EU 시장에 범용 AI 모델을 내놓는 제공자는 2025년 8월 2일부터 기술문서, 다운스트림 제공자용 정보, 저작권 정책, 학습 콘텐츠 공개 요약 등 AI Act의 GPAI 의무를 지켜야 합니다. 그리고 2026년 8월 2일부터 유럽연합 집행위원회의 전면 집행과 과징금 부과 권한이 시행 중입니다. 모델을 직접 개발하지 않고 API로 이용하는 회사까지 모두 같은 의무를 지는 것은 아니므로, 먼저 ‘범용 모델인지·누가 제공자인지·언제 EU 시장에 출시했는지’를 나눠 확인해야 합니다.
먼저 보는 선택 결론
- 2025년 8월 2일 이후 EU 시장 출시GPAI 제공자 의무가 이미 적용되며 2026년 8월 2일부터 과징금 집행도 시작됐습니다.
- 2025년 8월 2일 전 출시 모델2027년 8월 2일까지 경과기간 안에 의무를 갖춰야 합니다.
- 누적 학습연산량 10²⁵ FLOP 초과시스템위험 GPAI로 추정되며 지체 없이, 늦어도 2주 안에 집행위원회에 통지해야 합니다.
10²³ FLOP와 10²⁵ FLOP는 같은 문턱이 아닙니다
10²³ FLOP 초과와 범용 생성능력은 집행위원회 지침이 제시한 GPAI 판별용 비절대적 실무 기준입니다. 반면 10²⁵ FLOP는 AI Act가 시스템위험 모델의 고영향 능력을 추정하는 법정 연산량 기준입니다. 10²³을 곧바로 시스템위험 기준으로 쓰거나, 10²⁵ 미만이면 언제나 규제 밖이라고 단정하면 안 됩니다.
1. 우리 모델이 GPAI인지, 누가 제공자인지 먼저 판단합니다
AI Act의 범용 AI 모델은 대규모 데이터로 자기지도학습을 했는지 여부만으로 결정되지 않습니다. 핵심은 상당한 범용성을 갖고 서로 다른 폭넓은 작업을 유능하게 수행하며 여러 다운스트림 시스템이나 애플리케이션에 통합될 수 있는 모델인지입니다. 텍스트·음성·이미지·영상처럼 한 가지 모달리티만 다뤄도 범용성과 작업 범위가 충분하면 GPAI가 될 수 있습니다.
집행위원회 지침은 실무상 학습연산량이 10²³ FLOP를 초과하면서 언어, 텍스트-이미지 또는 텍스트-영상 생성능력이 있는 모델을 GPAI로 볼 수 있는 지표로 제시합니다. 다만 이 기준은 법적 구속력이 있는 절대선이 아닙니다. 기준을 넘더라도 범용성이 부족하면 예외가 될 수 있고, 기준보다 낮아도 실제 범용성이 크면 GPAI가 될 수 있어 개별 평가가 필요합니다.
| 역할 | 판단 기준 | 이 글의 의무 대상 여부 |
|---|---|---|
| GPAI 모델 제공자 | 모델을 개발하거나 개발하게 한 뒤 자기 이름·상표로 EU 시장에 처음 제공 | 일반 기본 의무는 Article 53, 시스템위험 모델이면 Article 55 추가 |
| 역외 제공자 | EU 밖에 있어도 API·다운로드·클라우드 등으로 EU 시장에 모델을 제공 | Article 53과 함께 Article 54의 EU 대리인 의무도 검토 |
| 다운스트림 시스템 제공자 | 다른 회사 GPAI를 제품·서비스의 AI 시스템에 통합 | 원 모델 제공자와 역할이 다르며 시스템 의무를 별도 확인 |
| 단순 이용자·배포자 | 완성된 AI 시스템을 자기 책임 아래 사용 | 통상 GPAI 제공자 의무의 직접 대상은 아니나 다른 AI Act 의무 가능 |
| 모델 수정·파인튜닝 사업자 | 수정 규모와 자기 이름으로 EU 시장에 다시 제공하는지 확인 | 중대한 수정이면 수정 모델의 제공자가 될 수 있음 |
‘EU 시장에 제공’인지 확인할 단서
- EU 고객이 API, 다운로드, 클라우드 서비스로 모델을 처음 이용할 수 있는가
- 모델을 자체 AI 시스템에 통합해 제3자에게 제품·서비스를 제공하는가
- EU 자연인의 권리에 영향을 주는 서비스의 핵심 내부 프로세스에 모델을 쓰는가
- 계약서·모델카드·배포 채널에서 어느 법인이 자기 이름으로 모델을 제공하는가
무료 제공도 ‘시장에 제공’에서 자동 제외되지 않습니다. 상업활동 과정에서 유상 또는 무상으로 처음 이용 가능하게 하는 경우를 함께 봅니다.
2. 2025 적용, 2026 집행, 2027 기존 모델 기한을 구분합니다
‘2026년 8월 2일부터 의무가 처음 생겼다’고 쓰면 정확하지 않습니다. 새로 출시되는 GPAI의 실체적 의무는 2025년 8월 2일부터 적용됐고, 2026년 8월 2일은 집행위원회가 전면 준수를 과징금을 포함해 집행하기 시작한 날입니다.
| 날짜 | 상태 | 실무 의미 |
|---|---|---|
| 2025.08.02 | GPAI 제공자 의무 적용 시작 | 이날 이후 EU 시장에 내놓는 모델은 출시 시점부터 의무 준비 |
| 2026.08.02 | 집행위원회 전면 집행 시작 | 자료요구·모델평가·시정조치·과징금 집행 가능 |
| 2027.08.02 | 기존 GPAI 모델 경과기한 | 2025.08.02 전에 EU 시장에 제공된 모델도 이날까지 준수 |
기존 모델이라고 2027년까지 아무것도 하지 않아도 되는 것은 아닙니다
2027년 8월 2일은 최종 준수기한입니다. 학습자료 출처, 연산량, 다운스트림 문서, 저작권 정책처럼 과거 기록이 없으면 나중에 복구하기 어렵습니다. 모델별 최초 EU 출시일과 버전을 고정하고 부족한 증빙을 지금부터 역산하는 편이 안전합니다.
3. GPAI 제공자의 기본 의무와 오픈소스 예외
시스템위험 모델이 아니어도 Article 53의 기본 의무는 원칙적으로 적용됩니다. 다만 조건을 충족한 일반 오픈소스 GPAI에는 기술문서와 다운스트림 문서 의무의 예외가 있으며, 저작권 정책과 학습 콘텐츠 공개 요약은 그대로 남습니다. 조직은 외부 공개용 문서와 당국·다운스트림 제공자에게 제공할 비공개 문서를 섞지 말고, 모델 버전별 책임자와 갱신주기를 분리해야 합니다.
| 의무 | 무엇을 준비하나 | 누구에게 보이나 |
|---|---|---|
| 기술문서 | 모델 구조, 개발·학습·시험 과정, 학습연산량, 데이터와 에너지 관련 정보 등 | 요청 시 AI Office와 관할 당국 |
| 다운스트림 문서 | 능력·한계, 입력·출력 형식, 통합 요구사항, 허용 용도와 필요한 기술정보 | 모델을 AI 시스템에 통합하는 제공자 |
| 저작권 정책 | EU 저작권법 준수와 권리자의 텍스트·데이터 마이닝 권리유보를 식별·존중하는 절차 | 내부 운영 및 당국 검증 |
| 학습 콘텐츠 공개 요약 | 집행위원회 의무 템플릿에 따른 콘텐츠 유형·데이터 출처·관련 처리 정보 | 공식 웹사이트와 공개 배포 채널 |
| EU 대리인 | EU 밖 제공자가 시장 출시 전에 서면으로 지정 | AI Office와 관계 당국의 연락·준수 창구 |
학습 콘텐츠 공개 요약은 모델 출시와 함께 공개합니다
집행위원회가 제공하는 템플릿 사용은 의무입니다. 요약에는 제공자·모델 식별과 데이터 모달리티, 공개·비공개 데이터셋, 온라인 수집 데이터, 사용자 데이터와 합성데이터 등 출처 범주, 권리행사에 필요한 관련 처리 정보를 담습니다. 새 GPAI 모델은 EU 시장에 제공할 때까지 공식 웹사이트의 눈에 잘 띄고 접근 가능한 위치에 공개하고, 공개 배포 채널에서도 연결해야 합니다.
추가 학습으로 요약이 달라지면 6개월 간격 또는 중대한 변경이 생긴 더 이른 시점에 갱신합니다. 영업비밀을 전부 공개하라는 뜻은 아니지만, 단순히 ‘인터넷 공개자료를 사용했다’는 한 줄로 끝내지 말고 템플릿이 요구하는 범주와 세부수준을 맞춰야 합니다.
4. 오픈소스와 파인튜닝도 자동 면제는 아닙니다
무료·오픈소스라는 이름만 붙였다고 모든 의무가 사라지지 않습니다. 자유로운 접근·사용·수정·배포를 허용하고 가중치, 모델 구조, 사용정보가 공개되는 등 조건을 충족한 모델은 일부 문서·대리인 의무에서 예외를 검토할 수 있습니다. 그러나 저작권 정책과 학습 콘텐츠 공개 요약은 오픈소스 제공자에게도 적용됩니다.
| 구분 | 조건을 충족한 일반 오픈소스 GPAI | 시스템위험 오픈소스 GPAI |
|---|---|---|
| 기술·다운스트림 문서 | 일부 예외 가능 | 예외 없음 |
| EU 대리인 | 조건 충족 시 예외 가능 | 예외 없음 |
| 저작권 정책 | 필수 | 필수 |
| 학습 콘텐츠 공개 요약 | 필수 | 필수 |
| 시스템위험 추가 의무 | 해당 없음 | 평가·완화·사고보고·사이버보안 모두 적용 |
수정자가 새 제공자가 되는지
일반적인 파인튜닝이나 소규모 적응 작업만으로 원 모델 전체 의무가 자동 승계되지는 않습니다. 집행위원회 지침은 수정에 사용한 연산량이 원 모델 학습연산량의 3분의 1을 넘는 경우를 중대한 수정의 실무 기준으로 설명합니다. 이 경우 자기 이름으로 EU 시장에 수정 모델을 제공하는 사업자는 제공자 지위를 검토해야 하며, 문서는 원 모델 전체를 다시 쓰기보다 수정 내용과 새 학습데이터를 중심으로 보완할 수 있습니다. 지침은 법적 구속력이 없는 해석자료이므로 실제 계약·브랜딩·배포구조를 함께 판단해야 합니다.
5. 10²⁵ FLOP 초과 시 시스템위험 절차가 추가됩니다
GPAI 모델의 누적 학습연산량이 10²⁵ FLOP를 초과하면 현재 AI Act는 가장 앞선 모델에 맞먹는 고영향 능력을 가진 것으로 추정합니다. 기준을 이미 충족했거나 충족할 사실을 알게 되면 제공자는 지체 없이, 늦어도 2주 안에 집행위원회에 통지해야 합니다.
연산량 문턱을 넘었다고 최종 분류에 이의를 낼 수 없는 것은 아닙니다. 제공자는 모델이 최첨단에 맞먹는 능력이나 시스템위험을 갖지 않는 이유를 제출할 수 있고, 집행위원회가 이를 평가합니다. 반대로 10²⁵ FLOP 미만이어도 능력, 사용자 수, 확장성, 도구 접근성 등 영향이 최첨단 모델과 동등하면 집행위원회가 시스템위험 모델로 지정할 수 있습니다.
시스템위험 GPAI의 추가 의무
- 표준화된 프로토콜과 최신 도구를 사용한 모델 평가 및 적대적 시험
- 개발·시장 출시·사용에서 발생할 수 있는 EU 차원의 시스템위험 식별·평가·완화
- 중대한 사고와 가능한 시정조치를 추적·문서화하고 AI Office 등에 지체 없이 보고
- 모델과 물리적 인프라의 탈취·오용·광범위한 오작동을 막는 적절한 사이버보안
모델을 공개한 뒤에만 대응하면 늦을 수 있습니다
시스템위험 통지는 기준 충족 사실을 알게 된 개발 단계부터 작동할 수 있습니다. 학습계획에서 10²⁵ FLOP 초과가 예상되면 학습 완료나 상용 출시까지 기다리지 말고 통지자료, 안전·보안 프레임워크, 평가 일정과 사고보고 체계를 함께 준비해야 합니다.
6. 기업이 바로 적용할 준비 순서
한 부서가 문서 한 장을 만드는 방식으로는 모델 버전, 시장 출시일, 연산량, 데이터 출처와 다운스트림 정보가 쉽게 어긋납니다. 다음 순서로 법무·모델개발·보안·데이터·제품 조직의 증빙을 한 모델 기록에 연결하는 편이 효율적입니다.
- 모델·법인·배포 채널을 식별합니다.
모델명과 버전, 개발 주체, 자기 이름으로 제공하는 법인, API·다운로드·클라우드 채널, EU 최초 출시일을 고정합니다. - GPAI 해당성과 연산량을 기록합니다.
범용 작업능력, 생성 모달리티, 총 학습연산량 산정방법과 근거를 남기고 10²³·10²⁵ 기준을 서로 분리합니다. - Article 53 기본 문서를 완성합니다.
당국용 기술문서, 다운스트림 문서, 저작권 정책, 학습 콘텐츠 요약과 EU 대리인 필요 여부를 각각 책임자에게 배정합니다. - 시스템위험 여부와 통지시점을 판단합니다.
10²⁵ FLOP 초과 또는 초과 예상일, 능력·영향 지표, 2주 통지기한과 추가 안전·보안 조치를 확인합니다. - 버전 변경과 사고를 운영 절차에 연결합니다.
추가 학습, 중대한 수정, 공개요약 갱신, 심각한 사고, 모델 회수·제한 조치의 승인자와 로그를 정합니다. - AI Office 제출 경로를 시험합니다.
EU SEND를 통해 통지·사고보고 등 필요한 문서를 제출할 담당자, 대리인, 대체 담당자와 증빙 보존 위치를 확인합니다.
사례 1｜미국 회사가 EU 고객에게 API 제공
회사 소재지가 EU 밖이어도 EU 시장에 GPAI를 처음 제공하면 적용될 수 있습니다. 모델 제공자 지위, EU 대리인, 공개요약과 다운스트림 문서를 검토해야 합니다.
사례 2｜한국 회사가 타사 API로 챗봇 운영
단순 API 이용만으로 원 GPAI의 제공자가 되는 것은 아닙니다. 다만 완성된 AI 시스템의 제공자·배포자로서 Article 50 등 별도 의무가 생길 수 있으므로 역할을 분리합니다.
사례 3｜오픈소스 가중치 공개
조건을 충족하면 일부 문서 예외가 가능하지만 저작권 정책과 학습 콘텐츠 공개 요약은 남습니다. 시스템위험 모델이면 오픈소스 예외를 적용할 수 없습니다.
사례 4｜대규모 파인튜닝 후 재배포
수정 연산량이 원 학습연산량의 3분의 1을 넘고 자기 이름으로 EU 시장에 제공한다면 수정 모델의 제공자 지위를 우선 검토합니다.
7. AI Office의 집행 권한과 최대 과징금
AI Office는 GPAI 제공자에게 정보와 문서를 요구하고, 정보만으로 확인이 부족하면 모델 접근을 요구해 평가할 수 있습니다. 위반이 확인되면 위험완화, 시장 공급 제한 등 조치를 요구할 수 있으며 집행위원회는 고의 또는 과실이 있는 위반에 과징금을 부과할 수 있습니다.
| 집행 수단 | 가능한 요구 | 미리 준비할 자료 |
|---|---|---|
| 정보·문서 요구 | Article 53·54와 해당 시 Article 55 준수 확인자료 제출 | 버전별 기술문서, 정책, 공개요약, 책임자 승인기록 |
| 모델 평가·접근 | AI Office 또는 독립 전문가의 평가를 위한 접근 | 평가 환경, 접근통제, 로그, 영업비밀 처리 절차 |
| 시정조치 | 위험완화, 제한, 필요한 경우 시장 공급 제한 | 중단·완화·통지·복구 계획과 의사결정 기록 |
| 과징금 | 최대 1,500만 유로 또는 직전 회계연도 전 세계 연매출 3% 중 큰 금액 | 위반 범위, 기간, 시정, 협조, 재발방지 증빙 |
최대 1,500만 유로 또는 전 세계 연매출 3% 중 큰 금액은 법정 상한입니다. 실제 금액은 위반의 성격·중대성·기간, 협조와 시정, 기업 규모와 지급능력 등을 고려합니다. 중소기업·소형 중견기업에는 비례성도 고려되므로 ‘위반 즉시 누구에게나 최대액’이라는 뜻은 아닙니다.
Code of Practice 가입은 자율, 법 준수는 의무입니다
GPAI Code of Practice는 법적 의무를 실무 조치로 연결하는 자율 도구입니다. 가입하지 않아도 AI Act 의무가 사라지지 않으며, 대체 수단이 충분하다는 근거를 제시해야 합니다. 반대로 가입했다는 사실만으로 실제 이행이 자동 증명되는 것도 아닙니다.
8. 자주 묻는 질문
Q1. 2026년 8월 2일부터 GPAI 의무가 처음 생겼나요?
아닙니다. 의무는 2025년 8월 2일부터 적용됐고, 2026년 8월 2일부터 집행위원회의 전면 집행과 과징금 부과 권한이 시행 중입니다.
Q2. 2025년 8월 2일 전에 출시한 모델도 대상인가요?
대상입니다. 다만 경과기간이 있어 2027년 8월 2일까지 GPAI 제공자 의무를 갖춰야 합니다.
Q3. 학습연산량이 10²³ FLOP를 넘으면 무조건 GPAI인가요?
무조건은 아닙니다. 10²³ FLOP 초과와 범용 생성능력은 집행위원회 지침의 비절대적 판별 기준입니다. 실제 범용성과 폭넓은 작업능력을 개별 평가합니다.
Q4. 10²⁵ FLOP 미만이면 시스템위험 모델이 될 수 없나요?
아닙니다. 능력·영향이 최첨단 모델과 동등하면 집행위원회가 별도로 지정할 수 있습니다. 반대로 문턱을 넘은 제공자도 시스템위험이 아니라는 근거를 제출할 수 있습니다.
Q5. 10²⁵ FLOP를 초과했거나 초과할 것이 알려지면 언제 통지하나요?
기준을 충족했거나 충족할 것을 알게 되면 지체 없이, 늦어도 2주 안에 집행위원회에 통지합니다. 학습 완료나 상용 출시까지 기다리는 기한이 아닙니다.
Q6. 오픈소스 모델은 저작권 정책이 면제되나요?
아닙니다. 조건을 충족한 일반 오픈소스 모델은 일부 문서·대리인 의무 예외가 가능하지만 저작권 정책과 학습 콘텐츠 공개 요약은 적용됩니다.
Q7. 공개 학습 콘텐츠 요약에 개인정보를 적어야 하나요?
템플릿은 사용자 데이터 사용 여부와 관련 서비스·모달리티 등을 설명하게 하지만 개인의 실제 개인정보 공개를 요구하지는 않습니다. 별도의 개인정보보호 의무는 계속 적용됩니다.
Q8. 학습 콘텐츠 요약은 한 번만 공개하면 되나요?
아닙니다. 추가 학습으로 내용이 달라지면 6개월 간격 또는 중대한 변경이 생긴 더 이른 시점에 갱신해야 합니다.
Q9. 타사 GPAI API를 쓰면 우리도 모델 제공자인가요?
단순 이용만으로 원 모델 제공자가 되는 것은 아닙니다. 다만 서비스 구조에 따라 다운스트림 AI 시스템 제공자·배포자 의무가 생길 수 있고, 대규모 수정 후 자기 이름으로 재배포하면 판단이 달라집니다.
Q10. 한국 회사도 EU 대리인을 둬야 하나요?
EU에 설립되지 않은 GPAI 제공자가 EU 시장에 모델을 내놓는다면 원칙적으로 출시 전에 EU 대리인을 지정해야 합니다. 조건을 충족한 일반 오픈소스 예외 등은 별도로 검토합니다.
Q11. Code of Practice에 서명하면 법 위반이 없어지나요?
아닙니다. 코드는 자율 준수 도구이며 실제 약속을 이행해야 합니다. 비서명자는 대체 준수수단의 적절성을 설명해야 하고, 어느 경우든 법적 의무 자체는 동일합니다.
Q12. 최대 과징금은 얼마인가요?
GPAI 관련 고의·과실 위반은 최대 1,500만 유로 또는 직전 회계연도 전 세계 연매출 3% 중 큰 금액이 상한입니다. 실제 부과액은 위반의 성격·중대성·기간과 기업 규모 등을 고려합니다.
한 번에 정리
- GPAI 제공자 의무는 2025년 8월 2일 적용됐고, 2026년 8월 2일부터 과징금을 포함한 전면 집행이 시작됐습니다.
- 2025년 8월 2일 전 출시 모델의 준수기한은 2027년 8월 2일입니다.
- 10²³ FLOP 초과와 범용 생성능력은 지침상 비절대적 GPAI 판별 기준입니다.
- 10²⁵ FLOP는 시스템위험 모델 추정 문턱이며, 충족 또는 충족 예정 사실을 안 때 늦어도 2주 안에 통지합니다.
- GPAI 제공자는 원칙적으로 Article 53의 기술문서, 다운스트림 문서, 저작권 정책과 학습 콘텐츠 공개 요약을 준비하고, 역외 제공자는 Article 54의 EU 대리인 의무를 별도로 확인합니다. 조건을 충족한 일반 오픈소스에는 기술·다운스트림 문서와 대리인 예외가 가능하지만 저작권 정책과 공개 요약은 남습니다.
- 시스템위험 모델에는 평가·위험완화·중대사고 보고·사이버보안 의무가 추가됩니다.
- 오픈소스도 저작권 정책과 학습 콘텐츠 공개 요약이 면제되지 않으며, 시스템위험이면 전체 의무가 적용됩니다.
- GPAI 관련 최대 과징금은 1,500만 유로 또는 직전 회계연도 전 세계 연매출 3% 중 큰 금액입니다.
공식 원문 확인
- 분류 기준AI Act Service Desk Article 51 원문
- 2주 통지AI Act Service Desk Article 52 원문
- 기본 의무AI Act Service Desk Article 53 원문
- 역외 대리인AI Act Service Desk Article 54 원문
- 시스템위험AI Act Service Desk Article 55 원문
- 과징금AI Act Service Desk Article 101 원문
- 범위·일정EU 집행위원회 GPAI 제공자 지침 안내
- 의무 해설EU 집행위원회 GPAI 제공자 의무 Q&A
- 모델·역할EU AI Office 범용 AI 모델 Q&A
- 공개 요약GPAI 학습 콘텐츠 공개 요약 템플릿 Q&A
- 집행·과징금EU 집행위원회 AI Act 집행 체계 안내
- 집행 개시2026년 8월 2일 AI Act 집행 개시 발표
'AI' 카테고리의 다른 글
| 2026 EU AI Act AI 리터러시 의무｜7월 27일 개정·법정 교육시간·자격증 없음 (0) | 2026.08.31 |
|---|---|
| 2026 EU AI Act 제50조 투명성 의무｜8월 2일 시행·딥페이크 표시·1,500만 유로 또는 매출 3% (0) | 2026.08.30 |
| 2026 EU 사이버복원력법 신고 의무｜9월 11일 시행 예정·24시간·72시간·기존 제품 (0) | 2026.08.30 |
| 2026 EU AI Act 금지 AI 9종｜1~8 시행 중·9번 12월 2일 시행 예정·3,500만유로 또는 매출 7% (0) | 2026.08.30 |
| 2026 AI 안전성 확보 의무｜10²⁶ FLOPs·3가지 동시요건·위험관리·결과 제출 (0) | 2026.08.30 |
