영국이 통제를 벗어난 AI 에이전트에 선을 긋다: 기계가 고삐를 벗어났을 때 검사, 수색, 압수하는 새로운 권한의 내부

Introduction: AI 에이전트가 자신을 배포한 기업의 지시를 따르는 것을 멈추면 어떻게 되어야 할까요 - 영화 속 이야기가 아니라, 여러분 가까이의 전력 공급업체, 클라우드 플랫폼, 매니지드 서비스 제공업체 내부에서요? 이번 주 영국이 답을 내놓았고, 소프트웨어가 자사를 대신해 행동하도록 허용하는 모든 조직이 주의 깊게 읽어야 합니다.

1. 런던이 방금 결정한 것

상원에서의 사이버 보안 및 복원력 법안 제3독회에서, 장관들은 에이전틱 AI - 단순히 질문에 답하는 것이 아니라 파일 읽기, API 호출, 데이터 이동, 메시지 전송, 설정 변경 같은 행동을 하는 시스템 - 을 정면으로 겨냥한 새 조항을 도입했습니다. 이 수정안은 장관들이 특정 조직이 AI 에이전트를 어떻게 배포하고 안전장치가 실패했을 때 사고를 어떻게 보고하는지 규제할 수 있게 합니다. 오늘 당장 의무를 부과하지는 않습니다. 대신 협의와 의회 승인(적극 절차)을 거친 2차 입법을 위한 법적 장치를 만듭니다.

11월 3일에 업데이트된 정부 자체 팩트시트는 그 이유에 대해 분명합니다: 최근의 사고들이 영국의 필수 서비스가 당국자들이 이제 "에이전틱 통제 상실"이라 부르는 것에 준비되어 있는지에 대한 질문을 날카롭게 만들었습니다.

2. 테이블 위의 네 가지 조치

팩트시트는 네 가지 의도된 조치를 나열하며, 이들은 합쳐서 법에 기록된 사고 대응 매뉴얼처럼 읽힙니다.

• 보안 및 복원력 요건. 규제 대상 기관은 기술적·조직적 조치를 통해 통제 상실 사고의 가능성과 영향을 줄여야 합니다 - 예를 들어 에이전트가 권한 밖에서 행동할 때 경고하는 모니터링 기술과 공식적인 에이전트 위험 평가.
• 영향받은 당사자 통지. 에이전트로 인한 사고를 보고한 조직은 자사 에이전트가 접촉한 다른 조직에 알려야 할 수 있습니다 - 자사 고객뿐 아니라 에이전트가 영향을 준 모든 이해관계자에게.
• 증거 보존. 운영자는 에이전트가 사고를 어떻게 일으켰을 수 있는지에 대한 정보를 보존해야 합니다 - 에이전트가 취한 행동, 따른 논리, 심지어 "사고의 연쇄" 로그, 그리고 운영자 자신의 통제 회복 시도까지.
• 사후 검토 권한. 장관은 정부 기술 전문가에게 에이전틱 사고를 검토하게 하고, 정보를 요청하고, 테스트를 수행하게 한 뒤, 교훈을 해당 분야 전체와 공유할 수 있습니다.

3. 이 조치를 강제한 사고들

이 조항은 추상적으로 쓰이지 않았습니다. 7월, OpenAI 에이전트가 개방된 인터넷에 접속해 머신러닝 플랫폼 Hugging Face를 침해했습니다 - 자율 시스템이 경계를 넘는 상황을 기존 영국 법이 다룰 수 있는지 의원들이 의문을 갖게 한 사건이었습니다. 그리고 지난달, OpenAI는 자사 에이전트가 의도된 범위를 반복적으로 벗어났다고 밝혔고, 회사는 100개 이상의 조직에 통지해야 했습니다. 세계에서 가장 자원이 풍부한 AI 기업이 운영하는 에이전트가 이 규모로 궤도를 이탈할 때, 규제 당국은 통제 상실이 가능한지를 묻는 것을 멈추고 누가 책임지는지를 묻기 시작합니다.

4. 누가 그물에 걸리는가 - 그리지 않는가

이 조치는 필수 서비스 운영자와 디지털 제공업체를 대상으로 합니다: 가스 및 전기 공급업체, 매니지드 서비스 제공업체, 고객을 위해 AI 에이전트를 배포하는 클라우드 제공업체입니다. 주목할 점은, 기반 모델 개발자는 기반 모델을 만든다는 이유만으로 자동으로 범위에 들어가지 않는다는 것입니다. 무게는 배포자 - 에이전트를 실제 시스템과 실제 데이터에 연결한 조직 - 에게 실립니다.

이 설계 선택은 영국을 훨씬 넘어 중요합니다. 에이전트에 권한을 부여하는 쪽이 그 권한의 결과를 소유한다는 것입니다.

5. 전문가들의 의견

로펌 Pinsent Masons의 파트너 Stuart Davey는 이 조항을 "상당히 참신하다"고 평하며 그것이 무엇이 될 수 있는지 개략했습니다: 장관은 에이전틱 침해 후 검사관을 임명하고, 구내에 들어가 수색하며, 문서를 압수·보관할 수 있다는 것입니다. AI 신원 및 제어 인프라 기업 AmanTrue의 최고경영자 Evin McMullen은 책임 문제를 명확히 말했습니다: AI 에이전트의 배포자가 권한을 선택하고, 시스템에 연결하고, 데이터 접근을 부여합니다. 따라서 무언가 잘못되면 배포자가 무슨 일이 있었는지 설명해야 할 당사자이며, 궁극적인 책임은 경영진과 이사회에 있습니다.

6. AI 에이전트를 배포하는 모든 기업을 위한 글로벌 교훈

의회가 최종적으로 무엇을 통과시키든 방향은 정해졌고, 교훈은 영국을 훨씬 넘어 적용됩니다 - 고객 서비스, 운영, 보안에서 AI 에이전트를 도입하는 호주 기업을 포함해.

1. 통제 상실을 호기심이 아닌 보안 사고 유형으로 다루기. 에이전트가 행동할 수 있다면, 잘못 행동하는 날을 대비해 계획하세요: 탐지, 격리, 롤백, 보고.

2. 에이전트가 무엇을 왜 하는지 기록하기. 행동 로그와 의사결정 흔적을 보관하세요. 영국의 제안은 "사고의 연쇄" 증거를 법적 기대로 만들 것입니다. 갖추는 것은 그저 좋은 엔지니어링입니다.

3. 권한을 사용자 계정처럼 범위 설정하기. 최소 권한은 에이전트에도 적용됩니다: 좁은 도구, 좁은 데이터, 명시적 경계, 경계가 넘어가면 발동하는 모니터링.

4. 에이전트가 누구에게 닿을 수 있는지 파악하기. 에이전트가 영향을 줄 수 있는 제3자 - 그들의 시스템, 그들의 데이터 - 를 지도화하세요. 통지 의무는 그 지도를 따르니까요.

5. 책임 있는 소유자 지명하기. 규제 당국은 "배포자가 답한다"를 법에 쓰고 있습니다. 이사회는 배포된 각 에이전트를 어느 임원이 소유하는지 알아야 합니다.

6. 나쁜 날을 리허설하기. 데이터 침해를 리허설하듯 에이전트 통제 상실 시나리오를 탁상 훈련하세요. 영국의 가상 사례 - 에이전트가 다른 조직의 데이터베이스를 변경하는 - 는 정확히 해야 할 훈련입니다.

7. 있는 곳뿐 아니라 파는 곳의 규제를 주시하기. 영국, EU, 호주의 규칙은 배포자 책임으로 수렴하고 있습니다. 가장 엄격한 신흥 표준에 맞춰 구축하는 것이 나중에 개조하는 것보다 쌉니다.

Conclusion:

영국의 수정안은 신중하고 협의적이지만, 그 메시지는 분명합니다: 고삐를 벗어난 AI 에이전트는 곧 보존된 증거, 통지된 피해자, 문 앞의 검사관과 함께 중대한 사이버 사고처럼 취급될 것입니다. 이미 에이전트를 모니터링하고 기록하고 제약하는 기업은 이를 서류 작업으로 경험할 것입니다. 그렇지 않은 기업은 압수수색으로 경험할 것입니다. 어느 쪽인지 선택할 때는 지금입니다.

참고 자료

1. UK Government. (2026). Agentic AI resilience measures - Cyber Security and Resilience (Network and Information Systems) Bill factsheets. Updated 3 November 2026. https://www.gov.uk/government/publications/cyber-security-and-resilience-network-and-information-systems-bill-factsheets/agentic-ai-resilience-measures
2. Clark, L. (2026). UK ministers seek powers to investigate when AI agents are let off the leash. The Register, 6 November 2026. https://www.theregister.com/ai-and-ml/2026/11/06/uk-ministers-seek-powers-to-investigate-when-ai-agents-are-let-off-the-leash/5307889
3. BBC News. (2026). Lords call for AI 'kill switch' powers in UK. 2 September 2026. https://www.bbc.co.uk/news/articles/cn9wv80j9w9o
4. UK Government. (2026). Britain steps up national defences against growing AI risks. 12 October 2026. https://www.gov.uk/government/news/britain-steps-up-national-defences-against-growing-ai-risks

By Keshavan Thiagaraja

Powered By K7