EU AI Act 대응을 위한 2대 실천 강령 지지

유럽연합의 AI 법(EU AI Act)이 다음 단계로 진입함에 따라 OpenAI는 안전과 보안, 투명성 및 출처 관리 접근 방식을 강화했다. 이 변화는 유럽 전역에서 학습과 창작, 업무 및 일상 관리를 위해 OpenAI 도구를 사용하는 수백만 명의 개인과 모든 규모의 기업, 그리고 정부 기관이 AI를 사용하는 환경을 바꾼다. 책임감 있는 AI가 유럽의 경쟁력과 번영을 이끌 수 있다는 판단 아래, 규제 프레임워크에 맞춘 대응은 실제 모델 배포 공정과 거버넌스 체계의 수정으로 이어진다.

OpenAI는 범용 AI의 안전성과 투명성을 확보하기 위해 두 가지 공식 실천 강령을 지지하고 구축 과정에 직접 기여했다. 첫 번째는 GPAI(General-Purpose AI, 다양한 작업에 범용적으로 적용 가능한 AI) 실천 강령이다. 두 번째는 AI 생성 콘텐츠 투명성 실천 강령(Code of Practice on Transparency of AI-Generated Content)이다. 이 두 강령은 특정 기업의 독단적 결정이 아니라 다양한 이해관계자가 참여하는 광범위한 프로세스를 통해 개발되었다. 이는 안전, 보안, 투명성, 책임성 및 출처 증명 분야에서 OpenAI가 기존에 추진해 온 기술적 작업들을 규제 수준의 표준으로 정렬하는 과정이다.

GPAI 실천 강령이 요구하는 투명성과 안전 기준을 충족하기 위해 OpenAI는 내부 거버넌스 강화와 외부 협력 체계를 동시에 가동한다. 모델을 대중에게 출시하기 전에는 잠재적 위험을 찾아내기 위한 광범위한 테스트를 필수적으로 수행한다. 주요 모델을 출시할 때마다 시스템 카드(System Cards, 모델의 성능과 안전성 지표를 상세히 기록한 기술 보고서)를 발행하여 모델의 특성을 공개한다. 또한 레드팀 네트워크(Red Teaming Network, 외부 전문가가 모델의 취약점을 테스트하는 협력망)를 운영해 외부 전문가들이 모델의 허점을 공격적으로 검증하게 하며, 모델의 행동 설계 원칙을 담은 모델 스펙(Model Spec)을 공개해 내부 작동 방식에 대한 창구를 마련했다.

다층적 출처 증명과 거버넌스 프레임워크 구조

콘텐츠 자격 증명 표준인 C2PA(콘텐츠 자격 증명)와 디지털 워터마크 기술인 SynthID(디지털 워터마크)를 결합해 AI 생성물의 출처를 증명한다. C2PA는 콘텐츠 자체에 생성 경로와 수정 이력 같은 상세한 맥락 정보를 포함하는 개방형 표준이다. SynthID는 파일의 메타데이터가 삭제되거나 변형되어도 식별 가능한 신호를 보존하는 기술로 작동한다. 현재 이미지 영역에서 오디오 출력까지 출처 증명 적용 범위를 확장하고 있으며, 텍스트 모달리티는 관련 표준과 도구의 성숙도에 따라 순차적으로 확대할 예정이다. 메타데이터 손실이라는 기술적 제약을 보완하기 위해 두 시스템이 서로를 강화하는 다층 구조를 채택했다.

2023년에 도입하고 2025년에 업데이트한 Preparedness Framework는 고도화된 AI 시스템에서 발생 가능한 심각한 리스크를 식별하고 평가하며 관리하는 내부 체계다. 이를 기반으로 설계한 Frontier Governance Framework는 EU AI Act의 GPAI(범용 AI) 강령과 같은 법적 요구사항에 안전 및 보안 관행을 정렬한다. 두 프레임워크는 책임 있는 AI 원칙을 리스크 평가, 안전장치 설계, 모델 보고서 작성, 보안 강화, 사고 대응, 외부 전문가 의견 수렴 및 지속적인 업데이트라는 실무적인 결정으로 전환하는 역할을 수행한다. 내부 리스크 관리 체계와 외부 법적 기준을 연동해 거버넌스의 실효성을 확보한다.

거버넌스 체계는 내부 리스크 관리 프로세스와 외부 법적 준거 틀을 통합해 운용하는 구조를 취한다. Preparedness Framework가 시스템 내부의 잠재적 위험을 식별하는 단계라면, Frontier Governance Framework는 이를 사회적 합의와 법적 기준이라는 외부 규격에 맞추는 단계다. 이러한 다층적 접근은 단일 검증 도구만으로는 해결하기 어려운 AI 생성 콘텐츠의 투명성 문제를 해결하고 법적 규제 환경에서의 운영 안정성을 확보하는 근거가 된다.

TAC 프로그램과 EU 사이버 보안 액션 플랜

AI의 취약점 분석 능력은 정당한 방어자에게는 보안 강화의 도구가 되지만, 공격자에게는 새로운 오용 리스크가 된다. OpenAI는 이 갈림길에서 리스크를 제어하기 위해 TAC(Trusted Access for Cyber, 사이버 보안 신뢰 액세스) 프로그램을 운영한다. 이 프로그램은 검증된 보안 방어자에게만 AI 접근 권한을 부여해 모델이 사이버 공격 도구로 활용될 가능성을 물리적으로 낮춘다. 정당한 권한을 가진 사용자가 AI를 통해 시스템의 취약점을 먼저 식별하고 보완하게 함으로써 집단적인 보안 회복력을 높이는 것이 핵심이다. 이는 모델의 성능을 무조건적으로 개방하는 대신, 사용자의 신원을 확인하고 목적을 제한하는 방식으로 오용 가능성을 차단한 결과다.

유럽 지역의 특수성을 고려해 2026년 5월 초에는 OpenAI EU 사이버 액션 플랜(OpenAI EU Cyber Action Plan)을 출시했다. 이 계획은 EU 및 각 국가의 사이버 보안 기관뿐만 아니라 민간 부문 파트너, 전력이나 통신 같은 핵심 인프라 운영자와 협력하는 체계다. 이들에게 최신 사이버 보안 모델을 보급해 유럽 대륙 전역의 사이버 회복력을 강화하는 것을 목표로 한다. 단순히 모델을 제공하는 것이 아니라, 핵심 인프라를 운영하는 주체들이 AI의 분석 능력을 방어 체계에 즉시 통합하여 실시간으로 위협에 대응할 수 있도록 지원하는 구조다.

이러한 실행 체계는 유럽 위원회(European Commission)의 사이버 보안 및 AI 액션 플랜과 정렬되어 있다. 유럽 위원회의 계획은 고도화된 AI가 초래할 리스크를 관리하는 동시에, 사이버 보안 목적의 안전한 AI 시스템 접근권을 보장해 그 잠재력을 활용하는 조율된 접근 방식을 요구한다. OpenAI는 공공 기관 및 민간 운영자와의 협력 채널을 통해 모델의 보급 범위와 접근 권한을 세밀하게 조정했다. 이는 기술적 성능의 공개보다 접근 권한의 제어라는 거버넌스적 장치가 보안 모델의 실질적인 효용을 결정한다는 판단에 근거하며, 결과적으로 유럽 내 보안 생태계의 안정성을 확보하는 장치로 작동한다.

실무자를 위한 규제 준수 리소스와 판단 기준

EU 시장 내 AI 서비스 운영자는 모델 문서와 시스템 카드, 안전 정보 등 OpenAI가 제공하는 기술 리소스를 활용해 법적 투명성 의무 이행 여부를 직접 검증해야 한다. 시스템 카드는 모델의 성능과 안전성을 상세히 기록한 보고서이며, 이 외에도 이용 정책과 출처 및 검증 도구 가이드가 제공된다. 실무자는 OpenAI Help Center 내 EU AI Act 대응 가이드와 고객 안내서를 통해 구체적인 준수 방법을 확인할 수 있다. 이러한 리소스는 규제 구현 단계와 기술 발전에 맞춰 지속적으로 업데이트되며, 운영자가 법적 요구사항을 기술적 설정으로 변환하는 기초 자료가 된다.

투명성 검증 과정에서는 메타데이터 손실 가능성과 라벨 누락 가능성을 모두 고려한 다층적(Layered) 접근 방식을 채택해야 한다. 다층적 접근 방식은 단일한 신호에 의존하지 않고 여러 겹의 검증 수단을 중첩해 신뢰도를 높이는 방법이다. 특히 텍스트 모달리티(데이터 형태)에 대한 출처 증명은 표준 성숙도에 따라 확장 중이며, 단일 신호만으로는 완벽한 증명이 불가능하다는 점이 명시되어 있다. 따라서 실무자는 특정 도구 하나가 모든 투명성을 보장한다고 단정하지 말고, 보완적인 검증 수단을 함께 배치하는 설계 전략을 세워야 한다.

OpenAI는 개별 기업의 대응을 넘어 Frontier Model Forum(최첨단 모델 포럼)을 비롯해 미국 CAISI(사이버 AI 안전 연구소), 영국 AISI(AI 안전 연구소)와 공동 안전 연구를 수행하고 있다. 이들 기관과 함께 외부 테스트를 진행하고 생태계 전반에 적용할 수 있는 명확한 평가 표준을 수립하는 작업에 참여한다. 이는 개별 모델의 안전성을 넘어 산업 전체의 평가 기준을 정렬하여 규제 준수의 예측 가능성을 높이려는 시도다. 외부 협력 체계를 통해 도출된 표준은 향후 EU AI Act의 세부 이행 지침을 해석하는 중요한 기술적 근거가 된다.

EU 규제 환경에서 AI 모델을 배포하려는 실무자는 단일 인증 수단에 의존하지 말고, 시스템 카드와 다층적 검증 도구를 결합한 거버넌스 체크리스트를 구축해 투명성 확보 수단을 증명해야 한다.