스페인 AEPD, 에이전틱 AI 아키텍처 첫 EU 감독지침 발표

스페인 AEPD, 에이전틱 AI 아키텍처에 대한 첫 EU 감독지침으로 설계 단계 책임 규범화

• 스페인 데이터 보호청 AEPD는 2026년 2월 18일 에이전틱 AI와 GDPR을 다룬 71쪽 감독지침을 발표했다. 이 문서는 에이전틱 아키텍처를 데이터 보호 분석의 주요 대상으로 처음 규정했다.
• AEPD는 브라우저 보안에서 차용한 ‘Rule of 2’로 설계 위험을 정의한다. 비제어 입력 처리, 민감 데이터 접근, 자율적 행동 중 최대 2가지만 허용하고, 3요소 결합 시에는 구체적 강한 보호조치를 요구한다.
• 이 지침은 에이전틱 AI의 인지·계획·기억·행동 구조를 규제 대상으로 삼아 아키텍처 중심 감독을 선언한다. 단일 출력의 표시·라벨링이 아니라 에이전트 내부 로직과 워크플로를 규범화하는 방향을 제시한다.
• 지침은 GDPR과 EU AI법과의 정합성을 위해 71쪽 분량으로 역할 배분, 데이터 흐름, 투명성, 문서화 요구를 상세히 매핑한다. 2026년 8월 2일부터 집행된 EU AI법 제50조의 출력 투명성 규범을 아키텍처 규범으로 보완한다.
• AEPD는 에이전트를 법적 행위자가 아닌 기술적 처리 수단으로 규정하고, 책임은 항상 컨트롤러·프로세서인 인간·법인에 귀속된다고 명시한다. 프롬프트 인젝션, 메모리 오염, 데이터 유출 등 구체 위협을 카탈로그로 제시해 설계 단계 통제를 요구한다.
• 2026년 9월 기준 다른 EU 감독기관은 에이전틱 AI 공식지침이 없고 EU AI 오피스도 예비 논의 수준이라 AEPD 프레임이 사실상 유럽 표준 역할을 한다. 한국은 에이전틱 AI 도입 시 이 설계 규범을 참고해 국내 책임·안전 기준을 선제 정립할 필요가 있다.

에이전틱 AI를 데이터 보호의 설계 대상로 본 AEPD 접근은 국내 AI 정책과 보안 규제에도 직접 참고점이 된다. 한국은 출력 규제에 더해 아키텍처 단계 Rule of 2, 책임 귀속, 위협 카탈로그를 반영한 가이드라인을 조속히 마련해 공공·민간 시스템을 동시에 정렬할 필요가 있다.

주요 용어: 에이전틱 AI(환경 인지·계획·행동을 자율 수행하는 AI 에이전트 구조), Rule of 2(비제어 입력·민감 데이터·자율 행동 중 최대 2요소만 허용하는 설계 위험 관리 원칙)

출처: forkast.news