| 제목 | [이슈리포트] 2024-35-[EU] 유럽연합 집행위원회, 범용 AI 실천 강령의 첫 번째 초안 발표(이철남) | ||||||
|---|---|---|---|---|---|---|---|
| 담당부서 | 국제통상협력팀 손휘용(0557920089) | 등록일 | 2024-12-17 | ||||
| 첨부문서 |
[이슈리포트] 2024-35-[EU] 유럽연합 집행위원회, 범용 AI 실천 강령의 첫 번째 초안 발표(이철남).pdf
미리보기 |
||||||
|
[EU] 유럽연합 집행위원회, 범용 AI 실천 강령의 첫 번째 초안 발표 충남대학교 법학전문대학원 교수 이철남
2024년 3월 유럽의회(European Parliament)를 통과하고 8월 발효된 EU AI법(EU AI Act)은 범용(General-Purpose) AI 모델의 제공자에 대한 의무사항들을 규정하고 있으며, EU AI 사무소(AI Office)가 2025년 5월 2일까지 범용 AI 실천 강령(Code of Practice)을 준비할 것을 요청하고 있다. 이에 따라 AI 사무소는 2024년 11월 14일 외부 독립 전문가들에 의해 작성된 범용 AI 실천 강령의 첫 번째 초안(First Draft General-Purpose AI Code of Practice, 이하 ‘초안’)을 발표했다. 이 초안은 4개의 실무 그룹(Working Group)을 통해 작성되었으며, 430여 건의 이해관계자 의견, 범용 AI 모델 제공자 워크숍 의견, 국제적 접근 방식 및 해외 사례, 그리고 EU의 AI법을 기반으로 작성되었다. 특히 연합 원칙 및 가치 준수, AI법 및 국제적 접근 방식과의 일관성, 위험에 대한 비례성, 제공자 규모 및 역량에 대한 비례성, AI 안전 생태계 지원 및 성장, 미래 대비라는 6가지 주요 원칙을 고려하였다. 초안에서는 범용 AI 모델과 시스템적 위험을 가진 범용 AI 모델 제공자를 위한 실천 강령(안)을 제시한다. 실천 강령과 관련하여, EU AI법은 범용 AI 모델 제공자에게 다음과 같은 4가지 핵심 의무를 부과한다. 첫째, 범용 AI 모델 제공자는 모델의 학습 및 테스트 프로세스, 평가 결과 등을 포함하는 기술 문서를 작성하고 최신 상태로 유지해야 한다. 이 문서는 AI 사무소 및 국가 관할 기관의 요청 시 제공되어야 한다. 기술 문서에는 최소한 Annex XI에 명시된 정보가 포함되어야 한다. 둘째, AI 시스템 제공자가 범용 AI 모델을 자신의 AI 시스템에 통합하려는 경우, 범용 AI 모델 제공자는 AI 시스템 제공자에게 정보와 문서를 제공해야 한다. 제공되는 정보와 문서는 AI 시스템 제공자가 범용 AI 모델의 기능과 한계를 잘 이해하고, EU AI법에 따른 의무를 준수할 수 있도록 하는 데 필요한 내용이어야 한다. 최소한 Annex XII에 명시된 요소들을 포함해야 한다. 단, 지식재산권 및 영업 비밀 보호에 관한 EU 및 회원국 법률에 따라 지식재산권 및 기밀 사업 정보 또는 영업 비밀을 준수해야 한다. 즉, 정보 제공 의무가 지식재산권 등의 보호 필요성을 침해하여서는 안된다. 셋째, 범용 AI 모델 제공자는 EU 저작권법 및 관련 권리를 준수하기 위한 정책을 수립해야 한다. 특히 Directive (EU) 2019/790 4조 3항에 따라 권리 보유자가 표현한 권리 유보를 식별하고 준수해야 한다. 이때 최신 기술을 포함한 모든 기술적 수단을 활용해야 한다. 넷째, 범용 AI 모델 제공자는 모델의 학습에 사용된 콘텐츠에 대한 충분히 자세한 요약문을 작성하여 공개해야 한다. 요약문 작성 시 AI 사무소에서 제공하는 템플릿을 따라야 한다. 한편, EU AI법은 시스템적 위험을 가진 범용 AI 모델 제공자에게 추가적으로 시스템적 위험을 식별하고 완화하기 위해 모델에 대한 적대적 테스트를 수행하고 문서화하는 등의 의무사항을 부과하는데, 초안에는 위험 식별 및 평가, 기술적 위험 완화, 거버넌스 위험 완화에 관한 내용을 담고 있다. 다만, 초안은 시스템적 위험을 가진 범용 AI 모델과 그 제공자의 수가 적을 것이라는 가정하에 작성되었으며, 저작권 쟁점과는 관련성이 적으므로, 이하에서는 범용 AI 모델 제공자의 의무사항을 중심으로 살펴본다.
(1) 투명성 관련 조치 EU AI법은 범용 AI 모델 제공자에게 투명성 관련 의무사항을 부과하면서 AI 모델 관련 정보 또는 문서를 AI 사무소 및 관할 당국 또는 다운스트림 제공자에게 제공할 것을 요구한다. 이와 관련하여 초안은 다음과 같은 두 개의 조치(Measure)를 규정하고 있다. - 조치 1. AI 사무소를 위한 문서화 서명자는 요청 시 AI 사무소 및 국가 관할 기관에 제공하기 위해 아래와 같이 명시된 모델의 기술 문서를 작성하고 최신 상태로 유지하기로 약속한다. 서명자는 나열된 정보의 전부 또는 일부를 공개하여 공공 투명성을 높일 수 있는지 여부를 고려하는 것을 권장한다. - 조치 2. 다운스트림 제공자를 위한 문서화 서명자는 범용 AI 모델을 자신의 AI 시스템에 통합하려는 AI 시스템 제공자에게 아래와 같이 명시된 정보와 문서를 작성하고 최신 상태로 유지하며 제공하기로 약속한다. 서명자는 나열된 정보의 전부 또는 일부를 공개하여 공공 투명성을 높일 수 있는지 여부를 고려하는 것을 권장한다.
1) AI 사무소 및 다운스트림 제공자에게 모두 제공할 정보 ‣ 일반 정보 모델 이름, (바이너리 배포의 경우) 보안 해시 또는 (서비스의 경우) TLS/SSL 인증서를 통한 모델 출처 및 진위성 증거, 개발자 및 소유자의 사업체 이름, 모델 제품군 상표명, 제출된 각 모델 버전의 고유 이름 등 모델을 명확하게 식별하고 특성화하기 위해 범용 AI 모델 제공자 및 모델 자체에 대한 일반 정보를 자세히 설명해야 한다. ‣ 의도된 작업 및 통합가능한 AI 시스템의 유형 및 특성 의도된 작업과 제한되거나 금지된 작업에 대한 설명을 제공해야 한다. 이 설명에는 범용 AI 모델이 통합될 수 있는 AI 시스템의 유형과 특성, 그리고 해당되는 경우 고위험 AI 애플리케이션이 포함되어야 한다. ‣ 사용 허용 정책 제공자 간의 일반적인 관행을 기반으로 사용 허용 정책(Acceptable Use Policy, AUP)의 세부 정보를 제공해야 한다. 유효한 사용 허용 정책에는 최소한 부록에 정의된 필수 요소가 포함되어야 한다. 또한 최신 사용 허용 정책에 대한 URL을 공개해야 한다. ‣ 출시일 및 배포 방법 범용 AI 모델의 모든 배포 방법에 대한 최신 목록과 함께 출시일을 제공해야 하며, 최신 배포 방법에 대한 URL을 공개해야 한다. ‣ 아키텍처 및 매개변수의 수 모델 아키텍처, 모델 유형, 해당하는 경우 컨텍스트 크기, 모델 매개변수의 총 수, 추론 중에 활성화되는 매개변수의 수에 대한 설명을 제공해야 한다. ‣ 입력 및 출력의 양식과 형식 입력 및 출력 양식과 해당되는 경우 관련 컨텍스트 제한 사항을 자세히 설명해야 한다. ‣ 라이선스 제공자 간의 일반적인 관행을 기반으로 라이선스의 핵심 요소를 자세히 설명해야 한다. 여기에는 배포되는 자산(예: 데이터, 모델 가중치 등)에 대한 정보와 사용, 수정 및 배포 조건에 대한 라이선스 의무가 포함된다. 최신 라이선스에 대한 URL을 공개해야 한다. ‣ AI 시스템에 통합하기 위한 기술적 수단 범용 AI 모델을 AI 시스템에 적절하게 통합하는 데 필요한 기술 문서, 인프라 및 도구에 대해 자세히 설명해야 한다. 필수 소프트웨어 및/또는 하드웨어에 대한 버전이 있는 종속성을 공개해야 한다. ‣ 학습, 테스트 및 검증에 사용된 데이터에 대한 정보 데이터 획득 방법, 각 데이터 획득 방법에 대한 구체적인 정보(예: 웹 크롤링, 데이터 라이선스, 데이터 주석(annotation), 합성 생성 데이터, 사용자 데이터 등), 데이터 처리에 대한 세부 정보(예: 유해하거나 개인적인 데이터를 필터링하는지 여부 및 방법), 모델 학습/테스트/검증에 사용된 데이터에 대한 구체적인 정보(예: 다양한 데이터 소스에서 가져온 데이터의 비율, 학습, 테스트 및 검증 데이터의 주요 특징)를 자세히 설명해야 한다. 2) AI 사무소에게만 제공할 정보 ‣ 아키텍처 및 매개변수의 수 (공통적으로 제공해야 하는 정보와 함께 AI 사무소에는 추가로) 모델의 레이어 수와 유형을 포함하여 모델 아키텍처에 대한 자세한 내용을 제공해야 한다. ‣ 설계 사양 및 학습 프로세스 모델 학습의 핵심 요소(예: 학습 단계, 최적화되는 목표, 최적화 방법, 제약 조건 등), 설계 결정에 대한 관련 근거 및 가정, 기타 학습 세부 정보를 자세히 설명해야 한다. ‣ 학습, 테스트 및 검증에 사용된 데이터에 대한 정보 (공통적으로 제공해야 하는 정보와 함께 AI 사무소에는 추가로) 각 데이터 양식(예: 텍스트, 이미지, 비디오)에 대한 학습, 테스트 및 검증 데이터의 크기(데이터 포인트 수)와 데이터 소스의 부적합성 및 데이터의 편향을 감지하는 데 사용되는 방법을 추가로 자세히 설명해야 한다. ‣ 계산 리소스 모델을 학습하고 추론하는 데 사용되는 계산 리소스(예: 범용 AI 모델을 학습하고 추론하는 데 필요한 하드웨어 장치의 수와 유형, 학습 프로세스 기간, FLOPs 수)를 AI법 제97조에 따라 채택된 위임 법률과 일관되게 자세히 설명하여 비교 가능하고 검증 가능한 문서를 허용하기 위한 측정 및 계산 방법론을 자세히 설명해야 한다. ‣ 에너지 소비량 에너지 소비량을 평가하기 위해 사용하는 정보와 방법론(예: 하드웨어 제공업체, 하드웨어와 관련된 위치 및 에너지원, 소비된 에너지, 예상 배출량)을 AI 법 제97조에 따라 채택된 위임 법률과 일관되게 자세히 설명하여 비교 가능하고 검증 가능한 문서를 허용하기 위한 측정 및 계산 방법론을 자세히 설명해야 한다. ‣ 테스트 프로세스 및 그 결과 테스트를 수행하지 않은 경우를 포함하여 범용 AI 모델에 대해 수행하는 테스트 프로세스를 자세히 설명해야 한다. 이러한 세부 정보에는 적절한 해석을 보장하기 위해 수행된 테스트에 대한 설명과 이러한 테스트의 결과가 포함되어야 한다. 3) 다운스트림 제공자에게만 제공할 정보 ‣ 모델과 외부 하드웨어 또는 소프트웨어의 상호 작용 모델이 하드웨어 및 소프트웨어와 어떻게 상호 작용하는지에 대한 문서를 제공하고, 어떤 하드웨어와 소프트웨어가 모델에 포함되지 않는지 명시해야 한다. 필수 소프트웨어 및/또는 하드웨어에 대한 버전이 있는 종속성을 공개해야 한다. ‣ 해당되는 경우 관련 소프트웨어 버전 범용 AI 모델을 사용하는 데 필요한 관련 소프트웨어 버전에 대한 세부 정보를 제공해야 한다. 필수 소프트웨어에 대한 버전이 있는 종속성을 공개해야 한다. (2) 저작권 관련 조치 EU AI법은 범용 AI 모델 제공자에게 저작권에 관한 의무를 부과하는데, 이와 관련하여 초안은 다음과 같은 세 개의 조치를 규정하였다. - 조치 3. 저작권 정책 시행 서명자는 저작권 및 인접권에 대한 유럽연합 법률을 준수하기 위한 정책을 시행하기로 약속한다. - 조치 4. TDM 예외의 제한 준수 서명자가 범용 AI 모델 개발을 위해 지침 (EU) 2019/790 제2조(2)에 따라 텍스트 및 데이터 마이닝을 하는 경우, 저작권으로 보호되는 콘텐츠에 대한 합법적인 액세스 권한이 있는지 확인하고 지침 (EU) 2019/790 제4조(3)에 따라 표현된 권리 유보(Opt-out)를 식별하고 준수하기로 약속한다. 조치 5. 투명성 서명자는 저작권 및 관련 권리에 대한 유럽연합 법률을 준수하기 위해 채택하는 조치에 대해 적절한 투명성을 유지하기로 약속한다. 1) 저작권 정책 시행 관련 조치 저작권 등을 준수하기 위한 정책과 관련한 하위 조치(Sub-Measure)는 다음과 같다. 첫째, 저작권 및 관련 권리에 대한 유럽연합 법률을 준수하기 위한 내부 정책을 수립하고 이행한다. 이 정책은 본 강령의 적용을 받는 모든 범용 AI 모델의 전체 수명 주기를 포함한다. 범용 AI 모델의 수정 또는 미세 조정의 경우, 범용 AI 모델 제공자에 대한 의무는 AI 사무소에서 제공하는 지침에 따라 (새로운 학습데이터 소스를 포함한) 해당 수정 또는 미세 조정에만 관련된다. 둘째, 범용 AI 모델 개발을 위한 데이터세트 사용에 대해 제3자와 계약을 체결하기 전에 합리적인 저작권 실사를 수행한다. 특히, 제3자가 최첨단 기술을 통해 지침 (EU) 2019/790 제4조(3)에 따라 표현된 권리 유보를 어떻게 식별하고 준수했는지에 대한 정보를 제3자에게 요청할 것을 권고한다. 셋째, 범용 AI 모델이 통합된 다운스트림 시스템 또는 애플리케이션이 저작권을 침해하는 결과물을 생성할 위험을 완화하기 위해 합리적인 다운스트림 저작권 조치를 이행한다. 다운스트림 저작권 정책은 자체 범용 AI 모델을 자체 AI 시스템에 수직적으로 통합하는지 또는 계약 관계에 따라 범용 AI 모델을 제3자에게 제공하는지 여부를 고려해야 한다. 특히, 범용 AI 모델의 과적합(overfitting)을 피하고, 기존 저작물과 동일하거나 유사한 결과물의 반복적인 생성을 방지하기 위한 적절한 조치를 취하겠다는 약속을 계약 조항에 포함시킬 것을 권장한다. 이 조치는 중소기업에는 적용되지 않는다. 2) TDM 관련 조치 TDM과 관련된 조치, 특히 권리 유보(Opt-out)을 식별하고 준수하기 위한 하위 조치(Sub-Measure)는 다음과 같다. 첫째, 로봇배제 프로토콜(robots.txt)에 따라 표현된 지침을 읽고 따르는 크롤러만 사용한다. 둘째, 규정 (EU) 2022/2065 제3조(j)에 정의된 온라인 검색 엔진을 제공하거나 해당 제공자를 제어하는 경우 로봇 배제 프로토콜에 따라 표현된 크롤러 제외가 검색 엔진에서 콘텐츠의 검색 가능성에 부정적인 영향을 미치지 않도록 적절한 조치를 취한다. 셋째, 온라인으로 공개된 콘텐츠의 경우 지침 (EU) 2019/790 제4조(3)에 따라 소스 및/또는 작업 수준에서 권리 유보를 표현하기 위해 널리 사용되는 기계 판독 가능 수단을 식별하고 준수하기 위해 널리 사용되는 산업 표준에 따라 최선을 다한다. 특히, 집계 수준(aggregate level)에서 권리 유보를 표현할 수 있는 널리 채택된 도구를 구현할 것을 권장한다. 넷째, 위원회의 초청에 따라 이해관계자들을 충분히 대표하는 기구 및 표준화 기구와 같은 기타 관련 이해관계자와 선의의 논의에 참여하여 지침 (EU) 2019/790 제4조(3)에 따라 권리 유보를 표현하고 해당 권리 유보를 식별하고 준수하기 위한 상호 운용가능한 기계 판독 가능 표준을 개발한다. 위원회는 회의를 소집하고 주재하며, 관련 이해관계자 및 범용 AI 제공자와의 협의 후 필요에 따라 제공자가 준수할 것으로 예상되는 최첨단 솔루션에 대한 정보를 발행할 수 있다. 이 조치는 중소기업에는 적용되지 않는다. 그러나 중소기업은 자발적으로 이러한 논의에 참여할 수 있다. 다섯째, 위원회의 위조 및 불법 복제 감시 목록(Commission Counterfeit and Piracy Watch List)에 나열된 웹사이트를 제외하는 등 크롤링 활동에서 불법 복제된 소스를 제외하기 위한 합리적인 조치를 취한다. 또한 관할 구역의 관련 공공 기관에서 게시한 유사한 제외 목록을 준수할 것을 권장한다. 3) 투명성 관련 조치 저작권 등의 법률 준수에 관한 투명성 유지에 관한 하위 조치(Sub-Measure)는 다음과 같다. 첫째, 가능한 많은 EU 시민이 널리 이해하는 언어로 지침 (EU) 2019/790 제4조(3)에 따라 표현된 권리 유보를 식별하고 준수하기 위해 채택하는 조치에 대한 적절한 정보를 공개한다. 해당 정보는 각 서명자의 웹사이트에서 쉽게 액세스할 수 있어야 하며 최신 상태로 유지되어야 한다. 둘째, 위의 조치에 따른 정보에는 최소한 본 강령의 적용을 받는 범용 AI 모델 개발을 위해 사용하는 모든 크롤러의 이름과 크롤링 시점을 포함한 관련 robots.txt 기능이 포함된다. 셋째, 권리 소유자가 전자적 수단을 통해 직접적이고 신속하게 소통할 수 있도록 단일 연락처를 지정할 것을 권장한다. 특히, 권리 소유자와 집단관리기구를 포함한 그들의 대리인이 범용 AI 모델 개발을 위해 자신의 저작물 또는 기타 보호 대상의 사용에 대한 불만을 제기하고 적절한 불만 처리 절차를 이행할 수 있도록 할 것을 권고한다. 넷째, 저작권 및 관련 권리에 대한 유럽연합 법률을 준수하기 위한 정책을 시행할 의무를 이행했는지 여부를 AI 사무소가 모니터링할 수 있도록 학습, 테스트 및 검증에 사용된 데이터 소스와 범용 AI 개발을 위해 보호된 콘텐츠에 액세스하고 사용할 수 있는 권한에 대한 정보를 작성하고 최신 상태로 유지하며 요청 시 AI 사무소에 제공한다.
초안은 아직 초기 단계이므로 개략적인 수준이며, 주로 강령의 기본 원칙과 몇 가지 조치를 제시하고 있다. 아직 첫 번째 초안일 뿐이며, 제안된 내용은 잠정적이며 변경될 수 있다. 앞으로 제안된 의견을 바탕으로 강령의 내용을 더욱 발전시키고 2025년 5월 1일까지 최종 형태를 만들 예정이다. 그런데, 초안에는 학습 콘텐츠 요약문의 공개에 관한 사항은 포함되지 않았다. EU AI법은 범용 AI 모델 제공자에게 학습 콘텐츠에 대한 충분히 자세한 요약문(a sufficiently detailed summary)을 작성하여 공개할 것을 요구하며, AI 사무소가 템플릿을 제공할 것을 규정하고 있다. 학습데이터의 저작권 침해에 관하여 다수의 소송들이 진행되고 있는 상황에서 저작권자 등 콘텐츠 권리자들의 입장에서 매우 중요한 사안이며, 이와 관련된 다양한 논의가 진행 중이다. 한편, EU AI법은 오픈소스 라이선스에 따라 공개된 AI 모델 제공자는 투명성에 관한 의무사항을 일부 면제하고 있다. 오픈소스 모델은 일반적으로 투명성과 접근성이 높기 때문에 별도의 기술 문서나 정보 제공 없이도 사용자가 모델의 기능과 한계를 이해할 수 있다고 간주되기 때문이다. 그러나 시스템적 위험을 초래할 수 있는 모델은 예외가 아니므로, 이러한 모델 제공자는 여전히 관련 의무를 준수해야 한다. 적용 대상이 되는 AI 모델은 모델 접근, 사용, 수정 및 배포를 허용하고 모델의 매개변수(가중치, 모델 아키텍처 정보, 모델 사용 정보 포함)를 공개적으로 이용가능하게 하는 자유/오픈소스 라이선스에 따라 공개된 것이다. 이와 관련하여 OSI를 중심으로 최근 오픈소스 AI의 정의에 관한 논의가 진행되었고, 2024년 10월 오픈소스 AI 정의 1.0을 발표하였다. 이 정의에 의하면 오픈소스 AI는 사용, 연구, 수정 및 공유할 수 있는 자유를 부여하는 조건과 방식으로 제공되는 AI 시스템이며, 이러한 자유를 행사하기 위한 전제 조건은 시스템을 수정하기 위한 선호되는 형태에 접근할 수 있는 것이어야 한다. 특히 머신러닝 시스템을 수정하기 위한 선호되는 형태로는 데이터 정보, 코드, 매개변수가 적합하며, 이들 정보에 대한 투명성 요구사항들이 정의되어 있다. 머신러닝 시스템의 경우, AI 모델은 모델 아키텍처, 모델 매개변수(가중치 포함) 및 모델 실행을 위한 추론 코드로 구성된다. AI 가중치는 주어진 입력에서 출력을 생성하기 위해 모델 아키텍처에 덮어씌워진 학습된 매개변수 집합이다. 머신러닝 시스템을 수정하기 위한 선호되는 형태는 이러한 개별 구성 요소에도 적용된다. "오픈소스 모델"과 "오픈소스 가중치"에는 해당 매개변수를 도출하는 데 사용된 데이터 정보와 코드가 포함되어야 한다. 오픈소스 AI 정의는 모든 사람이 모델 매개변수를 자유롭게 사용할 수 있도록 보장하는 특정 법적 메커니즘을 요구하지 않는다. 본질적으로 자유로울 수도 있고, 자유를 보장하기 위해 라이선스 또는 기타 법적 도구가 필요할 수도 있다. 오픈소스 AI 정의에서 요구되는 조건들은 EU AI법의 투명성 요구와 맥락이 닿아있고, 향후 EU의 논의과정에도 상당한 영향을 미칠 것으로 예상된다.
➢ First Draft General-Purpose AI Code of Practice ➢ The Open Source AI Definition – 1.0 (https://opensource.org/ai/open-source-ai-definition) ➢ Sufciently detailed? A proposal for implementing the AI Act’s training data transparency requirement for GPAI ➢ Recommendation of the Council on Artificial Intelligence OECD/LEGAL/0449, Organization for Economic and Co-operation Development (OECD), 2024 ➢ Explanatory memorandum on the updated OECD definition of an AI system, OECD Artificial Intelligence Papers, No. 8, OECD Publishing, Paris
|
|||||||