IBM 연구: EMEA 기업 10곳 중 8곳, AI 사고를 이사회 또는 C-Suite에 보고… AI 에이전트가 거버넌스를 시험

런던발 — IBM(NYSE: IBM)이 유럽과 중동 기업들을 대상으로 실시한 신규 조사에서, 조사 대상 기업들의 경영진 사이에서 AI 관련 사고가 이사회와 최고경영진(C-suite)까지 보고되는 사례가 늘고 있는 것으로 나타났습니다. 그러나 AI 도입 속도에 비해 거버넌스 역량과 리스크 책임 체계는 아직 이를 따라가지 못하고 있는 것으로 분석됐습니다.

조사에 응한 경영진의 10명 중 8명은 지난 1년간 에이전트 오작동, 데이터 노출, AI 기반 의사결정 오류, AI 보안 침해 등 AI 관련 사고가 이사회나 C-suite까지 보고됐다고 답했습니다. 하지만 이러한 기업 가운데 AI 거버넌스 정책이나 프레임워크를 변경했다고 밝힌 곳은 40%에 그쳤습니다.

AI 도입 속도가 거버넌스 및 컴플라이언스 체계의 준비 수준을 앞지르는 상황에서도, 조사 대상 경영진의 다수(56%)는 합의된 리스크 한도 내에서 도입을 계속 추진하고 있다고 답했습니다. 거버넌스가 정비될 때까지 도입을 전면 보류하는 기업은 3분의 1에 불과했습니다.

이번 조사는 유럽과 중동 8개국 기업의 고위 경영진 3,221명을 대상으로 진행됐으며, 자율적으로 업무를 수행하는 AI 에이전트가 확산되면서 거버넌스 정책이 더욱 큰 시험대에 오를 것으로 전망했습니다. 응답자의 35%는 현재 운영 환경에서 에이전트형 AI(agentic AI)를 가동하고 있다고 답했으며, 4분의 3은 2027년까지 AI 에이전트가 의사결정에 어느 정도 자율성을 갖게 될 것으로 예상했습니다. 그러나 현재 거버넌스 체계가 에이전트형 AI 확산에 맞춰 확장되도록 설계되었다고 답한 비율은 37%에 불과했습니다.

IBM의 EMEA 및 APAC 지역 총괄 회장인 아나 파울라 아시스(Ana Paula Assis) 수석부사장은 "AI 논의는 이제 도입 단계에서 거버넌스와 책임성의 단계로 옮겨갔다"며 "기업이 AI 어시스턴트에서 자율형 에이전트로 나아가면서 거버넌스는 더 이상 단순한 컴플라이언스 업무로 취급될 수 없고, 비즈니스의 필수 요건이자 가치 창출의 동력이 되었다"고 말했습니다. 이어 "책임성과 신뢰를 갖추고 AI를 확장할 수 있는 기업이 비즈니스 가치를 실현할 수 있을 것"이라며 "에이전트가 무엇을 할 수 있는지에 대한 명확한 경계, 문제 발생 시의 명확한 책임 주체, 실시간으로 작동하는 통제 장치가 운영 방식에 내재되어야 한다"고 강조했습니다.

책임 및 법적 책임의 공백

조사 대상 경영진의 거의 전부(98%)가 이사회 차원에서 AI 리스크에 대한 책임자를 공식 지정했으며, 이 중 26%는 이사회 산하에 전담 AI 위원회를 두고 있었습니다. 그럼에도 AI 에이전트로 인한 부정적 결과에 대한 책임 소재에는 명확한 합의가 없는 것으로 나타났습니다. AI 에이전트의 부정적 결과에 대한 책임자로 가장 많이 지목된 직책은 CIO 또는 CTO였지만, 전체 응답자 중 17%만이 이를 선택했습니다.

AI 시스템이 심각한 피해를 유발했을 때의 법적 책임에 대해서도 의견이 갈렸습니다. 응답자의 20%는 도입 기업과 공급업체가 비율에 따라 나눠야 한다고 답했고, 19%는 아직 충분히 마련되지 않은 규제 체계가 필요하다고 답했으며, 14%는 AI 공급업체 또는 기술 제공자가 책임져야 한다고 답했습니다.

2027년까지 매 단계마다 인간의 승인 없이 의사결정을 내리는 자율형 AI 에이전트를 관리하기 위해, 경영진들은 다음과 같은 장치가 필요하다고 보고 있습니다. 에이전트 실패에 대한 AI 공급업체의 책임을 규정하는 공식 법적·계약적 틀(33%), 명확한 인간 개입(escalation) 기준(32%), 에이전트의 의사결정과 행동에 대한 실시간 모니터링 및 감사 추적(30%), 기업 전체에서 에이전트 활동을 즉시 중단할 수 있는 기능(29%) 등입니다.

그 밖의 주요 조사 결과는 다음과 같습니다.

재무 리스크 노출에 대한 측정은 이사회 책임 체계보다 덜 정립되어 있습니다. 조사 대상 경영진의 절반 이상(54%)은 생성형 AI 도구와 에이전트형 AI 시스템을 별도의 리스크 범주로 분류해 각각 다른 거버넌스 체계를 적용하고 있습니다. 나머지 38%는 동일한 핵심 프레임워크를 적용하되 에이전트형 AI에는 추가 통제를 더하고 있습니다. 반면 AI 거버넌스 공백으로 인한 재무적 노출을 측정하는 수준은 낮아서, 이사회 검토를 거친 공식적인 재무 리스크 정량화를 갖춘 기업은 37%에 그쳤습니다.

공급망 리스크도 주요 과제입니다. 전체 응답자의 54%는 주요 공급업체, 기술 파트너, 공급망 참여자가 사용하는 AI 시스템과 모델을 자사 거버넌스 체계가 얼마나 포괄하는지에 대해 공백이나 한계가 있음을 인정했습니다. 제3자 AI 리스크를 지속적으로 모니터링하는 기업은 21%, 독립적인 보증이나 인증 요건을 적용하는 기업은 13%에 불과했습니다.

지역별로는 규제가 거버넌스 도입 속도를 좌우하고 있습니다. EU에서는 응답자의 41%가 2027년 12월 시행되는 EU AI법의 고위험 AI 의무 규정에 앞서 거버넌스 투자를 가속하고 있으며, 35%는 구조화된 컴플라이언스 계획에 따라 순조롭게 준비하고 있다고 답했습니다. 영국에서는 업종별 규제 당국의 기대치가 AI 거버넌스 투자의 가장 큰 동인(27%)으로 꼽혔고, 사우디아라비아와 UAE에서는 국가 AI 전략 요건이 61%로 가장 큰 요인이었습니다.

조사 개요

이번 조사는 Censuswide가 IBM을 대신해 진행했으며, 영국, 프랑스, 독일, 이탈리아, 스페인, 네덜란드, 사우디아라비아, UAE의 직원 1,000명 이상 기업에서 C레벨을 포함한 경영진 3,221명을 대상으로 했습니다. 데이터는 2026년 9월 14일부터 24일까지 수집되었습니다.