2026년 10월 30일 영국 디지털 규제 협력 포럼(DRCF)이 공동 성명을 발표했다. 구성 기관은 경쟁시장청(CMA), 금융행위감독청(FCA), 정보위원회(ICO), 통신규제청(Ofcom)이다. 성명은 사용자를 대신해 주문하고 기업과 연락하며 이메일과 경비를 처리하는 개인 AI 에이전트를 다룬다. 기존 법률은 이런 에이전트에도 똑같이 적용되며, 에이전트가 아무리 자율적으로 움직여도 도입한 기업은 "AI가 알아서 한 일"이라며 책임을 피할 수 없다. 성명은 새로운 법을 만든 것이 아니지만 집행 입장을 한 번에 분명히 했다. 영국에서 이런 에이전트를 제공하거나 도입하는 기업은 적용 범위에 들어간다.
성명이 다루는 범위: 기존 법률이 직접 적용된다
성명이 밝힌 적용 범위는 넓다. 경쟁, 소비자 보호, 데이터 보호, 온라인 안전, 금융 서비스, 결제, 사이버 보안 분야의 기존 요구사항이며, 제품 안전처럼 포럼 구성 기관의 소관 밖에 있는 법률도 적용될 수 있다. 성명이 든 위험도 구체적이다. 사기와 스캠, 사용자 예상을 벗어난 개인정보 공유, 오해를 부르는 추천·결정·정보다. 네 기관은 이미 시장을 주시하고 기업과 직접 소통하며 기업 지침을 내고 정보를 공유하고 규제 샌드박스에서 검증을 지원하고 있으며, 영국 정부와 함께 컴플라이언스 공백을 찾겠다고 밝혔다. 네 갈래의 집행 시선이 하나의 제품에 동시에 향할 수 있다.
도입 전에 답해야 할 다섯 가지 질문
성명은 개발·도입 전에 다섯 가지를 신중히 생각하라고 기업에 요구한다. 사용자가 에이전트가 언제, 어떻게 자신을 대신해 행동하는지 이해할 수 있는지, 행동 권한을 어떻게 부여하고 거둘 수 있는지, 개인정보를 어떻게 쓰는지, 추천에 영향을 줄 수 있는 상업적 이해관계를 사용자에게 어떻게 설명할지, 문제가 생겼을 때 누가 책임지고 사용자는 어떻게 구제를 받는지다. 이 다섯 가지에 비춰 기업은 네 곳에서 시작할 수 있다. 권한에 등급을 매겨 결제·서명 같은 고위험 행위는 먼저 사람의 확인을 거치게 하고, 권한 범위와 데이터 용도, 상업적 관계를 사용자가 볼 수 있는 곳에 적고, 사후 확인과 수정이 가능하도록 추적 가능한 운영 기록을 남기고, 출시 전에 규제기관과 일찍 소통하며 샌드박스에서 의문을 검증하는 것이다. 개인 에이전트가 기업에 들어가기 전에 권한 관문을 통과하게 한다는 접근은 권한 경계를 정리하는 참고가 된다.
위험은 어디에 있나: 새 법은 아니지만 구속력은 이미 작동한다
가장 큰 위험은 성명을 "나중에 대응해도 된다"고 읽는 것이다. 성명은 법 위반이 의심되고 소비자나 기업에 해를 끼칠 위험이 있는 행위를 확인하면 규제기관이 "권한 행사를 주저하지 않겠다"고 분명히 적었다. 하나의 에이전트가 데이터 보호, 소비자 보호, 경쟁, 금융 규칙에 동시에 걸려 병행 조사를 받을 수 있다. 경계도 분명히 봐야 한다. 성명이 확인한 것은 영국 기존 법률의 적용뿐이며 전 세계 공통 규칙이 아니다. 다른 지역의 규칙은 따로 판단해야 한다. 성명은 새로운 벌칙이나 기술 체크리스트를 내놓지 않았고, 앞으로의 공백은 네 기관과 정부의 후속 조치에 달렸다. 포럼은 2026년 3월 31일에 논의를 유도하는 성격의 에이전틱 AI 전망 문서를 냈다. 10월 30일 문서는 공동 성명으로 신호가 더 직접적이다. 새 법이 나올 때까지 기다릴 것이 아니라 기존 법률에 비춰 지금 스스로 점검하라는 것이다.
