AI Act 교육 요약서, 스크랩된 웹사이트 도메인 누락 밝혀

ActuIA는 2026년 9월 25일 현재 공개적으로 접근 가능한 24개의 교육 내용 요약서를 조사했으며, 각각은 AI Act 제53조(1)(d) 보고 의무에 따라 작성되었습니다.

유럽 위원회의 템플릿은 제공자가 스크랩된 웹사이트 중 볼륨 기준 상위 10%를 차지하는 1차·2차 도메인을 나열하도록 요구하며, 중소기업(SME)에는 낮은 기준을 적용합니다.

대부분의 요약서에서 도메인 리스트 누락

검토된 문서 중 21건은 주요 스크랩 도메인 섹션을 포함했지만 해당 필드를 비워두어 웹사이트 이름이 전혀 제공되지 않았습니다.

DeepSeek가 제출한 3개의 요약서는 웹 스크래핑 섹션 자체를 아예 생략해 필수 정보가 문서에 누락되었습니다.

제공자들이 데이터 출처를 설명하는 방식

구체적인 도메인 대신 학술 자료, 코드 호스팅 플랫폼, 백과사전, 지역 포털 또는 .com과 같은 일반적인 확장자를 사용해 폭넓은 카테고리로 기술했습니다.

대상 제공자에는 OpenAI, Mistral AI, Z.AI, ByteDance, MiniMax, DeepSeek와 Ant Group이 새롭게 제출한 11개의 문서가 포함됩니다.

Ant Group의 Hugging Face 문서

Ant Group의 요약서는 Hugging Face의 inclusionAI/AI‑Transparency 저장소에 공개되었습니다. 해당 저장소는 문서만 포함하고 모델 가중치나 학습 데이터셋은 없으며, 공개가 규제 인증을 의미하지는 않음을 명시합니다.

이 Ant 문서들도 제53조(1)(d) 템플릿을 따르지만 도메인 리스트 필드를 비워두어 전체 표본에서 관찰된 패턴을 그대로 보여줍니다.

규제 배경 및 기한

AI Act의 스크랩 도메인 공개 의무는 2025년 8월 2일부터 신규 출시되는 일반 목적 모델에 적용되며, 기존 모델은 2027년 8월 2일까지 준수 기간이 부여됩니다.

현재 설명이 제53조의 법적 요건을 충족하는지는 유럽 위원회의 판단에 달려 있으며, 본 검토는 위법성을 직접 판단하지 않습니다.

• 21개의 요약서가 템플릿을 포함하지만 도메인을 기재하지 않음
• 3개의 DeepSeek 요약서가 섹션을 완전히 생략
• 제공자들이 구체적인 URL 대신 일반 카테고리 사용
• Ant Group의 Hugging Face 저장소는 문서가 인증이 아님을 명시

첫 번째 단락에서는 현재 확인된 요약서들의 구조적 결함을 중심으로, 템플릿이 요구하는 스크랩 도메인 섹션이 비어 있는 상황이 규제 해석에 어떤 영향을 미치는지를 분석한다. 템플릿 자체는 도메인 리스트를 명시하도록 설계됐으며, 이는 투명성 확보와 데이터 출처 추적을 위한 핵심 요소다. 그러나 실제 문서에서는 이 필드가 누락되거나 전체 섹션이 생략되는 경우가 빈번히 나타난다. 이런 현상은 제공자가 템플릿 요구사항을 오해했거나, 의도적으로 구체적 정보를 감추려는 전략적 선택일 가능성을 시사한다. 결과적으로, 규제기관은 문서의 형식적 충족 여부를 검증하는 과정에서 실질적 내용의 부재를 발견하게 되며, 이는 규정 준수 여부를 판단하기 위한 근거 자료가 부족하다는 점을 강조한다.

두 번째 단락은 누락된 도메인 리스트가 규제 검토 과정에서 발생할 수 있는 한계와 검증 절차의 복잡성을 조명한다. EU 위원회는 템플릿에 명시된 항목을 기준으로 자동화된 검증 도구를 활용해 제출된 문서를 사전 검토한다. 그러나 도메인 필드가 비어 있으면 자동 검증이 불가능해, 인적 검토 단계로 넘어가게 된다. 이 과정에서 검토 인력은 각 제공자의 데이터 수집 방법과 범위를 추정해야 하며, 이는 주관적 판단에 의존하게 만든다. 따라서, 누락된 정보는 검토 효율성을 크게 저하시킬 뿐 아니라, 동일한 사례에 대한 일관된 판단을 내리기 어려운 상황을 초래한다.

세 번째 단락에서는 제공자들이 구체적 URL 대신 일반 카테고리 용어를 사용한 방식을 비판적으로 검토한다. 학술 자료, 코드 호스팅 플랫폼, 백과사전 등 포괄적인 용어는 실제 스크랩된 사이트의 다양성을 충분히 반영하지 못한다. 이러한 표현은 규제 요구사항이 요구하는 정량적 기준—예를 들어 상위 10% 도메인 리스트—을 충족시키지 못하고, 데이터 출처에 대한 신뢰성을 저해한다. 또한, 일반화된 용어는 추후 감사 시 제공자가 실제로 어떤 사이트에서 데이터를 수집했는지를 입증하기 어렵게 만들어, 규제 기관이 추가 증거를 요구할 가능성을 높인다.

네 번째 단락은 현재 관찰된 패턴이 규제 준수 의무에 대한 해석 차이와 관련된 구조적 문제를 내포하고 있음을 강조한다. 템플릿 자체는 명확히 도메인 리스트를 요구하지만, 제공자들은 이를 최소화하거나 회피하는 방식으로 대응하고 있다. 이와 같은 대응은 규제 문서의 해석이 일관되지 않다는 점을 드러내며, 규제 당국이 해석 가이드라인을 보다 구체화하고 표준화하지 않을 경우, 향후 동일한 문제의 재발을 방지하기 어려울 것이다. 따라서, 규제 해석의 일관성을 확보하기 위한 추가적인 지침 발표가 필요하다는 논리를 도출한다.

다섯 번째 단락은 이러한 상황이 실제 기업 운영에 미치는 실질적 영향을 평가한다. 도메인 리스트가 비어 있거나 일반화된 형태로만 제공될 경우, EU 감사팀은 해당 문서가 규정 요구를 충족하지 못한다는 판단을 내릴 가능성이 크다. 이는 기업에게 추가적인 정보 제공 요구, 시정 명령, 혹은 과태료 부과와 같은 행정적 조치를 초래할 수 있다. 특히, 중소기업에 적용되는 낮은 기준이 있음에도 불구하고, 실제로는 모든 규모의 기업이 동일한 수준의 투명성을 입증해야 하는 압박을 받게 된다. 따라서 기업은 현재 제출된 요약서를 신속히 검토하고, 누락된 도메인 정보를 보강하는 작업을 사전 준비해야 할 필요가 있다.

여섯 번째 단락은 향후 대응 방안을 제시하며, 규제 준수를 위한 실천적 조치를 구체화한다. 먼저, 각 제공자는 템플릿 요구사항에 맞게 스크랩된 도메인 리스트를 정확히 기재하고, 해당 리스트가 상위 10% 기준을 충족하는지 검증하는 내부 프로세스를 구축해야 한다. 둘째, 규제 기관과의 사전 협의를 통해 해석 차이를 최소화하고, 필요 시 가이드라인 보완을 요청하는 것이 바람직하다. 마지막으로, 기업 내부에서는 데이터 출처 관리 시스템을 도입해 도메인 정보와 스크랩 비율을 실시간으로 추적·보고함으로써, 감사 시 신뢰할 수 있는 증거를 제공할 수 있도록 준비한다. 이러한 체계적 접근은 규제 리스크를 감소시키고, EU 시장에서의 지속 가능한 운영을 보장한다.

한국 기업에게 실질적인 영향은 명확합니다: 도메인 리스트가 명시되지 않으면 EU 규제기관의 감사에서 공개 내용이 불완전하다고 판단될 수 있어 추가 정보 제공 요청이나 시정 조치를 받을 위험이 있습니다. 따라서 위원회가 현재 접근이 제53조 요구사항에 미치지 못한다는 결론을 내릴 경우, 기업들은 기존 요약서에 구체적인 도메인 데이터를 보강할 준비를 해야 합니다.