자율 에이전트에 신분증을 요구한 중국
2026년 9월 14일, 중국 국가 기술 위원회 260 사이버 보안 분과가 중국 사이버 공간 관리국(CAC)의 지도 아래 'AI 안전 거버넌스 프레임워크 3.0'을 발표했다. 이 규칙은 개발자와 기업만의 문제가 아니다. 자율적으로 판단하고 도구를 호출하는 에이전트(agent)에 신원·권한·감시 체계를 의무화하는 이 프레임워크는, 챗봇이 항공권을 예약하고 회사 시스템에 접속하며 결제와 문서 처리를 대행하는 시대에 AI가 어디까지 행동할 수 있는지 범위를 설정하는 운영 기준이 되었다.
본지 분석 결과, 중국 시장과 연결된 한국 기업·플랫폼은 이 기준을 사실상 피할 수 없는 환경에 놓였다. 이 프레임워크의 핵심 의의는 중국이 AI를 단순한 콘텐츠 생성 기술이 아니라 행위 주체에 가까운 디지털 대리인으로 규정하기 시작했다는 점에 있다. 2023년 8월 15일 시행된 '생성형 AI 서비스 관리 임시 조치'가 생성형 AI 서비스 제공자의 관리 책임을 제도권에 편입했다면, 2026년 9월 프레임워크 3.0은 에이전트의 신원 확인, 도구 사용, 메모리, 자율 사이버 활동, 물리적 시스템 연결 위험까지 항목별로 세분화했다.
본지 분석 결과, 이 변화가 한국 독자에게도 직접적이다. 중국 서비스를 이용하는 개인, 중국 시장에 제품을 공급하는 기업, 중국 내 법인과 데이터를 주고받는 플랫폼 모두 AI 기능 설계 방식을 재점검해야 하기 때문이다.
이번 문서의 큰 틀은 AI 위험을 내재적 위험, 애플리케이션 위험, 파생 위험으로 나누고 각각에 기술적 보호 장치와 거버넌스 조치를 연결하는 3부 구조다. 이 구분은 추상적 분류처럼 보이지만 실제 서비스 운영에서는 책임 소재를 가르는 기준으로 작동한다.
모델 자체가 잘못된 답변을 생성하는 문제, 에이전트가 외부 도구를 잘못 실행하는 문제, 그리고 그 결과가 사회적 피해로 번지는 문제는 성격이 다른 별개의 사고다.
광고
중국은 이 세 층위를 구분하여 기업 운영자가 어느 지점에서 차단하고, 기록하고, 사람에게 승인받아야 하는지를 구체적으로 명시했다. 일상 서비스에서 가장 크게 달라지는 지점은 권한 관리다.
프레임워크 3.0은 에이전트 신원과 최소 권한(least privilege) 원칙을 핵심 요건으로 제시했다. 이는 AI 비서가 사용자의 일정표를 읽을 수 있다는 이유만으로 이메일 발송, 결제, 사내 데이터베이스 수정까지 한꺼번에 허용해서는 안 된다는 의미다.
사람에게 사원증과 직무 권한이 별도로 부여되듯, AI 에이전트에도 고유 신원과 자격 증명을 부여하고 작업별 권한을 세분화하도록 요구한다. 한국 이용자가 체감할 변화는 로그인 절차 강화, 승인 알림, 고위험 작업 전 추가 확인 요청 등의 형태로 나타날 가능성이 크다. 프롬프트 인젝션(prompt injection) 제어와 런타임 모니터링(runtime monitoring)도 이용자 경험을 실질적으로 바꿀 요소다.
프롬프트 인젝션은 사용자가 입력한 문장이나 외부 문서 안에 숨겨진 지시가 AI의 원래 정책을 우회하도록 만드는 공격 방식이다. 중국 프레임워크는 이런 위험을 사전 필터링만으로 차단하지 않고, 실행 중 실시간 감시를 병행하도록 규정했다. AI가 문서를 읽고 업무를 처리하는 과정에서 갑자기 비정상적인 API(응용프로그램인터페이스) 호출을 시도하거나 허용되지 않은 파일에 접근하려 할 때 즉시 차단하는 구조다.
편의성이 일부 줄어들 수 있지만, AI가 사용자를 대신해 실제 업무를 처리하는 환경에서는 이 불편이 안전장치 역할을 한다.
6개월 로그 보존이 바꾸는 서비스 운영
6개월 로그 보존 의무는 기업의 비용 구조를 직접 바꾼다. 원천 자료에 따르면, 기업 운영자는 사고 대응을 위해 6개월 로그 보존 체계를 갖춰야 한다.
광고
6개월이라는 기간은 단순한 보관 규정이 아니라 AI 서비스 전체가 사후 감사를 전제로 운영되어야 한다는 신호다. 서비스 제공자는 누가 어떤 에이전트를 호출했는지, 그 에이전트가 어떤 도구를 사용했는지, 어느 단계에서 사람이 승인했는지를 빠짐없이 기록해야 한다.
이 요건은 클라우드 비용, 개인정보 관리 인력, 내부 감사 체계, 보안 관제 시스템 투자 확대로 이어진다. 기업에는 부담이지만 이용자에게는 권리 행사의 근거가 될 수 있다.
AI가 잘못된 예약을 하거나, 계정 설정을 무단 변경하거나, 업무 시스템에서 민감한 파일을 건드렸을 때 로그가 없다면 피해 원인 규명 자체가 불가능하다. 반대로 기록이 남으면 서비스 사업자는 단순 오류인지, 권한 남용인지, 외부 공격인지 구분할 수 있다. 다만 기록 자체가 또 다른 민감 정보가 된다는 점에서, 로그 보존은 보안 강화와 개인정보 보호를 함께 설계해야 하는 과제로 남는다.
프레임워크 3.0이 물리적 시스템 및 통제 불능 시나리오를 별도 항목으로 다룬 점도 가볍지 않다. AI가 문장만 생성하던 시기에는 잘못된 답변이 주요 위험이었다. 그러나 에이전트가 로봇, 생산 설비, 스마트홈, 차량, 의료 보조 장치와 연결되면 오류는 화면 밖으로 나온다.
중국 문서가 자율 사이버 활동과 물리 시스템을 한 묶음의 관리 대상으로 편입한 이유도 여기에 있다. AI가 서버를 조작하거나 현실 장치를 제어할 수 있다면, 안전 정책은 모델 성능 평가 수준에 그칠 수 없고 시스템 통제 설계 전반으로 확장되어야 한다. 한국 기업에는 두 갈래 압력이 형성된다.
첫째, 중국 내 생성형 AI 서비스를 직접 운영하거나 중국 이용자를 대상으로 서비스를 제공하는 기업은 현지 규칙에 맞춰 신원·권한·로그·승인 체계를 문서화해야 한다.
광고
둘째, 중국 기업과 API·SDK(소프트웨어개발도구)·클라우드 기능을 연동하는 국내 기업도 상대방의 보안 요구를 계약 조건으로 요구받을 수 있다. 중국 시장 진출 여부와 무관하게, AI 에이전트의 도구 무결성 검사와 이상 호출 차단은 글로벌 조달 기준으로 확산될 여지가 있다. 본지 분석 결과, 이 지점이 한국 스타트업에 더 민감하게 작용한다.
대기업은 이미 컴플라이언스 조직을 갖추고 있지만, 초기 기업은 제품 출시 속도와 감사 체계 구축을 동시에 충족해야 하기 때문이다. 반론도 존재한다. 프레임워크가 지나치게 촘촘하면 개발 속도가 저하되고, 이용자는 번거로운 승인 절차를 반복해야 한다.
소비자용 AI 비서는 빠른 응답과 간편한 실행을 핵심 경쟁력으로 삼아 왔다. 그러나 에이전트가 외부 도구를 실행하는 순간, 빠른 실행은 안전한 실행을 대체할 수 없다. AI가 문장을 잘못 작성하는 위험과 계좌·설비·사내망에 잘못 접근하는 위험은 피해 규모 자체가 다르다.
결국 규칙의 부담을 줄이는 길은 규제를 회피하는 것이 아니라, 제품 설계 단계에서 권한 분리와 기록 체계를 기본값으로 내장하는 데 있다.
한국 이용자와 기업이 준비할 규칙
정책적으로 중국의 접근 방식은 AI 규제 논의의 성격을 바꾸었다. 기존 논의가 모델 출시 전 평가, 불법 콘텐츠 차단, 데이터 학습 관리에 집중했다면, 2026년 프레임워크 3.0은 실행 중인 AI의 행동을 관리하는 방향으로 무게를 이동시켰다. LLM(대규모언어모델)이 HTTP(하이퍼텍스트전송규약) 경로를 넘어 여러 도구와 연결되는 환경에서 명시적 소유권을 요구한 대목도 같은 맥락이다.
누가 모델을 소유하고, 누가 에이전트를 배포하며, 누가 도구 호출 결과에 책임지는지가 불분명하면 사고 이후 책임 추적이 사실상 불가능하다.
광고
중국은 이 모호함을 운영자 책임과 기술 통제로 묶는 방식을 택했다. 한국 정책도 이 변화를 참고해야 한다.
국내 논의가 AI 기본법·개인정보·저작권·알고리즘 투명성에 머무른다면 자율 에이전트의 실제 위험에 늦게 대응하게 된다. 일반 독자에게 중요한 질문은 AI가 얼마나 똑똑한가가 아니라, AI가 내 권한으로 무엇을 할 수 있으며 그 기록을 누가 보관하느냐다. 직장에서는 AI 업무 자동화 도입 전 승인 단계와 로그 접근 권한을 명확히 설정해야 한다.
가정에서는 스마트홈·금융·쇼핑 서비스와 연결된 AI 기능이 어떤 실행 권한을 요구하는지 직접 확인해야 한다. 중국식 통제 방식 자체를 그대로 이식하는 것이 한국의 답은 아니다.
그러나 프레임워크 3.0이 설정한 문제 틀은 피하기 어렵다. AI가 조언자에서 실행자로 전환되면 안전 정책도 안내문 수준에 머물 수 없다. 한국 기업과 정책 당국은 모델 성능 경쟁만 앞세울 것이 아니라, 에이전트 신원·최소 권한·사람 승인·로그 보존을 제품과 제도의 기본 언어로 삼아야 한다.
앞으로 독자가 AI 서비스 가입 화면에서 확인해야 할 핵심은 할인 혜택이 아니라, 그 AI가 내 이름으로 어디까지 행동하도록 허락받았는가라는 질문이다. ※ 이 기사는 DeepInspect의 2026년 9월 14일 보도(중국 AI 안전 거버넌스 프레임워크 3.0 관련)를 참조하여 작성하였습니다.
FAQ
Q. 중국의 AI 안전 거버넌스 프레임워크 3.0은 한국 이용자에게 직접 적용되는가
A. 이 프레임워크는 중국 내 AI 개발·배포·운영·이용 전반의 위험 분류와 통제 기준으로 제시된 규범이다. 한국 이용자가 중국 내 서비스나 중국 사업자가 제공하는 생성형 AI 서비스를 이용할 경우 약관·권한 요청·로그 보존 방식에서 간접 영향을 받을 수 있다. 한국 국내 서비스에 법적 효력이 직접 발생한다는 내용은 현재까지 확인되지 않았다. 다만 중국 시장과 연결된 기업은 현지 파트너 요구나 계약 조건을 통해 유사한 보안 절차를 요구받을 수 있으며, 글로벌 AI 조달 기준이 이 방향으로 수렴될 가능성도 배제할 수 없다.
Q. 일반 이용자는 AI 에이전트 서비스를 이용할 때 무엇을 확인해야 하는가
A. AI 에이전트가 단순 답변만 제공하는지, 이메일 발송·결제·파일 수정·외부 API 호출 같은 실행 권한을 보유하는지 먼저 확인해야 한다. 권한 범위가 넓을수록 오작동이나 외부 공격 시 피해 규모가 커지므로, 서비스가 작업별 승인·접근 범위 제한·실행 기록 확인 기능을 제공하는지 살펴야 한다. 프레임워크 3.0이 강조한 최소 권한과 사람 승인 원칙은 개인 이용자에게도 유효한 판단 기준이다. 금융·업무·스마트홈과 연결된 AI에 기본 권한을 좁게 설정하는 방식이 실질적으로 더 안전한 선택이다.
Q. 한국 AI 기업은 어떤 준비를 먼저 해야 하는가
A. 한국 AI 기업은 에이전트별 고유 신원·도구 호출 권한·런타임 모니터링·6개월 수준의 로그 보존 가능성을 제품 설계 단계부터 검토해야 한다. 중국 프레임워크가 모든 국가의 표준은 아니지만, 에이전트가 실제 시스템을 조작하는 환경에서는 유사한 요구가 다른 시장에서도 계약 조건이나 인증 기준으로 등장할 수 있다. 중국 고객이나 파트너와 거래하는 기업은 2023년 8월 15일 시행된 '생성형 AI 서비스 관리 임시 조치'와 2026년 9월 14일 발표된 프레임워크 3.0을 함께 검토해야 한다. 초기 단계부터 권한 분리와 감사 기록을 제품에 내장한 기업일수록 사후 개편 비용과 컴플라이언스 리스크를 동시에 줄일 수 있다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
