핵심 요약
- 유럽연합 집행위원회와 디지털서비스법(DSA) 감독기관이 OpenAI의 ChatGPT와 Reddit을 이용자 수 기준 최고 등급인 ‘매우 큰 온라인 플랫폼(VLOP)’으로 공식 지정했다.
- 두 서비스는 EU 전역에서 위험 평가 수행, 투명성 보고서 공시, 불법 콘텐츠 대응 체계 공개, 외부 연구자 데이터 접근 허용, 아동 보호 및 사이버 괴롭힘 방지 강화 의무를 즉시 이행해야 한다.
- 생성형 AI 서비스인 ChatGPT는 환각·딥페이크·미성년자 유해 콘텐츠 위험에 대한 별도 위험 평가서를 제출해야 하며, Reddit은 커뮤니티 자치 구조(Mod/Subreddit)를 통한 콘텐츠 중재가 DSA의 ‘시스템적 리스크’ 요건을 충족하는지 입증해야 한다.
issues
EU DSA 규제의 새 기준선이 8월 말 그어졌다. 유럽연합 집행위원회는 OpenAI의 ChatGPT와 Reddit을 이용자 수 기준 최고 등급인 ‘매우 큰 온라인 플랫폼(VLOP)’으로 지정했다. 두 서비스는 지정 즉시 위험 평가, 투명성 보고서, 외부 연구자 데이터 접근, 아동 보호 체계 등 강화된 의무를 이행해야 한다.
ChatGPT는 생성형 AI 서비스로는 처음 VLOP에 편입된 사례다. Reddit은 미국발 UGC 플랫폼 중에선 X에 이어 두 번째다. 필자는 이 두 지정이 던지는 신호가 서로 다르다고 본다. 하나는 ‘AI 서비스도 플랫폼 규율의 대상이 된다’는 사실이고, 다른 하나는 ‘커뮤니티 자치가 규제로 인정받느냐’는 새로운 시험대다.
1. 생성형 AI에 대한 별도 위험 평가 — 환각과 미성년자 보호
ChatGPT가 제출해야 할 위험 평가서는 일반 VLOP와 결이 다르다. EU DSA 규제는 생성형 AI가 만들어내는 ‘합성 콘텐츠’의 위험을 별도로 분류한다. 환각(hallucination)으로 인한 잘못된 정보, 미성년자에게 유해한 답변, 이미지 생성 기능의 딥페이크 남용 가능성까지 — OpenAI는 이 항목들에 대한 완화 조치와 사고 대응 체계를 문서로 입증해야 한다.
실무적으로 까다로운 이유가 있다. 대규모 언어 모델의 출력은 비결정적(non-deterministic)이라 전통적인 ‘콘텐츠 모더레이션 점검표’ 방식으로는 위험을 완전히 통제할 수 없다. 그래서 OpenAI는 모델 카드·시스템 카드 같은 자체 문서와 함께 사용자 피드백 루프, 안전 분류기(safety classifier) 성능 지표를 함께 제출할 가능성이 크다. EU 감독기관이 그 데이터를 외부 연구자에게 어디까지 공개하도록 요구할지가 향후 핵심 변수가 될 것이다.
2. UGC 플랫폼의 자치 구조 — Reddit의 시스템적 리스크 입증
Reddit의 지정은 또 다른 시험을 던진다. DSA는 VLOP에 ‘시스템적 리스크(systemic risk)’ 평가를 요구한다. 불법 콘텐츠 확산, 선거·공공보건에 미치는 영향, 아동 보호, 성별 기반 폭력, 사이버 괴롭힘이 평가 범위다.
Reddit의 자치 구조(Mod·Subreddit 운영진)는 그동안 콘텐츠 중재의 핵심으로 기능해왔다. 하지만 EU DSA 규제의 요건은 ‘구조가 있다’는 사실만으로 충분하지 않다. EU는 (1) 정책이 실제로 집행되는지, (2) 모더레이터에게 충분한 도구와 교육이 제공되는지, (3) 부적절 콘텐츠 발생 시 플랫폼 차원의 에스컬레이션 경로가 작동하는지를 입증할 것을 요구한다. 자치가 곧 ‘시스템적 안전’으로 인정받으려면, 자치 자체의 성과 지표가 필요하다는 뜻이다. Reddit이 어떤 메트릭을 제시할지가 업계의 관전 포인트다.
3. 투명성 보고서와 외부 연구자 데이터 접근
DSA에서 가장 논쟁적인 조항은 두 가지다. 반기별 투명성 보고서, 그리고 ‘신뢰받은 연구자(vetted researchers)’에 대한 데이터 접근이다. OpenAI는 모델 가중치·훈련 데이터·프롬프트 로그 같은 영업비밀과 직접 충돌하는 영역을 어떻게 다룰지 정해야 한다. Reddit은 삭제된 게시글·잠긴 서브레딧·금지된 사용자 정보를 연구자에게 어디까지 노출할지 결정해야 한다.
흥미로운 부분은, 두 회사 모두 이미 글로벌적으로 EU DSA 규제를 사실상 표준처럼 따라왔다는 점이다. Google·Meta·X는 2024년 첫 VLOP 지정 때부터 DSA 기준을 글로벌 운영에 적용했다. 이번 편입은 그 흐름의 다음 장이며, 한 번 정해진 규칙은 EU 외부 사용자까지 사실상 같은 UX로 퍼진다. 이른바 ‘브뤼셀 효과(Brussels Effect)’다. 향후 EU DSA 규제의 기술 표준화 작업이 어떻게 글로벌 공급망·연구자 생태계로 확장될지 주시할 필요가 있다.
글로벌 파급 — 미국·영국·한국은 어디쯤 왔나
EU DSA 규제의 브뤼셀 효과는 이미 작동하고 있다. 미국은 2024년 Kids Online Safety Act(KOSA)를 연방 차원에서 계속 밀어붙이고 있다. 영국은 Online Safety Act로 벌써 1차 시행 단계에 들어갔다. 한국도 ‘어린이·청소년 보호법’ 개정과 AI 기본법 제정 논의로 같은 방향으로 움직이고 있다.
다만 속도와 결에서 차이가 있다. EU는 ‘플랫폼’을 단위로 묶어 거버넌스·투명성·연구자 접근을 한꺼번에 요구한다. 반면 미국은 연방법·주법이 분산돼 있고 영국은 매체별로 등급을 나눠 적용한다. 한국의 AI 기본법은 ‘영향 평가’ 중심으로 설계될 가능성이 높아, EU DSA와는 다른 산업 친화적 톤을 띨 것으로 보인다. 그래도 결국 한 가지 사실은 같다 — EU DSA 규제 기준선을 따라가지 않는 서비스는 EU 시장을 잃는다.
쟁점 정리
이번 지정이 보여주는 쟁점은 세 가지다.
- 생성형 AI는 ‘합성 콘텐츠’ 위험으로 별도 분류되며, 모델 카드와 안전 분류기 성능이 곧 규제 보고서다.
- 커뮤니티 자치 구조는 그 자체로 충분하지 않으며, 집행 지표·에스컬레이션 경로·모더레이터 도구가 함께 입증돼야 한다.
- 투명성 보고서와 연구자 데이터 접근은 영업비밀과 직접 충돌하므로, 동의 절차·윤리 심의·출판 가이드라인을 미리 설계해야 한다.
지금 바로 해볼 것
- EU 집행위 VLOP 명단을 확인하고 자사 서비스가 향후 12개월 내 임계치(월간 EU 이용자 4,500만 명)에 도달할지 시뮬레이션한다.
- 신뢰받은 연구자 협업 가이드라인 초안을 작성한다. 데이터 제공 범위·동의 절차·출판 요건을 포함한다.
- DSA가 요구하는 11개 투명성 항목을 반기별로 자동 집계할 수 있는 데이터 파이프라인을 구축한다.
- 안전 분류기·콘텐츠 모더레이션·광고 라이브러리 데이터를 한 대시보드로 모아 분기별 컴플라이언스 점검을 정례화한다.
- 영어·독일어·프랑스어로 투명성 보고서·이용약관·안전 가이드를 동시 배포할 수 있는 번역 파이프라인을 마련한다.
자주 묻는 질문
VLOP 지정은 강제인가요?
강제다. EU 집행위가 이용자 수 기준을 충족한다고 판단하면 지정하며 거부할 수 없다. 위반 시 전 세계 매출의 최대 6%까지 과징금이 부과된다.
ChatGPT 지정은 OpenAI 전체가 대상인가요?
아니다. 지정 대상은 ChatGPT 서비스 자체다. OpenAI의 API 사업부나 다른 모델은 별도이나, API를 통해 VLOP에 준하는 안전 조치가 간접적으로 요구될 가능성이 있다.
Reddit은 왜 X보다 늦게 지정됐나요?
EU는 EU 거주자만 집계하며 비로그인 방문과 API 호출은 제외한다. Reddit의 EU 이용자 비중이 X보다 낮았던 것이 지연 요인으로 분석된다.
한국 사업자는 EU DSA 규제를 무시해도 되나요?
EU에서 서비스 차단을 당한다. 2024년 이후 미국·한국·일본에서도 동등한 안전법이 잇따라 도입되면서 사실상 글로벌 표준이 되어가고 있다. 자세한 분석은 EU AI 규제 첫 적용 4가지 쟁점에서 확인할 수 있다.
본 기사는 Ars Technica의 VLOP 지정 보도를 토대로 작성했다. 영문판 분석은 ChatGPT VLOSE 지정이 만드는 표준 경쟁에서 추가로 읽을 수 있다.
전문가 코멘트(AI)
플랫폼거버넌스·디지털정책전문가
VLOP 규율의 확장은 방향이 맞지만, 이용자 수 기준의 기계적 지정과 자치 커뮤니티 평가 방법론의 공백이 남은 단계다
ChatGPT와 Reddit의 VLOP 지정은 플랫폼 규제가 소셜미디어의 피드 모델을 넘어 생성형 AI와 커뮤니티 자치 구조까지 확장됐음을 보여주는 상징적 사건이다. 다만 월간 EU 이용자 4,500만 명이라는 임계치만으로 지정하는 방식은 실질 위험도와 무관한 형식적 구분이며, 대화형 챗봇과 커뮤니티 피드에 동일한 콘텐츠 중재 프레임을 적용하는 것은 규제 대상과 수단의 정합성이 떨어진다. Reddit의 자원봉사 모더레이터 체계에 집행 지표와 에스컬레이션 경로 입증을 요구하는 방향은 자치의 책임성을 높이지만, 지나치게 경직된 메트릭 요구는 플랫폼이 커뮤니티 자치를 중앙화된 알고리즘 통제로 대체하도록 유도하는 역효과도 낳을 수 있다. 신뢰받은 연구자의 데이터 접근은 플랫폼 연구 생태계에 실질적 진전이지만, GDPR과 영업비밀 보호와의 충돌을 조정하는 구체적 절차가 아직 정립되지 않았다. 위반 시 전 세계 매출 최대 6%의 과징금은 실효성을 담보하지만, 시스템적 리스크 평가가 서류 중심의 컴플라이언스 쇼로 흐르지 않을지는 감독기관의 기술적 집행 역량에 달려 있다.
AI안전·신뢰성전문가
환각과 딥페이크를 시스템적 리스크로 다룬 것은 의미 있으나, 비결정적 출력을 감당하는 지속 평가 체계와 AI법과의 과제 중복 해소가 관건이다
생성형 AI의 환각, 딥페이크, 미성년자 유해 출력을 일반 UGC와 별도의 합성 콘텐츠 위험으로 분류한 것은 AI 안전을 플랫폼 책임 영역에 편입시킨 실질적 진전이다. 모델 카드·시스템 카드·안전 분류기 성능 지표 제출을 요구하는 접근은 업계에서 이미 통용되는 문서화 관행을 규제 수준으로 끌어올린 것이라 적응 부담이 상대적으로 낮다는 장점이 있다. 그러나 대형 언어 모델은 지속적으로 업데이트되므로 반기 단위 위험 평가서와 투명성 보고서는 제출 시점에서 곧 낡으며, 스냅샷 보고를 넘어 배포 후 연속 모니터링과 버전별 재평가 의무가 병행돼야 실효성이 있다. EU AI법의 GPAI 의무와 DSA의 시스템적 리스크 평가가 같은 모델에 중복 적용되면 컴플라이언스 비용이 이중화되므로 두 제도 간 역할 분담이 명확해져야 한다. 또한 안전 분류기 지표는 게이밍 가능성이 있어 표준화된 벤치마크와 외부 레드팀 검증이 뒷받침돼야 하고, 프롬프트 로그의 연구자 공개는 익명화 기법이나 보안 연구 환경 설계가 전제되지 않으면 새로운 프라이버시 리스크를 만든다.