핵심 요약
AI 요약
기사 목차 펼치기 / 접기
미국 은행 감독당국이 금융기관의 인공지능(AI) 활용을 검사하기 위한 첫 공식 지침을 내놨다. AI 모델이 얼마나 복잡한지보다 은행에서 어떤 업무를 수행하고, 잘못 작동했을 때 어떤 피해가 발생할 수 있는지를 중점적으로 평가하도록 했다. AI가 사람의 개입 없이 거래를 실행하는 경우에도 은행이 통제권을 유지할 수 있는지가 중요한 검사 대상이다.
미국 통화감독청(OCC·Office of the Comptroller of the Currency)은 11월 4일 은행 AI 감독 지침을 발표했다. OCC는 미국 연방 인가 은행과 연방 저축기관 등을 감독하는 기관이다. 이번 지침은 은행 검사관이 금융기관의 AI 활용에 따른 위험을 기존 감독체계 안에서 평가하도록 마련됐다.
로이터는 11월 4일 “OCC가 은행의 AI 활용을 평가하는 검사관들을 위한 첫 지침을 발표했으며, AI를 별도의 위험 범주로 취급하지 않도록 했다”고 보도했다. AI 기술 자체보다 사용 목적과 오류가 발생했을 때 은행과 고객에게 미칠 영향을 살펴야 한다는 것이다.
이 지침으로 은행에 새로운 AI 전용 규제가 생기는 것은 아니라고 매체는 전했다. 검사관들이 기존의 은행 안전성·건전성 감독 원칙을 AI에도 적용하도록 한 문서다. 은행이 AI만을 위한 별도의 위험 허용 수준을 정해야 하는 것도 아니다.
예를 들어 은행 내부 문서를 검색하는 AI와 고객의 자금을 직접 이체하는 AI는 같은 기술을 사용하더라도 위험이 다르다. 후자는 잘못된 판단이 실제 금전 피해로 이어질 수 있다. 거래 승인 절차와 실행 기록, 비상 중단 기능 등이 필요한 이유다.
AI가 직접 거래하면 누가 통제하나…국제 금융감독기구도 대응
미국에 앞서 국제 금융감독기구들도 AI가 금융업무를 자율적으로 수행할 때 발생할 수 있는 위험을 다뤘다.
금융안정위원회(FSB·Financial Stability Board)는 10월 15일 금융기관의 책임 있는 AI 도입을 위한 12개 모범관행을 확정했다. FSB는 주요국 금융당국과 국제기구가 참여해 금융시스템의 안정성을 위한 정책을 조율하는 기구다.
FSB는 금융기관의 이사회와 최고경영진이 AI 도입과 위험관리에 책임을 지고, AI 모델의 성능을 검증하며, 외부 AI 공급업체와 사이버보안 위험을 관리하도록 권고했다. AI가 자율적으로 업무를 수행하더라도 금융기관이 감독과 통제 권한을 유지해야 한다는 내용도 담겼다.
이에 대해 로이터는 “국제 금융감독기구가 자율적으로 행동하는 AI에 대한 인간의 감독을 강화하도록 권고했다”고 전했다.
미국 감독당국은 이미 은행의 AI 활용 실태를 살펴보고 있었다. 로이터는 이에 대해 “미국 연방준비제도(Fed), OCC, 연방예금보험공사(FDIC)가 은행의 AI 사용과 관련해 자율적 행동의 한계, 인간 승인, 감사 기록, 시스템 중단 가능성 등을 조사하고 있다”고 보도했다.
은행이 AI를 이용해 고객에게 금융상품을 추천하는 것과 AI에 거래 실행 권한을 주는 것은 다르다. 후자의 경우 AI가 잘못된 거래를 실행하기 전에 이를 막을 수 있는지, 실행 후에는 누가 책임지고 피해를 복구할 것인지가 문제가 된다.
EU는 신용평가 AI에 법적 의무…영국은 소비자 피해 방지에 집중
금융 AI를 규제하는 방식은 국가마다 다르다. 미국이 기존 은행 감독체계에 AI를 포함하는 방식을 택했다면, 유럽연합(EU)은 특정 AI를 고위험 시스템으로 지정해 별도의 법적 의무를 부과한다.
EU 인공지능법(AI Act)은 개인의 신용도를 평가하거나 신용점수를 산정하는 AI를 고위험 시스템으로 분류한다. 대출 심사에 AI를 활용하면 개인이 금융서비스를 이용할 수 있는지에 직접적인 영향을 미칠 수 있기 때문이다.
유럽은행감독청(EBA)은 은행 부문 AI법 적용 분석자료에서 신용평가 AI에 위험관리, 데이터 관리, 기록 유지, 인간 감독 등의 의무가 적용된다고 설명했다.
다만 이러한 고위험 AI 의무는 아직 전면 시행되지 않았다. 유럽연합 집행위원회의 AI법 시행 안내에 따르면 관련 의무는 2027년 12월 2일부터 적용될 예정이다.
EU는 이와 별도로 디지털운영복원력법(DORA)을 통해 금융기관의 정보통신기술 위험관리와 외부 기술 공급업체에 대한 통제를 규율하고 있다. AI 시스템을 외부 업체에 맡겼더라도 금융기관이 기술적 위험을 관리해야 한다는 점에서 관련성이 있다.
영국은 새로운 AI 전용 금융법을 만드는 대신 기존 금융소비자 보호 규정을 활용하는 데 무게를 두고 있다.
제시카 루수(Jessica Rusu) 영국 금융행위감독청(FCA) 최고데이터·정보·정보분석책임자는 10월 19일 금융 AI 관련 연설에서 ”금융회사의 AI 활용을 평가할 때 소비자 중심 설계, 책임 소재, 운영 복원력을 중시한다”고 밝혔다.
FCA는 AI 챗봇이 취약한 소비자를 사람인 상담원에게 연결하는 사례를 긍정적으로 평가했다. 반면 충분한 시험 없이 자동화된 고객 응대 서비스를 도입하거나 AI 성능을 과장하는 행위에는 우려를 나타냈다.
FCA는 AI 에이전트의 신원과 위임 권한, 거래 실행에 관한 감독체계도 업계와 함께 개발할 계획이다.
홍콩은 AI 금융거래 감독체계 개발…싱가포르·일본도 규제 정비
아시아에서는 AI를 금융업무에 활용할 수 있도록 하면서 위험관리 기준을 구체화하는 작업이 진행되고 있다. 홍콩은 AI가 금융거래를 직접 수행하는 상황에 대비한 감독체계 개발에 나섰다.
홍콩금융관리국(HKMA·Hong Kong Monetary Authority)은 11월 2일 프로젝트 세이지 출범을 발표했다.
프로젝트 세이지(Project SAGE)는 AI 에이전트가 금융업무를 수행하는 에이전트 금융(Agentic Finance)의 도입을 지원하면서 필요한 통제체계를 마련하는 사업이다.
HKMA는 금융회사와 기술기업, 전문서비스업체, 학계 관계자로 전문가 그룹을 구성했다. AI가 금융거래를 수행할 때 책임을 누구에게 물을 것인지, 소비자를 어떻게 보호할 것인지, 기존 금융규제를 어떻게 적용할 것인지 등을 검토한다.
에디 위(Eddie Yue) HKMA 총재는 11월 2일 “에이전트 금융은 금융서비스가 제공되고 이용되는 방식을 바꿀 잠재력이 있다”고 말했다.
싱가포르는 금융업 전반에 적용되는 AI 위험관리 지침을 마련했다.
싱가포르통화청(MAS·Monetary Authority of Singapore)은 10월 7일 금융기관 AI 위험관리 지침을 발표했다.
은행뿐 아니라 보험회사, 자산운용사, 지급서비스업체 등도 적용 대상이다. 금융기관은 AI를 어떤 업무에 얼마나 활용하는지, 그에 따른 위험이 어느 정도인지에 따라 관리체계를 갖춰야 한다. 지침은 2027년 10월 7일부터 시행된다.
일본 금융청(FSA)도 3월 3일 금융 AI 논의문서 개정판을 발표했다. 금융기관의 AI 활용 사례별 위험을 평가하고 고객 응대 서비스의 데이터 관리, 사전 시험, 운영 감시, 내부 통제 등을 다뤘다.
일본 금융청과 일본은행은 5월 22일에는 AI를 이용한 사이버 공격에 대비해 금융기관에 보안 대응을 강화하도록 요청했다. 일본 금융청과 일본은행의 공동 요청에는 AI로 소프트웨어 취약점이 빠르게 발견될 경우 보안 패치를 신속히 적용하는 체계를 마련하도록 하는 내용이 포함됐다.
한국은 AI 최종 결정 책임을 임직원에…도입 규제는 일부 완화
한국도 금융기관의 AI 도입을 확대하면서 최종 의사결정 책임은 사람에게 두는 원칙을 마련했다.
금융위원회는 6월 18일 금융분야 인공지능 가이드라인을 발표하고 6월 22일부터 시행했다.
가이드라인은 거버넌스, 합법성, 보조수단성, 신뢰성, 금융안정성, 신의성실, 보안성 등 7대 원칙을 제시했다.
이 가운데 보조수단성 원칙은 AI를 현 단계에서 금융업무의 보조수단으로 규정하고, 최종 의사결정과 그에 따른 책임을 금융회사 임직원이 맡도록 했다.
금융위원회는 금융감독원의 AI 위험관리 프레임워크와 금융보안원의 AI 보안 안내서도 함께 배포했다.
반면 금융회사가 AI를 도입하는 데 장애가 되는 일부 규제는 완화하고 있다.
금융위원회는 9월 3일 제2차 망분리 규제 긴급 완화 방안을 발표했다. 금융회사가 고성능 AI로 사이버보안 취약점을 탐색할 수 있도록 규제 완화 신청 대상을 기존 49개사에서 75개사로 확대했다.
이 가운데 최대 15개사를 대상으로 비조치의견서를 발급하는 방안도 추진했다. 비조치의견서는 일정한 조건에서 감독당국이 해당 행위에 대해 제재 등의 조치를 취하지 않겠다는 의견을 제시하는 제도다.
한국의 금융 AI 가이드라인은 자율규제 성격이다. 다만 금융기관의 AI 활용이 별도 법률의 적용 대상이면 해당 법률에 따른 의무도 준수해야 한다.
AI 위험, 개별 은행 넘어 금융시스템 전체의 감독 문제로
금융 AI 감독은 개별 은행의 내부 통제에 그치지 않고 금융시스템 전체의 안정성 문제로 확대되고 있다.
국제결제은행(BIS) 산하 바젤은행감독위원회(BCBS)는 10월 1일 국제 은행감독 현안 논의 결과를 발표했다.
위원회는 AI와 사이버보안 위험을 기존 은행 운영위험 규제체계에서 어떻게 다룰지 검토하기로 했다. AI 발전에 따라 기존 운영손실 분류체계가 충분한지도 살펴볼 계획이다. 다만 이는 새로운 AI 전용 자본규제를 확정한 것은 아니다.
미국과 EU, 아시아 국가들의 규제 방식에는 차이가 있지만 금융기관이 AI의 행동을 통제하고 그 결과에 책임을 져야 한다는 원칙은 공통적으로 나타난다. 특히 AI가 고객 응대나 자료 분석을 넘어 거래 실행에 관여하면서 감독당국은 인간의 승인 권한과 거래 기록, 시스템 중단 및 복구 절차를 살피고 있다.
국제결제은행의 바젤은행감독위원회는 9월 28~29일 회의 결과에서 AI가 핵심 금융기능에 편입되는 상황과 관련해 “신중한 지배구조, 견고한 위험관리, 지속적인 감독당국의 관심이 필요하다”고 밝혔다.
Q&A
Q1. 금융 AI 감독 지침과 법률은 무엇이 다른가?
법률은 적용 대상과 의무, 제재 등을 법적으로 규정한다. 감독 지침은 금융기관이나 검사관이 기존 법령을 준수하고 위험을 관리하도록 구체적인 기준을 제시한다. 미국 OCC의 이번 문서는 검사관용 지침이고, EU AI법은 법적 구속력이 있는 규정이다.
Q2. AI가 금융거래를 잘못 실행하면 누가 책임지나?
AI 자체가 법적 책임을 지는 것은 아니다. 금융회사와 AI 개발업체, 외부 서비스 제공업체의 책임은 적용 법률과 계약, 거래 승인 권한, 과실 여부 등에 따라 달라진다. AI에 어떤 권한을 위임했는지와 실행 과정을 어떻게 관리했는지가 중요하다.
Q3. 여러 나라에서 금융 AI를 사용하면 어느 국가의 규제를 따라야 하나?
금융회사의 인가 국가뿐 아니라 서비스 제공 지역, 이용자 소재지, 처리하는 개인정보, 수행하는 금융업무 등에 따라 적용 법률이 달라진다. 하나의 금융 AI 시스템이 EU AI법과 개인정보보호 규정, 개별 국가의 금융감독 규정을 동시에 적용받을 수도 있다.
