오픈AI, EU ‘이중 규제’ 본격화

오픈AI가 유럽연합(EU)의 두 갈래 규제망에 동시에 들어왔다. 프런티어 인공지능(AI) 모델 자체의 위험은 AI법(AI Act), 챗GPT가 검색·정보유통 서비스로 만들어내는 위험은 디지털서비스법(DSA)의 규제 하에 있게 된다.

EU 집행위원회가 최근 챗GPT를 DSA상 ‘초대형 온라인 검색엔진(Very Large Online Search Engine·VLOSE)’으로 지정한 데 이어, 오픈AI의 AI 에이전트 통제 사고에 대한 사고보고서까지 받아 검토하면서 규제 범위가 모델 개발부터 실제 서비스 운영까지 넓어지고 있다.

두 규제는 적용 이유와 법적 근거가 다르다. 하지만 오픈AI는 AI 모델의 사이버 역량이나 통제 상실 같은 기술적 위험과 함께 검색 결과와 알고리즘 시스템이 사회에 미칠 영향까지 별도로 평가하고 관리해야 한다.

EU 집행위원회는 지난달 31일 챗GPT를 DSA상 VLOSE로 공식 지정했다. 같은 날 레딧과 로블록스도 각각 초대형 온라인 플랫폼(VLOP)으로 지정됐다.

DSA는 EU 내 월평균 활성 이용자가 4500만명 이상인 대규모 플랫폼과 검색엔진에 강화된 의무를 부과한다.

오픈AI가 DSA에 따라 공개한 자료에 따르면, 지난 3월 31일까지 6개월 동안 EU에서 챗GPT 검색 기능을 이용한 월평균 활성 이용자는 약 1억5910만명이다. EU 집행위의 VLOP·VLOSE 목록에도 오픈AI 아일랜드가 제공하는 챗GPT의 월평균 활성 이용자가 1억5910만명으로 기재돼 있다.

이번 지정에 따라 오픈AI는 지정 통보 후 4개월 이내인 2027년 1월까지 VLOSE에 추가로 적용되는 DSA 의무를 준수해야 한다.

핵심은 ‘시스템 위험’ 관리다. 챗GPT 서비스와 알고리즘 시스템에서 불법 콘텐츠가 확산될 위험뿐 아니라 미성년자와 이용자의 신체·정신적 안녕, 기본권, 선거 과정과 공공안전 등에 부정적인 영향을 미칠 가능성을 평가하고 이를 줄이기 위한 대책을 마련해야 한다.

내부 통제와 외부 검증 의무도 강화된다. VLOSE는 시스템 위험 관리를 담당하는 내부 컴플라이언스 기능을 갖추고 최소 연 1회 독립적인 외부감사를 받아야 한다. EU 집행위와 관련 당국에 데이터를 제공해야 하며, 일정한 요건을 충족해 승인을 받은 연구자에게도 시스템 위험 연구에 필요한 데이터 접근을 허용해야 한다.

DSA 위반이 최종적으로 확인될 경우 제재도 가능하다. EU 집행위는 위반의 성격과 중대성, 반복 여부와 기간 등에 따라 해당 사업자 전 세계 연간 매출의 최대 6%까지 과징금을 부과할 수 있다.

챗GPT라는 서비스가 DSA의 규제를 받는다면 오픈AI가 개발하는 범용 AI 모델은 AI Act의 규율 대상이다.

EU AI Act의 범용 AI(GPAI) 모델 관련 의무는 지난해 8월 2일부터 적용되기 시작했으며, EU 집행위의 관련 집행 권한도 지난달 2일부터 본격 적용되고 있다. 오픈AI는 EU의 ‘범용 AI 행동규범(GPAI Code of Practice)’에도 서명했다. 이 행동규범은 사업자가 AI Act상 의무 준수를 입증하는 데 활용할 수 있는 자율적인 준수 수단이다.

특히 ‘시스템적 위험’을 가진 고성능 범용 AI 모델에는 일반적인 GPAI보다 강한 의무가 적용된다.

사업자는 표준화된 평가와 적대적 테스트 등을 통해 모델을 평가하고 EU 차원에서 발생할 수 있는 시스템 위험을 지속적으로 분석·완화해야 한다. 중대 사고가 발생하면 관련 내용을 추적하고 문서화해 AI사무국과 필요한 경우 각국 감독기관에 보고해야 한다. 모델 자체와 이를 구동하는 물리적 인프라에 적절한 사이버보안 수준을 확보할 의무도 있다.

AI Act가 규정하는 시스템 위험에는 단순한 유해 콘텐츠 생성보다 훨씬 넓은 문제가 포함된다. 법령은 모델의 공격적 사이버 역량이 취약점 발견과 악용, 실제 공격 수행 능력을 높이는 경우를 비롯해 모델의 자율성과 도구 접근, 안전장치 우회, 인간의 의도와 어긋나는 통제 문제 등을 주요 위험 요인으로 들고 있다.

최근 발생한 오픈AI의 AI 에이전트 사고도 이 같은 규제 체계와 맞물리고 있다.

EU 집행위원회는 지난 7일 오픈AI로부터 독일 개발자용 위키 ‘DSEwiki’에서 발생한 AI 에이전트 사고와 관련한 사고보고서를 제출받았다고 확인했다. 해당 사건에서는 오픈AI의 AI 에이전트들이 외부 웹사이트를 사실상의 통신공간으로 사용하면서 다른 에이전트들과 정보를 공유하는 행동이 나타났다.

토마스 레니에 EU 집행위 대변인은 사고보고가 단순히 형식적인 절차에 그쳐서는 안 되며, 사업자가 어떤 대응 조치를 취할 것인지 정확하게 설명할 필요가 있다는 입장을 밝혔다. 집행위는 현재 보고서를 검토하면서 오픈AI와 접촉을 이어가고 있다.

다만 EU 집행위가 DSEwiki 사건을 AI Act상 ‘중대 사고(serious incident)’로 최종 판단했다고 단정할 단계는 아니다. 현재 공식적으로 확인된 것은 오픈AI가 사고보고서를 제출했고 집행위가 이를 검토하고 있다는 것이다.

EU는 AI Act상 중대 사고 보고를 위한 공식 제출 체계도 운영하고 있다. 시스템적 위험을 가진 GPAI 모델 사업자는 AI Act 제55조에 따라 중대 사고와 시정조치를 보고해야 하며, EU 집행위는 이를 위한 별도의 문서 제출 절차를 마련했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network