데일리연합 (SNSJTV) 박용준 기자 | 유럽연합이 인공지능 생성물과 인공지능 시스템의 작동 사실을 이용자에게 알리도록 하는 투명성 의무를 본격 시행했다.

 

유럽연합 집행위원회는 지난 7월 20일 인공지능법 제50조의 적용 범위를 구체화한 최종 가이드라인을 공개했다. 관련 의무는 8월 2일부터 적용됐다.

 

이번 규제는 유럽연합에 법인을 둔 기업에만 한정되지 않는다. 한국 기업이 제공하거나 활용한 인공지능 시스템과 생성물이 유럽연합 시장에서 사용될 것으로 합리적으로 예상됐다면 규제 대상이 될 수 있다.

 

유럽연합은 인공지능 시스템을 자체 이름이나 상표로 시장에 출시하는 주체를 공급자로 규정했다. 인공지능 시스템을 업무나 서비스에 사용하는 기업과 기관은 배포자로 구분했다.

 

공급자와 배포자는 인공지능 가치사슬에서 맡은 역할에 따라 서로 다른 투명성 의무를 부담한다. 인공지능 모델을 개발하지 않았더라도 광고와 홍보물, 기사, 영상 등에 생성형 인공지능을 직접 활용했다면 배포자 책임이 발생할 수 있다.

 

챗봇은 첫 대화부터 AI 고지

 

챗봇과 인공지능 상담원, 가상 비서, 인공지능 에이전트 등 이용자와 직접 상호작용하는 시스템은 첫 대화나 첫 접촉 단계에서 인공지능과 소통하고 있다는 사실을 알려야 한다.

 

고지는 이용자가 쉽게 알아볼 수 있는 방식으로 제공해야 한다. 서비스 약관이나 개인정보처리방침 안에만 관련 내용을 넣어 이용자가 인식하기 어렵게 만드는 방식은 충분한 고지로 인정받기 어렵다.

 

다만 이용자가 상황과 사용 맥락을 고려해 인공지능 시스템이라는 사실을 명백하게 알 수 있는 경우에는 별도 고지 의무가 적용되지 않을 수 있다. 범죄 예방이나 수사처럼 법률에 따라 허용된 인공지능 시스템에도 제한적인 예외가 적용된다. (유럽연합 인공지능법 제50조 제1항)

 

생성형 인공지능 공급자는 인공지능이 만든 이미지와 음성, 영상, 글 등 합성 콘텐츠에 기계가 읽을 수 있는 표시를 넣어야 한다.

 

표시는 상호운용성과 견고성, 신뢰성, 기술적 실현 가능성을 갖춰야 한다. 디지털 워터마크와 메타데이터, 콘텐츠 출처 인증 기술 등이 활용될 수 있다.

 

공급자는 표시를 넣는 데 그치지 않고 이를 탐지할 수 있는 수단도 제공해야 한다. 파일 내부에 기계 판독 정보를 삽입했지만 이용자나 유통사업자가 이를 확인할 방법이 없다면 의무 이행이 불충분하다고 판단될 수 있다. (유럽연합 인공지능법 제50조 제2항)

 

딥페이크는 눈에 보이도록 별도 표시

 

인공지능 생성물을 공개하거나 유통하는 배포자는 공급자가 삽입한 기계 판독 표시와 별도로 이용자가 알아볼 수 있는 고지를 해야 한다.

 

실제 인물과 사물, 장소, 단체 또는 사건을 닮도록 생성하거나 조작해 진짜처럼 오인하게 할 수 있는 딥페이크가 대표적인 표시 대상이다.

 

유명인의 얼굴을 합성한 광고와 실제 인물의 목소리를 복제한 영상, 정치인이 하지 않은 발언을 한 것처럼 꾸민 콘텐츠 등이 포함된다. 반면 실제 인물이나 사건과 관련이 없는 완전한 가상 캐릭터와 상상 속 풍경은 딥페이크로 분류되지 않을 수 있다.

 

표시는 콘텐츠가 처음 노출되는 시점부터 명확하게 제공해야 한다. 영상 화면의 자막과 이미지 표식, 음성 안내 등 콘텐츠 형식에 적합한 방법을 사용할 수 있다. (유럽연합 인공지능법 제50조 제4항)

 

환경과 경제, 금융, 정치, 보건, 안전 등 공익에 관한 정보를 전달하기 위해 인공지능이 생성하거나 조작한 글도 표시 대상이다.

 

다만 사람이 내용을 실질적으로 검토하고 편집 책임을 맡은 경우에는 별도 표시 의무가 면제될 수 있다. 철자와 문법만 확인한 정도는 실질적인 인간 검토로 인정되기 어렵다.

 

언론사와 출판사, 기업 홍보부서가 생성형 인공지능으로 작성한 글을 공개할 때는 단순히 담당자의 이름을 기재하는 것만으로 충분하지 않다. 편집자가 사실관계와 논리, 표현을 실제로 검토하고 최종 결과물에 책임을 지는 내부 절차가 필요하다.

 

맞춤법·서식 교정과 AI 번역은 예외

 

최종 가이드라인은 맞춤법과 문법 교정, 문장부호 수정, 서식 변경처럼 원래 내용의 의미를 실질적으로 바꾸지 않는 표준 편집 작업을 표시 대상에서 제외했다.

 

인공지능을 이용한 번역도 원문의 의미와 정보를 변경하지 않는 표준 편집에 포함될 수 있다. 인공지능이 새로운 주장이나 사실, 해석을 추가했다면 단순 번역으로 보기 어려워 표시 의무가 다시 문제 될 수 있다.

 

예술과 창작, 풍자, 허구 작품에는 완화된 기준이 적용된다. 작품 감상이나 표현을 방해하지 않는 적절한 방식으로 생성·조작 사실을 알릴 수 있다.

 

매장이나 사업장에서 고객의 얼굴 표정과 목소리를 분석해 감정 상태를 추정하거나 얼굴 등 생체정보를 이용해 연령대와 성별 등을 분류할 때도 시스템 작동 사실을 고지해야 한다.

 

사업자가 해당 기술을 공급업체에서 구매했더라도 실제 고객을 대상으로 작동시킨다면 배포자로서 고지 책임을 부담할 수 있다. (유럽연합 인공지능법 제50조 제3항)

 

한국 기업도 EU 노출 예상했다면 적용

 

이번 가이드라인에서 한국 기업이 주목해야 할 부분은 역외 적용 기준이다.

 

유럽연합 밖에 있는 공급자의 인공지능 결과물이 현지에서 사용되면 원칙적으로 규제 적용 가능성이 생긴다. 다만 기업이 유럽연합에 인공지능 시스템이나 서비스를 공급하지 않았고, 제3자가 허가 없이 결과물을 가져가 유통했다면 공급자에게 표시 의무가 곧바로 발생하지 않을 수 있다.

 

결과물이 우발적으로 유럽연합에 유입됐거나 공급자가 합리적으로 예상하지 못한 방식으로 사용된 경우도 같은 판단을 받을 수 있다.

 

그러나 배포자가 생성물의 유럽연합 내 노출을 예상했다면 기준은 달라진다. 전 세계에서 접속할 수 있는 인터넷에 딥페이크를 공개하거나 유럽연합 이용자를 대상으로 한 온라인 광고에 유명인 합성 영상을 사용한 경우가 대표적이다.

 

한국 기업이 국내에서 제작한 인공지능 광고라도 유럽연합 소비자가 접속할 수 있는 웹사이트와 사회관계망서비스, 동영상 플랫폼에 공개했다면 적용 여부를 검토해야 한다.

 

지역 차단을 하지 않았다는 사실만으로 항상 규제 대상이 된다고 단정할 수는 없다. 다만 서비스 언어와 배송 지역, 광고 타기팅, 현지 이용자 비중 등을 종합할 때 유럽연합 내 이용이 예상됐다면 역외 기업도 규제에서 자유롭기 어렵다는 분석이다.

 

광고 대행사와 발주기업 책임 구분

 

인공지능 사용 방식에 실질적으로 관여한 주체가 배포자 책임을 진다.

 

기업이 광고 제작을 외부 대행사에 맡기고 인공지능 사용 여부나 제작 과정에 전혀 관여하지 않았다면 대행사가 배포자로 판단될 수 있다.

 

반대로 발주기업이 합성 대상과 표현 방식, 게시 채널, 노출 대상 등을 결정했다면 대행 계약을 체결했다는 이유만으로 책임을 피하기 어렵다.

 

기업이 인공지능 생성물의 제작과 유통을 관리한다면 계약서에 표시 기준을 반영하고, 게시 화면과 음성 안내를 통해 고지가 최종 이용자까지 유지되도록 해야 한다.

 

콘텐츠를 기술적으로 저장하거나 전달하는 호스팅 사업자와 온라인 플랫폼, 방송사는 단순 전달만으로 인공지능법상 배포자가 되지는 않는다.

 

다만 플랫폼이 생성 과정에 관여하거나 자체 인공지능 도구를 이용해 콘텐츠를 수정했다면 판단이 달라질 수 있다. 디지털서비스법과 저작권법, 개인정보보호법 등 다른 유럽연합 법령에 따른 책임도 별도로 적용된다.

 

기존 시스템은 12월 2일까지 일부 유예

 

2026년 8월 2일 이전 유럽연합 시장에 출시된 인공지능 시스템은 생성물의 기계 판독 표시와 탐지 기능에 한해 같은 해 12월 2일까지 준비 기간을 인정받는다.

 

유예는 공급자가 부담하는 표시·탐지 의무에 제한된다. 배포자가 공개하는 딥페이크와 공익 관련 인공지능 생성 글에 대한 이용자 고지 의무는 원칙적으로 8월 2일부터 적용된다.

 

다만 8월 2일 이전에 생성된 콘텐츠에는 표시 의무를 소급 적용하지 않는다는 것이 집행위원회의 공식 설명이다. 집행위원회는 법적 의무와 별개로 가능한 경우 기존 콘텐츠에도 자발적으로 표시할 것을 권고했다.

 

산업 현장에서 사용하는 인공지능 결과물도 자동으로 예외가 되지는 않는다. 엔지니어링 설계와 생산 공정 문서처럼 기술적 성격을 가진 결과물은 제한된 인력만 이용하고 외부 공개를 의도하지 않았다는 점이 확인돼야 한다.

 

권한별 접근 통제와 클라우드 격리 등 오용 방지 장치도 중요하다. 소비자에게 직접 제공하는 시스템과 콘텐츠는 내부 업무용 예외를 적용받기 어렵다.

 

위반 시 세계 매출 3% 과징금

 

집행은 유럽연합 회원국의 시장감시기관이 주로 담당한다. 유럽인공지능사무국은 범용 인공지능 모델과 시스템을 동일한 사업자가 제공하거나, 대규모 온라인 플랫폼 등에 통합된 일부 시스템을 감독한다.

 

규정을 위반하면 최대 1천500만유로 또는 직전 회계연도 전 세계 연간 매출의 3% 가운데 해당 기업에 적용되는 금액까지 과징금이 부과될 수 있다. 중소기업과 중견기업에는 비례성 원칙이 고려된다. (유럽연합 인공지능법 제99조)

 

유럽연합은 지난 6월 공개한 인공지능 생성 콘텐츠 투명성 행동규범을 준수 입증 수단으로 활용하고 있다. 집행위원회에 따르면 구글과 메타 등 180개 이상의 기업과 기관이 행동규범에 참여했다.

 

행동규범 참여는 자율적이다. 참여하지 않은 기업은 자체 표시와 탐지 체계가 인공지능법의 요구 수준과 동등하게 적절하다는 점을 감독기관에 입증해야 한다.

 

현지에서는 표시가 지나치게 확대될 경우 이용자가 경고 문구에 무감각해지는 이른바 표시 피로가 나타날 수 있다는 우려도 제기됐다.

 

영국 가디언은 유럽 컴퓨터·통신산업협회의 분석을 인용해 광고와 영화, 출판처럼 인공지능 사용 사실이 상대적으로 드러나지 않았던 분야에서 표시가 크게 늘어날 것으로 전망했다.

 

이번 규제는 인공지능 생성물의 제작 여부보다 누가 어떤 목적으로 만들고 어떻게 공개했는지를 중심으로 책임을 판단한다는 데 의미가 있다.

 

한국 기업은 챗봇 초기 화면과 인공지능 광고, 유명인 합성 영상, 공익 관련 글의 제작·검수 절차를 점검해야 한다. 외주 계약서에도 인공지능 사용 고지와 기계 판독 표시 유지, 법 위반 시 책임 분담 조항을 반영할 필요가 있다.

 

특히 언론·광고·콘텐츠 기업은 사람이 실질적으로 검토했다는 사실을 입증할 수 있도록 편집 기록과 승인 절차를 남겨야 한다. 유럽연합 시장을 직접 겨냥하지 않았더라도 온라인 콘텐츠의 접근 범위와 광고 노출 지역을 확인하는 대응이 요구된다.