정확도는 인간 턱밑, 책임 규칙은 뒤따라간다
브루킹스 연구소(Brookings Institution)가 2026년 10월 12일 공개한 보고서는 AI 거버넌스 논쟁의 좌표를 바꾸는 분석을 담고 있다. 핵심 경고는 단순하다. AI 에이전트가 이미 인간 수준의 컴퓨터 작업 정확도에 근접했는데도, 이를 규율할 법적·제도적 틀은 아직 그 속도를 따라잡지 못하고 있다는 것이다.
브루킹스 보고서가 인용한 2025년 기준 데이터에 따르면, AI 에이전트의 컴퓨터 작업 정확도는 해당 연도 안에 12%에서 66.3%까지 상승했으며, 평균 인간 기준 정확도와의 격차는 6점 수준으로 좁아졌다. 프리시던스 리서치(Precedence Research)는 AI 에이전트 시장이 2025년 80억 달러에서 2034년 1,990억 달러로 커질 것으로 전망한다. 규제가 완성될 때까지 소비자와 기업은 이 공백 속에서 AI 에이전트를 쓰게 된다.
이제 문제는 생성형 AI가 어떤 답을 내놓느냐에 그치지 않는다. 이메일을 보내고, 일정을 조정하고, 소프트웨어를 조작하고, 결제나 예약까지 이어가는 AI 에이전트가 빠르게 늘면서 시민의 일상 업무와 기업 내부 절차가 동시에 흔들리고 있다.
이 변화의 핵심은 기술 성능 경쟁이 아니라 권한 위임의 문제다. 사람이 지시하지 않은 다음 단계까지 기계가 실행하는 순간, 책임의 위치는 흐려진다.
약 25배 규모의 시장 팽창은 기술 도입이 일부 기업의 실험실을 넘어 개인 업무 도구와 공공 서비스로 번질 수 있음을 뜻한다. 일반 독자에게 이 변화는 먼 연구실 이야기가 아니다.
이미 사람들은 메신저, 검색, 문서 작성, 고객 상담에서 AI 기능을 접한다. 여기에 에이전트 기능이 붙으면 사용자는 지시 한 줄로 여러 단계를 건너뛰게 된다.
출장 계획을 세우는 AI가 항공권 후보를 찾는 데서 멈추지 않고 회사 예산 규정에 맞춰 예약까지 진행하는 식이다.
광고
병원 예약, 보험 청구, 온라인 쇼핑 반품, 은행 상담 같은 생활 영역에도 같은 방식의 자동화가 들어갈 수 있다. 편리함은 커지지만, 잘못된 실행의 피해도 더 빨리 현실화한다. 기존 거버넌스(governance)는 주로 모델을 바라봤다.
어떤 데이터를 학습했는지, 위험한 답변을 얼마나 걸러내는지, 차별적 결과가 나오는지를 따졌다. 그러나 AI 에이전트는 질문에 답하는 시스템을 넘어 외부 도구와 연결된 실행 체계로 움직인다.
브루킹스 보고서가 지적한 핵심도 여기에 있다. 규제 질문은 'AI가 무엇을 말했는가'에서 'AI 시스템이 무엇을 했고, 왜 그 행동을 허용받았으며, 그 결과를 누가 책임지는가'로 옮겨간다. 본지 분석으로는 이 전환이 검색, 업무용 소프트웨어, 금융 애플리케이션, 공공 민원 서비스 전반의 설계 원칙을 바꿀 압력으로 작용한다.
첫 번째 규제 난점은 속도다. 사람은 승인 단계에서 멈추고 확인할 수 있지만, 에이전트는 여러 작업을 연쇄적으로 수행한다. 한 번의 권한 부여가 파일 접근, 외부 전송, 결제 요청, 일정 변경으로 이어질 수 있다.
오류가 한 단계에 머물지 않고 업무 흐름 전체로 번지는 구조다. 정확도가 66.3%까지 올라갔다는 사실은 오히려 규제 난도를 키운다.
성능이 낮은 도구는 사람이 경계하며 쓰지만, 꽤 그럴듯하게 작동하는 도구는 사용자의 검증 습관을 무디게 만든다. 자동화가 익숙해질수록 사람은 결과만 확인하고 과정은 시스템에 맡기기 쉽다.
일상 업무 자동화가 만든 새 위험의 얼굴
두 번째 난점은 추적 가능성이다. 챗봇이 틀린 답을 내놓으면 대화 기록을 보면 된다.
반면 에이전트가 여러 애플리케이션을 오가며 행동하면, 어떤 권한으로 어느 순간 어떤 결정을 했는지 기록하는 방식이 훨씬 복잡해진다. 기업 입장에서는 감사 로그(audit log), 접근 권한 관리, 실행 전 승인 절차를 다시 설계할 필요가 있다.
광고
시민 입장에서는 내가 동의한 범위와 AI가 실제로 수행한 범위가 일치했는지 확인할 수 있어야 한다. 이 장치가 없으면 피해가 발생한 뒤에도 사용자, 개발사, 서비스 운영자, 데이터를 제공한 기관 사이에서 책임이 분산된다.
세 번째 난점은 규제 시차다. 유럽연합(EU)의 인공지능법(EU AI Act)은 위험도에 따라 AI 시스템을 분류하고 의무를 부과하는 틀을 마련했다. 그러나 이 법은 에이전트형 시스템이 지금처럼 빠르게 확산하기 전에 협상된 제도다.
인간의 의사 결정을 돕는 AI를 주된 대상으로 삼은 만큼, 독립적으로 판단하고 실행하는 시스템을 다루는 데 빈틈이 생긴다. 디지털 옴니버스(Digital Omnibus) 법안이 고위험 AI 시스템 의무 적용 시점을 독립형 시스템은 2027년 12월, 규제 제품 내장형 AI는 2028년 8월로 늦춘 점도 기술과 법의 시간표가 어긋났음을 보여준다.
소비자와 기업은 그 사이의 공백기에서 제품을 쓰게 된다. 반론도 있다.
규제가 빠르게 움직이면 기술 개발이 위축되고, 작은 기업은 준수 비용을 감당하기 어렵다는 주장이다. 이 지적은 산업 현장의 부담을 짚는 현실적인 우려다.
다만 본지 분석으로는 AI 에이전트 영역에서 규제 지연의 비용이 더 크다. AI가 단순 추천을 넘어 실행 권한을 얻는 순간, 한 번의 오류는 개인의 계정, 기업의 영업 비밀, 공공 서비스의 행정 절차에 직접 닿는다.
규제는 기술을 멈추는 장치가 아니라 권한을 단계별로 나누고 기록을 남기며 인간의 개입 지점을 정하는 운영 규칙으로 설계할 수 있다. 소규모 기업에는 동일한 서류 부담을 요구하기보다 표준화된 점검 도구와 인증 체계를 제공하는 방식이 더 현실적이다.
광고
대안의 단서는 이미 나와 있다. 브루킹스 보고서는 국제 표준인 ISO/IEC 42001과 싱가포르의 에이전트 AI 거버넌스 프레임워크를 새 접근 사례로 제시했다. ISO/IEC 42001은 조직 차원의 AI 관리 시스템을 다루는 표준으로, 개별 모델 성능보다 운영 절차와 책임 체계를 묻는 데 가깝다.
싱가포르의 프레임워크 역시 자율성과 실행 능력을 갖춘 AI를 관리 대상으로 삼는 흐름 위에 있다. 이런 기준만으로 모든 위험을 막을 수는 없다.
그러나 중요한 변화는 감독 대상을 '모델 파일'에서 '업무 흐름'으로 옮긴다는 점이다. 한국 독자가 체감할 변화는 기업 사무실에서 먼저 나타날 가능성이 크다. 본지 분석으로는 인사, 회계, 법무, 고객 상담처럼 반복 업무가 많고 개인정보나 계약 정보가 섞인 영역에서 AI 에이전트 도입 압력이 강해진다.
이때 회사는 업무 효율만 볼 것이 아니라 어떤 행위까지 AI에 맡길지 선을 그어야 한다. 예컨대 문서 초안 작성과 일정 후보 제안은 낮은 권한으로 둘 수 있지만, 외부 발송, 계약 승인, 결제 실행은 별도 승인 단계에 묶는 식이다.
가정에서도 마찬가지다. 자녀 계정 관리, 금융 앱, 의료 예약처럼 민감한 영역은 편리함보다 권한 제한이 우선이다.
정책은 모델 심사에서 행동 기록으로 옮겨가야 한다
정책 방향도 바뀌어야 한다. 지금까지 AI 규제 논의는 학습 데이터, 저작권, 편향, 유해 콘텐츠에 무게를 뒀다.
에이전트 시대에는 여기에 실행 권한, 중단 버튼, 사후 감사, 위임 범위 고지가 추가되어야 한다. 정부가 모든 기술 세부 사항을 법 조문에 담기는 어렵다.
대신 일정 수준 이상의 자율 실행 기능을 제공하는 서비스에는 행동 기록 보존, 사용자 승인 단계, 권한별 위험 등급, 사고 통지 절차를 요구하는 방식이 가능하다. 이는 산업을 묶는 규제가 아니라 시장 신뢰를 만드는 기본 인프라에 가깝다.
광고
기업의 책임도 무겁다. AI 에이전트를 출시하는 사업자는 정확도 수치만 앞세우기보다 실패했을 때 어떤 일이 일어나는지 공개해야 한다.
브루킹스 보고서가 인용한 2025년 기준으로 66.3%의 정확도는 인상적인 수치지만, 나머지 경우의 오류가 어떤 성격인지에 따라 위험은 달라진다. 일정 추천을 잘못하는 것과 송금 지시를 잘못 처리하는 것은 같은 오류율로 묶을 수 없다.
소비자가 이해할 수 있는 언어로 기능 한계와 권한 범위를 설명하는 일이 제품 경쟁력의 일부가 된다. 기술 기업이 이 과정을 비용으로만 보면 에이전트 시장은 성장 속도만큼 빠르게 신뢰 위기를 맞을 수 있다.
AI 에이전트 규제의 출발점은 금지가 아니라 위임 설계여야 한다. 모든 자동화를 막자는 말이 아니다.
유용한 자동화를 오래 쓰기 위해서는 권한을 잘게 쪼개고, 실행 전후 기록을 남기며, 사람이 개입할 지점을 명확히 해야 한다. 2027년 12월과 2028년 8월의 유럽 일정은 한국에도 시계를 보여준다. 법이 완성될 때까지 기다리는 기업과 기관은 소비자의 신뢰를 잃을 수 있다.
각 조직과 가정이 지금 던져야 할 질문은 'AI에게 무엇을 맡길 것인가'보다 'AI에게 무엇을 맡기지 않을 것인가'다. ※ 이 기사는 브루킹스 연구소(Brookings Institution)의 2026년 10월 12일자 보고서(AI 에이전트 거버넌스 공백 관련 분석)를 참조하여 작성하였다. 프리시던스 리서치의 시장 전망 수치는 해당 브루킹스 보고서에 인용된 내용을 기준으로 삼았다.
FAQ
Q. 일반 사용자는 AI 에이전트를 쓸 때 무엇을 먼저 확인해야 하나
A. AI 에이전트가 단순히 답변을 생성하는지, 실제로 외부 서비스에 접속해 행동을 실행하는지 먼저 구분해야 한다. 일정 등록, 이메일 발송, 결제 요청, 파일 전송처럼 되돌리기 어려운 기능은 별도 승인 설정을 켜 두는 편이 안전하다. 브루킹스 연구소 보고서는 특정 서비스별 위험 등급을 제시하지 않았으므로, 개별 제품의 권한 설정 화면과 이용 약관을 직접 확인해야 한다. 에이전트 기능이 확산할수록 권한 범위를 쉽게 보여주는 표시 체계가 소비자 보호의 핵심 장치가 될 전망이다.
Q. EU AI Act가 있는데도 왜 규제 공백이 생기나
A. 유럽연합(EU)의 인공지능법(EU AI Act)은 위험 기반 규제라는 큰 틀을 마련했지만, 협상 당시의 중심 대상은 인간 의사 결정을 보조하는 AI 시스템이었다. 브루킹스 보고서는 독립적으로 판단하고 실행하는 AI 에이전트가 빠르게 확산하면서 기존 틀이 충분히 맞물리지 않는 지점이 생겼다고 분석했다. 디지털 옴니버스(Digital Omnibus) 법안에 따라 고위험 AI 시스템 의무 적용 시점이 독립형 시스템은 2027년 12월, 내장형 AI는 2028년 8월로 늦춰진 점도 공백을 키운다. 이 기간에는 기업의 자율 통제와 ISO/IEC 42001 같은 표준 기반 관리가 사실상 1차 안전장치 역할을 맡게 된다.
Q. 기업은 지금 어떤 준비를 시작해야 하나
A. AI 에이전트를 도입하기 전에 업무별 권한 지도를 만드는 것이 우선이다. 초안 작성, 정보 검색, 내부 요약처럼 낮은 위험 업무와 외부 발송, 계약 승인, 결제 실행처럼 높은 위험 업무를 분류해야 한다. ISO/IEC 42001 같은 AI 관리 시스템 표준은 조직 내부 절차와 책임 배분을 점검하는 출발점으로 활용할 수 있다. 완전한 규제 체계가 갖춰지지 않은 지금 단계에서도 실행 기록, 승인 단계, 사고 보고 절차를 갖춘 기업이 고객과 거래처의 신뢰를 더 빨리 확보할 가능성이 크다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
