[생성형 AI를 넘어 에이전트형 AI로 향하는 싱가포르]
안녕하세요, 디센트 법률사무소 국제법무팀입니다.
이번 프레임워크는 새로운 인허가 제도가 아니라, 기업이 AI 에이전트(Agentic AI)를 실제 서비스와 업무 시스템에 연결할 때 어떤 통제 방식을 마련해야 하는지 제시한 실무 지침에 가깝습니다.
싱가포르에 AI 서비스를 출시하거나 현지 기업에 솔루션을 공급하려는 한국 기업이라면 기존 생성형 AI 서비스와는 다른 접근이 필요합니다.
이번 글에서는 싱가포르의 최신 거버넌스·보안·개인정보 규율과 한국 기업이 서비스 설계 단계부터 점검해야 할 대응 방향을 정리해 드립니다.
🕒 바쁜 분들을 위한 3줄 요약
거버넌스 방식 전환: IMDA 프레임워크(2026.1 발표, 5월 개정)는 라이선스가 아닌 위험 기반 통제 지침으로, 업무별 자율성과 감독 수준을 다르게 설계하도록 요구합니다.
개인정보·보안 병행 검토: PDPC 생성형 AI 개인정보 가이드라인(2026.7.20 확정)과 CSA 「Securing Agentic AI」(2026.6.17 게시)가 함께 적용됩니다.
설계 단계부터 대응: 서비스 출시 이후가 아니라 기획 단계부터 권한 범위·인간 감독·개인정보 이전 방식을 정리해야 리스크를 줄일 수 있습니다.
1. AI가 답변을 넘어 직접 행동하기 시작했습니다
기존 생성형 AI와 AI 에이전트는 할 수 있는 일의 범위 자체가 다릅니다.
구분 | 생성형 AI | AI 에이전트 |
|---|---|---|
역할 | 질문에 답하거나 문서·이미지 생성 | 목표 달성을 위한 업무를 스스로 계획·실행 |
처리 방식 | 단발성 응답 | 여러 단계를 스스로 나누어 연속 수행 |
대표 사례 | 챗봇 답변, 콘텐츠 초안 작성 | 문의 분석 후 이메일 발송, DB 수정, 환불 처리 |
확장 형태 | 단일 세션 내 응답 | 여러 에이전트 간 업무 분담, 외부 에이전트 호출 |
이러한 변화는 AI의 활용 범위를 크게 넓히지만, 동시에 새로운 법적·운영상 위험을 만듭니다.
챗봇이 잘못된 답변을 제공하는 경우에는 이용자가 이를 확인하고 다시 판단할 여지가 있습니다. 그러나 AI 에이전트가 잘못된 판단에 따라 계정을 삭제하거나 결제를 승인하면, 오류가 곧바로 실제 피해로 이어질 수 있습니다.
리스크: 접근 권한이 넓게 부여된 에이전트는 하나의 잘못된 판단만으로도 결제·계정 조치까지 자동으로 실행할 수 있습니다.
싱가포르가 AI 에이전트에 관한 별도의 거버넌스 기준을 마련한 배경도 여기에 있습니다.
2. 싱가포르 프레임워크는 새로운 라이선스 제도가 아닙니다
싱가포르 정보통신미디어개발청(IMDA)은 2026년 1월 「Model AI Governance Framework for Agentic AI」를 발표했습니다.
이후 2026년 5월에는 다음 내용을 반영한 개정판을 공개했습니다.
🔹 다중 에이전트 시스템 운영 시 위험
🔹 제3자 에이전트 도입 시 관리 방안
🔹 자동화된 판단을 과도하게 신뢰하는 문제(Automation Bias)
이 프레임워크는 AI 에이전트 사업자에게 별도의 라이선스를 요구하거나 직접적인 처벌 기준을 정한 법률은 아닙니다. 기업이 AI 에이전트를 책임 있게 설계하고 운영하기 위해 참고할 수 있는 비구속적 거버넌스 지침입니다.
다만 프레임워크가 법률 자체가 아니라는 이유만으로 실무상 의미가 작다고 보기는 어렵습니다.
AI 에이전트가 개인정보를 처리하면 싱가포르 개인정보보호법(PDPA)이 적용될 수 있고, 금융·보험·의료·채용과 같은 분야에서는 기존 산업별 규제도 함께 검토해야 합니다. 서비스 오류로 고객에게 손해가 발생하면 계약상 책임이나 불법행위 책임이 문제 될 가능성도 있습니다.
결국 기업은 프레임워크만 별도로 확인할 것이 아니라, 실제 서비스의 기능과 데이터 흐름을 기준으로 적용 법률을 함께 검토해야 합니다.
3. 핵심은 AI의 자율성을 어디까지 허용할 것인가입니다
싱가포르 프레임워크가 강조하는 핵심은 AI 에이전트의 자율성을 무조건 제한하는 데 있지 않습니다.
중요한 것은 에이전트가 수행하는 업무의 위험 수준에 따라 권한과 감독 방식을 다르게 설계하는 것입니다.
업무의 위험 수준에 따라 자동화 허용 범위도 달라져야 합니다.
위험 수준 | 업무 예시 | 자동화 접근 방식 |
|---|---|---|
낮음 | 내부 문서 검색·요약, 초안 작성 | 비교적 넓은 범위에서 자동화 가능 |
높음 | 계정 정지·환불 실행, 계약 체결, 자금 이동 | 되돌리기 어려운 업무 — 별도 승인 절차 필요 |
이 과정에서 기업은 AI 에이전트가 접근할 수 있는 데이터와 시스템의 범위를 먼저 정해야 합니다. 업무 수행에 필요하지 않은 고객정보나 관리자 권한까지 부여하면 하나의 오류가 전체 시스템으로 확산될 수 있습니다.
사람의 감독도 단순히 최종 승인 버튼을 누르는 형식에 그쳐서는 안 됩니다.
담당자가 AI의 판단 근거와 처리 내용을 확인할 수 있어야 하고, 필요한 경우 작업을 중단하거나 되돌릴 수 있어야 합니다. 기업 내부에서는 AI 에이전트의 운영 결과를 관리할 책임자와 사고 발생 시 대응 주체도 명확히 정할 필요가 있습니다.
💡 자율성을 낮추는 것이 정답은 아닙니다. 업무별로 되돌릴 수 있는 일과 되돌릴 수 없는 일을 구분해, 후자에만 승인 절차를 두는 것이 실무적으로 더 효율적입니다.
4. 개인정보 문제는 데이터가 입력되는 순간부터 시작됩니다
AI 에이전트는 이용자가 직접 입력한 정보만 처리하지 않습니다.
고객관리 시스템, 이메일, 구매기록, 사내 문서, 위치정보 등 여러 출처의 데이터를 결합해 업무를 수행할 수 있습니다. 외부 생성형 AI 모델이나 클라우드 서비스를 이용하는 경우에는 데이터가 싱가포르 밖으로 이전될 가능성도 있습니다.
따라서 개인정보 검토는 서비스 출시 직전 개인정보 처리방침을 작성하는 단계에서 시작해서는 부족합니다.
서비스 설계 초기부터 다음 사항을 확인해야 합니다.
🔹 어떤 정보가 AI 에이전트에 입력되는지
🔹 외부 모델 제공자가 해당 데이터를 저장하거나 학습에 이용하는지
🔹 처리 종료 후 데이터가 언제 삭제되는지
싱가포르 개인정보보호위원회(PDPC)는 2026년 7월 20일 「Advisory Guidelines on Use of Personal Data in Generative AI」를 확정 발표했습니다.
구글, 메타, DBS은행 등이 참여한 공개 의견수렴 결과를 반영한 최종본으로, AI 에이전트가 생성형 AI 모델을 기반으로 작동한다면 해당 가이드와 기존 PDPA상 의무를 함께 검토할 필요가 있습니다.
특히 싱가포르 이용자의 개인정보가 한국이나 제3국의 서버로 이전되는 방식이라면, 현지 법률이 요구하는 수준의 보호조치가 마련되어 있는지 확인해야 합니다.
단순히 개인정보 처리방침에 해외 이전 사실을 기재하는 것만으로 충분하지 않을 수 있습니다. 외부 AI 사업자와 체결한 계약에서 데이터 이용 범위, 보안 의무, 사고 통지, 계약 종료 후 삭제 책임까지 정리해야 합니다.
5. AI 에이전트의 보안 위험은 잘못된 답변에 그치지 않습니다
AI 에이전트가 외부 웹사이트, 이메일, 첨부파일에 접근하면 공격자가 숨겨 놓은 명령을 정상적인 정보로 오인할 수 있습니다.
이를 통해 에이전트가 원래 허용되지 않은 작업을 수행하거나, 인증정보와 개인정보를 외부로 전송할 가능성이 있습니다. 이러한 위험은 일반적으로 프롬프트 인젝션(Prompt Injection) 또는 간접 프롬프트 인젝션 문제로 설명됩니다.
여러 AI 에이전트가 서로 업무를 위임하는 환경에서는 위험이 더욱 복잡해집니다.
하나의 에이전트가 잘못된 명령을 받은 뒤 다른 에이전트에 작업을 전달할 경우, 최초의 오류가 결제·고객관리·개발 시스템 등으로 이어질 수 있습니다.
싱가포르 사이버보안청(CSA)이 2026년 6월 17일 게시한 「Securing Agentic AI」 부속지침은 AI 에이전트의 전체 업무 흐름을 확인하고, 공격자가 개입할 수 있는 지점을 사전에 파악하도록 권고합니다. 해당 지침의 공개 의견수렴은 2025년 10월 22일부터 12월 31일까지 진행됐습니다.
기업이 마련해야 할 기술적 통제는 다음과 같습니다.
🔹 에이전트별 최소 접근권한 부여
🔹 이용 가능한 외부 도구 제한
🔹 중요 명령·처리 결과의 로그 보존
🔹 비정상 행동 탐지 시 즉시 작업 중단 기능
모델이나 플러그인, 외부 도구가 변경될 때마다 기존 보안 검토가 그대로 유효한지도 다시 확인해야 합니다.
6. 외부 솔루션을 사용해도 책임이 모두 이전되지는 않습니다
AI 에이전트를 직접 개발하지 않고 외부 사업자의 솔루션을 도입하는 기업도 많습니다.
그러나 외부 솔루션을 사용한다는 이유만으로 서비스 운영 과정에서 발생하는 책임이 공급업체에 자동으로 이전되는 것은 아닙니다.
고객에게 서비스를 제공하고 AI 에이전트의 권한을 설정한 기업은 자신의 운영 방식에 대한 책임을 부담할 수 있습니다. 반대로 모델의 결함이나 보안 취약점이 원인이라면 솔루션 제공업체의 책임이 함께 문제 될 수 있습니다.
따라서 AI 공급계약에는 이용료·서비스 수준을 넘어 다음 사항을 구체적으로 규정해야 합니다.
🔹 데이터와 모델의 관리 주체
🔹 보안사고 발생 시 통지 시점
🔹 오류 원인 조사 협조 방식
🔹 모델·기능 변경 시 사전 통지 의무
🔹 서비스 종료 시 데이터·작업기록 반환·삭제 기준
이용약관 역시 실제 운영 방식과 맞아야 합니다.
AI가 자동으로 수행하는 업무와 사람이 검토하는 업무를 구분하고, 잘못된 작업이 발생했을 때 이용자가 정정이나 취소를 요청할 수 있는 방법을 안내해야 합니다.
"AI는 오류가 발생할 수 있다"는 일반적인 면책 문구만으로 서비스 운영기업의 책임이 모두 배제되는 것은 아닙니다.
7. 한국 기업은 서비스 설계 단계부터 검토해야 합니다
싱가포르의 AI 에이전트 거버넌스는 특정 문서 하나를 작성하는 것으로 대응할 수 있는 문제가 아닙니다.
서비스 기획, 개발, 개인정보 처리, 보안, 계약, 고객 대응 체계를 하나로 연결해야 합니다.
진출 전에는 최소한 다음 사항을 정리할 필요가 있습니다.
🔹 AI 에이전트가 수행하는 업무와 금지되는 업무
🔹 접근 가능한 데이터·외부 시스템과 권한 범위
🔹 사람의 승인과 사후 검토가 필요한 단계
🔹 개인정보의 저장·이전·삭제 방식
🔹 외부 AI 사업자와의 책임 및 사고 대응 기준
🔹 작업기록 보존과 긴급 중단 절차
특히 AI 에이전트가 결제, 금융, 보험, 채용, 의료처럼 개인의 권리나 경제적 이해관계에 직접 영향을 미치는 업무를 수행한다면, 서비스 출시 이후가 아니라 설계 초기부터 현지 법률과 거버넌스 기준을 반영해야 합니다.
8. 싱가포르 AI 시장 진출에서 중요한 것은 '기능'보다 '책임 설계'입니다
AI 에이전트의 경쟁력은 더 많은 업무를 자동으로 수행하는 데서 나옵니다.
그러나 기업이 설명할 수 없는 방식으로 AI가 시스템에 접근하고 의사결정을 실행한다면, 높은 자율성이 오히려 서비스의 법적 위험이 될 수 있습니다.
싱가포르의 정책 방향은 AI 에이전트의 활용 자체를 제한하기보다, 기업이 자율성의 범위와 책임 범위를 사전에 설계하도록 요구하는 데 가깝습니다.
한국 기업은 싱가포르 진출 전 AI가 무엇을 할 수 있는지뿐 아니라, 무엇을 할 수 없도록 막을 것인지도 함께 정해야 합니다.
9. 자주 묻는 질문 (FAQ)
Q. 한국에서 개발한 AI 에이전트를 싱가포르 고객에게 제공해도 이 프레임워크가 적용되나요?
A. IMDA의 프레임워크는 자체 개발 여부와 관계없이 싱가포르에서 AI 에이전트를 배포하거나 제3자 솔루션을 도입하는 모든 조직에 적용될 수 있도록 구성되어 있습니다.
다만 프레임워크 자체는 비구속적 지침이므로 실제 법적 의무는 PDPA 등 개별 법령을 통해 발생합니다.
Q. 프레임워크나 가이드라인을 지키지 않으면 바로 처벌을 받나요?
A. 프레임워크나 어드바이저리 가이드라인을 준수하지 않았다는 이유만으로 직접적인 제재가 부과되지는 않습니다.
다만 AI 에이전트 운영 과정에서 PDPA, 계약법, 소비자보호 규율 등 개별 법령을 위반하면 해당 법령에 따른 별도의 책임이 발생할 수 있습니다.
Q. 단순 챗봇도 AI 에이전트로 분류되어 이 프레임워크의 적용을 받나요?
A. 질문에 답하는 데 그치는 생성형 AI 챗봇과, 목표를 스스로 계획해 결제·계정 변경 같은 실제 작업까지 수행하는 AI 에이전트는 위험 성격이 다릅니다.
챗봇이 실제 행동을 수행하지 않는다면 이 프레임워크가 상정하는 자율성 수준에는 해당하지 않을 수 있으나, 개인정보 처리 등 다른 규율은 별도로 적용될 수 있습니다.
[디센트 법률사무소 – 싱가포르 AI·데이터 규제 대응 서비스]
디센트 법률사무소 국제법무팀은 싱가포르에 진출하는 AI·핀테크·플랫폼 기업을 대상으로 AI 서비스 설계, 개인정보 처리, 계약 및 현지 규제에 관한 법률 자문을 제공합니다.
🔸 AI 에이전트 서비스 방식 및 현지 규제 검토
🔸 싱가포르 PDPA 적용 여부와 데이터 흐름 분석
🔸 개인정보 국외이전 방식 검토
🔸 AI 솔루션 공급·도입 계약서 작성 및 검토
🔸 AI 서비스 이용약관과 개인정보 처리방침 정비
디센트 법률사무소 상담 안내 ☎️
[유선 문의] 02-6951-5248
[이메일] admin@decentlaw.io
[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층