영국 NCSC 수장이 RSAC 2026에서 AI 코드 생성 도구에 대한 의무적 보안 가드레일을 촉구했습니다. FCA는 사이버 사고 보고를 DORA 원칙에 맞춰 정비합니다. Essex 경찰은 Cambridge 대학 연구에서 인종 편향이 발견된 이후 안면인식을 중단했습니다 — EU AI Act 고위험 조항의 시험대입니다. 영국 정부는 GDPR 관련 미해결 질문을 남긴 채 디지털 ID 협의를 개시했습니다. ENISA는 EU 조직을 위한 실용적인 NIS2 사이버보안 훈련 프레임워크를 발표했습니다.
NCSC CEO Richard Horne는 RSAC 2026 기조연설에서, "파괴적인 바이브 코딩 기회를 포착"하는 동시에 AI 코드 생성 도구에 의무적 보안 안전장치를 구축할 것을 사이버보안 업계에 촉구했습니다.
바로 RSA Conference 2026에서 열린 샌프란시스코 현장에서, Richard Horne가 — 영국 국가사이버보안센터(NCSC) 최고경영자인 그가 — 사실상 규제 경고음이라 할 만한 발언을 내놓았습니다. 바로 AI 지원 소프트웨어 개발 — 흔히 "바이브 코딩"이라 불리는 — 의 폭발적 증가가 업계가 지금 당장 다뤄야 할 거대한 기회이자 동시에 시스템적 위험이라는 것입니다. 5년 후가 아니라 말입니다.
한편, NCSC CTO David C가 다음의 기관 문서를 발표했습니다: "안전한 바이브 코딩 계명(Secure Vibe Coding Commandments)":
NCSC의 입장은 EU AI Act가 중요 인프라에 사용되는 AI 시스템에 요구하는 사항과 직접적으로 일치합니다. 이 법 하에서, 필수 서비스용 소프트웨어를 구축하는 데 사용되는 AI 코드 생성 도구는 고위험 AI 시스템으로 분류될 가능성이 높으며, 적합성 평가, 투명성 의무, 인간 감독을 요구받게 됩니다. NCSC의 계명은 EU가 결국 의무화할 기술 표준을 미리 보여주는 것과 같습니다.
EU AI Act의 2026년 8월 범용 AI 의무 조항을 이미 준비 중인 DACH 조직에게, 이는 개발 파이프라인에서 AI 생성 코드가 어떻게 거버넌스되고 있는지 지금 당장 평가를 시작하라는 신호입니다.
영국 금융행위감독청(FCA)이 내부 사이버 사건과 제3자 장애를 모두 포괄하는 간소화된 사고 보고 규정을 발표하며, PRA 및 영란은행과 단일 보고 포털을 구축했습니다.
바로 FCA의 새로운 보고 체계가 금융기관의 오랜 불만 사항을 해결합니다: 무엇을 보고해야 하는지, 언제 보고해야 하는지, 그리고 어떤 정보를 포함해야 하는지에 대한 혼란입니다. 이번 업데이트에는 다음이 포함됩니다:
영국은 더 이상 EU 규정의 적용을 받지 않지만, FCA의 업데이트는 명백히 디지털운영복원력법(DORA) 방식을 참고하고 있습니다. EU 금융기관이 자국의 관할 당국에 중대한 ICT 관련 사고를 보고하도록 요구하는 DORA의 사고 보고 프레임워크가 기준을 설정해왔습니다. FCA가 제3자 사고를 포함하도록 한 조치는 중요 ICT 제3자 제공업체에 대한 DORA의 초점을 그대로 반영합니다.
FCA 이사 Mark Francis는 다음과 같이 언급했습니다: "기업들이 커지는 사이버 위협과 제3자 의존도 증가에 직면하면서, 회복력이 그 어느 때보다 시험받고 있습니다." 이 데이터가 이를 뒷받침합니다 — 2025년 FCA에 보고된 사고의 40%가 제3자와 관련되어 있었습니다, AWS와 Cloudflare의 대형 장애 사고를 포함해서 말입니다.
영국과 EU 양쪽에서 사업을 운영하는 조직에게, 이러한 수렴은 좋은 소식입니다 — 보고 프레임워크가 점점 더 정렬되고 있습니다. 다만 범위, 일정, 구체적 요건에는 여전히 차이가 남아 있습니다. 이중 규제 대상 기업은 DORA와 새로운 FCA 체계 모두에 자사의 사고 보고 워크플로를 대조해 격차를 파악해야 합니다.
Essex 경찰은 Cambridge 대학 연구에서 해당 시스템이 흑인 개인을 식별할 가능성이 통계적으로 더 높다는 사실이 발견된 이후, 실시간 안면인식 운영을 중단했습니다. 이는 유사 시스템에 대한 EU AI Act 준수 여부에 직접적인 의문을 제기합니다.
바로 Cambridge 대학 연구진이 통제된 현장 실험을 통해, Essex 경찰의 실시간 안면인식(LFR) 시스템에서 다음이 나타났음을 발견했습니다: 통계적으로 유의미한 인종 편향 — 이 시스템이 다른 인종 집단보다 흑인 참가자를 정확히 식별할 가능성이 더 높았다는 것입니다. 연구진은 이것이 체계적인 효과라기보다는 제한된 수의 오탐지를 반영할 수 있다고 경고했지만, Essex 경찰은 배포를 중단하기로 선택하고, 문제를 해결하기 위해 알고리즘 제공업체와 협력하기로 했습니다.
이번 발견은 영국 정부가 치안 활동에서 안면인식 사용을 적극적으로 확대하고 있는 가운데 나온 것입니다 — 전국 시스템에 2,600만 파운드 이상을, 추가 LFR 탑재 차량에 1,160만 파운드를 지출하면서 말입니다.
유럽에서는 EU AI Act에 따르면, 공공장소에서 법 집행기관에 의한 실시간 원격 생체 식별은 다음으로 분류됩니다: 금지된 관행으로 분류되며, 좁은 예외만 인정됩니다. 사후 식별(after the fact)조차도 고위험으로 분류되어 다음을 요구합니다:
이 사례는 전형적인 예입니다 — EU AI Act가 존재하는 이유를 보여주는 사례입니다. 이 편향은 Essex 경찰이 독립적인 학술 연구를 의뢰했기 때문에야 겨우 발견되었습니다 — 유사 시스템을 배포하는 많은 조직은 이러한 수준의 검증을 전혀 수행하지 않습니다.
안면인식은 치안 활동만을 위한 도구가 아닙니다. 은행, 공항, 소매업체, EU 전역의 출입통제 시스템이 생체 식별을 사용합니다. 귀사가 어떤 형태로든 생체인식 AI를 배포한다면, Essex 경찰 사례는 다음과 같은 경고입니다: 편향을 선제적으로 테스트하지 않으면, 규제 당국이 대신 테스트할 것입니다.
영국 정부가 디지털 ID 제도에 대한 공개 협의를 개시했습니다. 초기에는 취업 자격 확인을 다루며, 향후 복지, 연금, 학자금 대출로 확대할 계획입니다. GDPR 관련 핵심 질문은 여전히 미해결 상태입니다.
바로 디지털 신원 협의가 개시되었습니다. 초기에는 취업 자격 확인을 다루며, 정부 서비스 전반으로 확대할 계획을 설명합니다. 그러나 이 협의는 몇 가지 핵심 개인정보 보호 문제:
영국이 브렉시트 이후 일부 데이터 보호 사안에서 EU와 다른 길을 걸어왔지만, 영국 GDPR (EU법에서 계승된)은 여전히 적용됩니다. 주요 우려 사항은 다음과 같습니다:
EU 자체의 eIDAS 2.0 규정은 2026~2027년까지 유럽 디지털 신원 지갑(European Digital Identity Wallet)을 의무화하며, 영국의 협의는 유용한 반면교사를 제공합니다. EU 프레임워크는 더 강력한 개인정보 보호 장치를 포함합니다 — 선택적 공개(생년월일을 밝히지 않고 18세 이상임을 증명하는 방식)와 서비스 전반에 걸친 추적 금지 등입니다. EU 회원국들은 영국 제도의 개인정보 보호 공백을 피해야 할 사례로 주시해야 합니다.
NIS2 컴플라이언스 자료: EU 사이버보안청(ENISA)이 사이버보안 훈련을 구축하기 위한 포괄적인 방법론을 발표했습니다. 이는 조직이 NIS2의 사고 대응 준비 요건을 충족하도록 돕기 위해 설계되었습니다. 이론적 지침이 아니라 실용적이고 단계별인 가이드입니다.
ENISA의 사이버보안 훈련 방법론은 다음을 위해 설계되었습니다: "조직이 처음부터 끝까지 효과적인 사이버보안 훈련을 개발하도록 지원하고 안내한다." 바로 NIS2 제21조에 따라, 필수 및 중요 기관은 다음을 위한 조치를 시행해야 합니다: 사고 대응(incident handling), 정기적인 테스트와 훈련을 포함해서 말입니다.
이 방법론은 다음을 다룹니다:
NIS2 적용 대상 조직 다수가 여전히 실질적인 질문으로 어려움을 겪고 있습니다: "실제로 우리의 사고 대응 역량을 어떻게 테스트해야 하는가?" ENISA의 방법론은 구체적이고 EU가 승인한 답을 제공합니다. 각국의 관할 당국은 컴플라이언스를 평가할 때 이 프레임워크를 참조할 가능성이 높으며, 이는 이를 사실상 필독 자료로 만듭니다.
| 동향 | 규제 | 영향 | 조치 필요 |
|---|---|---|---|
| NCSC 바이브 코딩 안전장치 | EU AI Act | AI 코드 생성 도구에 새로운 보안 표준 적용 | AI 코딩 도구 감사, 컴플라이언스 준비 |
| FCA 사고 보고 체계 개편 | DORA | 영국이 EU 제3자 리스크 프레임워크와 정렬 | 2027년 3월까지 보고 워크플로 업데이트 |
| 안면인식 편향으로 인한 운영 중단 | EU AI Act | 편향 테스트의 필수성을 보여주는 실증 사례 | 모든 생체인식 AI에 대한 편향 감사 |
| 영국 디지털 ID 협의 | GDPR / eIDAS 2.0 | 국가 ID 제도의 개인정보 보호 공백 | 협의 피드백 제출, 데이터 흐름 평가 |
| ENISA 훈련 방법론 | NIS2 | 실용적인 컴플라이언스 프레임워크 발표 | 2026년 2분기 사이버보안 훈련 일정 수립 |
규제 컴플라이언스는 귀사의 공격 표면을 파악하는 데서 시작됩니다. KENSAI는 컴플라이언스 매핑이 내장된 자동화된 보안 스캐닝을 귀사의 웹 애플리케이션, API, 인프라 전반에 제공합니다.
무료 보안 스캔 시작하기 →KENSAI 규제 인텔리전스 팀 발행 · 2026년 3월 25일
계속 컴플라이언스를 준수하십시오. 계속 안전하게 지키십시오. 더 많은 브리핑 보기 →