부록 I
법적·규제적 정렬
ANNEX I 법적 및 규제 정합성 (v 1.3-RC2)
이 상호 대조표는 참고 목적이며 법률 자문이 아닙니다. §3의 오버레이가 적용되는 모든 분야에서 배포하기 전에 해당 관할권의 법률 검토가 필요합니다.
0. 목적 및 범위
Annex I는 CIRIS 의무를 구속력 있는 법률과 연결하여, 윤리적 준수와 법적 준수 모두를 하나의 통제 체계로 충족할 수 있도록 합니다.
적용 영역:
- 글로벌 개인정보 보호 체계 (GDPR, CCPA/CPRA, LGPD, PIPEDA).
- 분야별 법령 (HIPAA, GLBA, FINRA, FDA‑SaMD, NERC‑CIP).
- 제품 안전 및 AI 특화 법률 (EU‑AI‑Act, ISO/IEC 42001).
- 책임 배분 및 증거 의무.
두 개의 보완 자료가 이 부록과 함께 상호 대조 역할을 담당합니다. 증거를 포함한 실시간 상호 대조표는 CIRISAgent compliance/ 디렉터리로, Magnifica Humanitas, EU HLEG 지침, IEEE EAD, ASEAN 가이드(Accord Addendum 1 참조)와 대조하여 27개 차원을 단락 단위로 상호 대조합니다. Annex C는 법적 검토가 완료되면 법령 매핑(EU AI Act 조항, NIST AI RMF, ISO/IEC 42001)의 향후 거처가 될 예정이며, 이 부록은 Annex C의 표를 중복 기술하지 않습니다.
0.1 준수 범위의 다자간 근거
MH §201: "모든 민족의 공동 미래와 글로벌 공동선이라는 개념을 수호하기 위해 설립된 기관들이 약화된 것으로 보입니다… 진전을 이루는 대신, 우리는 20세기의 중요한 전환점으로부터 후퇴하고 있습니다."
MH §225: "사이버 공간 역시 전장이 되었습니다. AI의 도움을 받아 조직된 사이버 공격, 데이터 조작, 영향력 공작은 공개적인 무력 충돌이 발생하기 전에도 국가 전체를 불안정하게 만들 수 있습니다… 외교는 이 새로운 환경에서 효과적으로 작동하며 디지털 기술 사용에 관한 공유 규범을 협상할 수 있어야 합니다."
Annex I의 적용 범위는 현재 제정된 법령에 국한되지 않습니다. 페더레이션은 다자간 규제 기관의 약화(MH §201)를 사후 대응이 아닌 선제적 추적을 요하는 준수 위험 요인으로 취급합니다. 따라서 Reg‑Change Tracker(§6)는 제정된 법률뿐 아니라 활발한 국제 규제 대화—ITU AI 표준 프로세스, OECD AI 정책 관측소 산출물, 유럽평의회 AI 협약 비준 현황, UN 사무총장 AI 자문기구 권고안 포함—를 모니터링하고, 중요한 변화를 "Breaking" 에스컬레이션 경로를 통해 WA 도켓에 보고합니다.
lexwatcher.py 소스 피드 목록에는 최소한 EUR‑Lex, Federal Register API, ISO 투표 추적기 외에 itu.int/en/ITU-T/AI, oecd.ai, coe.int/ai, un.org/techenvoy가 포함되어야 합니다. 페더레이션 수준의 모니터링 참여는 로드맵 항목이 아니라 1등급 준수 의무입니다.
0.2 사이버 도메인 조약 노출에 관한 범위 주석
MH §225: "공격을 감행한 주체가 불분명할 경우, 과잉 반응, 오판, 확전의 위험이 증가합니다."
네트워크 대면 추론, API 노출, 또는 페더레이션 전송을 포함하는 CIRIS 배포는 현재 적용되는 제정 법령이 없더라도 신흥 사이버 도메인 조약 의무에 적용됩니다. CYBER_OFFENSIVE 금지 조항(ACCORD §I Ch1, prohibitions.py)은 내부 방화벽이며, 이 부록의 §6은 외부 조약 범위를 추적합니다. WA 도켓이 사이버 도메인 조약 비준(예: 부다페스트 협약 확장, 제안된 UN 사이버범죄 협약)과 관련된 "Breaking" 태그를 수신하는 경우, CRE Protocol(Annex D)은 다음 F‑Audit 주기 이전에 네트워크 대면 구성 요소가 있는 ST ≥ 3 배포를 재평가해야 합니다.
1. 개인정보 보호 상호 대조표 ("DP‑Map")
| DP 주제 | GDPR 조항 | CCPA § | CIRIS 조항 | 구현 훅 |
|---|---|---|---|---|
| 적법 근거 / 목적 제한 | 5 & 6 | 1798.100(b) | Section II Step 1 (Contextualisation) | PDMA 컨텍스트의 processing_basis 필드 |
| 데이터 최소화 | 5(1)(c) | 1798.140(e) | Annex G §2 TX‑6 | 프롬프트 정화기가 불필요한 PII 제거 |
| 투명성 고지 | 12‑14 | 1798.100(a) | Section II Step 6, KPI F‑T‑3 | PDMA 메타데이터에서 자동 생성된 /privacy/notice.md |
| 열람권 | 15 | 1798.110 | Annex J API → /results/{run_id} | 인증 기반 사용자 포털 |
| 정정 / 삭제 | 16‑17 | 1798.105 | Section IV Ch 3 Duty | 해시 묘비가 있는 삭제 서비스 |
| 이동성 | 20 | 1798.130(a)(2)(B)(ii) | Section II Step 6 | ISO CSV‑A 준수 export.json |
| 자동화 결정 보호 장치 | 22 | 1798.185(a)(16) | Annex F Autonomy Tiers | 조건부 재정의 및 설명 패널 |
LGPD, PIPEDA 미러 매핑은 /legal/dp-map.yaml에서 확인할 수 있습니다.
1.1 책임 사슬: 모든 단계에서의 책임
MH §105: "AI가 인간의 존엄성을 존중하고 진정으로 공동선에 기여하려면, 이러한 시스템을 설계하고 개발하는 사람들부터 구체적인 결정을 위해 이를 사용하고 의존하는 사람들에 이르기까지 모든 단계에서 책임이 명확하게 정의되어야 합니다… 바로 여기서 책임 추적 가능성이 중요해집니다: 결정에 대해 '해명'하고, 정당화하고, 감시하며, 필요한 경우 이의를 제기하고 발생한 피해를 시정해야 할 주체를 식별할 수 있는 가능성."
위의 DP‑Map은 개별 정보 주체의 권리를 GDPR 조항 및 CIRIS 조항에 매핑합니다. MH §105는 책임 사슬이 설계, 배포, 결정의 모든 단계에서 추적 가능해야 할 것을 요구합니다. 다음 추가 사항이 해당 사슬을 완성합니다:
| DP 주제 | GDPR 조항 | CIRIS 조항 | 단계 | 책임 훅 |
|---|---|---|---|---|
| 설계 시 편향 문서화 | 35 (DPIA) | Section VI Ch3 Creator Ledger | 설계 | Creator Intent Statement의 cis_bias_assessment 필드; ST ≥ 3은 독립 검토자 서명 필요 |
| 배포 시 처리 기록 | 30 | PDMA Step 1 processing_basis 필드 | 배포 | processing_basis가 ISO 8601 타임스탬프와 함께 CIRISPersist 변조 방지 저장소에 기록됨 |
| 결정 시 이의 신청 로그 | 22(3) | Annex F Autonomy Tier A3+ 재정의 패널 | 결정 | contestability_url이 모든 자동화 결정 응답 본문에 반환되며, 투명성 로그에 해시 고정됨 |
| 컨트롤러 식별 | 4(7) | Annex E Structural Influence (SI) 점수 | 전 단계 | SI ≥ 0.6 → 컨트롤러 의무 부여; SI < 0.6 → 프로세서 의무 부여; dp-map.yaml에 기록됨 |
LGPD (Lei 13.709/2018) 제37‑40조 (책임 추적성 및 기록)와 PIPEDA 원칙 1 (책임)은 이 매핑을 반영합니다; /legal/dp-map.yaml은 관할권별 필드를 포함합니다.
1.2 알고리즘의 비중립성: 감사 의무
MH §104: "모든 기술적 도구는 무엇을 측정하고, 무시하고, 최적화하며, 사람과 상황을 어떻게 분류하는지를 통해 선택과 우선순위를 구현합니다. 시스템이 일부 생명을 덜 가치 있는 것으로 취급하거나, 이의 제기 가능성 없이 그들을 배제하는 방식으로 설계 또는 사용된다면, 그것은 단순히 '잘 사용되어야 할' 도구가 아닙니다. 왜냐하면 그 시스템은 이미 인간 존엄의 불가양도성과 모순되는 기준을 도입한 것이기 때문입니다."
MH §104는 GDPR 제35조 DPIA 및 EU-AI-Act 제9조(7)항이 절차적으로 다루는 설계 시점 편향 문제를 명명합니다. DP-Map은 다음을 포함해야 합니다:
dp-map.yaml내bias_audit_ref필드로 최신 편향 감사 보고서(Annex G, TX-6)를 가리킬 것.- PDMA 1단계가
DISCRIMINATION금지 검토를 촉발하는 배포의 경우, 해당 배포가 EU-AI-Act Annex III에 따른 "고위험"으로 달리 분류되는지 여부와 무관하게 DPIA가 요구됨. - CCPA §1798.185(a)(16) 자동화 결정 규정(2026년 발효)은 논리, 입력 데이터 범주 및 거부권 공개를 요구하며; 이는
processing_basis=automated_profiling인 경우 Annex F 설명가능성 패널에 의해 충족됨.
2. 정보주체 권리(DSR) 훅
- 엔드포인트:
POST /dsrwith{right, identifier, scope}. - SLA: ≤ 30일 응답(GDPR) ; ≤ 45일(CCPA) ; KPI F‑T‑4 추적.
- 처리자 대 관리자: 구조적 영향(SI)(Annex E)을 사용하여 어느 당사자가 관리자 의무를 부담하는지 도출할 것.
2.1 정치적 책임 훅
MH §103: "이 과정에서 정치적 책임도 상실되는데, 결국 시뮬레이션될 수 있는 배제된 자들에 대한 공감만이 아닙니다. 취약계층의 배제는 중립성과 객관성의 외피 속에 가려지며, 이에 대해 이의를 제기하기 어려워집니다."
DSR 인프라는 자동화된 결정의 이유 코드를 노출해야 하며, 단순히 결정이 이루어졌음을 확인하는 데 그쳐서는 안 됩니다. {right, identifier, scope}를 사용하는 POST /dsr 엔드포인트는 다음과 같이 확장됩니다:
- 접근 요청(GDPR 제15조; CCPA §1798.110): 응답에는 반드시
decision_logic_summary(비기술적 언어, ≤300단어) 및input_data_categories[]목록이 포함되어야 함. KPI F‑T‑4는 논리 요약을 포함한 접근 응답 비율을 추적하도록 확장; 목표 ≥ 95%. - 이의/거부 요청(GDPR 제21조; CCPA §1798.120): 시스템은 72시간(GDPR 기준) 또는 15 영업일(CCPA) 이내에 요청을 단순히 플래그 처리하는 것이 아니라 특정 처리 경로를 반드시 중단해야 함. 중단은
suspended_pathway_id와 함께 DSR 원장 CSV에 기록됨. - 이의제기 가능성(GDPR 제22조(3)): 인간 검토가 요청된 경우, 검토하는 WA(Annex B §9)는 자동화된 결정에서 인간 수정에 이르는 감사 가능한 연쇄를 생성하면서 지혜 은행 데이터베이스(WBD)에 검토 내용을 문서화해야 함.
3. 부문별 오버레이
3.1 부문 계층화의 아키텍처로서의 보조성 원칙
MH §107: "우리는 단순히 기계의 도덕화 — AI와 인간 가치의 이른바 '정렬' — 를 촉구하는 것만으로 만족할 수 없습니다. 관련된 윤리적 틀을 공개적으로 논의하고 사회 정의의 공유 기준에 따라 검토할 가능성을 주장할 용기도 가져야 합니다. 그렇지 않으면 AI를 통제하는 자들이 자신의 도덕적 비전을 부과할 것이며, 그것이 이러한 시스템들의 보이지 않는 인프라가 될 것입니다."
MH §109: "보조성에 대해 말한다는 것은 결정이 위에서 부과되는 것이 아니라 지역사회가 선택하고 수정하는 능력을 보호할 것을 요구합니다."
MH §§107–109는 윤리적 거버넌스가 적절한 규모에서 작동해야 한다는 것 — AI를 통제하는 자들에게 위로 집중되는 것이 아니라 영향을 받는 지역사회에 분산되어야 한다는 것 — 을 확립합니다. CIRIS 용어로: 부문별 오버레이는 이 보조성 원칙의 운영적 표현입니다. 오버레이 아키텍처는 컴플라이언스 부가물이 아니라, 배포 도메인 지역사회가 자체 위험 매개변수에 대한 거버넌스 권한을 유지하는 메커니즘입니다.
이는 다음을 의미합니다:
- 부문의
overlay.yaml은 해당 도메인에서 일반 CIRIS 기본값보다 우선하는 로컬 윤리적 제약을 담고 있음. - 부문 오버레이를 무효화하는 데 필요한 WA 쿼럼은 일반 PDMA 판결에 필요한 쿼럼보다 높음: 부문 오버레이 무효화에는 슈퍼다수결(≥ 2/3) WA 투표가 필요하며, 단순 다수결이 아닌 이유는 정확히 그 무효화가 보조성 원칙에 반하여 거버넌스를 위로 집중시키기 때문임.
- PDMA 컨텍스트 객체의
deployment_domain필드는 오버레이 로딩의 트리거이며; ST ≥ 2 배포에서는 선택 사항이 아님.
3.2 섹터 오버레이 표
| 섹터 | 법령 / 규칙 | 추가 통제 | CIRIS 부가 사항 | MH 기준점 |
|---|---|---|---|---|
| 의료 | HIPAA (45 CFR §164) | 저장 중 및 전송 중 ePHI 암호화; BAA 계약 | identity_id:"hipaa_cls_a" 가드레일; 감사 태그 PHI=true | — |
| 금융 | GLBA, FINRA 2210 | 감사 추적 보존 6년; 적합성 검사 | PDMA 1단계에서 KYC 맥락 요구 | — |
| 아동 / 에드테크 | COPPA, FERPA | 부모 동의; 데이터 연령 제한 | 가드레일 gr_child_content; 프롬프트 스키마에 COPPA 플래그 | MH §§165–169 |
| 핵심 인프라 | NERC‑CIP, TSA SDs | 15분 사이버 사고 보고; 물리적 접근 로그 | CRE 통과 전까지 자율성 A2로 제한 | — |
| 노동 / 인사 / 채용 | EEOC 지침; EU AI Act Art. 6 + Annex III §4 | 배포 전 편향 감사 필수; 근로자 통지 의무 | ST 수정자: deployment_domain:"labor_hr" → ST 하한 = 3; CIS에 worker_impact_assessment 필드 포함 필수; 1단계에서 DISCRIMINATION 금지 시행; 인구통계별 자동 거절률 KPI로 추적 | MH §§148–156 |
| 긱 / 플랫폼 경제 | NLRA (미국); 플랫폼 근무 지침 (EU) | 알고리즘 관리 투명성; 이의 제기 권리 | gr_gig_transparency 가드레일 활성; 알고리즘 관리 결정은 인간 검토 옵션과 함께 로깅; ST 수정자: deployment_domain:"gig_platform" → ST 하한 = 2 | MH §§150, 154–155 |
| 청소년 / 교육 서비스 | COPPA; FERPA; DSA Art. 28b (미성년자) | 중독 유발 설계 금지; 다크 패턴 금지; 발달 적합성 검토 | gr_child_content + gr_no_dark_patterns 모두 활성; 교육 기관 WA 승인 없이는 A2 자율성 상한; 에드테크 배포를 위한 창작자 의도 명세서에서 청소년 실업 영향 추적 | MH §§165–169 |
| 사회 서비스 / 복지 | 주/국가 복지법; GDPR Art. 22 | 모든 급여 결정에 이의 제기 가능성 필수 | 자동 급여 거부 시 15일 이내 인간 검토 필수; WA는 WBD에 검토 내용을 기록해야 함; 이의 제기 시 suspended_pathway_id 발급 | MH §§102–103, 152 |
ST 하한 수정자: 위의 deployment_domain 필드 값은 CIS × RM 계산에 관계없이 최소 ST를 설정합니다. 수식이 더 낮은 ST를 산출하면 도메인 하한이 적용됩니다. 수식이 더 높은 ST를 산출하면 수식 결과가 적용됩니다.
새로운 섹터에 진입하는 제품은 릴리스 PR에 "오버레이 시트"(overlay.yaml)를 반드시 첨부해야 합니다. 노동/인사, 긱/플랫폼, 청소년 오버레이는 창작자 의도 명세서에 worker_impact_assessment 또는 youth_impact_assessment 섹션도 추가로 필요합니다.
3.3 관할권별 WA 정족수 요건
MH §109: "보조성 원칙을 언급한다는 것은 위에서 결정이 강요되는 것이 아니라, 공동체가 선택하고 수정할 수 있는 능력을 보호하는 것을 의미합니다."
섹터 오버레이 거버넌스를 위한 WA 정족수는 관할권에 따라 계층화됩니다:
| 범위 | 정족수 유형 | 기준값 | 근거 |
|---|---|---|---|
| 단일 관할권 배포 | 지역 WA 패널 | 단순 과반수 (> 50%) | 보조성 원칙에 따른 최소 가능 거버넌스 수준 |
| 다중 관할권 배포 (≤ 3개국) | 광역 WA 패널 | 단순 과반수 + 각 영향 관할권에서 최소 1명의 WA | 국경 간 보조성 유지 |
| 다중 관할권 배포 (> 3개국) | 페더레이션 WA 패널 | 초과다수 (≥ 2/3) | 영향 규모상 더 높은 기준값 필요 |
| 섹터 오버레이 무효화 | 페더레이션 WA 패널 | 초과다수 (≥ 2/3) | 거버넌스를 상위로 집중하는 것은 예외적 행위 |
| 노동/인사 오버레이 무효화 (특정) | 페더레이션 WA 패널 + 독립 노동권 검토자 | 초과다수 (≥ 2/3) + 외부 서명 | MH §155는 노동 기관을 구성적으로 핵심 부담 요소로 명시 |
4. 제품 안전 및 AI Act 정합성
MH §105: "그러나 많은 경우 결과로 이어지는 내부 과정은 불투명하여, 책임을 귀속하고 오류를 수정하기 어렵게 만듭니다."
MH §106: "윤리를 추상적으로 언급하는 것만으로는 충분하지 않습니다. 강력한 법적 프레임워크, 독립적인 감독, 정보를 갖춘 사용자, 그리고 책임을 회피하지 않는 정치 체계가 필요합니다."
출력 계층 투명성(Art. 13)과 인간 감독(Art. 16)만으로는 각 내부 단계에서의 추적 가능성을 요구하는 MH §§105–106를 충족하지 못합니다. 따라서 정합성 표는 다음과 같이 확장됩니다:
| EU AI Act 조항 | 위험 수준 | CIRIS 매핑 | MH 기준점 | 추가 통제 |
|---|---|---|---|---|
| Art 9 위험 관리 | 고위험 | Section II PDMA + Annex D CRE | MH §105 | — |
| Art 13 투명성 | 보편 | KPI F‑T‑3, 설명 가능성 패널 | MH §105 | 투명성 페이로드에 PDMA 단계 ID 포함; API 응답에 stage_trace[] 필드 |
| Art 16 인간 감독 | 고위험 | Annex F 자율성 등급 | MH §105 | 감독은 절차적이 아닌 실질적이어야 함; A3‑A4는 실시간 {stage_id,decision,risk_band}를 ≤ 2초 내에 감독 대시보드에 전송 |
| Art 15 견고성 | 고위험 | Annex G RS ≥ 0.97 | — | — |
| Art 12 로깅 | 고위험 | CIRISPersist 변조 방지 저장소 | MH §103 | 로그에 불리한 결정에 대한 rejection_reason_code 포함 필수; 보존 기간 7년 (A3‑A4) |
| Art 14(4) 인간 감독 (노동) | 고위험 (Annex III §4) | 노동/인사 오버레이 (§3.2) | MH §§148–152 | HR/채용 배포는 CEP에 worker_notice_sent 불리언 값을 표시해야 함 |
| 적합성 평가 | 고위험 | F‑Audit (Annex H)는 EU AI Act MDR로도 기능 | MH §106 | F‑Audit 보고서에는 규제 변경 지연 분석 포함 필수: 마지막 주요 규제 변경 날짜 대 마지막 CIRIS 업데이트 날짜 |
| Art 61 사후 시장 모니터링 | 고위험 | 24개월마다 F‑Audit | MH §106 | 모니터링 계획에는 §0.1의 피드 출처를 명시해야 함; "모니터링할 내용 없음"은 유효한 모니터링 계획이 아님 |
법령 조항별 매핑(EU AI Act, NIST AI RMF, ISO/IEC 42001)은 법적 검토 보류 중인 Annex C에 통합되고 있습니다. 위의 표는 운영 정합성 보기로 유지됩니다.
4.1 ISO/IEC 42001:2023 정합성
MH §107: "도덕성이 소수에 의해 결정된다면, 더 도덕적인 AI만으로는 충분하지 않습니다. 더 적극적인 정치적 참여가 필요합니다…"
ISO/IEC 42001 §6.1(AI 위험 처리)과 §9.1(모니터링 및 측정)은 CIRIS와 다음과 같이 정합됩니다:
- ISO 42001 §6.1 → PDMA 1‑3단계 + CRE 프로토콜 (Annex D).
- ISO 42001 §9.1 → KPI F‑T‑1에서 F‑T‑5까지 (Annex G) + DSR 원장 KPI F‑T‑4.
- ISO 42001 §10.2(부적합) → WA 도켓 "Breaking" 에스컬레이션 경로.
- ISO 42001 §8.4(AI 시스템 영향 평가) → 창작자 의도 명세서의
worker_impact_assessment및youth_impact_assessment섹션 (§3.2).
5. 책임 매트릭스
MH §105: "설계하고 개발하는 사람들부터 구체적인 결정을 위해 이를 사용하고 의존하는 사람들에 이르기까지, 모든 단계에서 책임이 명확하게 정의되어야 한다."
MH §105는 책임 매트릭스가 설계, 배포, 결정 단계를 명시적으로 포괄할 것을 요구한다:
| 실패 벡터 | 단계 | 1차 책임 당사자 | 참조 법률 | CIRIS 역할 참조 | SI 배분 비고 |
|---|---|---|---|---|---|
| 설계 결함 (생성 시 내재된 알고리즘 / 편향) | 설계 | 창작자 / 개발자 | Prod‑Liab Dir (EU); Restatement §402A (US); EU AI Act Art. 25 | Book VI Creator Ledger; cis_bias_assessment 필드 | SI ≥ 0.8 → 창작자 단독 책임 |
| 설계 결함 (불충분한 편향 감사) | 설계 | 창작자 / 개발자 | GDPR Art. 35 DPIA 의무 | Creator Intent Statement; ST ≥ 3에서 필수 DPIA | — |
| 운영상 과실 | 배포 | 배포 조직 | Tort Law; OSHA; EU AI Act Art. 26 | Section IV Ch 2 | SI 0.4–0.8 → 공동 책임; SI 배분은 Annex E 기준 |
| 감독 실패 | 배포 / 결정 | 담당자 (중대한 경우) | Fiduciary / Negligence | Annex B §9; WBD 이의제기 기록 | 검토 및 승인한 담당자가 책임 부담 |
| 데이터 침해 | 배포 | 관리자 (SI ≥ 0.6 규칙 기준) | GDPR Art. 82; CCPA private action | Annex G TX‑6 | — |
| 불법 자동 프로파일링 | 결정 | 관리자 | GDPR Art. 22; EU AI Act Art. 13 | Annex F Autonomy Tier; contestability_url | — |
| 근로자 영향 평가 없는 노동 대체 | 설계 | 창작자 / 개발자 | Platform Work Directive; NLRA; EU AI Act Annex III §4 | Labor/HR overlay (§3.2); worker_impact_assessment 필드 | MH §§151–152; 신규 벡터 |
| 청소년 대상 유해 설계 (중독 패턴) | 설계 / 배포 | 창작자 + 배포 조직 (공동) | DSA Art. 28b; COPPA; FERPA | Youth overlay (§3.2); gr_no_dark_patterns 가드레일 | MH §§165–167; 신규 벡터 |
| 사이버 사건 오귀인으로 인한 확전 | 배포 | 배포 조직 + 페더레이션 (ST ≥ 4인 경우) | Budapest Convention; proposed UN cybercrime convention | CYBER_OFFENSIVE 금지; CRE Protocol 재평가 트리거 | MH §225; 신규 벡터 |
공동 및 연대 책임이 적용될 수 있으며, SI 점수(Annex E)가 배분 기준이 된다. 신규 벡터(노동 대체, 청소년 설계, 사이버 오귀인)는 해당 섹터에 배포하기 전에 각 관할권에서 법적 검토를 위해 표시된다.
6. 규제 변경 추적기
- 소스 피드: EUR‑Lex, Federal Register API, ISO ballot tracker, 및 §6.1의 확장 피드 포함.
- 봇:
lexwatcher.py가 매일 실행되며;reg‑update태그로 GitHub 이슈를 생성한다. - 준수 영향 레이블:
minor,material,breaking,multilateral-erosion(아래 에스컬레이션 테이블 참조).
6.1 규제 대화에서의 페더레이션 수준 참여
MH §201: "모든 민족의 공동 미래와 세계 공동선이라는 개념을 수호하기 위해 설립된 기관들이 약화된 것으로 보인다."
MH §226: "특히 국제연합과 같은 국제 기구들은 사랑의 문명을 증진하는 데 필수적인 도구이다. 이들은 국가 간 대화를 촉진하고 분쟁의 평화적 해결을 도모할 수 있기 때문이다… 국제 공동체는 불평등을 줄이고, 난민과 소수자의 권리를 지키며, 군사비 지출을 인간 발전에 재배분하고 우리의 공동 집을 보호하기 위해 협력할 수 있다."
MH §221: "'권력의 문화'에서 진정한 '협상의 문화'로의 전환이 시급하며, 그 안에서 대화와 외교가 분쟁 해결의 표준적 수단이 되어야 한다."
MH §§201, 221, 226은 법을 생산하는 다자기구 자체가 약화될 때 제정된 법의 수동적 준수만으로는 불충분하다는 것을 확립한다. 따라서 규제 변경 추적기는 반응적 도구(제정된 변경 사항 추적)에서 능동적 참여 메커니즘으로 확장된다.
확장된 소스 피드 (기존 EUR‑Lex, Federal Register, ISO ballot tracker에 추가):
| 피드 | 적용 범위 | CIRIS 조치 트리거 |
|---|---|---|
itu.int/en/ITU-T/AI (Focus Group AI/ML) | 국제 통신 AI 표준 | ISO ballot tracker 논리: 비준된 표준이 CIRIS 기본값과 충돌하면 material |
oecd.ai (OECD AI Policy Observatory) | 38개 회원국 간 정책 수렴 | 모니터링용 minor; OECD 권고안 개정이 ST 시스템 또는 노동 오버레이에 영향을 미치면 material |
coe.int/ai (Council of Europe AI Convention) | 최초의 구속력 있는 국제 AI 조약 (2024년 서명 공개) | CIRIS 배포 관할권에서 비준 시 breaking; WA 도켓 자동 개설 |
un.org/techenvoy (UN AI Advisory Body) | UN 수준의 AI 거버넌스 권고안 | 연례 보고서가 특정 아키텍처 의무를 명시하면 material |
budapestconvention.org (Cybercrime Convention) | 사이버 도메인 조약 비준 | 신규 비준 시 breaking; ST ≥ 3 네트워크 연결 배포에 대한 CRE 재평가 필요 |
| 국내 AI 전략 등록부 (EU, US, UK, JP, AU, BR, IN, ZA) | 법적 효력이 있는 국내 AI 전략 업데이트 | 전략의 경우 minor; 전략이 필수 적합성 의무를 창출하면 material |
페더레이션 수준 참여:
CIRIS 페더레이션은 단순한 준수 수혜자가 아니다. MH §§219–221은 대화와 협상을 공존의 주된 방법으로 명시한다. CIRIS 운영 측면에서:
- 담당자 위원회는 위에 열거된 활성 국제 표준 기구별로 최소 1명의 규제 대화 연락관(RDL)을 지정해야 한다(SHALL).
- RDL은 공개 의견 수렴 기간 중 규제 초안을 검토하고 페더레이션의 공개 채널을 통해 의견을 제출한다. 의견은 Wisdom Bank Database(WBD)에 규제 대화 기록으로 로그된다.
- 규제 초안이 CIRIS 기본값과 충돌하는 경우, RDL은 WA 도켓 항목을 제출하고 CIRIS가 적응해야 하는지 혹은 다른 규제 경로를 옹호해야 하는지를 평가하기 위한 미니 PDMA를 시작한다. 결과는 의견 마감일 전에 공개 의견으로 제출된다.
- 참여는 공개 의견 수렴 및 다중 이해관계자 협의 프로세스에 한정된다. CIRIS 페더레이션은 적용 법률에서 정의된 로비 활동에는 관여하지 않는다.
에스컬레이션 경로:
| 레이블 | 트리거 | 조치 |
|---|---|---|
minor | 모니터링 전용 변경 | 연간 검토; 규제 대화 WBD 기록에 로그 |
material | CIRIS 통제 업데이트 필요 | 90일 이내 S‑Dive 감사; 의견 수렴 기간이 열려 있으면 RDL이 공개 의견 제출 |
breaking | 사양 패치 또는 즉각적인 WA 도켓 | ≤ 30일 이내 긴급 WA 회의; 영향받는 ST 계층에 대한 CRE 재평가; RDL 공개 의견 제출 |
multilateral-erosion | 주요 다자기구 또는 조약의 약화 (MH §201 기준) | RDL이 전략적 검토를 위해 WA에 에스컬레이션; 페더레이션이 해당 기구에 대한 지지 공개 성명 발표를 고려 |
7. 준수 증거 패키지 (CEP)
MH §105: "결정에 대해 '책임'을 져야 하는 사람이 누구인지 파악하고, 이를 정당화하며, 감시하고, 필요한 경우 이의를 제기하고 발생한 피해를 시정할 수 있는 가능성."
모든 F‑Audit (Annex H)은 다음을 포함하는 CEP zip을 내보내야(MUST) 한다:
dp-map.yaml—controller_si_threshold필드와bias_audit_ref포인터(§1.1)를 포함한 실시간 교차 참조.- 적법 근거를 증명하는 PDMA 로그(삭제 처리) — ST ≥ 3인 모든 결정에 대한
processing_basis필드 값 및stage_trace[]포함. - DSR 원장 CSV —
decision_logic_summary완성률(KPI F‑T‑4 확장) 및suspended_pathway_id로그 포함. - 모든 모델 아티팩트의 서명 번들(
.sigstore) (Annex G). - 부문별 오버레이 시트 — 해당 도메인에 대한
worker_impact_assessment및youth_impact_assessment포함. - 법무 서명을 받은 책임 매트릭스 확인서 — 새로운 벡터 포함: 노동 대체, 청소년 설계, 사이버 오귀인.
- 규제 변경 지연 분석 — 마지막 중요 규제 변경 날짜 대 마지막 CIRIS 통제 업데이트 날짜; 90일 이상 차이 시 설명 필요.
- 규제 대화 참여 기록 — 감사 기간 내 규제 대화 제출 건에 대한 WBD 항목; 공개 의견 수렴 중인 중요 규제가 없는 경우 "제출 없음"은 허용 가능.
- 이의 제기 완료 기록 — 감사 기간 내 모든 A3‑A4 결정에 대해: 인간 검토가 요청된 비율, WBD 문서화가 15일 이내에 완료된 비율; KPI 목표 ≥ 90%.
CEP를 해시하여 /compliance/cep/{version}.zip에 업로드하고; 루트 해시는 투명성 로그에 고정된다. CEP 이면의 차원별 증거는 CIRISAgent compliance/ 디렉터리에 유지된다 (Accord Addendum 1).
8. 부속서 간 연결 고리
- Annex F: 자율성 티어는 GDPR Art 22 및 EU‑AI‑Act Art 16의 인간 루프 내 요건을 보장한다.
- Annex G: TX‑6 프라이버시 방어는 GDPR 가명처리 권고 사항(Recital 28)을 충족한다.
- Annex H: F‑Audit 타이밍은 EU‑AI‑Act Art 61의 정기 재평가 의무에 대한 증거를 제공한다.
- Annex J: 벤치마크 설명은 자동화된 결정 조회에 대한 "의미 있는 정보"를 제공한다(GDPR Art 15(1)(h)).
- §3.2 노동/HR 오버레이 → Annex D CRE: ST 하한 3의 노동 배치는 배치 전에 CRE Protocol을 통과해야 한다.
- §6.1 RDL 참여 → Annex B WA 구조: RDL은 지정된 WA 역할이다; 임명, 기피, 교체 절차는 Annex B §9를 따른다.
- §5 책임 매트릭스(새로운 벡터) → Annex E SI: 청소년 설계 공동 책임은 기존 벡터와 동일한 SI 분배 공식을 사용한다.
- §7 CEP 항목 8(규제 대화) → §6 추적기: WBD 규제 대화 기록은 CEP 항목 8의 출처이다; 별도 로깅 시스템 없음.
- Annex C: 법적 검토 보류 중인 법정 매핑의 미래 보금자리(EU AI Act 조항, NIST AI RMF, ISO/IEC 42001).
9. 참고문헌
- GDPR (2016/679), CCPA/CPRA (Cal. Civ. §1798), LGPD (Lei 13.709/2018)
- HIPAA Privacy Rule (45 CFR §164), GLBA Safeguards (16 CFR 314)
- EU‑AI‑Act (2024 text), ISO/IEC 42001:2023
- Restatement (Third) of Torts, Product Liability
- Platform Work Directive (EU) 2024/2831
- Digital Services Act (EU) 2022/2065, Art. 28b (minors)
- Council of Europe Framework Convention on Artificial Intelligence (CETS 225, open for signature 2024)
- Budapest Convention on Cybercrime (ETS 185) and Second Additional Protocol (2022)
- OECD Recommendation on Artificial Intelligence (2019, revised 2024)
- ITU‑T Focus Group on AI/ML — technical standards output
- UN Secretary‑General's AI Advisory Body reports (2024–)
- Magnifica Humanitas, Pope Leo XIV (15 May 2026), §§102–111, §§148–156, §§165–169, §§201–203, §§219–227
End of Annex I