핵심 요약
- OpenAI의 ChatGPT가 EU 디지털서비스법(DSA)상 ‘초대형 온라인 검색엔진(Very Large Online Search Engine, VLOSE)’으로 공식 분류됨
- DSA는 EU 내 월간 활성 이용자 4,500만 명 이상의 초대형 플랫폼·검색엔진에 시스템적 리스크 평가, 투명성 보고, 독립 감사를 의무화함
- OpenAI는 ① 미성년자 보호(자기상해·자살 충동 등 안전 가드레일 강화) ② 멘탈 헬스(의존성·정신적 위해 유발 대화 패턴 탐지 및 개입) ③ 불법 콘텐츠 차단(아동 성착취물·테러 콘텐츠·지식재권 침해) ④ 알고리즘 투명성(추천·모델 업데이트 영향 평가 및 EU 사용자 대상 공시)의 4개 영역에서 구체적 완화책을 입증해야 함
정책 분석 – EU의 생성형 AI 규제 첫 사례가 글로벌 AI 산업 거버넌스에 미치는 구조적 영향을 진단하고, 업계가 대응해야 할 쟁점을 정리하는 시사 분석 코너
EU AI 규제가 생성형 AI 서비스에 처음으로 적용됐다. OpenAI의 ChatGPT가 EU 디지털서비스법(DSA)상 ‘초대형 온라인 검색엔진(VLOSE)’으로 공식 분류되면서다. 월간 활성 이용자 4,500만 명이라는 기준을 넘긴 데다, 이용자가 모델 출력 결과를 검색·요약·추천 형태로 직접 활용한다는 점에서 검색엔진 기능에 준하는 영향력이 인정된 것이다.
이 분류는 단순한 라벨링이 아니다. 시스템적 리스크 평가, 투명성 보고서 제출, 외부 독립 감사라는 세 가지 의무가 OpenAI에 그대로 떨어진다. DSA는 이미 2024년 8월 발효된 법률이지만, 생성형 AI를 VLOSE로 지정한 건 이번이 처음이다. 이전까지 VLOSE 자리에 이름을 올린 건 구글 검색, 마이크로소프트 빙, 야후 정도였다.
필자가 이 지점에서 주목하는 건 ‘정의의 확장’이다. 검색엔진이라는 카테고리에 ‘대화형 AI 응답’이 포함될 수 있다는 해석이 공식화됐다는 사실이다. 이 선례가 다음 EU AI 규제 사례의 기준선을 사실상 결정짓는다.
OpenAI가 입증해야 할 4대 영역
EU 집행위원회가 요구한 구체적 완화 영역은 네 가지다. 첫째, 미성년자 보호다. 자기상해·자살 충동을 자극하는 출력 패턴을 사전에 차단하는 가드레일 작동 여부를 검증받아야 한다. 둘째, 멘탈 헬스다. 특정 사용자가 챗봇에 과도하게 의존하는 신호, 이른바 ‘정신적 위해 유발 대화 패턴’을 탐지하고 개입하는 절차가 필요하다.
셋째, 불법 콘텐츠 차단이다. 아동 성착취물, 테러 관련 자료, 지식재산권 침해 콘텐츠가 생성·확산되지 않도록 하는 필터링 체계가 요구된다. 넷째, 알고리즘 투명성이다. 추천 로직과 모델 업데이트가 출력 결과에 미치는 영향을 평가해 EU 사용자에게 공시해야 한다.
이 네 가지 중에서도 가장 까다로운 건 투명성 보고다. 모델 가중치나 학습 데이터 자체를 공개하라는 뜻은 아니다. 다만 ‘무엇을 바꿨고, 그 변경이 어떤 사용자 영향으로 이어졌는가’를 추적 가능한 형태로 문서화해야 한다. OpenAI가 비공개를 선호해온 영역이기에 실무 충돌이 불가피하다. EU AI 규제의 핵심은 이 투명성 보고에 규정된다.
집행 무기는 매출의 6%
EU 집행위원회는 OpenAI에 정식 정보 요청을 보낼 수 있고, 필요할 경우 현장 점검에도 나설 수 있다. DSA 위반이 확정되면 전 세계 매출의 최대 6%까지 과징금이 부과된다. 2024년 기준 OpenAI 매출이 약 37억 달러 수준이니, 단순 계산만으로도 막대한 금액이 거론될 수 있다. 실제로 구글과 메타에 이미 내려진 DSA 과징금 사례는 수십억 유로 규모다.
업계에서 가장 많이 회자되는 시나리오는 ‘EU 시장 기능 축소’다. 일부 모델 업데이트나 신규 기능을 EU 사용자에게만 비활성화하는 식의 규제 회피가 가능하기 때문이다. 실제로 메타는 뉴스 탭 관련 기능에서 유사한 선택을 한 전적이 있다. 생성형 AI에서도 ‘EU 전용 라이트 버전’이 등장할 수 있다는 관측이 나오는 배경이다.
경쟁 모델로의 확산과 글로벌 파장
이번 EU AI 규제 적용의 파급은 OpenAI에 그치지 않는다. 구글 제미나이, 앤트로픽 클로드, xAI 그록도 동일한 논리 앞에 놓인다. EU 내 사용자 규모가 4,500만 명을 넘는 서비스라면 VLOSE 분류 대상에서 자유로울 수 없다. 실제로 구글 검색·제미나이 통합 검색 경험이 늘어나는 흐름을 고려하면, 제미나이의 VLOSE 지정도 시간문제다.
브라질, 영국, 한국 등 다른 관할도 EU AI 규제 사례를 참고 표준으로 채택할 가능성이 높다. EU AI Act가 같은 시기에 고위험 AI 시스템 규제를 진행 중이라, 생성형 AI 사업자는 DSA와 AI Act라는 이중 규제 프레임을 동시에 감당해야 한다. 이는 미국·중국처럼 단일 연방 규제로 움직이는 시장과는 다른 EU AI 규제 표준화 속도감을 만든다.
실무자 입장에서 눈에 띄는 건, 규제 표준 경쟁이 ‘검색엔진’이라는 낡은 카테고리 위에서 다시 시작됐다는 점이다. AI가 정보를 만들어내는 시대에, ‘정보의 중개자’를 어떻게 정의할 것인가를 두고 각국 규제당국이 본격적으로 줄다리기에 나섰다. 데이터 인프라 차원의 거버넌스 논의는 시맨틱 아키텍처 3대 축 분석에서 이미 다뤄진 바 있다.
이번 EU AI 규제 결정은 사실상 글로벌 디팩토 표준의 시발점이 됐다. 후발 관할이 이 사례를 그대로 모방할 가능성이 높고, EU 시장 진출을 고려하는 모든 AI 사업자가 이 기준을 통과해야 하게 됐다. EU AI 규제 표준의 벤치마크로 굳어질 가능성이 크다. 자세한 사실관계는 The Verge의 OpenAI ChatGPT EU DSA 보도에서 확인할 수 있다.
지금 바로 해볼 것
- EU 대상 서비스의 월간 활성 이용자 수를 4,450만~4,500만 명 구간에서 점검하고, VLOSE 임계 도달 시점을 시뮬레이션한다.
- 모델 업데이트 이력을 사용자 영향 평가 항목과 함께 자동 기록하는 사내 로그 체계를 마련한다.
- 미성년자·멘탈 헬스 관련 위험 시나리오 10가지를 작성하고, 각 시나리오별 차단·개입 절차를 문서화한다.
- EU 집행위원회의 정보 요청에 72시간 내 응할 수 있는 법무·컴플라이언스 핫라인을 구축한다.
- EU 시장 한정 기능 축소 계획을 기술·법무·제품 팀이 공동으로 검토할 수 있는 거버넌스 회의를 분기 1회 정례화한다.
쟁점 정리
- 정의 논쟁: ‘검색엔진’ 범위에 AI 응답이 포함되는지에 대한 EU 집행위의 해석이 향후 모든 생성형 AI 규제의 기준선이 된다.
- 이중 부담: DSA의 VLOSE 의무와 EU AI Act의 고위험 AI 의무가 동일 사업자에 동시 적용되며, 컴플라이언스 비용이 선형이 아니라 기하급수적으로 증가할 수 있다.
- 시장 분할: EU 전용 축소 버전, 즉 ‘regulatory dark age’ 전략이 글로벌 SaaS의 새로운 표준이 될 가능성이 높다.
- 표준 경쟁: 브라질·영국·한국 등 후발 규제가 EU 사례를 사실상 벤치마크로 채택할 경우, 글로벌 EU AI 규제 디팩토 표준이 굳어진다.
자주 묻는 질문
VLOSE란 무엇인가요?
DSA가 정의한 초대형 온라인 검색엔진으로, EU 내 월간 활성 이용자가 4,500만 명을 넘는 서비스를 가리킵니다. 지정되면 시스템적 리스크 평가, 투명성 보고, 외부 감사가 의무가 됩니다.
ChatGPT는 왜 검색엔진으로 분류됐나요?
이용자가 ChatGPT의 응답을 정보 검색·요약·추천 형태로 직접 활용하는 패턴이 늘었고, 사용자 규모가 DSA 기준을 넘어섰기 때문입니다. EU 집행위는 이를 검색엔진 기능에 준한다고 봤습니다.
OpenAI에 내릴 수 있는 최대 과징금은 얼마인가요?
DSA 위반이 확정되면 전 세계 매출의 최대 6%까지 부과할 수 있습니다. 2024년 OpenAI 매출 약 37억 달러 기준으로도 막대한 금액이 될 수 있습니다.
구글 제미나이나 앤트로픽 클로드도 같은 규제를 받나요?
EU 내 사용자 규모가 기준을 넘는다면 동일한 VLOSE 규제를 받게 됩니다. 제미나이의 경우 구글 검색과 통합되는 흐름을 고려하면 지정 가능성이 매우 높습니다.
전문가 코멘트(AI)
플랫폼규제·디지털법전문가
생성형 AI의 VLOSE 지정은 DSA 위험기반 논리의 정당한 확장이지만, 검색엔진 정의의 경계가 흔들리는 만큼 법적 예측가능성 리스크를 함께 안고 있다
대화형 AI가 검색·요약·추천을 통해 정보 유통의 게이트키퍼 역할을 수행한다는 점에서 4,500만 명 임계를 적용한 것은 DSA의 실효적 영향력 기준 설계에 부합하며, AI Act의 GPAI·고위험 의무가 단계별 시행되기 전 규제 공백을 메운다는 실익이 크다. 다만 DSA상 온라인 검색엔진 정의는 원칙적으로 모든 웹사이트를 질의로 탐색하는 서비스를 전제하므로, 순수 대화형 모델까지 포함하는 해석은 브라우징 기능 탑재 여부 등 제품 설계에 따라 경계가 달라질 수 있고 사후 지정 방식은 상당한 행정소송 리스크를 내포한다. 또한 콘텐츠 호스팅·추천 서비스를 상정한 의무 체계를 모델 업데이트 주기에 그대로 접목하면 리스크 평가와 투명성 보고가 DSA와 AI Act에서 이중화되어 컴플라이언스 비용이 선형 이상으로 증가할 수 있다. 집행위원회의 감독 역량과 세부 가이던스 수준에 따라 이 지정이 실효적 표준이 될지 형식적 보고 문화에 그칠지가 갈리며, 지오-펜싱식 기능 축소로 흐르면 브뤼셀 효과의 본래 취지가 훼손될 우려도 있다. 그럼에도 후발 관할이 이 사례를 벤치마크로 삼을 가능성이 커서, 글로벌 AI 정보중개 거버넌스의 분수령이 되는 조치로 평가된다.
AI안전·컴플라이언스엔지니어
4대 완화 영역의 위해 벡터 선정은 타당하지만, 멘탈 헬스 탐지와 업데이트 영향 평가의 감사 메트릭 부재가 실무 적용의 최대 공백이다
챗봇 자해 조력 대화, 아동 성착취물 생성, 저작권 침해 확산 등 실제 문서화된 위해 사례와 4대 영역이 맞닿아 있어 우선순위 설정 자체는 실무적으로 설득력이 있다. 미성년자 가드레일과 불법 콘텐츠 필터링은 분류기, 레드팀, 입출력 로깅이라는 검증 가능한 아티팩트로 구현 가능하지만, 정신적 위해 유발 대화 패턴 탐지는 기술 성숙도가 낮아 오탐 문제가 특수 범주 개인정보 처리 이슈와 충돌할 수 있고, 본질적으로 확률적인 가드레일을 어떤 기준으로 입증할지 감사 메트릭이 아직 정립되지 않았다. 알고리즘 투명성 역시 가중치와 학습데이터 비공개가 전제되는 이상 구조화된 변경 이력, 평가 벤치마크, 모델카드 형태의 공시가 현실적 한계인데, 기존 DSA 투명성 보고서의 품질 편차를 고려하면 감사 역량이 뒷받침되지 않으면 형식적 문서화로 퇴화할 위험이 크다. 모델 업데이트별 사용자 영향 추적은 텔레메트리와 통계 방법론의 표준화를 요구하므로 단기간에 상당한 엔지니어링 비용을 수반하지만, 그 부수 효과로 규제 대응급 관측성 인프라가 업계 표준으로 자리 잡을 수 있다는 점은 긍정적이다. 우려되는 것은 EU 한정 기능 축소가 안전 개선의 실험·학습 루프를 분할해 결과적으로 EU 사용자의 모델 품질을 떨어뜨리는 역설적 결과다. 전반적으로 자발적 안전 서약에서 감사 가능한 의무로 전환되는 계기라는 점에서 방향 설정은 바람직하다.