 무엇을 말하는가
의 사고 또는 오작동이 사망, 중대한 건강피해, 특정 의 중대한 장애, 기본권 침해 또는 중대한 재산·환경 피해 등 법정 결과를 초래한 경우를 의미합니다.
Article 3(49)고위험 AI의 는 언제까지 보고해야 하는가
EU 시장에 출시된 고위험 AI의 공급자는 를 사고 발생 회원국의 에 보고해야 합니다.
Article 73(1)AI와 사고 사이의 인과관계 또는 합리적인 인과 가능성이 확인되면 즉시 보고해야 하며, 원칙적으로 사고 인지 후 최대 15일을 넘길 수 없습니다.
Article 73(2)초기보고와 최종보고
기한을 지키기 위해 필요한 경우 불완전한 초기보고서를 먼저 제출하고 이후 완전한 보고서를 제출할 수 있습니다.
Article 73(5)를 보고한 뒤 공급자는 무엇을 해야 하는가
다른 EU 법령과의 보고 조정
동등한 사고보고 의무가 있는 특정 Annex III 고위험 AI 또는 EU MDR·IVDR 관련 의료기기 AI에는 Article 73(9)~(10)의 별도 보고범위 규칙이 적용됩니다.
Article 73(9)Article 73(10)고위험 AI의 변경은 어떻게 관리하는가
(Substantial Modification)은 최초 에서 예정하지 않은 변경으로 규제 준수나 사용목적에 영향을 주는 변경입니다.
의 정의
출시 또는 후 발생한 변경 중, 최초 에서 예정·평가되지 않았고 규제 준수에 영향을 주거나 평가된 사용목적을 변경하는 경우를 의미합니다.
Article 3(23)사전에 예정된 지속학습 변경
최초 적합성 평가 때 공급자가 미리 정하고 기술문서에 포함한 지속학습에 따른 변경은 Article 43(4)의 조건에 따라 중대한 변경으로 보지 않습니다.
Article 43(4)Annex IV (2)(f)통지기관과의 변경관리
Annex VII 평가 대상인 경우 승인된 품질경영시스템이나 고위험 AI에 영향을 주는 변경에 대해 통지기관에 알리고 필요한 심사를 받아야 합니다.
Annex VII 3.4Annex VII 4.6다른 사업자가 고위험 AI를 중대하게 변경하거나 AI의 사용목적을 변경해 고위험 AI로 만드는 경우, Article 25의 조건에 따라 공급자로 간주될 수 있습니다.
Article 25(1)감독·집행·과징금
AI Act는 어떤 기관이 감독하는가
단일 연락창구(Single Point of Contact)는 회원국이 AI Act 관련 공식 연락과 협력을 한곳으로 모으기 위해 지정하는 창구입니다.
기술문서·정보 확인
시장 감시 당국은 법정 요건에 따라 공급자 등에게 기술문서, 적합성 관련 정보 및 필요한 자료를 요구할 수 있습니다.
Article 74(12)Article 74(13)제품안전 분야의 감독
의료기기·산업기계 등 다른 EU 제품안전 법령과 관련된 AI는 해당 제품법령의 시장감시체계와 AI Act의 관계를 함께 검토해야 합니다.
Article 74(3)AI Office의 역할
AI Office는 집행위원회 내에서 관련 감독·집행업무를 수행하고 회원국 감독기관 간 협력을 지원합니다.
Article 64Article 75Article 88European AI Board
회원국 간 규제 집행의 일관성을 높이고 자문·협력을 지원합니다. 개별 위반에 대해 모든 과징금을 직접 부과하는 기관은 아닙니다.
Article 65Article 66위험하거나 부적합한 AI에는 어떤 조치가 이루어지는가
추가로 조치 대상이 되는 경우
법적 요구사항을 충족한 AI라도 실제로 건강·안전·기본권 등에 을 초래하면 추가 시정조치 대상이 될 수 있습니다.
Article 82Annex III AI를 고위험이 아니라고 분류한 판단이 부적절한지 조사할 수 있으며, 고위험 분류 회피가 확인되면 과징금 문제가 발생할 수 있습니다.
Article 80AI Act 위반을 신고하거나 AI 결정에 설명을 요구할 수 있는가
AI Act를 위반하면 과징금은 얼마인가
금액은 최대 상한이며, 정액과 전 세계 직전 회계연도 매출액 비율 중 높은 금액이 기준입니다. 단계를 선택하면 아래에 내용이 표시됩니다.
허위·불완전·오해 유발 정보
또는 의 요청에 부정확하거나 불완전하거나 오해를 유발하는 정보를 제공하면 최대 750만 유로 또는 매출액의 1% 기준이 적용됩니다.
Article 99(5)과징금 상한은 어떻게 조정되고 산정되는가
SMC(Small Mid-Cap)는 보다 크지만 대기업보다는 작은 입니다.
| ·스타트업 감경 상한 | 과 스타트업은 Article 99(3)~(5)의 정액과 매출액 비율 중 낮은 금액을 상한으로 적용합니다.Article 99(6) |
|---|---|
| (SMC) 특례 | 2026년 개정으로 SMC에는 Article 99(4)·(5)의 제재에 한해 낮은 금액 상한을 적용합니다.Article 99(6a) |
| 과징금 산정요소 | 위반의 성격·중대성·기간, 피해 규모, 기업 규모, 고의·과실, 당국 협조 및 피해 완화 노력 등을 고려합니다.Article 99(7) |
| 제재의 비례성 | 회원국은 실효성·비례성·억지력을 갖춘 제재체계를 마련해야 합니다. 경고나 비금전적 조치도 포함될 수 있습니다.Article 99(1) |
| 적법절차·불복권 | 제재 권한을 행사할 때 적절한 절차적 보호와 효과적인 사법적 구제수단을 보장해야 합니다.Article 99(10) |
EU 기관과 (GPAI) 공급자에게는 어떤 제재가 적용되는가
이행강제금은 명령을 이행할 때까지 일 단위로 부과하는 금전 제재입니다.
EU 기관의 금지 AI 위반
EU 기관·기구 등의 Article 5 위반에 대해서는 유럽개인정보보호감독관(EDPS)이 최대 150만 유로의 행정벌금을 부과할 수 있습니다.
Article 100(1)Article 100(2)GPAI 공급자 위반
집행위원회는 GPAI 모델 공급자의 고의·과실에 따른 관련 의무 위반에 최대 전 세계 매출액의 3% 또는 1,500만 유로 중 높은 금액의 벌금을 부과할 수 있습니다.
Article 101(1)GPAI 정보제공 거부
Article 91에 따른 자료·정보 요구에 불응하거나 허위·불완전한 정보를 제공하면 Article 101의 제재 대상이 될 수 있습니다.
Article 101(1)(b)AI Office 일일 이행강제금
Article 75(1)의 직접 감독 대상 사업자가 조사·명령 등을 이행하도록 강제하기 위해, 해당되는 경우 법정 산식에 따른 일일 이행강제금을 부과할 수 있습니다.
Article 75c(5)AI Act의 의무와 제재는 언제부터 적용되는가
Chapter V의 범용 AI 모델 의무는 원칙적으로 2025년 8월 2일부터 적용되며, 기존 모델에는 경과규정이 있습니다.
Article 111(3)Article 113(b)Article 6(2) 및 Annex III 기반 고위험 AI의 Chapter III Section 1~3 의무는 2027년 12월 2일부터 적용됩니다.
Article 113(c)(i)Article 6(1) 및 Annex I 제품안전 연계 고위험 AI의 해당 의무는 2028년 8월 2일부터 적용됩니다.
Article 113(c)(ii)제재의 실제 적용 판단
제재 규정이 시행 중이어도 해당 위반의 기초가 되는 개별 의무가 아직 적용되지 않았다면 그 의무 위반을 전제로 과징금을 부과할 수 없습니다.
Article 99Article 101Article 113