EU AI Act GPAI 행동강령 최종본 확정 — 한국 서비스 영향 정리
유럽연합이 범용 AI(GPAI) 모델 제공자를 대상으로 한 행동강령(Code of Practice) 최종본을 공식 확정했다. 한국 기업이 EU 시장에 AI 기반 SaaS·API를 제공하거나 Claude·GPT·Gemini 등 GPAI 모델을 래핑해 서비스할 경우 준수 의무가 생길 수 있어, 국내 개발팀의 대응 검토가 시급하다.
GPAI 행동강령이란
EU AI Act(2024년 발효) 제56조에 따라 유럽 AI 사무소(AI Office)는 범용 AI 모델 제공자가 자율적으로 따를 수 있는 GPAI 행동강령을 마련했다. 2026년 9월 21일 최종본이 관보에 게재되며 공식 효력이 발생했다. 행동강령 준수는 법적 의무가 아닌 자율이지만, 미준수 시 규제 당국이 별도 의무를 부과할 수 있어 사실상 업계 표준으로 기능한다.
핵심 요건 요약
| 항목 | 내용 | |------|------| | 투명성 보고서 | 학습 데이터 출처·저작권 정책 공개, 연 1회 갱신 | | 저작권 준수 | EU 내 크롤링 데이터에 대해 opt-out 메커니즘 제공 의무 | | 시스템적 위험 모델 | 학습 연산량 10²⁵ FLOP 초과 모델은 레드팀 결과 AI Office 제출 | | 에너지 효율 | 추론 단계 에너지 소비량 측정·공개 권고 | | 다운스트림 제공자 계약 | API 재판매·래핑 시 최종 사용자 고지 의무 계약 조항 포함 |
한국 개발자·스타트업 체크리스트
한국 팀이 당장 검토해야 할 사항은 크게 세 가지다.
- 래핑 서비스 고지 의무: Claude·GPT·Gemini API를 사용해 EU 사용자에게 서비스하는 경우, 이용 약관에 "본 서비스는 ○○ GPAI 모델을 사용합니다"라는 고지 문구를 추가해야 한다.
- 데이터 처리 계약(DPA) 재검토: 학습 데이터 재사용 조항이 포함된 API 플랜 사용 여부를 확인하고, 필요 시 Zero Data Retention 옵션으로 전환을 검토한다.
- 에너지 소비 측정: SaaS 제품 대시보드에 추론 API 호출당 탄소 발자국 지표를 노출하는 것이 EU 고객 유치에 유리하다. AWS·GCP·Azure 모두 9월 현재 API 호출당 추정 탄소 배출량 메타데이터를 제공 중이다.
국내 AI 스타트업은 KISA(한국인터넷진흥원) 가 운영하는 'EU AI Act 대응 지원 프로그램'(2026년 하반기 신설)을 통해 법률·기술 컨설팅을 무료로 받을 수 있다. 신청은 KISA 공식 사이트에서 가능하다.