EU AI법 GPAI 실천 강령 최종본 확정 — 한국 서비스 영향 분석
유럽연합이 범용 AI(GPAI) 모델 제공자를 대상으로 한 '실천 강령(Code of Practice)' 최종본을 공식 채택했다. 학습 데이터 저작권 출처 공개, 시스템 카드 의무화, 레드팀 결과 EU AI Office 제출이 핵심이며 2026년 12월 2일부터 법적 효력이 발생한다. EU 사용자를 대상으로 API나 SaaS를 운영하는 한국 스타트업도 직접 적용 대상이 될 수 있어 준비가 시급하다.
최종 강령 3대 핵심 의무
-
학습 데이터 투명성: 10억 파라미터 이상 모델은 사전학습·파인튜닝에 사용된 데이터셋의 출처 목록과 저작권 라이선스 유형을 EU AI Office에 제출해야 한다. 영업비밀에 해당하는 세부 정보는 비공개 처리가 가능하나, 카테고리 수준 분류는 공개가 원칙이다.
-
시스템 카드 의무화: API로 제공되는 모든 GPAI 모델은 표준화된 시스템 카드(모델 능력·한계·평가 결과 포함)를 공개해야 한다. Anthropic의 모델 카드, OpenAI의 System Card 형식이 참고 템플릿으로 명시됐다.
-
레드팀 및 사이버보안 평가: 연산량
10²⁵ FLOP이상으로 학습된 모델은 연 1회 이상 독립 레드팀 평가를 실시하고 요약 보고서를 EU AI Office에 제출해야 한다. 제3자 감사 기관 인증도 권장 사항으로 포함됐다.
한국 기업·개발자 영향 범위
| 대상 | 의무 수준 | 준비 항목 | |---|---|---| | EU 법인 보유 스타트업 | 직접 적용 | 시스템 카드 작성, 데이터 출처 문서화 | | EU 사용자 대상 API 서비스 | 간접 적용 (다운스트림 배포자 규정) | 업스트림 제공자 계약 조항 확인 | | 국내 전용 서비스 | 현재 적용 외 | GDPR 연계 가능성 모니터링 권장 |
한국 스타트업이 OpenAI·Anthropic API를 활용해 EU 사용자에게 서비스를 제공하는 경우, '다운스트림 배포자(downstream deployer)'로 분류돼 일부 의무(사용자 고지, 시스템 카드 접근 보장)가 부과될 수 있다.
대응 체크리스트 (개발팀 기준)
- [ ] 서비스의 EU 사용자 비율 및 법인 구조 파악
- [ ] 사용 중인 기반 모델의 시스템 카드 URL 확보 및 서비스 약관에 링크 추가
- [ ] 학습 또는 파인튜닝에 사용한 데이터셋 출처 내부 문서화 착수
- [ ] 법무팀과 함께 다운스트림 배포자 해당 여부 검토
- [ ] 2026년 12월 2일 시행일 이전 시스템 카드 초안 완성 목표 설정
강령 전문은 EU AI Office 공식 사이트에서 무료로 내려받을 수 있으며, 한국어 비공식 번역본은 NIPA(정보통신산업진흥원)가 10월 중 배포할 예정이다.