EU AI법 GPAI 실천규범 최종본 확정 — 한국 SaaS 수출기업 체크리스트

GPAI 실천규범이란

EU AI법(Regulation 2024/1689) 제56조에 따라 AI오피스(AI Office)가 주도한 GPAI 실천규범은 GPT-4o, Claude, Gemini 등 범용 AI 모델을 EU 내에서 배포하거나 이를 기반으로 서비스를 제공하는 모든 사업자에게 적용된다. 최종본은 초안 대비 다음이 변경됐다.

• 투명성 보고서 제출 주기: 연 1회 → 반기(6개월) 1회로 강화
• 저작권 학습 데이터 목록 공개 범위: 데이터셋 명칭·출처 URL 필수 기재
• 시스템적 위험 임계값: 학습 연산량 10²⁵ FLOP 이상 모델에 추가 레드팀 평가 의무

한국 기업에 미치는 직접 영향

EU에 법인이 없더라도 EU 내 사용자에게 AI 서비스를 유료 제공하면 역외 적용 대상이 된다. 한국 기업이 즉시 점검해야 할 세 가지:

1. 투명성 문서화: 서비스에 사용 중인 기반 모델(예: Claude Sonnet 4.6, GPT-4o 등)과 파인튜닝 여부를 이용약관·시스템카드에 명시
2. 저작권 정책: 학습 또는 RAG에 사용한 외부 데이터 출처 목록을 내부 문서로 보관 (감사 요청 시 30일 이내 제출 의무)
3. 위험 분류 자가진단: AI오피스 제공 온라인 자가진단 도구로 자사 서비스가 고위험(High-Risk) 또는 시스템적 위험(Systemic Risk) 범주에 해당하는지 확인

위반 시 제재는 전 세계 연간 매출의 최대 3% 또는 1,500만 유로 중 높은 금액이다.

실무 대응 로드맵

| 기한 | 조치 항목 | |---|---| | 2026-10-01 | 기반 모델 목록·버전 내부 레지스트리 구축 | | 2026-11-01 | 저작권 데이터 출처 문서 초안 완성 | | 2027-02-01 | 첫 번째 반기 투명성 보고서 제출 |

한국 과학기술정보통신부는 EU AI법 대응 가이드라인을 올해 4분기 중 배포할 예정이라고 밝혔다. 국내 법인 단계에서 미리 문서 체계를 갖추면 이후 추가 부담을 최소화할 수 있다.