AI기본법 시행 6개월, 금융·보험권 AI 거버넌스 리스크 관리 체계 전환 본격화

핵심 요약

- 세계경제포럼(WEF) 2026년 글로벌 리스크 보고서에서 AI 위협이 주요 리스크로 지목됨 - 2026년 1월 시행된 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법'(AI기본법)이 금융·보험 분야 AI 관리 기준의 법적 근거로 작동 - 국제질서 불확실성과 금융불안 속에서 AI 거버넌스 체계 구축이 리스크 관리의 핵심 요소로 부상

주요 내용

세계경제포럼(WEF)이 2026년 발표한 글로벌 리스크 보고서는 인공지능 기술의 급속한 발전이 국제질서와 금융시장에 미치는 영향을 주요 위협 요인으로 분석했다. 특히 AI 시스템의 오작동, 편향성, 보안 취약점이 금융 서비스의 신뢰성을 저해할 수 있다는 점이 강조되고 있다.

이러한 글로벌 리스크 환경 속에서 한국은 2026년 1월 'AI기본법'을 시행하며 선제적 대응에 나섰다. 동법은 AI 시스템의 개발·제공·이용 전 과정에서 안전성과 신뢰성을 확보하도록 의무화하고 있으며, 특히 고위험 AI 시스템에 대한 별도 규제 체계를 마련했다. 금융·보험권은 개인신용평가, 보험료 산정, 대출심사 등 고위험 AI 활용 분야가 많아 법 시행의 직접적 영향권에 놓였다.

금융위원회와 금융감독원은 AI기본법 시행에 맞춰 금융회사의 AI 거버넌스 체계 구축 가이드라인을 정비하고 있다. 여기에는 AI 모델의 개발·검증·모니터링 전 과정에서 편향성 검사, 설명가능성 확보, 개인정보 보호 조치 등이 포함된다. 특히 개인신용정보를 다루는 AI 시스템의 경우 신용정보법과 개인정보보호법의 교차 적용이 필요해 법적 복잡성이 증가하고 있다.

시행 6개월을 맞이한 현 시점에서 금융권은 AI 리스크 관리를 기존의 운영 리스크 관리 체계에 통합하는 작업을 진행 중이다. AI 시스템의 의사결정 과정에 대한 기록·보존 의무, 정기적 영향평가 실시, 이용자 권리 보장 체계 등이 새로운 컴플라이언스 항목으로 자리잡고 있다.

전문가 시각

ISMS-P 인증심사 현장에서 AI 시스템을 활용하는 기업들의 가장 큰 어려움은 '설명가능성'과 '개인정보 처리 투명성' 확보다. AI기본법은 고위험 AI에 대해 설명을 요구할 권리를 보장하는데, 딥러닝 기반 모델의 블랙박스 특성상 기술적 구현이 쉽지 않다. 금융권은 XAI(설명가능 AI) 기술 도입, 의사결정 로직 문서화, 인간 개입 절차 마련 등 다층적 접근이 필요하다. 특히 개인신용평가 AI는 신용정보법상 자동화 평가 결과에 대한 설명 의무가 있어, AI기본법과의 정합성 있는 해석이 요구된다.

금융회사는 AI 거버넌스를 단순 법규 준수 차원이 아닌, 리스크 기반 접근법(Risk-Based Approach)으로 재설계해야 한다. AI 시스템의 위험도를 사전 평가하고, 고위험군에 대해서는 개발 단계부터 개인정보영향평가(PIA)와 알고리즘 영향평가를 병행하며, 운영 중에는 지속적 모니터링과 편향성 재검증 체계를 구축하는 것이 바람직하다. 이사회 차원의 AI 윤리 정책 수립과 최고AI책임자(CAIO) 지정도 검토할 시점이다.

CPPG·ISMS-P 연계 포인트

AI 시스템 개인정보 처리 투명성: AI기본법 제36조는 자동화 결정에 대한 설명을 요구할 권리를 규정하며, 이는 개인정보보호법 제37조의2(자동화 결정에 대한 거부권)와 연계된다. ISMS-P 인증심사 시 AI 기반 개인정보 처리 시스템은 ① 자동화 결정 여부 고지 ② 설명 요구 시 제공 절차 ③ 인간 개입 수단 마련 여부를 필수 점검한다.

AI 거버넌스 체계와 위험관리: ISMS-P 인증기준 2.8.2(개인정보 침해사고 예방)는 AI 시스템의 오작동이나 편향으로 인한 개인정보 침해를 예방하기 위한 기술적·관리적 조치를 요구한다. AI 모델 학습 데이터의 개인정보 최소화, 편향성 사전 검증, 정기적 재학습 및 모니터링 체계가 핵심 통제 항목으로 평가된다.