EU AI Act의 시행 과정은 순탄하지 않았다. 법적 체계는 마련되었지만, 실제 구현은 다른 차원의 문제였기 때문에 곳곳에서 문제가 드러났다.
가장 큰 문제는 표준의 부재다. EU AI Act는 다른 EU 법률과 마찬가지로 원칙, 방향 등 큰 틀만 제시하고, 구체적인 방법은 업계 전문가들이 모여서 만든 업계 표준이 채워나가도록 설계되었다.
그런데 AI 분야는 워낙 새로운 주제여서 다른 산업에 비해 업계 표준이 미완성, 미숙한 수준이었다. 기업들은 투명성 확보, 인간 감독, 편향 방지 같은 추상적인 요구사항을 구체적으로 어떻게 구현해야 하는지 명확한 가이드라인을 찾지 못하고 있다.
이로 인해 준수 비용이 예상보다 훨씬 높아지고 있다. GDPR 시행 초기와 비슷하다. GDPR의 경우 규정 준수를 증명하기 위해 18개월 이상의 시간과 1,000만 유로 이상의 비용이 소요될 수 있었고, 많은 기업들이 구체적인 이행 방법을 몰랐다. 특히 중소기업들은 더 큰 부담을 느끼고 있다.
집행 역량의 부족도 문제다. EU AI 사무국은 2024년 하반기에야 본격 가동되었고, AI 기술의 난이도와 복잡성을 고려할 때 규제 당국이 기업의 기술적인 주장을 제대로 검증할 수 있는지도 의문이다.
전통적인 제품과 달리 AI는 지속적으로 학습하고 빠르게 발전한다. 한 번 승인받은 시스템이라도 새로운 데이터로 재학습하면 완전히 다른 성능을 보이거나 예상치 못한 결과를 출력할 수 있다. 이런 특성을 기존처럼 정적인 규제 방식으로 다루는 것은 한계가 있다.
법적 불확실성도 여전하다. 고위험 AI 시스템의 경계가 모호하고, 같은 기술이라도 사용 맥락에 따라 위험도가 달라질 수 있어 기업들은 자신의 시스템이 어떤 범주에 속하는지 확신하지 못하고 있다. 이는 과도한 규제 대응으로 이어져 기술 혁신을 저해할 위험이 있다. 결국 GDPR에서 나타났던 시행착오가 AI Act에서도 반복되고 있는 셈이다.