규제 지형 / 3
누가 펜을 쥐었나. EU는 이 질문에 가장 적극적으로 답하는 중이다.
EU AI Act는 2024년 3월 의회 채택, 8월 1일 발효를 거쳐 단계적으로 적용되고 있다. 2025년 2월에는 사회 점수 같은 unacceptable risk(허용 불가 위험) 시스템이 시장에서 퇴출됐고, 8월에는 범용 AI(GPAI — General-Purpose AI, 다용도 기반 모델) 제공자에게 학습 데이터 요약과 저작권 정책 공개 의무가 부과됐다. 2026년 5월 현재는 고위험 시스템(의료기기·채용·신용평가·사법 보조 등 Annex III 8개 영역)의 적합성 평가가 본격화되는 단계다. 위반 시 과징금은 전 세계 매출의 7% 또는 €35M 가운데 높은 쪽으로, GDPR(개인정보보호법)의 4%보다 무겁다.
단 절차적 보호와 책임 귀속은 다른 문제다. AI Act는 인간 감독, 투명성, 위험 관리 의무를 요구하지만, 모델이 잘못된 권고를 내고 사용자가 그것을 따랐을 때 손해 배상의 흐름이 어디로 가는지는 회원국 민사법 영역으로 다시 던져진다. Mata v. Avianca의 판단은 검증 의무가 사용자(변호사)에게 있다고 못 박았다. 단 그 변호사가 권고를 검증할 도구를 갖지 못했다면, 책임을 사용자에게만 묻는 것이 정의로운가. 책임 공백은 좁아졌으되 사라지지는 않았다.
책임 공백은 좁아졌으되 사라지지는 않았다.