- Regulation (EU) 2024/1689 — Artificial Intelligence Act, Articles 22 and 54
- Regulation (EU) 2019/1020 — market surveillance
누가 지정해야 하는가
유럽 연합 외부에 설립된 제공자는 고위험 AI 시스템을 EU 시장에 배치하거나 그곳에서 서비스를 제공하기 전에 서면 위임을 통해 유럽 연합 내의 권한 있는 대리인을 지정해야 합니다. 일반 목적 AI 모델 제공자에게도 제54조에 따라 동일하게 적용됩니다. 유럽 연합에 설립된 배포자는 자체적으로 더 가벼운 의무를 집니다. 배포자는 고위험 시스템에 자신의 이름을 붙이거나, 이를 실질적으로 수정하거나, 고위험으로 변경되도록 의도된 목적을 변경하면 제공자가 됩니다 — 모든 의무가 부과됩니다.
기준과 면제
제5조의 금지된 관행은 모든 사람에게 적용되며, 기준이 없습니다. 권한 있는 대리인 의무는 고위험 시스템에 부여되며, 이는 부속서 I 제품 법률에 해당하거나 부속서 III에 나열된 시스템입니다: 생체 인식, 중요 인프라, 교육, 고용 및 근로자 관리, 신용 평가를 포함한 필수 서비스 접근, 법 집행, 이민 및 국경 통제, 사법 행정. 일반 목적 모델은 자체 체계를 가지며, 컴퓨팅 기준을 초과하는 시스템적 위험을 나타내는 모델에 대해 추가 의무가 있습니다.
라벨에 표시할 사항
대부분의 시스템에 대한 물리적 라벨이 아닙니다. 제공자의 이름, 상호 또는 상표 및 주소, 그리고 권한 있는 대리인의 이름과 주소는 시스템, 포장 또는 동반 문서 및 사용 설명서에 나타나야 합니다. 부속서 I에 따른 제품인 고위험 시스템은 CE 마크를 부착해야 합니다. 사람과 상호작용하는 시스템은 AI임을 공개해야 하며, 합성 콘텐츠는 기계 판독 가능한 형식으로 표시해야 합니다.
마켓플레이스 항목
아직 시장 필드는 없지만, EU 조달 설문지는 이미 제22조의 대리인이 누구인지, 시스템이 고위험으로 분류되는지, 투명성 의무가 어떻게 충족되는지를 묻고 있습니다. 기업 구매자는 계약 체결 전에 이를 점점 더 요구하고 있으며, 2026년 8월 마감일을 앞두고 있습니다.
보관해야 할 문서
부속서 IV에 따른 기술 문서, 10년 동안 보관. 생애 주기 전반에 걸친 위험 관리 시스템. 교육, 검증 및 테스트 데이터 세트를 포함하는 데이터 거버넌스 문서. 자동 생성된 로그. 배포자가 자신의 의무를 준수할 수 있도록 하는 사용 설명서. 품질 관리 시스템. EU 적합성 선언 및 부속서 III 시스템에 대한 EU 데이터베이스 등록. 일반 목적 모델의 경우, AI 사무소 및 하위 제공자를 위한 기술 문서, 저작권 정책, 교육 내용에 대한 충분히 상세한 공개 요약.
표준과 시험
대부분의 부속서 III 시스템에 대한 내부 통제를 기반으로 한 적합성 평가 또는 조화된 기준이 적용되지 않는 생체 인식 시스템에 대한 통지 기관을 통한 평가. 부속서 I 제품에 내장된 시스템은 해당 제품의 평가 경로를 따릅니다. 정확성, 견고성 및 사이버 보안은 테스트되어야 하며 수준이 선언되어야 합니다. 시장에 출시된 후에도 사후 시장 모니터링이 계속됩니다.
언어 요건
해당 국가의 배포자가 쉽게 이해할 수 있는 언어로 된 사용 설명서, 해당 국가가 결정합니다. 개인에게 투명성 공개는 그들이 합리적으로 이해할 수 있는 언어로 이루어져야 합니다.
언제부터 적용되는가
금지 사항 및 AI 문해력 의무는 2025년 2월 2일부터 적용됩니다. 일반 목적 모델 의무는 2025년 8월 2일부터 적용되며, 그 이전에 시장에 출시된 모델은 2027년 8월까지 유예됩니다. 부속서 III에 따른 고위험 의무는 2026년 8월 2일부터 적용됩니다. 부속서 I 규제 제품에 내장된 고위험 시스템은 2027년 8월 2일부터 적용됩니다.
문서 보관 기간
시스템이 시장에 출시된 후 10년 동안 기술 문서, 적합성 선언 및 품질 관리 문서를 보관해야 합니다. 다른 법률이 더 긴 기간을 요구하지 않는 한 최소 6개월 동안 로그를 보관해야 합니다. 권한 있는 대리인은 위임장 및 문서의 사본을 동일한 10년 동안 보관해야 하며 요청 시 이를 제출해야 합니다.
미준수 시 결과
금지된 관행에 대해 최대 €35 백만 또는 전 세계 연간 총 매출의 7%. 대부분의 다른 의무 위반에 대해 최대 €15 백만 또는 3%. 잘못되거나 불완전하거나 오해의 소지가 있는 정보를 제공하는 경우 최대 €7.5 백만 또는 1%. 시장 감시 당국은 시스템의 철수 또는 회수를 요구할 수도 있습니다.
집행 기관
각 회원국에 의해 지정된 국가 시장 감시 당국, 일반 목적 모델을 위한 AI 사무소, 유럽 인공지능 위원회 및 제3자 평가가 적용되는 통지 기관.
경계선
대부분의 비즈니스 소프트웨어는 고위험이 아니며, 분류는 기술이 아닌 사용에 따라 달라집니다: 동일한 모델이 한 배포에서는 저위험이고 다른 배포에서는 부속서 III 고위험일 수 있습니다. 챗봇은 투명성 의무만을 집니다. 그러나 구직자를 선별하거나 신용도를 평가하거나 공공 서비스 접근을 할당하는 데 사용되는 AI는 모델이 얼마나 단순하든 관계없이 고위험입니다. 권한 있는 대리인은 제공자가 규정을 위반하고 있다고 판단할 경우 위임을 종료할 수 있으며, 그 경우 당국에 통보해야 합니다 — 이는 GDPR 제27조에 동등한 의무가 없습니다.
자주 받는 질문
- 우리는 AI를 사용하지만 이를 구축하지 않습니다 — 우리는 제공자인가요?
- 보통 귀하는 배포자로, 더 가벼운 의무를 집니다. 고위험 시스템에 자신의 이름을 붙이거나, 이를 실질적으로 수정하거나, 고위험으로 변경되도록 의도된 목적을 변경하면 제공자가 됩니다.
- EU 외부에서 호스팅하는 모델에 AI 법이 적용되나요?
- 출력이 유럽 연합에서 사용되거나 시스템 또는 모델이 유럽 연합 시장에 배치되는 경우 적용됩니다. 서버의 물리적 위치는 기준이 아닙니다.
- 제27조 GDPR의 대리인으로 충분한가요?
- 아니요. 이들은 별도의 규정에 따른 별도의 임명으로, 서로 다른 의무와 서로 다른 문서가 필요합니다. 하나의 제공자가 두 가지를 모두 보유하는 경우에도 마찬가지입니다.