제2조 적용범위(Scope)는 법의 적용 대상을 규정하는 조항이다. 조문에서는 총 7개 유형의 주체를 명시하고 있으며, AI가 시민과 시장에 미치는 영향에 따라 규제한다는 법의 기본 원칙을 담고 있다.
적용 대상
주요 적용 대상은 다음과 같다.
첫째, AI 시스템 또는 범용 AI 모델을 EU 시장에 출시하거나 서비스를 제공하는 공급자(Provider)에게 적용된다. 이때 공급자가 EU 내에 있든, 제3국에 있든 관계없이 적용된다. EU 시민에게 제공되는 AI 시스템은 어디에서 만들어졌는지가 아니라 어디에서 사용되느냐가 규제의 기준이 되므로 기업이 규제를 회피하려고 해외에서 AI 서비스를 운영하는 것을 방지한다.
둘째, EU 역내에 있는 배포자(Deployer)가 포함된다. 배포자는 공공기관, 기업, 병원, 교육기관 등 AI 시스템을 실질적으로 사용하는 주체이다. 다만, 배포가 AI 시스템의 상업적 사용이 아니라 연구, 시험, 비영리적 실험 단계에 머무는 경우에는 적용 대상에서 제외된다. 과도한 규제가 혁신을 저해하지 않도록 법 적용을 유예 또는 제외하는 원칙이 반영된 것이며, 규제가 단지 통제만을 목적으로 하지 않고 기술의 연구 및 개발도 고려하고 있음을 보여주는 조항이다.
셋째, 공급자 또는 배포자가 제3국에 있더라도 그 AI 시스템의 산출물이 EU 내에서 사용되면 규제 대상이다. 이 조항은 “결과 중심 접근(Outcome-oriented approach)” 관점을 적용하여 AI 시스템이 실제로 미치는 영향을 기준, 효과의 발생 위치에 따라 판단하여 규제해야 한다는 원칙을 보여준다. 다시 말해, EU의 기본권, 건강, 안전, 환경, 민주적 절차(Democratic process)에 영향을 미치면 그 설계·개발·운영 주체가 역외에 있어도 규제 대상이 된다. 이는 법의 목적이 시민 보호에 있다는 점을 강조한 것이다.
넷째, 수입자(Importer), 유통업자(Distributor)도 규제 대상이다. 직접 AI 시스템을 개발하거나 운영하지 않더라도 시스템이 EU 시장에 유입되도록 하는 유통 구조를 형성한다는 점에서 규제 책임이 부여된다. 이는 AI 시스템 공급망 내 모든 주체에게 역할에 따른 책임을 부과하여 규제 공백을 방지하려는 제도적 설계로 볼 수 있다.
다섯째, AI를 탑재한 제품을 자사 이름이나 상표로 출시하는 제조업체(Product manufacturer)도 규제 대상이다. 즉, AI가 탑재된 제품을 출시하는 순간 AI 가치사슬상의 주체로 간주되는 것이다. 이러한 포괄적인 규제 체계는 AI 기술이 최종 소비자에게 도달하는 모든 경로를 통제하려는 EU의 의도를 보여준다.
여섯째, EU 역내에 설립되지 않은 공급자를 대신해 법적 책임을 수행하는 공인 대리인(Authorised representative)도 규제를 받는다. EU 역외에 설립된 AI 시스템 제공자는 반드시 EU 역내 공인 대리인을 지정해야 하며, 지정하지 않을 경우 해당 AI 시스템은 EU 시장에 출시하거나 서비스를 제공할 수 없다. 역외 기업이 규정을 위반했을 때 EU 당국이 어떻게 규제할 수 있을까? 이 문제에 대한 해법이 바로 공인 대리인 제도다. 공인 대리인은 EU 관할 내에 존재하기 때문에 감독 당국이 실제로 연락하거나 제재를 가할 수 있어 역외 기업이 법을 무력화하지 못하도록 하는 제도적 장치이다.
일곱째, AI 시스템의 영향을 받는 EU 거주자(Affected person)에게 이 규정이 적용된다. 이 조항은 규제의 직접 대상이 아닌 피해자 또는 보호 대상자 관점에서 적용 범위를 설정하고 있다. 이 법이 산업이나 기술 차원 규제가 아니라 사회적 영향과 기본권 보호를 중심에 둔 규범임을 분명하게 보여준다.
예외 조항
AIA는 AI 시스템이 EU 시장에 출시되거나 사용되는 모든 경우를 규제 대상으로 삼고 있지만, 기술 혁신과 연구 자유의 보장, 국가 안보, 기존 EU 법체계와의 충돌 방지를 고려하여 예외 조항을 두고 있다.
기존 EU 제품안전법(Union harmonisation legislation)의 적용을 받는 제품에 AI가 포함된 경우 자동으로 고위험 AI로 분류된다. 제품안전법의 요건을 이미 따르고 있다면 AIA의 규제는 일부는 생략되거나 적용하지 않아도 된다. 이는 중복 규제를 피하고 기존 법과의 충돌을 고려한 조치이다.
국가 안보 관련 사항은 회원국의 관할에 속하므로 국가 안보 목적으로만 설계·운영·사용되는 AI 시스템은 EU 역내에서 사용되더라도 적용 대상에서 제외된다. 이는 국가 주권 보장이라는 EU 조약 원칙을 반영한 것이다.
제3국의 공공기관이나 국제기구가 EU 또는 회원국과 맺은 국제 협정에 따라 AI 시스템을 사용하는 경우에는 법 적용을 제외할 수 있다. 주로 수사 협력, 범죄정보 공유 등 법집행 또는 범죄인 인도, 자료 요청 등 사법협력처럼 국가 간 협력이 필요한 분야에 해당한다. 다만, 무조건 예외를 인정하는 것은 아니라 해당 국가나 기구가 제도적인 안전장치를 갖추고 있어야 한다.
AI 기술의 기초 연구와 학문적인 자유를 보호하기 위해 AI 시스템이 과학적인 연구와 개발 목적으로 개발되고 사용되는 경우에는 AIA의 규제를 적용하지 않는다. 다만, 시장 출시나 서비스 제공을 목적으로 하지 않아야 한다.
만약 실제 시장 환경에서 시험하거나 상업적 목적으로 전환될 경우에는 규제 대상이 된다. 이 예외 조항은 연구의 자유를 보장하되 실사용 단계에서는 규제를 적용하여 책임 있는 연구개발을 강조하고 있다.
AI 시스템이 출시 이전 단계에서 수행되는 연구, 테스트, 개발 활동도 예외로 둔다. 다만, 실제 사용을 포함하는 실환경 테스트는 예외 조항에 포함되지 않는다.
플랫폼, 호스팅, 캐싱 등 사용자 콘텐츠를 단순히 전달·저장만 하는 **중개서비스 제공자(Intermediary service provider)**에게는 디지털 서비스법이 적용된다. 다만, 직접 AI 시스템을 개발하거나, 고위험 AI를 운영하거나, 범용 AI 모델을 배포하는 경우에는 AI 시스템의 제공자 또는 배포자로 간주되어 AIA의 규제 대상이 된다.
AIA는 개인정보보호법(GDPR)과 전자통신 비밀보호 지침은 그대로 유지한다. 즉, AI 시스템이 개인정보를 처리하는 경우 개인정보보호법을 우선 적용하고, 별도로 AIA를 규제하지 않는다.
다만, AI 시스템이 건강 정보, 생체 정보 등 민감한 개인정보를 처리하는 경우 원칙적으로는 금지하지만, 다음과 같이 합법적인 근거가 있다면 예외적으로 사용할 수 있다.
- EU나 회원국 법률에 따라 특정 목적을 위해 명시적으로 허용된 경우
- 해당 정보주체가 명확하게 동의한 경우
한편, 개인 차원에서 AI 시스템을 사용하는 경우도 규제 대상이 아니다. 예를 들어, 개인이 가정용으로 사용하는 AI 어시스턴트나 비상업적 용도의 프로그램은 법의 적용을 받지 않는다. 사적으로 AI를 사용하는 것은 사회적 영향을 미치지 않으므로 규제 대상으로 간주하지 않는 것이다.
AI 시스템이 오픈소스나 자유 라이선스로 배포되는 경우에도 예외가 인정된다. 단, 이 시스템이 고위험 AI 시스템으로 분류되거나, 금지된 AI에 해당하거나, 투명성 의무가 적용되는 경우에는 규제를 받는다. 오픈소스라 하더라도 무조건 예외가 인정되는 것이 아니라 위험도와 용도에 따라 결정된다.
마지막으로 AIA는 노동자 권리에 대해 국내 규정 또는 단체협약이 더 강하게 보호하는 것을 막지 않는다. 채용, 성과평가, 감시, 해고 등 노동 분야는 AI가 노동자 권리를 침해할 가능성이 높다고 보고, 더 강한 조치를 적용할 수 있는 제도적 공간을 남겨둔 것이다. 즉, 노동자 권리 보호는 AIA보다 더 강화될 수 있음을 의미한다.