금융권 AI 도입 현실: 망분리·AI기본법 3대 규제와 RAG·에이전트 대응 전략

핵심 메시지

• 금융사가 AI를 쓸 때 부딪히는 규제는 크게 셋이다. 전자금융감독규정의 망분리, 개인정보·신용정보 관련 법, 그리고 올해 1월 22일 시행된 AI 기본법이다.
• AI 기본법은 산업별로 고영향 AI를 규정했는데, 금융에서는 개인 대출 심사가 여기에 해당하며 투명성과 안전성 의무가 함께 부과된다.
• 망분리 때문에 외부 생성형 AI를 그대로 쓸 수 없어, 금융사들은 혁신금융서비스(샌드박스) 승인을 거치거나 모델을 내부에 직접 서빙하는 방식을 택하고 있다.
• 감독 방식이 '이것만 지키면 된다'는 규칙주의에서 '원칙을 지키되 방법과 입증은 각사가 알아서'라는 원칙주의로 옮겨가면서, 금융사의 실무 부담은 오히려 커졌다는 진단이 나왔다.
• 현장에서 쓰이는 기술은 사내 문서를 참조하게 하는 RAG, 답변에 근거 문서를 붙이는 출처 표시, 도표까지 해석하는 멀티모달 RAG, 그리고 시스템을 도구로 연결하는 MCP와 에이전트 협업(A2A)이다.

쉽게 이해하기

삼성SDS의 토크 프로그램 'IT슈다' 금융 편에는 네 명이 모였다. 서울대 산업공학과에서 퇴임하고 AI 적용 컨설팅과 교육을 하는 조성준 교수, NH농협은행 AI데이터부문에서 AX솔루션팀을 맡은 이종아 팀장, 삼성SDS에서 금융 컨설팅을 담당하는 강성주 프로, 그리고 같은 회사에서 AI 개발을 맡은 박민성 프로다. 이들은 'AI가 알아서 투자하고 알아서 대출을 거절하는 세상'이라는 질문에서 이야기를 시작했다.

첫 사연은 보수적인 금융사에 다니는 직장인의 하소연이었다. 일상에서는 유료 구독까지 하며 AI를 쓰는데 정작 회사에서는 보안 때문에 넣을 수 있는 데이터도, 불러올 수 있는 기능도 제한적이라는 내용이다. 이종아 팀장은 은행 내부에서는 인터넷을 자유롭게 쓸 수 없고 사무용·운영용·인터넷용으로 PC가 세 대로 나뉘어 있다고 설명했다. 삼성SDS 역시 공개 모델을 그대로 쓰지 못해 모델을 자체적으로 서빙하는 제품을 만들어 쓰고 있다고 했다.

강성주 프로는 금융권이 고려해야 할 규제를 세 가지로 정리했다. 업무망과 인터넷망을 분리하도록 한 전자금융감독규정의 망분리, 올해 1월 22일 시행된 AI 기본법, 그리고 개인정보보호법과 신용정보법이다. AI 기본법은 산업별로 고영향 AI를 지정했고 금융에서는 개인 대출 심사가 지정 대상이며, 그 밖의 AI 활용에도 투명성과 안전성 의무가 붙는다. 금융위원회의 인공지능 개발·활용 가이드라인 초안도 배포돼 일곱 가지 원칙을 두고 각 금융사가 대응을 준비하는 상황이다.

조성준 교수는 이 상황을 두고 "눈 가리고 손 묶고 발도 묶고 한번 해 봐"라는 식이라며, 금융사가 AI를 하는 것 자체가 기적이라고 표현했다. 그는 교통사고 데이터에 위도·경도가 정확히 있는데도 '개인정보'라는 이유로 동 단위 집계만 쓸 수 있어 도로 안전 개선 같은 실질적 활용이 막힌 사례를 들었다. 다만 그는 규제 완화만 기다릴 필요는 없다고도 했다. 마이데이터처럼 소비자 본인이 동의한 데이터를 골라 쓰는 방식으로 개인화 상품 설계 같은 일은 지금 수준에서도 가능하다는 것이다.

해외와의 비교도 나왔다. 미국은 무엇을 하면 안 되는지를 구체적으로 정하는 반면 한국은 '개인정보 유출을 막기 위해 망을 분리하라'처럼 방법까지 정해버려 체감 규제가 더 강하다는 지적이다. 국내 감독 방식도 규칙주의에서 원칙주의로 옮겨가고 있는데, 원칙만 제시되면 기준을 만들고 안전함을 입증하는 책임이 금융사로 넘어와 실무는 오히려 더 어려워졌다는 것이 참석자들의 공통된 진단이었다.

기술 이야기도 구체적이었다. 박민성 프로는 규정을 모두 학습시키는 비용이 크기 때문에 RAG 구조로 사내 문서를 참조하게 하고, 추론 과정에 근거 문서 출처를 붙여 사람이 한 번 더 검증하게 하는 방식을 쓴다고 설명했다. 금융 문서에는 도표와 화살표가 많아 텍스트만 학습하면 내용이 누락되므로 멀티모달 RAG도 확보했다고 덧붙였다. 이종아 팀장은 내부에서는 이를 '학습'이 아니라 '참조'라고 부른다며, 옆에 백과사전을 두고 답변하는 것에 가깝다고 용어를 바로잡았다.

주요 인사이트

• 조성준 교수는 금융의 본질이 데이터 기반 의사결정이라며 'AI와 이보다 잘 맞는 산업은 없다'고 말했다. 규제가 가장 강한 산업이 동시에 AI가 가장 필요한 산업이라는 역설이 이 좌담의 핵심 긴장이다.
• 망분리 완화는 이미 시작됐다. 혁신금융서비스(샌드박스) 신청과 승인을 거치면 외부 생성형 AI를 업무에 쓸 수 있고, 25개 안팎의 업체가 승인을 받으면서 다른 금융사가 참고할 레퍼런스가 쌓였다는 설명이 나왔다.
• 할루시네이션 대응의 초점은 '거짓말을 없애기'가 아니라 '검증 가능하게 만들기'에 있다. 답변에 근거 문서를 붙이면 사람이 확인할 수 있고, 잘못된 안내로 소비자가 손해를 봤을 때의 책임 소재 문제와도 직결된다.
• AI 도입의 동기로 인구 감소가 언급됐다. 2010년 47만 명이던 출생아 수가 10년 뒤 27만 명으로 줄었다는 수치를 들며, 일할 사람이 줄어드는 문제와 AI가 일자리를 대체하는 문제가 서로 상쇄될 수 있다는 관점이 제시됐다.
• 대형 금융지주와 중소 금융사는 단계가 다르다. 큰 곳은 AI 부서를 세팅하고 인력을 키우는 단계인 반면, 중소 금융사는 AI를 이제 막 세팅하는 단계이며 GPU 비용 같은 선행 투자 부담이 더 크게 다가온다.
• 참석자들은 개인 의견임을 전제로 발언했고, 마지막에 소속 회사의 공식 입장이 아니라는 점을 스스로 밝혔다.

자주 묻는 질문

관련 AI 소식