에이전트의 자율성은 면책 사유가 아니다: 에이전트 경제에 관한 DRCF 공동 성명

핵심 요약

• CMA, FCA, ICO, Ofcom으로 구성된 DRCF는 2026년 10월 30일 공동 성명을 통해 기존 법적 체계가 개인 AI 에이전트에도 적용됨을 확인했습니다. 경쟁법, 소비자 및 데이터 보호, 온라인 안전, 금융서비스, 결제, 사이버보안 요건을 구체적으로 열거했습니다.
• 핵심 원칙은 한 문장입니다. “AI 에이전트의 자율성은 이를 배포하는 조직이 적용 법률과 관련 규제를 준수할 책임을 줄이지 않는다.” 규제기관은 피해 위험이 있는 행위에 대해 “권한 행사를 주저하지 않겠다”고 덧붙였습니다.
• 영국 경쟁법과 소비자법상 과징금은 전 세계 매출의 10%에 이를 수 있습니다. 같은 날 개정된 CMA 지침은 제3자가 설계했더라도 기업이 “직원에 대해 책임지는 것과 같은 방식으로” 에이전트의 행위에 책임진다고 설명합니다.
• 규제기관이 구체적으로 지목한 책임의 경계 사례는 가격 책정입니다. Paul, Weiss의 고객 메모는 CMA 입장을 “기업은 AI 에이전트가 산출하는 가격 결과에 계속 책임진다”고 해석합니다. 구매 및 견적 에이전트가 직접 대상이 됩니다.
• 성명은 출시 전에 답해야 할 여섯 질문을 제시합니다. 가시성, 권한, 데이터 이용, 상업적 이해관계, 책임 소재, 구제입니다. 각각 고지, 권한 상한, 감사 로그, 사람의 감독, 공급업체 계약의 책임 배분이라는 구축 단계 통제로 연결됩니다.

2026년 10월 30일 Digital Regulation Cooperation Forum을 구성하는 영국의 네 규제기관인 Competition and Markets Authority, Financial Conduct Authority, Information Commissioner's Office, Ofcom은 에이전트 경제에서 사람과 기업을 보호하기 위한 공동 성명을 발표했습니다(PDF). 약 한 페이지인 이 문서의 핵심은 분명합니다. “경쟁법, 소비자 및 데이터 보호법, 온라인 안전, 금융서비스, 결제, 사이버보안 요건을 포함한 기존 법률 및 규제 체계가 개인 AI 에이전트에 적용됨을 명확히 하고자 한다… AI 에이전트의 자율성은 배포 조직의 준수 책임을 줄이지 않는다.” 위법하고 피해를 일으킬 위험이 있는 행위를 합리적으로 의심할 때 네 기관은 “권한 행사를 주저하지 않겠다”고 밝혔습니다.

이는 프로덕션에서 에이전트를 배포하는 모든 조직에 중요합니다. 자율 시스템에 결정을 맡기면 책임도 다른 곳으로 옮겨 간다는 편한 가정을 없애기 때문입니다. 이 글은 성명과 함께 발표된 CMA 지침을 읽고 “에이전트가 한 일”이라는 항변이 통하지 않는 이유를 살펴봅니다. 또한 여섯 질문을 중견기업 엔지니어링팀이 구축할 수 있는 통제에 연결합니다. 이는 배포 전 거버넌스 체크리스트가 강조해 온 배포 경계 통제입니다. EU AI Act 배포자 의무 분석을 확장하는 영국의 병행 입장이기도 합니다. 해협 반대편에서도 배포자가 준수 책임을 집니다.

네 규제기관이 실제로 밝힌 내용

DRCF 성명은 방향을 제시하는 문서이며 법률 자체는 아닙니다. 새 범죄나 수수료, 신고 절차를 만들지 않습니다. 달라지는 것은 실질적인 집행 권한을 가진 네 기관이 공동으로 공개한 해석 입장입니다.

• 기존 체계를 구체적으로 명시합니다. 경쟁법, 소비자 및 데이터 보호법, 온라인 안전, 금융서비스, 결제, 사이버보안 요건에 더해 “제품 안전처럼 DRCF 회원기관의 소관 밖에 있는 많은 법률 분야”도 언급합니다. 에이전트라는 이유로 적용을 면제받을 수 없습니다.
• 배포자의 책임을 규제기관이 명문화했습니다. 법률 논평은 이 문장을 해당 기관들이 발표한 가장 강력한 배포자 책임 표현으로 평가합니다. Paul, Weiss 메모(2026년 11월 3일)는 “제3자가 AI 에이전트를 구축하거나 공급해도 기업은 직원과 마찬가지로 에이전트에 책임진다”고 정리합니다.
• CMA는 같은 날 실무 지침을 발표했습니다. Agentic AI and consumers 연구와 개정된 Complying with consumer law when using AI agents 지침입니다. 제3자 설계 여부와 관계없이 기업은 직원의 행위와 동일하게 에이전트의 행위에 책임집니다.
• 집행 의지는 암시가 아니라 명시입니다. “권한 행사를 주저하지 않겠다.” Paul, Weiss에 따르면 영국 경쟁법 및 소비자법상 전 세계 매출의 최대 10%에 달하는 과징금과 피해 소비자에 대한 배상 책임이 생길 수 있습니다. 영국 Law Commission은 소비자 집단소송 제도에 관해서도 의견을 수렴하고 있습니다.
• DRCF는 조기 협의를 권장합니다. 기업은 제품을 시험하고 규제 문제를 미리 제기하며 규제 샌드박스를 활용할 수 있습니다. 같은 입장의 협력적인 측면입니다.

CIO.com의 11월 6일 보도는 IT 리더에게 기업이 “자신이 배포한 AI 에이전트의 오류를 탓하며 법적 책임을 피할 수 없다”고 설명했습니다.

“에이전트가 했다”는 항변이 통하지 않는 이유

DRCF의 입장은 갑자기 생긴 것도, 영국에만 해당하는 것도 아닙니다. 같은 논평에서 확인되는 세 사례는 여러 관할권에서 배포자 책임에 대한 입장이 수렴하고 있음을 보여 줍니다.

1. 미국 규제기관도 같은 입장입니다. Paul, Weiss에 따르면 FTC 위원장은 2026년 9월 AI 에이전트를 독립 행위자로 다루는 데 반대한다고 밝혔습니다. 코네티컷주 법무장관은 같은 해 2월 기존 소비자 보호 및 독점금지법 준수 측면에서 AI 산업도 다른 산업과 “다르지 않다”고 했습니다.
2. 경쟁법은 에이전트의 중개를 배포자의 행위로 봅니다. 유럽연합 집행위원회가 2026년 6월 9일 Meta에 내린 잠정 조치는 경쟁 에이전트의 WhatsApp Business API 접근 복원을 요구했습니다. 에이전트 생태계의 경계는 기존 오케스트레이터가 책임져야 하는 경쟁 문제입니다. 협상하고 가격을 정하고 선택을 유도하는 에이전트는 배포자의 법적 책임 범위 안에서 행동합니다.
3. ‘충실한 대리인’ 기준은 의도에서 아키텍처로 초점을 옮깁니다. CMA 연구가 우려하는 것은 참여와 전환 같은 상업적 목표에 최적화되어 소비자를 더 나쁜 결과로 유도하는 에이전트입니다. 다크 패턴은 에이전트 속도에서 더 눈에 띄지 않습니다. 배포자가 유도를 의도했는지보다 선택 아키텍처가 그러한 결과를 만드는지가 중요합니다.

한계도 분명합니다. DRCF 성명은 해석 방향을 정하며 이를 시험하는 소송에는 수년이 걸릴 수 있습니다. 추적만 할 법안이 아니라 지금 구축에 반영할 준수 입장으로 읽어야 합니다. 비용의 비대칭성도 같은 결론을 지지합니다. 엔지니어링 통제는 범위를 정해 구축할 수 있지만 경쟁당국 조사는 그렇지 않습니다.

책임이 먼저 발생하는 곳: 가격 책정과 견적 데스크

규제기관이 가장 구체적으로 지목한 행위는 에이전트가 산출하는 가격입니다. Paul, Weiss는 CMA 입장을 “직접적인 소비자 상호작용과 마찬가지로 기업은 AI 에이전트의 가격 결과에 계속 책임진다”고 해석합니다. 메모의 ‘에이전트 담합’ 부분은 집중된 시장에서 서로 학습하고 반응하는 가격 에이전트가 경쟁사 간 통신 없이도 경쟁을 약화시킬 수 있다는 CMA의 알고리즘 가격 연구를 덧붙입니다. 결과에는 여전히 배포자가 책임집니다.

이 사이트의 B2B 운영자에게는 견적 데스크의 문제입니다. RFQ에 견적을 내고 등급별 가격을 적용하며 조건을 협상하는 판매 측 에이전트는 가격 결과를 대량으로 생산합니다. 가격으로 공급업체 순위를 정하는 구매 측도 경쟁에 민감한 영역을 건드립니다. CMA가 적용하는 ‘직원과 같은 책임’이라는 소비자법 관점에서 핵심은 실무입니다. 어떤 데이터로 계산했는지, 사람이 가격 조건을 검토하는지, 작성자가 아닌 사람도 가격 논리와 감사 추적을 이해할 수 있는지가 중요합니다.

성명은 결제와 금융서비스도 명시합니다. 구매를 실행하거나 자금을 옮기는 에이전트 워크플로에 대해 에이전트 결제 분석은 정산 통제를 설명합니다. DRCF는 규제 층을 추가합니다. 에이전트가 시작한 결제도 금융서비스와 결제 규제 안에 있으며 배포자가 준수 의무를 집니다.

여섯 질문을 배포자 통제에 연결하기

성명은 개인 에이전트를 배포하는 기업에 여섯 가지를 묻습니다. 소비자가 언제 어떻게 에이전트가 대신 행동하는지 이해하는가, 권한은 어떻게 주어지는가, 개인정보는 어떻게 쓰이는가, 추천에 영향을 주는 상업적 이해관계는 어떻게 전달되는가, 결정에 누가 책임지는가, 문제가 생기면 어떻게 구제받는가입니다. 각각 출시 전에 구현할 수 있습니다.

• 가시성 → 상호작용 지점에서 에이전트 고지. 고객이 인지하는 순간에 에이전트의 행동과 대리 대상을 보여 줍니다. 정책 페이지뿐 아니라 워크플로 내부에 고지가 있어야 합니다.
• 권한 → 확인 게이트가 있는 제한된 권한 상한. 자율적으로 가능한 행동을 정의하고 고위험 또는 되돌릴 수 없는 행동 전에 고객 확인을 받습니다. Paul, Weiss의 ‘에이전트 권한 제한’과 동일하며 범위가 제한된 자격증명과 도구별 회로 차단기에 해당합니다.
• 데이터 이용 → 데이터 흐름 최소화 및 기록. ICO의 참여는 데이터 보호가 핵심임을 보여 줍니다. 각 에이전트 작업이 어떤 개인정보를 읽고 어디로 보내는지 기록합니다.
• 상업적 이해관계 → 순위 및 인센티브 논리 공개. 추천이 상업적 계약, 결과 순위, 선호 공급업체의 영향을 받으면 방법과 유인을 공개합니다.
• 책임 소재 → 감사 로그 및 지정 소유자. 결정별 감사 추적, 에이전트별 내부 책임자, 불만과 이의 제기에 대한 지속적인 사람의 감독이 필요합니다. 정기 표본 점검만으로는 부족합니다.
• 구제 → 실제로 작동하는 되돌리기 경로. 소비자는 에이전트의 행위를 바로잡을 수 있어야 합니다. 사람이 처리하는 취소·보상 워크플로는 분쟁이 규제기관에 도달할 때 증거 기반이 되기도 합니다.

이는 킬 스위치 아키텍처 분석부터 강조해 온 배포 경계 통제입니다. 실제로 소유한 경계에서 강제합니다. DRCF는 그 경계가 책임의 위치이기도 하다는 점을 덧붙입니다. 추가 통제 하나는 아키텍처가 아닌 계약에 있습니다. 공급업체가 에이전트를 제공해도 결과 책임은 배포자에게 남으므로 공급업체 실사, 감사권, 배상 조항이 중요합니다. 이는 Paul, Weiss의 ‘공급망 상류로 위험 배분’과 ‘책임 배분’ 권고입니다.

다음 도표는 배포자가 보여 줄 수 있어야 할 네 층, 핵심 원칙, 적용 체계, 여섯 질문, 대응 통제로 성명을 정리합니다.

관련 글

• AI 에이전트 거버넌스 체크리스트: 배포 전 검토 — DRCF의 여섯 질문을 규제 근거가 명시된 실사 항목으로 추가하는 체크리스트
• EU AI Act 에이전트 배포 준수 — 유럽의 배포자 의무 체계와 이에 병행하는 영국의 입장
• 에이전트 결제로 구매 루프 완성하기 — DRCF가 명시한 금융서비스 및 결제 범위 안에 있는 에이전트 결제 정산 통제

범위를 정한 구축을 요청하세요

협력 중인 한 중견 B2B 운영자는 NetSuite와 BigCommerce에서 RFQ 견적 데스크를 운영합니다. 에이전트가 가격을 정하고 검증하며 조건을 작성하고, 제한된 권한 상한, 가격 명세별 감사 로그, 정해진 거래 한도 이상의 사람 승인, 감사권과 배상 조항을 포함하는 공급업체 계약을 갖춥니다. 소규모 팀에 맞춰 배포 경계에서 DRCF의 여섯 질문에 답하는 구성입니다. 에이전트 시스템에 이러한 책임 체계를 구축해야 한다면 범위를 정한 구축을 요청하세요.

일주일의 탐색으로 시스템 목록, 워크플로 지도, 확정된 범위를 받습니다. 이후 저희와 구축할지는 별도로 결정하실 수 있습니다.