한컴, EU AI Act·GDPR 준수 에이전틱 OS 개발 가이드 공동 수립...소버린 AI 시장 공략

핵심 요약

- 한컴이 폴란드 7불스, 알고마인과 EU 인공지능법(EU AI Act) 및 GDPR 준수를 위한 에이전틱 OS 개발 가이드 공동 수립 - 데이터 주권에 민감한 유럽 공공·금융 시장 진출을 위한 소버린 AI 전략 추진 - AI 거버넌스와 개인정보보호를 사전 설계 단계부터 통합하는 'Privacy by Design' 접근법 적용

주요 내용

한컴이 2026년 8월 유럽 시장 공략을 위해 현지 파트너사들과 AI 거버넌스 및 개인정보보호 요건을 사전 반영한 기술 개발 가이드를 마련했다. 폴란드 기반 7불스(7bulls)와 알고마인(Algomine)과 공동으로 수립한 이번 가이드는 2025년 8월부터 단계적으로 시행되고 있는 EU 인공지능법(EU AI Act)과 일반개인정보보호법(GDPR)의 복합 요건을 모두 충족하도록 설계됐다.

에이전틱 OS(Agentic OS)는 자율적으로 작동하는 AI 에이전트들이 협업하는 운영체제 환경을 의미한다. 이러한 자율형 AI 시스템은 EU AI Act상 '고위험 AI 시스템'으로 분류될 가능성이 높아, 위험 관리 시스템 구축, 데이터 거버넌스, 기술 문서화, 투명성 확보 등의 엄격한 준수 사항이 요구된다. 특히 공공 부문과 금융 분야에서는 개인정보 처리에 대한 법적 근거, 처리 목적 명시, 정보주체 권리 보장 등 GDPR의 핵심 원칙도 동시에 충족해야 한다.

한컴의 이번 움직임은 '소버린 AI(Sovereign AI)' 트렌드와 밀접하게 연관돼 있다. 소버린 AI는 특정 국가나 지역의 데이터 주권을 보호하면서 자체 AI 역량을 구축하는 개념으로, 유럽 각국 정부와 공공기관은 데이터가 역외로 유출되지 않고 현지 법규를 완전히 준수하는 AI 솔루션을 선호한다. 특히 폴란드를 비롯한 중동부 유럽 국가들은 디지털 주권 강화를 국가 전략으로 추진 중이며, 공공·금융 분야의 AI 도입 시 현지 데이터센터 사용과 EU 법규 완전 준수를 필수 요건으로 제시하고 있다.

한컴은 역대 최대 실적을 기반으로 주주이익 극대화와 기업가치 제고 계획을 추진하는 동시에, 글로벌 시장 진출을 위한 규제 대응 역량을 강화하고 있다. 이번 가이드 수립은 기술 개발 초기 단계부터 법규 요건을 반영함으로써 향후 인증 획득과 시장 진입 시간을 단축하고, 컴플라이언스 비용을 절감하는 효과를 기대할 수 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 한컴의 이번 접근법은 AI 시스템 개발에서 '보안 및 개인정보보호 내재화(Security & Privacy by Design)'의 모범 사례로 평가할 수 있다. EU AI Act는 고위험 AI 시스템에 대해 설계 단계부터 위험 평가·완화 조치를 요구하며, GDPR 역시 개인정보 영향평가(DPIA)와 프라이버시 바이 디자인을 핵심 원칙으로 제시한다. 제품 출시 후 법규 준수를 위해 재설계하는 것보다 초기 설계 단계부터 요건을 반영하는 것이 비용·시간 측면에서 훨씬 효율적이다. 특히 에이전틱 OS처럼 복잡한 자율형 AI 시스템은 사후 보완이 극히 어려우므로, 아키텍처 설계 단계부터 데이터 최소화, 접근 통제, 감사 추적(audit trail) 메커니즘을 내장해야 한다.

국내 기업들이 유럽 시장 진출을 고려할 때 주목해야 할 점은 EU AI Act와 GDPR의 '역외 적용(extraterritorial application)' 원칙이다. 유럽 내 개인정보 주체에게 서비스를 제공하거나 그들의 행동을 모니터링하는 경우, 기업의 물리적 위치와 무관하게 EU 법규가 적용된다. 따라서 한컴처럼 현지 파트너와 협력해 가이드를 수립하고, 데이터 처리 활동 기록(ROPA), AI 시스템 위험 평가 문서, 기술 문서(technical documentation) 등을 사전에 준비하는 것이 필수적이다. 또한 AI 모델 학습 데이터의 출처, 편향성 검증, 설명 가능성(explainability) 확보 등도 EU AI Act의 투명성 요건 충족을 위해 반드시 문서화해야 한다.

CPPG·ISMS-P 연계 포인트

프라이버시 바이 디자인(Privacy by Design): GDPR 제25조에서 명시한 원칙으로, 개인정보 처리 시스템을 설계할 때부터 데이터 최소화, 가명처리, 접근 통제 등 개인정보보호 조치를 내재화해야 한다. ISMS-P 인증 심사 시 '개인정보 생명주기별 보호조치(2.7)' 항목에서 시스템 기획·설계 단계의 프라이버시 고려 여부를 점검하며, AI 시스템의 경우 데이터 수집·학습·추론 각 단계별 보호대책 수립이 요구된다.

데이터 주권(Data Sovereignty)과 국외 이전 제한: 개인정보가 물리적으로 저장·처리되는 국가의 법률 관할권을 의미하며, EU는 GDPR 5장에서 역외 이전 시 적정성 결정, 표준계약조항(SCC), 구속력 있는 기업 규칙(BCR) 등의 안전장치를 요구한다. ISMS-P 인증 심사 시 '개인정보의 국외 이전 시 보호조치(2.9.3)' 항목에서 이전 법적 근거, 정보주체 고지·동의, 수탁자 관리·감독 방안을 확인하며, 클라우드 기반 AI 서비스의 경우 데이터 처리 국가와 법적 근거를 명확히 문서화해야 한다.