제18장: 에이전트를 둘러싼 모든 규제, 그러나 에이전트는 빠져 있다

이 책이 다루는 기간 동안 대한민국 국회와 규제 부처에서는 기묘한 풍경이 펼쳐졌다. 입법부는 매우 바쁘게 움직였고, 전자상거래의 질서를 흔드는 굵직한 법안들을 차례로 본회의에서 통과시켰다. 그러나 그 많은 법안 중 ‘에이전트’ 그 자체를 직접 다룬 법은 단 하나도 없었다. 한국 정부는 지난 2년 동안 이 책이 다루고 있는 핵심 주제인 에이전트의 바로 주변만을 강도 높게 규제해 왔다. 화면을 직접 클릭하는 ‘인간’ 소비자를 보호하는 규칙을 쓰고, 직전에 터졌던 과거의 사고를 봉합하는 데 에너지를 쏟은 반면, 곧 인간을 대신해 클릭을 실행할 ‘기계’는 규제의 사각지대에 놓아 둔 셈이다. 한국의 법률 제도가 에이전틱 커머스에 대해 취하고 있는 위치를 이해하려면 이 두 가지 단면을 동시에 봐야 한다. 최근 상당한 입법 성과가 있었다는 사실, 그리고 동시에 그 어떤 조항도 에이전트를 직접 규정하지 못하고 있다는 실상이다.

한국 온라인 쇼핑 규제의 중심에 있는 모법(母法)부터 보자. 이 법이 30년간 유지해 온 전제가 머지않아 기술에 의해 조용히 무너질 수 있기 때문이다.

한국은 온라인 유통을 주로 ‘전자상거래 등에서의 소비자보호에 관한 법률(전자상거래법)’을 통해 규율한다. 이 법은 카탈로그와 우편 주문이 지배하던 과거의 유산인 ‘통신판매’라는 법적 개념 위에 설계되었다. 따라서 세부 규범의 밑바닥에는 명문화된 적은 없지만 당연시되어 온 전제가 깔려 있다. 물건을 사는 주체가 화면을 바라보고 스스로 결정하는 ‘인간’이라는 전제다. 전자상거래법이 정하는 모든 소비자 보호 장치는 이 인간 소비자의 행동 방식에 최적화되어 있다. 대표적인 것이 ‘청약철회권’, 즉 7일간의 단순 변심 환불 보장이다. 소비자가 온라인에서 물건을 산 뒤 배송받은 날부터 7일 이내에는 별다른 손해배상 없이 계약을 철회할 수 있는 장치다. 충동적으로 잘못 클릭했거나 변심한 ‘사람’을 위해 만든 안전망이다. 판매자가 결제 전에 표기·고지해야 하는 ‘의무 정보 제공 고지 규칙’ 역시, 이를 읽을 인간의 눈을 전제로 한다.

이제 에이전트가 도래하는 현실 속에서 이 규정들에 근본적인 질문을 던져 보자. 사람이 잠든 사이 기계가 알아서 물건을 고르고 결제까지 끝낸 경우, ‘7일 이내에 마음을 바꿀 수 있는 권리’는 무엇을 의미하는가. 여기서 ‘변심하는 마음’의 주체는 누구인가. 법이 판매자에게 강제하는 정보 고지 의무는, 화면을 눈으로 보지 않고 정형 데이터만 기계적으로 파싱해 읽는 소프트웨어에 보여 줬다고 해서 법을 완전히 준수한 것으로 볼 수 있는가, 아니면 법률 자체가 더 이상 현실을 규정하지 못한 채 허공에 놓이게 되는가. 한국의 입법조사 기구들도 이러한 긴장을 인지하기 시작했다. 국회입법조사처는 현행 전자상거래법의 ‘통신판매’ 중심 프레임이 카탈로그 우편 판매를 모태로 하고 있어 온라인 플랫폼이 만들어 내는 복잡한 신종 계약 관계를 규율하는 데 한계가 있다고 지적했고, 플랫폼 중심의 전면 개정안들이 발의된 상태다. 이런 비판도 아직 에이전트가 아니라 플랫폼 중심에 머물러 있다. 그러나 균열의 지점은 같다. 에이전트는 단지 법률이 상상해 온 ‘인간 쇼핑객’이라는 전제를 가장 극단적으로 지워 버리는 사례일 뿐이다. 한국 소비자법의 토대는 화면 앞의 인간을 가정한다. 에이전트는 화면 앞에서 인간을 치워 버린다. 법률 제도는 기술이 흔든 전제를 아직 따라잡지 못하고 있다.

이 모법의 주변부에는 빽빽한 규제 덤불이 있는데, 흥미롭게도 최근 통과된 주요 규제 조항들을 보면 에이전트 외의 모든 영역에 엄청난 에너지를 쏟았음이 한눈에 보인다.

이 책이 다루는 기간 동안 대한민국 국회가 실제로 입법을 완료한 목록은 압도적이다. 중국계 플랫폼들의 유해 저가 상품 공세와 개인정보 유출 사고에 대응하기 위해, 국회는 2025년 12월 30일 국내 주소지가 없는 일정 규모 이상의 해외 사업자에 ‘국내대리인 지정’을 의무화하는 전자상거래법 개정안을 본회의에서 통과시켰고, 이 개정 법률은 2026년 1월 20일 공포되었다(법률 제21312호, 국내대리인 조항은 공포 후 1년인 2027년 1월 20일 시행). 적용 대상이 되는 매출액·이용자 수 기준은 시행령에 위임되어 있으며, 공정거래위원회는 2026년 3월 그 기준을 구체화하는 시행령 개정안을 입법예고했다. 국내대리인이 관련 의무를 위반하면 이를 지정한 해외 사업자가 그 행위를 한 것으로 보아 책임을 묻는 구조다. 또한 티몬·위메프(티메프) 정산금 미지급 사고로 판매자의 대금이 파산 직전의 중개 플랫폼 법인 안에서 사라진 사태에 대응해, 입법부는 정산 자금을 보호하는 개정을 단행했다. 핵심은 전자금융거래법 개정(법률 제21205호, 2025년 12월 16일 공포, 2026년 12월 17일 시행)으로, 전자지급결제대행업자(PG사)가 보유·관리하는 정산대상금액 전액을 신탁·예치·지급보증보험 등을 통해 외부의 금융기관에 별도 관리(외부관리)하도록 의무화한 것이다(제25조의4). 압류·상계·양도가 금지되어 중개업체가 파산해도 판매자가 다른 채권자보다 우선하여 변제받을 수 있도록 한 안전망이다. 다만 이 외부관리 의무는 단계적으로 적용된다. 시행 첫해에는 정산대상금액의 60퍼센트 이상, 다음 해에는 80퍼센트 이상을 외부관리하고, 전액 100퍼센트 외부관리는 시행 2년이 지난 2028년 12월부터 적용된다(부칙 제2조). 한편 같은 티메프 사고에 대응해 온라인 중개거래 플랫폼 자체를 대규모유통업자로 의제하고 판매대금 정산기한을 단계적으로 단축(40일→30일→20일)하며 판매대금의 일부를 별도 관리하도록 하는 대규모유통업법 개정은, 공정거래위원회가 2024년 10월 개정방안을 발표하고 의원 발의안들이 이어졌으나 이 책이 인쇄에 들어가는 시점까지 국회를 통과하지 못한 채 계류 중이다. 결국 정산 보호의 입법은 PG사를 규율하는 전자금융거래법 트랙만 완성되었고, 중개 플랫폼 자체를 규율하는 대규모유통업법 트랙은 멈춰 있는 비대칭 상태다. 통과된 조치들은 큰 상처를 봉합하는 실질적 조치다. 그러나 단 한 조항도 에이전트를 조준하지 않는다. 지나간 사고, 즉 중국산 저가 공세라는 상처와 티메프 정산금 사태라는 상처에 대응해 쓰였을 뿐이다. 법률이 늘 그러하듯, 지나간 참사를 수습하는 사후 대응이었다.

다른 규제 덤불들도 어제의 세계에만 머물러 있는 법률의 한계를 보여 준다. 2025년 2월 시행된 전자상거래법상 온라인 인터페이스 눈속임 설계(다크패턴) 금지 규정(제21조의2)은 다섯 가지 유형의 기만적 화면 설계를 금지하지만, 앞서 짚었듯 이는 정적이고 시각적인 화면과 인간의 눈을 속이는 행위만을 대상으로 할 뿐 기계 판독 데이터에는 적용되지 않는다. 공정거래위원회의 강력한 무기였던 플랫폼의 자사 우대 규제권도 2025년 10월 대법원이 네이버 쇼핑 자사 우대 사건에서 원심을 파기환송함에 따라 발톱이 깎였다. 대법원은 시장 지배적 사업자의 차별행위가 부당한 것으로 인정되려면, 공정위가 그 행위로 인해 가격 상승·산출량 감소·혁신 저해·경쟁사업자 수 감소·다양성 감소 등 경쟁제한 효과가 생길 우려가 있다는 점과 그에 대한 의도·목적을 구체적으로 증명해야 한다고 보았다(2023두32709). 온라인 플랫폼의 자사 상품 우대에도 같은 법리가 적용된다. 한국의 전통적인 카르텔(담합) 규제법은 여전히 경쟁사 간의 구체적인 ‘의사의 합치’를 입증할 것을 요구한다. 인간 임원이 비밀 회동으로 담합을 결의한 흔적을 찾는 구시대적 규범이라, AI 가격 알고리즘들이 인간의 개입 없이 상호 학습으로 자율적으로 가격을 올리는 신종 상황에서는 규제 공백이 생긴다. 2026년 초 시행된 한국의 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(인공지능기본법)도 고영향 인공지능 규율과 투명성 확보라는 기본 틀만 제시할 뿐, 실제로 물건을 대신 결제하는 쇼핑 에이전트의 구체적 의무는 규정하지 않는다. 다만 이 법은 국내에 주소나 영업소가 없는 일정 규모 이상의 인공지능사업자에게 국내대리인 지정을 의무화하고 있어(제36조), 한국 소비자를 대상으로 하는 외국계 에이전트 사업자에게 적용될 여지가 있다. 소비자의 과거 구매 이력을 타 플랫폼 에이전트가 가져갈 수 있도록 보장해 주는 핵심 데이터 전송요구권(마이데이터) 또한 유통·커머스 분야에는 아직 적용되지 않는다. 현행 개인정보 보호법 시행령상 제3자 전송 대상으로 지정된 분야는 보건의료·통신·에너지 세 분야뿐이며, 유통·상거래 분야는 전송 대상으로 지정조차 되어 있지 않다. 유통은 교통·교육·고용 등과 함께 향후 확장이 논의되는 후보 분야로 거론될 뿐, 시행령상 의무 지정도, 확정된 도입 시점도 아직 없다. 에이전트의 주변을 맴도는 법률은 수십 개에 이르지만, 정작 에이전트를 직접 다루는 법률은 비어 있다.

따라서 한국의 커머스 규제 현주소에 대한 정직한 진단은 “정부가 게을렀다”가 아니다. 정반대다. 한국은 지난 2년간 전 세계에서 가장 역동적으로 이커머스 규제 법안을 통과시킨 나라다. 문제는 그 입법 에너지가 모바일 화면을 클릭하는 ‘인간’ 소비자와 ‘지나간 금융 사고’에 집중되어 있었고, 그 빽빽한 그물망 사이의 빈틈을 타고 들어오는 ‘AI 에이전트’는 규제의 시야에서 완전히 벗어나 있었다는 점이다. 에이전트는 모든 법률에 둘러싸여 있으면서도 그 어느 법률의 제어도 받지 않는 채로 작동하고 있다.

이제야 비로소 에이전트 자체가 정부 부처의 시야에 조심스럽게 잡히기 시작했으나, 그 첫걸음들이 얼마나 미약한지 정확히 짚어 둘 필요가 있다. 이를 거창한 입법 보장으로 과장하는 태도는 사실에 부합하지 않는다.

독점 규제 당국인 공정거래위원회가 움직이기 시작했다. 공정위는 2026년 5월 21일 AI 서비스 산업 실태조사에 착수했다. 주요 AI 개발사와 AI 기능을 내재화한 임베디드 기업을 대상으로 시장 구조와 잠재적 소비자 피해 가능성을 들여다보겠다는 취지다. 그러나 실태조사는 공식 제재나 법적 구속력 있는 규범과는 거리가 멀다. 공정위가 명시한 소비자 피해의 범위도 AI를 악용한 ‘거짓·과장 광고’ 등 기존 표시광고법 위반 유형에 머물러 있을 뿐, 에이전트가 만들어 내는 정밀한 구매 유도 알고리즘이나 자율 결제 오작동 책임 같은 차세대 쟁점은 직접 다루지 않았다. 여기서 한 가지 오해를 정리해 둔다. 공정위가 해당 실태조사 개시를 발표하며 대화형 에이전트와 에이전틱 커머스를 언급한 것은, 영국 경쟁시장청(CMA)이나 프랑스 경쟁당국 같은 해외 규제 기관의 선제 조사 동향을 ‘국외 사례’로 인용한 것이며, 한국 공정위가 이를 구체적인 직접 조사·집행 타깃으로 삼았다는 의미는 아니다. 공정위는 해외에서 그런 흐름이 있다는 점을 적은 것이고, 실태조사 보고서 발간 시점도 2026년 말로 예정되어 있어 규제 실행과는 거리가 있다. 실태 분석이지 당장 작동하는 족쇄가 아니다.

개인정보 규제 당국인 개인정보보호위원회도 조심스러운 디딤돌을 놓았다. 개보위가 발간한 2025년 ‘생성형 AI 개인정보보호 가이드라인’은 법적 구속력이 없는 권고 수준의 지침이며, 향후 가이드라인의 적용 범위를 에이전트 영역으로 확장하겠다는 방향만 제시한다. 구속력도 시한도 없는 정책 신호이며, 이를 거창한 법적 구속력의 도래로 포장하는 것은 사실과 다르다. 다만 에이전트를 향한 새 규칙이 권고 수준에 머물러 있다는 것과, 이미 있는 규칙의 집행이 무르다는 것은 전혀 다른 이야기다. 개보위는 2026년 6월 쿠팡 유출 사고에 역대 최대인 6,246억 원대의 과징금 부과를 의결하며(제3장), 데이터를 맡아 두는 일의 위반에 어떤 값을 매길 수 있는지를 보여 주었다. 기존 법의 이빨은 실재한다. 빠져 있는 것은 이빨이 아니라, 에이전트라는 새 행위자를 조준하는 규칙이다. 결국 가장 핵심적인 질문, 즉 “기계 비서가 사용자의 예금을 잘못 결제하거나 결제 오류를 냈을 때 법적 책임은 누가 지는가”에 대해 현행 한국 법률 체계는 명쾌한 답을 내리지 못하고 있다. 법률도, 행정 규정도, 사법부 판례도 이 책임을 규정하지 못하고 있으며, 새로 발효된 인공지능 기본법도 이 공백을 메우지 못했다. 이 문제는 학계와 현직 변호사들이 “현행법상 해결이 분명치 않다”고 짚는 논문 안에서만 맴돌고 있다.

이를 종합해 보면 기묘한 그림이 완성된다. 에이전트는 자신을 둘러싼 주변 인프라는 매우 촘촘하게 규제되어 있지만, 정작 자신을 직접 통제할 규범은 하나도 없는 자리에 도착해 있다. 기계를 다루는 당국의 첫 시선은 학술적 조사와 권고 수준이며, 기술이 사고를 쳤을 때 책임을 규정할 초석조차 닦여 있지 않다. 균열은 분명히 존재한다. 그러나 현재로서는 균열로만 남아 있다.

그리고 대한민국 입법부의 거대한 규제 벽을 누르고 있는 또 하나의 외적 변수가 있다. 대부분의 커머스 분석서가 간과하는 ‘지정학적 외교 구도’다.

한국 규제 장벽의 가장 큰 공백은 거대 독점 플랫폼의 지배력 남용을 사전에 폭넓게 규제하는 통합 ‘플랫폼 규제법’의 부재다. 유럽연합(EU)의 디지털시장법(DMA)에 해당하는 한국판 모델로 수년째 한국 사회를 흔들었던 입법 시도다. 이 법안은 거대 지배 플랫폼을 사전 지정해 감독하는 고강도 독점 규제안과 플랫폼·입점 소상공인 간 불공정 거래 관행만을 다루는 완화된 공정화안으로 나뉘어 표류해 왔다. 그리고 2026년 중반 현재, 두 개정안 모두 국회의 문턱을 넘지 못한 채 멈춰 있다. 특히 플랫폼 기업들의 발목을 가장 강하게 잡을 수 있었던 사전 지정 방식의 독점 규제법은 사실상 수면 아래로 내려갔다. 그 배경은 국내의 정치적 저항보다, 뜻밖에도 미국 정부의 압박이었다.

이는 대중에게는 잘 알려져 있지 않은 사실이지만, 대한민국의 경쟁 당국 수장이 공식 석상에서 직접 인정한 사실이다. 2025년 9월 5일 국회 정무위원회 인사청문회에서 신임 공정거래위원장 후보자(주병기)는 의원들의 지적에 답하며, 현재 한미 양국 간 자유무역·통상 협상 국면이 매우 예민하기 때문에 플랫폼 규제법을 독자적으로 강하게 추진하기가 현실적으로 어려운 여건이라고 인정했다. 특히 미국 빅테크를 겨냥한 사전 규제 입법안에 대해 미국 무역대표부(USTR) 등 워싱턴 정가가 제기한 강한 통상 압박과 우려를 장애 요인으로 연결 지었다. 국내 언론도 공정위의 플랫폼법 입법 동력이 사실상 미국의 통상 압박에 막혀 무기한 동결되었다고 보도했고, 이는 정확한 분석이었다. 위원장 후보자가 공식적으로 한 말은 “통상 여건의 어려움” 정도였지만, 결과는 같았다. 이 책이 묘사해 온 통합 플랫폼의 독점을 정면으로 겨냥할 수 있었던 한국의 가장 강력한 초석 규범이, 서울과 워싱턴 사이의 통상 외교 게임의 인질이 되어 멈춰 선 것이다. 다만 한국의 디지털 통상 환경 전체가 닫혀 있는 것은 아니다. 플랫폼 규제 입법이 미국발 압박에 묶여 있던 같은 시기에, 한국은 EU와의 디지털통상협정(DTA)에 2026년 6월 정식 서명했다. 2011년 발효된 한-EU FTA의 전자상거래 부문 2개 조항을 온라인 소비자 보호 등을 포함한 40개 조항 체계로 대체하는 협정으로, 발효는 양측의 비준 절차를 거쳐야 한다. 플랫폼 독점 규제와는 결이 다른, 디지털 교역의 규범 기반을 넓히는 트랙이지만, 한국의 통상 좌표가 한 축에서는 묶이고 다른 축에서는 전진하는 비대칭 상태라는 사실 자체가 이 시기 규제 지형의 한 단면이다.

이 모순을 곱씹어 봐야 한다. 이것이 이 장이 말하고자 하는 결론이기 때문이다. 한국은 전 세계에서 에이전틱 커머스를 구조적으로 가장 잘 받아들일 수 있는 생태계 조건을 가졌으며, 주변부 입법도 어느 나라보다 적극적으로 집행해 왔다. 그러나 그 생태계의 한복판에 서서 규칙을 주도해야 할 핵심 독점 플랫폼들을 제어할 단 하나의 진짜 열쇠는, 그 플랫폼들이 사용자의 에이전트 지배권을 조용히 가져가고 있는 바로 그 순간에 미국과의 통상 외교 테이블에 묶여 작동하지 못하고 있다. 이 거대한 기술 전환을 가장 주체적으로 다스릴 수 있었던 핵심 레버를 쥔 국가가, 외부의 외교 압력으로 인해 손발이 묶인 채 절반의 상태로 이 시기를 맞고 있는 셈이다. 한국이 자신에게 허락된 짧은 시간 동안, 외부에서 강제하는 규격이 굳기 전에 완수해야 할 주체적 입법 결정은 무엇인가. 다음 장이 그 과제를 다룬다.