금융회사의 AI 거버넌스 구축을 위한 정책과제(26-8-7)/서정호.KIF

<요  약 >

 

▶ 금융분야 AI의 안전한 활용을 위해 각국 감독당국은 금융회사에 대해 AI 시스템의 기획 · 개발 · 운 영 · 통제와 관련된 조직 내 역할과 책임 체계로 정의되는 ‘AI 거버넌스(Governance) 확립’을 최우 선 과제로 요구하고 있음.

 

▶ 최근 우리나라도 「금융분야 인공지능 가이드라인」 등을 통해 AI 거버넌스 강화를 위한 요건들을 제시하였는데 이러한 요건들을 구현하는 과정에서 당국은 다음 사항들을 중점 추진할 필요가 있음.

 

▶ 빠르게 진화하는 AI 모델의 리스크를 효과적으로 통제하기 위해서는 당국이 AI 개발 · 활용과 관 련된 핵심 원칙(예: 공정성, 투명성, 소비자 보호, 데이터 보안 등)은 제시하되, 금융회사가 감독 목표에 부합하는 거버넌스를 자율적으로 구현하도록 유도해야 함.

 

▶ AI 거버넌스 강화를 위해 이미 시행 중인 책무구조도 제도를 충분히 활용하는 한편 AI의 안전한 활용을 위해 금융규제 샌드박스도 보다 적극적으로 활용할 필요가 있음.

 

▶ 최신 AI 모델은 블랙박스 성격을 가지고 있음을 감안하여 설명가능성, 투명성 등 AI 활용의 전제 조건이 되는 최소 요건을 구체적으로 제시할 필요가 있음.

 

<내  용>

 

인공지능(AI) 기술은 사실상 모든 부문에서 생산성 향상과 고객 경험의 확장을 견인하는 핵심 동력 으로 부상하고 있지만, 기술적 불안정성과 윤리적 리스크라는 이면의 과제도 동시에 던지고 있다.

특 히, 사소한 오류나 알고리즘의 왜곡이 금융시스템 전체의 신뢰 기반을 흔들 수 있다는 점에서 금융권 의 AI 리스크는 타 부문의 AI 리스크와는 궤를 달리하는 부정적 외부효과를 지니고 있다.

이에 각국 금 융당국은 금융회사에 대해 ‘AI 거버넌스(Governance) 확립’을 최우선 과제로 요구하고 있는데, 책임의 명확화가 리스크 통제의 출발점이기 때문일 것이다.

AI 거버넌스는 ‘AI 시스템의 기획 · 개발 · 운영 · 통 제와 관련된 조직 내 역할과 책임 체계(accountability framework)’로 정의할 수 있다.

본 고는 AI 거버 넌스와 관련된 국내외 규제 움직임을 살펴보고, 관련 규제의 운영 과정에서 당국이 중점적으로 고려해 야 할 사항들을 정리해 본다.

 

1. 규제 동향

 

2026년 1월 22일 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(이하 ‘인공지능기본 법’)에서 AI 거버넌스는 국민의 생명, 신체, 기본권에 중대한 영향을 미치는 ‘고영향(high impact) AI’를 중심으로 논의된다.

동법은 고영향 AI 사업자의 책무(제34조)와 투명성 확보 의무(제31조) 등을 명시 하여 AI 사용에 대한 사업자의 책임을 강화하는 한편, 국가인공지능전략위원회에 관한 규정(제7조 등) 을 두어 국가적 차원의 AI 거버넌스 체계를 구축하고자 하였다.

또한, 하위 법령에서는 이를 구체화하 여 고영향 AI 사업자에 대한 위험관리방안의 수립 · 운영, 책무 사항에 관한 문서 작성 및 정기 점검 의 무 등을 권고함으로써 기업 단위의 AI 거버넌스 확립도 유도하고 있다.1)

 

   1) 인공지능기본법 제34조 및 시행령 제26조에 관한 사업자책무 고시(안) 제4조 제2항·제3항 및 제8조 제1항·제2항

 

2026년 7월 21일 시행된 개 정 시행령에서는 AI 산업과 AI 취약계층에 대한 각종 지원책과 더불어 고영향 AI 관리 기준이 보다 구 체적으로 제시되었다.

그러나 이러한 범용 규제는 ‘금융산업의 특수성과 금융시장에 미치는 파급효과’를 온전히 반영하지 못한다는 한계를 지닌다.

금융업은 고도의 신뢰를 바탕으로 운영되며, 자산운용 및 신용평가 알고리즘 의 오류나 불투명성이 개인의 재산권을 넘어 금융시스템 전체의 안정을 해칠 수 있기 때문이다.

따라 서 일반적인 AI 윤리(ethics) 측면의 논의만으로는 금융 현장의 복잡한 리스크관리 요구사항과 통제 절 차를 실효성 있게 규율하기 어렵다.

즉, 금융시스템의 속성을 정밀하게 반영한 ‘금융 특화형 AI 거버넌 스 모델’의 정립이 필요해 보인다.

이에 우리나라 금융당국은 2026년 6월, 기존 AI 가이드라인들을 통합 · 정비하여 「금융분야 인공지 능 가이드라인」(이하 ‘가이드라인’)을 발표하였는데, 이 중 ‘거버넌스’와 관련된 핵심 권고사항들을 살 펴보면 다음과 같다.

   첫째, 경영진은 AI의 개발 · 이용과 관련된 역할과 책임을 분담하고, 이사회는 관련 내부통제 체계 및 운영 적정성을 점검 · 평가하도록 권고하고 있다.

특히, 거버넌스 설계 시에 AI의 생애 주기(life cycle) 전반에 걸쳐 역할과 책임을 명확히 할 것을 강조한다.

   둘째, AI 위험관리를 위한 최고 의사결정기구(예: 윤리위원회)를 설치하여 AI의 개발 · 이용을 적극적으로 관리하고, 독립된 위험관리 전담 조직을 구성하도록 권고한다.

이는 AI 위험을 효과적으로 통제하기 위한 실무적인 사령탑이 필요 하며, AI 시스템을 개발 · 기획하는 부서와 이를 독립적으로 모니터링하고 위험을 평가하는 위험관리 전담 부서 간에는 이해상충 없이 기능적으로 분리되어야 함을 뜻한다.

   셋째, AI의 개발 · 이용 등 전(全) 프로세스를 체계적으로 관리하기 위해 AI 관련 내부 규정의 마련을 권고하고 있다.

가이드라인에서는 AI 관련 세부 규정의 예시로 윤리기준, 위험관리, 시스템 개발 · 운영 · 보안, 소비자보호 관련 지침과 매 뉴얼을 제시한다.

    넷째, AI 서비스별 위험을 관리하기 위해 위험의 인식·측정, 위험의 경감, 잔여위험 평가, 위험등급 산정 등을 포함하는 종합 위험평가 체계를 구축하도록 하고 있다.

이는 기본적으로 위 험 기반 접근방식(risk-based approach)을 토대로 하는데, 구체적 평가 방식은 별도의 문건에서 밝힌 바 있다.2)

   다섯째, 위험 수준별로 차등화된 통제 · 관리를 수행하고, 모니터링 · 문서화 · 교육 등 위험 통 제를 위한 제반 절차를 마련 · 이행할 것을 권고한다.

이와 관련해서는 주로 고위험 AI 서비스에 대한 강 화된 조치를 요구하고 있는데, 위험 경감 조치의 검증, 모니터링 강화, 최고 의사결정기구를 통한 서비 스 출시 재검토 등을 필요한 조치의 예로 들고 있다.

한편, 영국의 경우에는 2026년 7월 발간된 Mills Review를 참고할 필요가 있다.3)

동 보고서는 FCA(금융감독청) 이사인 Sheldon Mills의 주도로 작성되었는데, 에이전트 AI의 부상으로 인공지능이 개인금융에 미치는 영향이 커지는 상황에서 규제기관의 대응방향을 제시하고 있다.

요컨대, 기본적으 로는 고위경영진책임제도(SM&CR: Senior Managers and Certification Regime)4)와 소비자의무(Con sumer Duty)5)를 근간으로 하는 현행 규제 프레임워크를 유지하되, AI로의 의사결정 위임이 빈번히 일 어나고 책임 추적이 어려워지는 상황에서는 ‘사전에 설정한 리스크 성향(risk appetite)이 잘 관리되고 있는지’가 핵심 감독 대상이 되어야 한다고 밝히고 있다.

 

     2) 금융감독원(2026.1.15.), 「금융분야 AI 위험관리 프레임워크(AI RMF)」 도입, 보도자료

     3) Mills, Sheldon, The Mills Review: AI and the Future of Retail Financial Services, July 2026

     4) 우리나라의 책무구조도 제도에 해당된다.

     5) 2023년 7월 영국 금융감독청(FCA)이 도입한 금융소비자 보호 제도로 금융회사가 상품·서비스, 가격·가치, 소비자 이해, 소비자 지원 등 영 업 전 과정에서 소매 고객에게 최선의 이익(good outcomes)을 제공하도록 하기 위한 원칙들을 제시한다. 

 

 감독의 초점이 AI 거버넌스에 맞추어져 있음 을 알 수 있다. 싱가포르 통화청(MAS)은 2018년 체계적인 금융 AI 거버넌스 프레임워크인 ‘FEAT(Fairness, Ethics, Accountability, Transparency) 원칙’을 제시하였다.

이후 민관 합동 ‘베리타스(Veritas) 프로젝트’6)를 통해 실효적인 후속조치를 이어나갔다.

 

    6) MAS 주도로 30여 개 금융기관·기술기업이 컨소시엄으로 참여하였으며, 2019년 착수 후 2023년 6월까지 3단계에 걸쳐 신용평가·보험언더 라이팅 등 분야를 대상으로 FEAT 원칙의 실무 적용 가능성을 검증하고, 오픈소스 형태의 Veritas Toolkit(v2.0)을 개발해 배포하였다.

 

즉, 동 프로젝트 수행의 결과물로 금융기관들이 AI 시스템의 리 스크를 평가할 수 있는 오픈소스 툴킷(toolkit)을 제공하였는데, AI 거버넌스를 실제 이행 가능한 통제 체계로 내재화하는데 기여하였다.

최근 에이전트 AI 도입 움직임에 따라, MAS는 기존 통제 체계의 한 계를 인식하고 「Guidelines on AI Risk Management」(2025년 11월)을 제시하였는데, 동 가이드라인은 에이전트 AI 관련 위험 요인들을 전사적 AI 리스크관리 체계에 통합하고자 한다.

호주 건전성감독청(APRA)과 증권투자위원회(ASIC)는 금융회사의 디지털 운영 복원력(Operational Resilience) 관점에서 강건한 AI 거버넌스를 요구하고 있는데, 특히 금융회사가 AI 인프라를 아웃소싱 하거나 외부 솔루션을 도입할 때 발생할 수 있는 제3자 리스크(Third-party Risk)의 통제를 강조하고 있다.

AI 알고리즘의 편향이나 오류가 대규모 자산 배분 오류나 뱅킹 시스템 마비로 이어지지 않도록 외부 클라우드 컴퓨팅 사업자와 LLM(Large Language Models) 서비스 제공자 등의 리스크 전이 경로 를 적절히 차단하고자 한다.

 

2.예상되는 부작용

 

이러한 각국 감독당국의 노력에도 불구하고 AI 규제의 효과성에 대한 우려는 분명 존재한다.

우선, 각종 규제나 가이드라인 등이 여전히 추상적이어서 당국이 기대한 수준으로 작동할지 또, 당국이 효과 적으로 규율할 수 있을지 확신하기 어렵다.

구체적으로 금융회사가 AI 통제체계를 지나치게 경직적으 로 운영하거나 감독당국이 지나치게 엄격한 잣대를 적용할 경우 다음과 같은 부작용이 예상된다. 

  첫째, 복잡한 사전 검증 및 승인 프로세스로 인해 AI 활용이 위축되고 혁신의 속도가 저하될 수 있다.

즉, AI 모델의 리스크를 평가하고 문서화 하는 절차가 복잡할수록 병목 현상이 심화되고 AI 기반 서비 스의 출시는 늦어질 것이다.

AI 통제부서와 기획 · 개발 부서 간 기술적 격차(Tech Gap)가 크거나 조직 원들의 AI 문해력(literacy)이 낮다면 병목 현상은 더욱 심화될 것이다.

또한, 지배구조의 정점에 있는 이사회가 AI 리스크를 효과적으로 인식하고 감독할 역량이 부족하다면 거버넌스에도 누수(漏水)가 생 길 수밖에 없다.

   둘째, AI 모델이나 AI 기반 서비스와 관련된 리스크의 실질적 점검보다는 감독당국이 요구하는 방식 대로 작성된 체크리스트(checklist)만 점검하는 수동적 · 형식적 내부통제 문화가 형성될 수 있다.

당 국이 제시한 ‘가이드라인’에 과도하게 매몰될 경우 오히려 예상치 못한 리스크에 노출될 수도 있을 것이다.

   셋째, 통제권 밖에 있는 AI(‘Shadow AI’)의 사용을 촉발함으로써 오히려 데이터 유출 등의 리스크가 심화될 수 있다.

즉, 내부의 통제 프로세스가 까다로울수록 직원들은 이를 우회하여 외부의 승인받지 않은 AI 도구에 접근할 유인이 강해질 것이다.

이로 인해 회사 고유의 정보가 외부 AI의 학습용 데이터 로 사용되거나 유출될 가능성이 높아지게 된다.

 

3.정책과제

 

이러한 부작용을 최소화하고 금융회사가 효과적인 AI 거버넌스를 구축하도록 돕기 위해 감독당국은 다음과 같은 정책적 노력을 해야 한다.

   첫째, AI와 관련된 규제 집행에 있어 원칙 중심의 감독(Principle-based Supervision) 혹은 성과 중심 감독(Outcome-focused Oversight)7)을 지향해야 한다.

 

    7) 당국이 감독 목표(‘결과’ 또는 ‘성과’)는 제시하되, 목표 달성의 과정은 금융회사의 판단에 맡기는 감독방식을 의미한다. 급변하는 금융 환경 속에서 금융회사가 유연하게 대응할 수 있다는 장점을 지닌다.

 

정책당국은 과도한 AI 규제가 금융 부문의 생 산성 향상과 금융 혁신을 위축시키는 부작용을 낳지 않도록 유념할 필요가 있다.

특히, AI로 인한 모든 금융사고에 대해 사후적으로 책임자를 찾아 제재하는 ‘결과 편향(hindsight bias)’은 반드시 경계해야 한다.

과도한 책임 귀속은 금융회사의 능동적 기술 도입을 제약하여 혁신의 동력을 마비시킬 수 있기 때문이다.

감독당국은 AI 개발 및 활용과 관련된 핵심원칙(예: 공정성, 투명성, 소비자 보호, 데이터 보 안 등)은 제시하되, 금융회사가 각 AI 모델의 성격과 활용도를 감안하여 스스로 적합한 거버넌스를 구 현하도록 하는 것이 바람직해 보인다.

가이드라인은 어디까지나 자율성을 전제로 한 연성규율(soft regulation)이므로 채택 방식도 각 금융회사에 맡겨야 하고, 단순히 이를 지키지 않았다는 이유만으로 제재한다거나 하는 일은 없어야 할 것이다.

   둘째, AI 시스템의 기획, 도입, 운영, 리스크 모니터링 등 AI 생애주기의 각 단계별 최종 책임자를 책 무구조도에 지정하도록 요구함으로써 책임 소재의 모호성을 최소화할 필요가 있다.

이는 최고경영진 이 AI 리스크를 돌발 변수가 아닌 본질적인 통제 대상으로 인식하게 만드는 제도적 기반이 될 것이다.

특히, 생성형 AI의 대중화로 비전문가(일반 임직원)의 AI 도구 활용이 급격히 증가함에 따라, 중요 내부 정보나 고객 데이터가 외부로 유출될 가능성이 그 어느 때보다 높아졌다.

이에 따라 데이터 및 사이버 보안은 전사적 거버넌스 구축 시 최우선 과제로 다루어져야 할 것이다. 셋째, 감독당국은 AI의 오작동을 방지할 최소한의 기술적 안전장치(Safety Rail)를 마련하기 위해 금 융규제 샌드박스를 적극적으로 활용해야 한다.

새로운 AI 기반 서비스가 개발될 경우, 종전의 관리체 계로는 신규 서비스의 신뢰성과 그로 인한 금융안정성을 담보하지 못할 수 있다.

이에 금융회사는 금 융규제 샌드박스를 진행하는 과정에서 AI 거버넌스의 취약점을 발견하고 보강할 수 있을 것이다.

한편, 금융위원회가 추진 의사를 밝힌 ‘AI 기획형 샌드박스’를 금융권 공동 데이터 활용 인프라인 ‘D-테스트 베드(D-Testbed)’와 유기적으로 연계하여, 실제와 비슷한 가상의 금융 환경에서 합성 데이터를 이용해 시뮬레이션하는 등 보다 과감한 혁신 금융 테스트가 이루어지도록 지원할 필요가 있다.

특히 스스로 판단하고 금융 거래를 집행하는 에이전트 AI의 등장은 새로운 차원의 예측 불가능한 리스크를 내포하 고 있으므로, 혁신적인 실험 공간을 통한 규율체계 정립이 시급해 보인다.

아울러, 해외 주요국 감독당 국과의 긴밀한 공조를 통해 규제 샌드박스 경험과 리스크 감독 가이드라인을 공유하고, 규제의 글로벌 정합성을 확보할 필요도 있다.

   넷째, 감독당국은 설명가능성(Explainability), 투명성(Transparency) 등 AI 활용에 필요한 최소 요건 을 구체적으로 제시해야 할 것이다.

효과적인 통제와 금융 혁신을 가로막는 큰 걸림돌 중 하나가 규제 모호성이므로 당국은 반드시 강제해야 할 최소 요건에 대해서는 감독규정 등에 반영할 필요가 있다.

예 컨대, 어떤 AI 서비스가 국민의 신용이나 자산에 치명적인 영향을 미치는지 고위험 · 고영향 AI 기준을 구체화한다거나, 대출 심사 등 설명가능성 요건이 필수적으로 요구되는 분야를 선별해 실제 금융회사 8 가 충족해야 하는 설명가능성의 수준과 기술적 이행 기준을 체계화한다거나 하는 노력이 필요하다.

특 히, 최신 AI 모델은 블랙박스(black box) 성격을 가지므로 설명가능성 등을 과도하게 요구하면, 오히려 성능이 낮은 모델을 채택하는 역선택에 빠지거나 승인 프로세스가 불필요하게 지연될 것이므로 신중 한 접근이 필요하다.

또한 가이드라인에 제시된 ‘금융안정성 원칙’에 대해서도 보다 명확한 지침이 필 요해 보인다.

개별 금융회사나 핀테크 업체가 AI 활용 전에 금융안정성에 미치는 영향을 점검해야 한 다면 상당히 혼란스러울 것이다.

 

4. 맺음말

 

AI 기술은 한국 금융산업의 해묵은 숙제들을 해결하는데 도움을 주고 있다.

고액자산가들에만 제공 하던 맞춤형 자산관리서비스를 대중고객들에게도 폭넓게 제공한다거나 대안신용평가를 통해 중저신 용자들에게 신용 공급을 확대하는 등 포용적 금융에도 기여하고 있다.

금융산업의 진입장벽을 낮추어 경쟁질서를 재편할 수도 있을 것이다.

반면 AI 활용이 급격히 늘어나면서 어떤 새로운 리스크가 생겨 날지, 또 기존의 리스크와 어떻게 결합할지 알 수 없다.

더욱이 AI 기술의 진화 속도가 법제화 속도를 압도하는 상황에서 당국은 선제적인 위험 통제와 금융 혁신 촉진이라는 양대 가치를 동시에 달성해야 하는 기로에 서 있다.

정책당국이 설계하는 규제의 패러다임과 금융회사가 구축하는 거버넌스의 질적 수준이 향후 우리 금융산업의 경쟁력과 지속가능성을 결정짓는 분수령이 될 것이다.

민관이 함께 내딛 는 이 혁신적 선택으로 인해 K-금융의 미래 지형이 한 단계 높은 차원으로 도약하기를 기대한다.

 

 

 

금융브리프35권16호

00-35-16-all (1).pdf

0.49MB