세계 금융 규제기구가 은행 AI에 12가지 원칙을 제시했다…대출·상담에서 달라질 점
주요 20개국(G20)의 금융 규제 협력을 지원하는 금융안정위원회(FSB)가 10월 15일 금융회사의 인공지능 사용을 위한 최종 보고서를 발표했다. 보고서는 이사회 책임, AI 사용 기록, 데이터 품질, 설명 가능성, 사람의 감독, 사이버 보안, 외부 AI 업체 의존 등 12가지 ‘건전한 관행’을 제시한다. 은행이 AI를 쓰지 말라는 규제가 아니라, 대출 심사나 이상 거래 탐지처럼 영향이 큰 업무일수록 누가 책임지고 어떻게 점검할지를 회사 전체 차원에서 정하라는 기준이다.
이 뉴스는 금융회사 내부의 기술 지침처럼 보이지만 일반 이용자와 직접 연결된다. 은행은 이미 고객 문의 분류, 사기 탐지, 자금세탁 감시, 신용 위험 평가, 문서 작성 등에 AI를 활용한다. AI가 더 많은 결정을 돕게 되면 처리 속도는 빨라질 수 있지만, 잘못된 데이터가 사용되거나 이유를 설명할 수 없는 판단이 내려지면 고객이 피해를 바로잡기 어렵다. FSB의 12가지 원칙은 이런 위험을 새 기술 부서의 문제가 아니라 경영진과 이사회가 책임질 문제로 끌어올렸다는 데 의미가 있다.
다만 이번 보고서는 세계 모든 은행에 즉시 같은 의무를 부과하는 법이 아니다. FSB는 각국 금융당국과 국제기구가 참여하는 협의체이며, 보고서는 금융회사가 기존 위험관리 체계에 맞춰 적용할 수 있는 실무 도구로 제시됐다. 한국 소비자의 대출 심사 화면이나 은행 앱이 당장 바뀐다고 단정할 수 없다. 실제 변화는 각국 감독기관의 지침과 검사, 금융회사 내부 정책에 반영되는 과정을 거쳐 나타난다.
12가지 원칙은 무엇을 요구하나
FSB는 원칙을 두 묶음으로 나눴다. 첫 번째는 회사 전체의 방향과 책임이다. 이사회와 최고경영진이 AI 도입을 회사의 사업 모델과 위험 감수 수준에 맞춰 감독하고, 담당자의 역할과 책임을 명확히 하며, AI 위험을 기존 위험관리 체계에 포함하고, 기술 변화에 맞춰 계속 학습하고 고치라는 내용이다.
두 번째는 AI를 고르고 개발하고 운영하는 전 과정의 관리다. 구체적으로는 다음과 같다.
- 전략과 감독: 이사회와 경영진이 AI 도입 방향을 정하고 감독한다.
- 책임 구조: 누가 승인하고 운영하며 문제가 생기면 누가 대응할지 분명히 한다.
- 위험관리와 사용 기록: AI의 위험을 회사 위험관리 체계에 넣고 어디에 AI를 쓰는지 문서화한다.
- 지속적인 적응: 기술과 위험이 바뀌면 감독 방식과 인력을 계속 조정한다.
- 중요도와 위험 평가: 사용 전과 사용 후 모두 고객과 금융 안정에 미칠 영향을 평가한다.
- 적절한 기술 선택: 유행보다 업무 목적과 위험 수준에 맞는 AI를 고른다.
- 데이터 관리: 학습·시험·운영 데이터가 정확하고 완전하며 일관되고 안전한지 관리한다.
- 설명과 투명성: 설명하기 어려운 모델의 한계를 이해하고 필요하면 다른 통제 장치를 둔다.
- 성능 관리: 중요한 AI일수록 더 엄격하게 시험하고 운영 중에도 성능을 감시한다.
- 사람의 감독: 자율성, 복잡성, 위험에 맞는 실질적인 인간 감독을 둔다.
- 사이버·정보기술 위험: AI 관련 공격과 시스템 장애를 시험하고 대응한다.
- 외부 업체 위험: 특정 AI 공급자에 대한 의존, 데이터 품질, 공급망, 서비스 중단 위험을 관리한다.
이 목록이 중요한 이유는 ‘정확한 AI를 쓰라’는 한 문장으로 끝나지 않기 때문이다. 누가 책임지는지, 어떤 데이터로 판단하는지, 출시 후에도 성능을 확인하는지, 외부 회사가 멈췄을 때 대안이 있는지까지 묻는다. 금융 서비스는 한 번의 오류가 대출 거절, 카드 정지, 송금 지연처럼 바로 생활에 영향을 주기 때문에 이런 전 과정 관리가 필요하다.
대출 심사에서는 무엇이 달라질 수 있나
AI 대출 심사를 예로 들면 원칙의 의미가 선명해진다. 은행이 과거 고객 데이터를 바탕으로 연체 가능성을 예측하면 심사 시간을 줄일 수 있다. 그러나 과거 데이터에 특정 지역이나 직업, 연령대가 불리하게 반영돼 있었다면 AI가 그 차이를 반복할 수 있다. 데이터가 부정확하거나 경제 상황이 바뀌었는데도 오래된 모델을 쓰면 정상 고객이 고위험으로 분류될 수 있다.
FSB 원칙에 따르면 은행은 단순히 모델의 평균 정확도만 볼 것이 아니라, 대출 심사가 고객과 회사에 얼마나 중요한지 평가하고 그에 맞춰 문서화·시험·사람의 감독을 강화해야 한다. 어떤 데이터가 쓰였는지 관리하고, 운영 중 성능이 나빠지는지 살피며, 설명이 부족한 모델이라면 추가 검토 절차 같은 보완 장치를 둬야 한다.
소비자 관점에서 기대할 수 있는 방향은 이의 제기 절차가 더 중요해지는 것이다. AI가 결정을 추천했더라도 직원이 이유를 확인하고 잘못된 정보를 고칠 수 있어야 한다. 그러나 FSB 보고서 자체가 소비자에게 새로운 항소권을 즉시 부여하는 것은 아니다. 실제로 어떤 설명을 받을 수 있는지는 각국의 신용정보·소비자보호 규정과 금융회사 정책에 달려 있다.
또 ‘사람이 최종 승인했다’는 문구만으로 충분하지 않다. 직원이 AI 점수를 거의 자동으로 따르고, 뒤집을 권한이나 시간이 없다면 사람의 감독은 형식적이다. FSB가 말하는 효과적인 감독은 업무의 중요도와 AI의 자율성에 맞아야 한다. 감독자가 판단 근거를 이해하고 필요할 때 중단하거나 수정할 수 있어야 의미가 있다.
사기 탐지와 계좌 정지에는 양면이 있다
은행 AI가 가장 유용하게 쓰이는 분야 중 하나는 이상 거래 탐지다. 평소와 다른 송금이나 카드 결제를 빠르게 찾아내면 피해를 줄일 수 있다. 생성형 AI는 직원이 여러 경보와 문서를 요약하는 데도 도움을 줄 수 있다. 하지만 오탐이 많으면 정상 결제가 막히고 계좌가 정지돼 고객이 큰 불편을 겪는다.
FSB의 성능 관리와 데이터 관리 원칙은 이런 문제를 겨냥한다. 은행은 AI를 도입할 때만 시험하고 끝내지 말고, 사기 수법과 고객 행동이 변한 뒤에도 성능을 확인해야 한다. 전체 탐지율뿐 아니라 정상 거래를 잘못 막는 비율, 특정 고객군에 불이익이 집중되는지, 직원이 경보를 처리하는 시간까지 함께 볼 필요가 있다.
고객센터 AI도 마찬가지다. 챗봇이 수수료나 상품 조건을 잘못 설명하면 단순한 대화 오류가 금전 피해로 이어질 수 있다. 상담 기록이 다른 고객 정보와 섞이면 개인정보 사고가 된다. 중요한 금융 안내에서는 AI 답변이라는 사실과 공식 약관의 우선순위, 직원 연결 방법을 명확히 보여 주는 것이 필요하다. FSB 원칙의 투명성과 사람의 감독은 이런 운영 방식으로 구체화돼야 한다.
외부 AI 회사 의존을 별도 원칙으로 둔 이유
많은 금융회사가 모든 AI를 직접 만들지 않는다. 클라우드 회사, 모델 개발사, 데이터 제공업체의 서비스를 조합한다. 이 방식은 도입을 빠르게 하지만 여러 은행이 같은 소수 업체에 의존하면 새로운 집중 위험이 생긴다. 한 서비스가 장시간 멈추거나 보안 문제가 생기면 여러 금융회사의 업무가 동시에 영향을 받을 수 있다.
FSB는 12번째 원칙에서 외부 AI 의존을 명시했다. 성능과 투명성뿐 아니라 데이터 품질, 공급망, 특정 업체 집중, 업무 연속성을 관리하라고 요구한다. 금융회사는 계약서에 책임을 적는 것만으로 끝낼 수 없다. 공급자가 장애를 일으켰을 때 대체 절차가 있는지, 은행이 모델의 중요한 변화를 알 수 있는지, 고객 데이터가 어디서 처리되는지, 계약이 끝날 때 자료를 안전하게 돌려받거나 삭제할 수 있는지를 확인해야 한다.
소비자에게는 보이지 않는 부분이지만 매우 중요하다. 은행 앱에는 은행 이름만 표시돼도 실제 AI 답변은 외부 서비스가 만들 수 있다. 문제가 생겼을 때 “외부 업체 오류”라는 이유로 책임이 사라져서는 안 된다. 고객과 계약한 금융회사가 서비스 결과를 관리하고 설명해야 한다는 원칙이 필요하다.
설명 가능한 AI가 항상 단순한 AI라는 뜻은 아니다
FSB는 금융회사가 AI 유형마다 설명 가능성이 다르다는 점을 이해하고, 필요하고 가능하면 더 설명하기 쉬운 AI를 택하거나 보완 통제를 두라고 했다. 이는 복잡한 모델을 모두 금지하라는 뜻이 아니다. 사기 탐지처럼 복잡한 패턴을 찾는 데 고성능 모델이 유리할 수 있다. 중요한 것은 정확도가 조금 높다는 이유만으로 고객에게 영향을 주는 결정을 전혀 설명할 수 없는 상태를 받아들이지 않는 것이다.
설명은 대상에 따라 달라야 한다. 모델을 점검하는 감사인에게는 데이터와 시험 결과가 필요하고, 고객에게는 자신의 신청에서 어떤 정보가 결정에 영향을 줬는지 이해할 수 있는 문장이 필요하다. 경영진에게는 어떤 조건에서 성능이 떨어지고 손실이 커질 수 있는지가 중요하다. 같은 기술 보고서를 모두에게 보여 주는 것은 투명성이 아니다.
또 설명이 그럴듯하다고 실제 판단 과정과 일치하는지도 확인해야 한다. 생성형 AI는 자연스러운 이유를 만들 수 있지만, 그 문장이 모델이 실제로 사용한 근거를 정확히 반영하지 않을 수 있다. 금융회사는 고객용 설명 문구만 매끄럽게 만드는 데 그치지 말고, 결정 기록과 데이터 흐름을 추적할 수 있어야 한다.
이번 원칙의 한계
첫째, 법적 강제력이 국가마다 다르다. FSB는 국제 조정 기구이므로 각국 감독당국이 원칙을 구체적인 규정과 검사 기준으로 옮겨야 한다. 원칙이 폭넓고 유연한 만큼 회사가 최소한으로 해석할 가능성도 있다.
둘째, 보고서는 특정 모델이나 업무를 일괄 금지하지 않는다. ‘위험에 비례한 관리’를 강조하기 때문에 무엇이 고위험인지 판단하는 기준이 중요하다. 금융회사가 고객 영향을 낮게 평가하면 통제가 약해질 수 있다. 감독기관은 대출, 보험, 자산관리, 사기 탐지 등 분야별 사례를 통해 기준을 구체화해야 한다.
셋째, 투명성과 영업비밀 사이의 긴장이 남는다. 금융회사와 AI 공급자는 보안이나 지식재산을 이유로 세부 정보를 공개하기 어렵다고 말할 수 있다. 그러나 고객이 불리한 결정을 받았을 때는 최소한 잘못된 데이터를 고치고 판단에 이의를 제기할 수 있어야 한다. 기업 간 비밀이 소비자 구제까지 막는 방패가 돼서는 안 된다.
넷째, AI가 빠르게 바뀐다는 이유로 계속 새 지침만 만들고 실제 검사를 미룰 위험이 있다. FSB는 기술 변화에 따라 원칙을 갱신하겠다고 밝혔다. 업데이트는 필요하지만 현재 운영 중인 AI의 목록, 사고, 오탐, 외부 의존을 감독하는 일도 동시에 진행돼야 한다.
한국 이용자가 지금 확인할 것은 무엇인가
이번 보고서로 한국 은행 앱이나 대출 규칙이 즉시 바뀌지는 않는다. 다만 금융회사와 감독기관이 국제 기준을 내부 지침에 반영할 가능성이 있으므로 앞으로 공개되는 AI 거버넌스 보고서, 소비자보호 안내, 자동화된 결정의 이의 제기 절차를 볼 필요가 있다. 금융상품을 이용할 때 AI가 관여했는지보다 잘못된 결과를 어떻게 고칠 수 있는지가 더 실용적인 질문이다.
대출 거절이나 계좌 정지처럼 중요한 결과를 받았다면 사용된 정보가 정확한지 확인하고, 금융회사에 이유와 재검토 절차를 문의하는 것이 기본이다. 다만 모든 회사가 모델 세부정보를 공개할 의무가 있다고 단정해서는 안 된다. 현재 적용되는 국내 법과 약관, 감독기관 절차에 따라 권리가 달라질 수 있다.
금융회사에는 이번 원칙이 ‘AI 윤리 선언’보다 구체적인 숙제를 준다. 이사회가 실제 사용 현황을 아는지, 중요 AI 목록이 있는지, 외부 공급자 장애에 대비했는지, 고객 불만이 성능 점검으로 연결되는지 증명해야 한다. 좋은 원칙의 가치는 문서 수가 아니라 오탐과 피해가 발견됐을 때 얼마나 빨리 멈추고 바로잡을 수 있는지에서 드러난다.
실제로 달라지는 점
FSB의 12가지 원칙은 금융권 AI 경쟁의 질문을 “누가 더 많이 도입했나”에서 “누가 책임 있게 운영하고 실패를 고칠 수 있나”로 바꾼다. 소비자는 더 빠른 심사와 정교한 사기 탐지의 이익을 얻을 수 있지만, 설명과 이의 제기 통로가 없다면 자동화의 부담만 떠안을 수 있다.
다음 확인 시점은 각국 금융감독기관이 이 최종 보고서를 검사 지침이나 업권별 규칙에 어떻게 반영하는지 공개할 때다. 특히 대출·보험처럼 개인의 기회에 영향을 주는 결정, 여러 은행이 같은 외부 AI에 의존하는 문제, 고객센터 AI의 잘못된 안내에 대한 책임이 구체화되는지를 봐야 한다. 이번 발표는 완성된 세계 공통법이 아니라, 금융회사가 AI를 쓸 때 최소한 어떤 질문에 답해야 하는지 정리한 국제 기준표다.