가이드

GDPR과 EU AI Act로 본 회사의 AI 에이전트

AI 에이전트를 운영하는 회사에 GDPR과 EU AI Act가 요구하는 것, 지금 적용되는 것과 2027년에 적용되는 것, 데이터가 가는 곳, 규정을 지키기 쉬운 에이전트 설계 방법.

2026-09-15 업데이트

AI 에이전트는 이메일, 문의, 고객 메시지를 읽습니다. 사내 시스템을 호출하고 때로는 스스로 행동합니다. 유럽연합에서는 이로써 두 가지 법이 적용됩니다. 이미 전면 시행 중인 GDPR과 단계적으로 도입되는 AI Act입니다.

이 가이드는 각 법이 에이전트를 운영하는 회사에 무엇을 요구하는지, 그리고 두 법을 모두 지키기 쉬운 에이전트를 어떻게 설계하는지 다룹니다.

AI Act: 지금 적용되는 것

2026년 9월에 확인한 내용입니다. 실무 개요이며 법률 자문이 아닙니다. 중요한 결정은 변호사나 데이터 보호 책임자와 상의하세요.

AI Act는 2024년에 발효되었고 단계적으로 적용됩니다. 2026년 7월, Digital Omnibus on AI(Regulation (EU) 2026/1744)가 고위험 관련 기한을 늦췄습니다. 현재 일정은 다음과 같습니다.

적용 시기	적용 내용
2025년 2월	금지 대상 AI 관행의 금지
2025년 8월	범용 AI 모델 제공자의 의무
2026년 8월 2일	투명성 의무(제50조)
2026년 12월 2일	2026년 8월 이전에 이미 시장에 출시된 시스템의 AI 생성 콘텐츠 표시
2027년 12월 2일	고위험 AI 시스템의 의무(부속서 III)
2028년 8월 2일	EU 제품 안전법이 적용되는 제품에 포함된 AI의 의무(부속서 I)

투명성: 지금 바로 적용됩니다

사람들이 에이전트와 대화한다면, 명백한 경우가 아닌 한 AI와 대화하고 있다는 사실을 알아야 합니다. 웹사이트의 지원 봇, WhatsApp의 어시스턴트, 이메일에 답하는 에이전트: 각각 자신이 무엇인지 밝혀야 합니다.

합성 오디오, 이미지, 영상, 그리고 경우에 따라 대중에게 정보를 알리려고 게시하는 텍스트처럼 에이전트가 생성한 콘텐츠에는 별도의 표시 의무가 따릅니다.

에이전트가 고위험에 해당할까요?

대부분의 업무용 에이전트는 해당하지 않습니다. 지원 문의를 분류하고, 테스트를 실행하고, 보고서 초안을 쓰거나 제품에 관한 질문에 답하는 에이전트는 고위험 목록에 들어가지 않습니다.

에이전트가 사람의 삶을 좌우하는 결정을 돕는다면 달라집니다. 고위험 분야에는 다음이 포함됩니다.

고용: 이력서 심사, 지원자 순위 매기기, 성과 평가, 승진 또는 해고 결정
신용: 개인의 신용도 평가
보험: 생명보험 및 건강보험의 가격 책정 또는 위험 평가
교육: 입학, 성적 평가, 시험 중 학생 감독
필수 서비스: 공공 급여 및 유사 서비스 이용 자격 결정

에이전트가 이 분야 중 하나에서 일한다면 지금부터 2027년 12월을 준비하세요. 위험 관리, 데이터 거버넌스, 기술 문서, 로그 기록, 인적 감독, 정확성 요건은 모두 갖추는 데 시간이 걸립니다.

데이터의 흐름 따라가기

무엇보다 먼저, 요청 하나가 어디를 거쳐 가는지 그려 보세요. WhatsApp에서 고객에게 답하는 에이전트라면 다음과 같을 수 있습니다.

One request, end to end

The customer sends a messageAnother company
The messaging platform
It reaches the agentYour hosting, EU
The machine the agent runs on
A routine request is handled locallyNobody else
A local model on the same machine
A hard request goes to a cloud modelMay leave the EU
The provider's servers
The agent acts in your applicationYou
Your application and database
The conversation is storedNeeds a retention period
Logs and agent memory

Every step with another company in it needs a processing agreement. Every step that can leave the EU needs a transfer basis.

6단계, 4개 회사, 그중 한 곳은 EU 밖에 있을 수 있습니다.

다른 회사가 들어간 모든 행에는 처리 계약이 필요합니다. EU 밖에 있는 모든 행에는 이전 근거가 필요합니다. 데이터를 저장하는 모든 행에는 보존 기간이 필요합니다.

규정 준수를 쉽게 만드는 설계 선택

개인정보는 로컬 모델이 먼저 보게 하세요. 자체 기기의 소형 모델이 요청을 분류하고, 필드를 추출하고, 클라우드 모델로 무엇이든 보내기 전에 이름이나 ID 번호를 제거할 수 있습니다.
에이전트를 EU에서 호스팅하세요. 대화 기록, 메모리, 자격 증명을 보관하는 기기가 EU 법의 적용을 받습니다.
업무 데이터에 맞는 API 약관을 고르세요. 각 제공자의 API 이용 시 데이터 보존 및 학습 관련 약관과 EU 내 데이터 처리 가능 여부를 확인하세요.
결과가 따르는 작업에는 승인을 요구하세요. 인보이스 발송, 기록 변경, 불만 회신: 에이전트가 준비하고 사람이 확인하게 하세요.
감사 기록을 남기세요. 모든 작업마다 어떤 요청이 계기였는지, 에이전트가 무엇을 결정했는지, 어떤 도구를 호출했는지, 무엇이 바뀌었는지, 누가 승인했는지 기록합니다.
에이전트에게 범위가 제한된 자격 증명을 주세요. 가능하면 읽기 전용으로, 작업에 필요한 시스템으로 한정하고, 쉽게 폐기할 수 있게 합니다.

Mac mini 로컬 AI 모델: 메모리 용량별로 실행되는 모델, 위 항목 중 첫 번째 관련

체크리스트

AI Act

사용자가 에이전트와 상호작용할 때 그 사실을 안내받습니다
필요한 경우 AI 생성 콘텐츠에 표시가 되어 있습니다
고위험 분야에 해당하는 용도가 있는지 확인했습니다
해당한다면 2027년 12월에 대비한 계획이 있습니다

GDPR

에이전트가 어떤 개인정보를 읽고, 저장하고, 보내는지 알고 있습니다
각 용도에 법적 근거가 있습니다
모든 처리자와 처리 계약을 체결했습니다
EU 밖으로의 이전에 근거가 마련되어 있습니다
위험상 필요한 경우 DPIA를 수행했습니다
중대한 영향을 미치는 결정에는 사람이 개입합니다
대화 기록과 메모리에 보존 기간이 있습니다
열람 및 삭제 요청이 에이전트의 데이터까지 포함합니다

운영

에이전트의 모든 작업이 로그로 기록됩니다
결과가 따르는 작업에는 승인이 필요합니다
자격 증명은 범위가 제한되고 폐기할 수 있습니다
개인정보 처리방침에 사용하는 AI 제공자가 명시되어 있습니다

MacDuty를 선택하는 이유

EU에서 호스팅. Mac과 그 안의 모든 것은 EU 기업이 운영하며 유럽연합 안에 머뭅니다.
요청 시 처리 계약 제공.
Mac 1대에 고객 1명. 에이전트의 대화 기록, 메모리, 자격 증명이 다른 누구도 쓰지 않는 하드웨어에 있습니다.
같은 기기의 로컬 모델. 일상적인 요청과 그 안의 개인정보를 제3자 AI 서비스에 보내지 않을 수 있습니다.

출처

오늘 재고 있음

지금 랙에 있는 Mac입니다. 하나를 골라 구성을 확인하고, 계정은 주문할 때 만드세요.

랙 확인 중

나만의 Mac mini

구성을 고르세요. 재고가 없으면 이메일을 남겨 주세요. 랙에 설치되는 날 연락드립니다.

연 단위: 월 단위 결제보다 최소 19% 저렴

16GB
통합 메모리, 120 GB/s
코어
10 CPU, 10 GPU
저장 공간
사용 가능
재고 있음
가장 많이 선택
24GB
통합 메모리, 120 GB/s
코어
10 CPU, 10 GPU
저장 공간
사용 가능
재고 있음
32GB
통합 메모리, 120 GB/s
코어
10 CPU, 10 GPU
저장 공간
사용 가능
재고 있음

Visa Mastercard SEPA 계좌이체EUR 기준 가격이며, 해당하는 경우 결제 시 VAT가 추가됩니다. 최소 1개월, 이후 매월 해지 가능.