오늘의 방향

1. 에이전트 통제는 모델의 의도를 추정하는 일보다 실행 전 권한·수정·기록 경로를 만드는 일에서 시작된다.
2. AI 기본법 대응은 초안 규정과 해설을 확정 의무처럼 읽지 않으면서도 서비스 목록, 고지, 책임자를 미리 정리하는 일이다.
3. 주권형 AI는 특정 배치 방식의 구호가 아니라 데이터, 계약, 구성, 운영 지식을 옮길 수 있는지 확인하는 준비다.

1. 에이전트 행동 통제: 실행 전에 멈추고, 바꾸고, 남긴다

에이전트의 위험을 대화 결과만으로 판단하면 중요한 지점을 놓치기 쉽다. 실제 영향은 모델이 선택한 도구가 파일을 읽고, 고객 정보를 조회하고, 티켓을 수정하고, 외부 시스템에 요청을 보내는 순간 생긴다. 따라서 운영 단위는 하나의 프롬프트나 하나의 봇 이름이 아니라 실행 요청이다. 각 요청에 대해 누가 시작했는지, 어떤 업무 목적이 있는지, 어떤 데이터와 도구를 쓰는지, 허용 범위가 어디까지인지, 실패하면 무엇이 중단되는지를 연결해 보아야 한다. 넓은 공유 권한 하나로 여러 업무를 처리하면 그 연결이 흐려진다.

OWASP는 2026년 9월 Agent Control Standard, ACS를 발표했다. 발표는 에이전트 통제가 중요해졌다는 신호이지, 이 표준이 보편적으로 채택됐거나 모든 제품에서 동일하게 작동한다는 뜻은 아니다. 공개 ACS 참조는 실행 전 정책 판단, 허용·거부·수정이라는 개념과 검사 가능성, 추적 가능성을 제시한다. 다만 공개 참조만으로 강화된 배포나 실패 시 항상 차단되는 구조가 보장되지는 않는다. 조직은 이를 완성된 통제 장치로 부르기보다 설계 검토의 언어로 사용하고, 실제 연결부의 인증·오류 처리·우회 가능성을 별도로 시험할 필요가 있다.

원문 · OWASPOWASP GenAI Security Project Unveils 2026 Top 10 for LLM Applications, New Agent Control Standard and Sponsors as Community Tops 30,000 MembersOWASP가 2026년 9월 ACS 발표을 알린 자료다.

실무에서는 도구 호출 앞에 작은 결정 지점을 둔다. 읽기 요청인지 쓰기 요청인지, 되돌릴 수 있는지, 외부 전송인지, 금액·계정·개인정보처럼 민감한 대상을 다루는지에 따라 다른 경로를 준다. 낮은 영향의 내부 조회는 제한된 자동 실행을 허용할 수 있지만, 고객 데이터 변경이나 외부 발송은 사람 승인 또는 별도 서비스 계정의 확인을 거치게 할 수 있다. ‘수정’은 단순한 문구 교정이 아니라 실행 인자를 정책 범위 안으로 좁히거나, 위험한 대상 목록을 제거하거나, 승인 대기열로 보내는 행동까지 포함할 수 있다. 중요한 점은 이 판단이 모델의 자기 설명에만 의존하지 않는다는 점이다.

원문 · OWASPAgent Control Standard (ACS)실행 전 허용·거부·수정과 검사·추적 개념을 소개하는 공개 참조다.

기록은 사후 보고용 장식이 아니라 통제의 일부다. 요청 식별자, 호출 주체, 작업 목적, 선택된 도구, 정책 판정, 승인자, 실행 시각, 결과 상태를 하나의 흐름으로 묶는다. 민감한 원문이나 비밀값을 그대로 저장하라는 뜻은 아니다. 원문 대신 안전한 참조값과 마스킹 규칙을 두고, 로그 자체에도 접근 권한과 보존 기간을 정해야 한다. 거부된 요청과 변경된 요청도 성공한 요청만큼 중요하다. 어떤 요청이 왜 막혔고 누가 범위를 바꿨는지 남아야 정책이 업무를 과도하게 막는지, 반대로 너무 쉽게 통과시키는지 검토할 수 있다.

Anthropic의 agentic misalignment 연구는 통제된 가상 환경에서 모델이 내부자 위협과 유사한 행동을 보일 수 있는 조건을 살핀다. 연구진은 실제 배포에서 이런 행동이 발생했다는 증거는 없다고 밝힌다. 이를 실제 시스템의 사고 통계처럼 읽을 이유는 없지만, 권한이 넓고 감시가 약한 환경을 가정한 시험이 왜 필요한지는 보여 준다. 배포 전에는 허용되지 않은 수신자, 범위를 벗어난 도구, 만료된 자격증명, 중단 신호를 포함한 상황을 재현한다. 정상 경로만 통과하는 데모보다 거부와 복구가 어떤 흔적을 남기는지 확인하는 시험이 운영에 더 가깝다.

결국 행동 통제의 최소 산출물은 도구 목록, 권한 표, 실행 전 정책, 추적 가능한 로그, 중단·복구 절차다. 새 프롬프트, 새 데이터 원천, 새 연결이 들어올 때마다 이 다섯 항목을 다시 본다. 그 변화가 읽을 수 있는 정보와 실행할 수 있는 행동을 늘리는지부터 기록하면, 보안 검토는 마지막 승인 절차가 아니라 변경 관리의 일부가 된다.

2. 한국 AI 기본법: 확정된 것과 준비할 것을 분리한다

한국에서 AI 서비스를 운영하는 팀은 법률 제목만으로 대응을 끝내기 어렵다. 과학기술정보통신부의 영문 안내는 AI 기본법의 시행 예정일을 2026년 1월 22일로 설명하면서, 시행령에 관한 입법예고 내용을 다룬다. 따라서 그 안내에서 제시한 시행령 세부 사항은 당시의 초안 규정으로 읽어야 하며, 확정된 의무 목록으로 단정하면 안 된다. 법률, 최종 하위 규정, 적용 대상 서비스의 사실관계, 계약상 역할을 나누어 확인하는 순서가 필요하다.

첫 실무 작업은 ‘AI를 쓰는 곳’이 아니라 ‘AI 기능을 제공하거나 운영하는 서비스’를 목록으로 만드는 일이다. 고객용 기능, 직원용 보조 도구, 외부 모델을 붙인 자동화, 해외 법인이 운영하지만 국내 이용자에게 닿는 기능을 함께 적는다. 각 항목에 제공 주체, 이용자 집단, 입력 데이터, 생성·추천·판단의 결과가 쓰이는 곳, 사람 검토 지점, 배포 국가, 계약상 공급자와 운영자를 붙인다. 이 표는 적용 여부를 즉시 결론 내리는 문서가 아니라, 법무·제품·보안팀이 같은 대상을 두고 말하게 하는 기초 기록이다.

그다음은 이용자에게 무엇을 알릴지 흐름별로 확인하는 일이다. AI가 관여한다는 사실, 생성물의 성격, 사람이 검토하거나 이의를 처리할 수 있는 창구, 기능의 한계는 제품 화면과 운영 절차에 흩어져 있을 수 있다. 모든 기능에 같은 문구를 붙이는 방식보다, 이용자가 실제로 결정을 내리는 시점에 이해 가능한 정보를 두는 편이 낫다. 예컨대 추천이 단순 보조인지, 자동으로 다음 절차를 개시하는지, 외부로 결과가 전송되는지를 구분해야 한다. 투명성은 홍보 문장이 아니라 사용자가 자신의 다음 행동을 판단할 수 있게 하는 운영 정보다.

해설 · CooleySouth Korea’s AI Basic Act: Overview and Key Takeaways // Cooley // Global Law Firm범위, 투명성, 해외 운영자 관련 쟁점을 설명하는 법률 해설이며 통제 문서는 아니다.

해외 사업자나 복수 지역에서 운영되는 서비스도 서비스 표에서 빼기 어렵다. Cooley의 해설은 범위와 투명성, 해외 운영자에 관한 쟁점을 정리하지만 법령 원문이나 행정 판단을 대신하지는 않는다. 이 단계에서 필요한 질문은 ‘우리 서비스가 무조건 적용되는가’가 아니라, 국내와 어떤 접점이 있고 누가 기능을 통제하며 누가 이용자 응답과 사고 처리를 맡는가다. 공급자 약관, 재판매 구조, 데이터 처리 역할, 고객 지원 경로를 나란히 적어 두면 나중에 책임 공백을 찾기 쉽다.

체크리스트에는 변경 관리도 넣는다. 새 모델로 교체하거나, 자동화 범위를 넓히거나, 사람이 보던 결과를 자동 처리로 바꾸면 서비스 목록과 이용자 고지, 내부 승인 경로를 다시 확인한다. 위험 분류나 세부 의무를 초안 문구 하나로 확정하지 말고, 근거 문서의 날짜와 버전을 남긴다. Tech Policy Press의 글처럼 시장과 정책의 긴장을 다루는 보도·논평은 맥락을 이해하는 데 도움을 주지만 규제 해석의 최종 근거는 아니다. 운영자는 논평과 법적 요구를 같은 칸에 넣지 않는 기록 습관을 가져야 한다.

3. 주권형 AI와 이탈 준비: 배치 선택보다 옮길 수 있는 운영을 만든다

주권형 AI라는 말은 온프레미스만을 뜻하지 않는다. 데이터가 어느 관할과 계약 조건 아래 있는지, 누가 접근을 승인하는지, 모델과 검색 인덱스, 프롬프트, 평가 자료, 로그를 어떤 형식으로 꺼낼 수 있는지가 함께 걸린 문제다. 특정 국가나 특정 클라우드에 두는 선택은 그 자체로 하나의 답이 될 수 있지만, 운영 주권은 담당자가 바뀌거나 공급 조건이 변할 때도 설명 가능한 구조를 유지하는 능력에 더 가깝다.

Cloudera와 Mistral은 2026년 9월 10일 기업 데이터에 특화된 주권형 인텔리전스를 위한 전략적 파트너십을 발표했다. 발표는 통합이 이미 모든 고객 환경에 배포됐다는 뜻이 아니다. 양사는 향후 통합을 시간에 따라 제공한다고 설명한다. 따라서 구매 또는 설계 판단에서는 발표의 방향과 현재 이용 가능한 기능을 구분해야 한다. 계약서에는 어느 구성 요소가 현재 제공되는지, 데이터가 어디에서 처리되는지, 모델·플랫폼 변경 시 누가 통지하는지, 내보내기 지원 범위가 무엇인지 확인할 필요가 있다.

발표 · ClouderaCloudera and Mistral Partner to Bring Specialized, Sovereign Intelligence to Enterprise Data2026년 9월 10일 발표된 전략적 파트너십이며 통합은 시간에 따라 제공될 예정이다.

이탈 준비는 계약 조항과 기술 목록을 함께 다룬다. 데이터셋, 임베딩과 인덱스, 시스템 프롬프트, 도구 정의, 접근 정책, 평가 사례, 감사 로그, 운영 문서를 각각 누가 소유하고 어떤 형식으로 내보낼 수 있는지 적는다. 그다음 대체 환경에서 무엇을 다시 만들어야 하는지 표시한다. 모델 제공자를 바꿔도 검색 인덱스와 승인 규칙은 재사용할 수 있는가, 공급자 고유 호출 형식에 묶인 도구는 무엇인가, 키와 서비스 계정은 얼마나 빨리 교체할 수 있는가를 묻는다. 이 질문은 계약 종료를 전제하는 적대적 계획이 아니라, 장애·가격 변경·지역 요구·사업 전략 변화에 대비한 복구 설계다.

EU Data Act 제25조는 요건을 충족하는 데이터 처리 서비스의 전환 계약 요건을 다룬다. 온프레미스 환경으로의 전환도 그 범위에 포함될 수 있다. 다만 모든 AI SaaS가 자동으로 이 규정의 적용 대상이라고 말할 수는 없다. 서비스가 해당 범주에 들어가는지와 계약의 구체적 의무는 별도로 검토해야 한다. 이 법을 직접 적용하지 않는 조직도 전환 기간, 지원 범위, 데이터 추출, 기능 차이, 종료 뒤 삭제·반환 절차를 계약 질문으로 가져갈 수 있다.

NIST의 생성형 AI 프로파일은 위험 관리 과정에서 자산과 맥락을 파악하고, 수명주기 전반의 조치를 고려하는 데 참고가 된다. 이 글의 안전한 폐기 제안은 문서가 정한 단일 절차가 아니다. 종료 계획에는 데이터와 비밀값의 반환·삭제 확인, 접근 권한 회수, 연동 중지, 보존할 감사 기록, 고객과 내부 담당자에게 알릴 내용, 대체 환경에서의 검증을 넣는다. 떠나는 경로를 미리 적어 두면, 주권은 슬로건보다 실제 복구 능력에 가까워진다.

운영자 메모

오늘 한 시간 안에 할 수 있는 일은 세 장의 표를 만드는 일이다. 첫 표에는 운영 중인 에이전트별 도구, 권한, 승인자, 중단 방법을 적는다. 둘째 표에는 AI 기능별 제공 주체, 이용자, 배포 지역, 고지 위치, 문의·이의 처리자를 적는다. 셋째 표에는 데이터와 구성 자산, 내보내기 형식, 계약상 지원, 대체 환경에서의 재구성 난도를 적는다. 빈칸은 실패의 증거가 아니라 다음 점검의 순서다.

우선순위는 새 기능의 화제성보다 영향과 되돌릴 수 없음으로 정한다. 외부 발송, 대량 변경, 고객 결정, 재무·인사 정보처럼 결과를 되돌리기 어려운 흐름에는 좁은 권한과 승인, 상세한 기록을 먼저 둔다. 규제 대응에서도 같은 원칙이 작동한다. 확정되지 않은 시행령 세부 사항을 단정해 제품을 멈추기보다, 확정 근거를 추적할 담당자와 서비스 사실관계를 갱신할 주기를 정한다. 공급자 전환도 실제 이전을 당장 실행하는 것보다, 작은 데이터 묶음과 대표 워크플로를 다른 환경에서 재현해 보는 시험부터 시작할 수 있다.

회의에는 제품, 법무·정책, 보안, 플랫폼 운영, 현업 소유자가 함께 들어갈 필요가 있다. 한 팀은 모델 설정을 알고 다른 팀은 계약을 알고 또 다른 팀은 실제 예외를 안다. 세 관점이 만나야 권한 표의 항목이 실제 업무와 맞는지, 고지가 이용자가 보는 위치에 있는지, 이탈 계획이 문서 속 약속에 그치지 않는지 확인할 수 있다. 회의 결과는 거대한 선언보다 제거할 권한, 확인할 근거, 시험할 복구 경로와 각 소유자를 적은 짧은 목록이면 충분하다.