BC카드, 금융 AI 플랫폼 'BCGPT WebUI' 오픈소스 공개…AI 기본법 준수 설계

핵심 요약

- BC카드가 2026년 7월 28일 금융 AI 플랫폼 'BCGPT WebUI'를 오픈소스로 공개 - 설계 단계부터 국내 AI 기본법과 금융권 가이드라인을 적용한 규제 준수형 플랫폼 - 금융 AI 기술 자립도 향상 및 개발자 생태계 활성화 목표

주요 내용

BC카드는 2026년 7월 28일 자체 개발한 금융 AI 플랫폼 'BCGPT WebUI'를 오픈소스로 공개했다. 이번 결정은 금융권의 AI 기술 자립도를 높이고 개발자 생태계를 활성화하기 위한 전략적 선택으로 평가된다.

BCGPT WebUI의 가장 큰 특징은 설계 단계부터 2024년 제정된 국내 AI 기본법과 금융권 가이드라인을 준수하도록 구현됐다는 점이다. 2026년 현재 AI 기본법 시행에 따라 고위험 AI 시스템에 대한 규제가 본격화된 상황에서, BC카드는 법적 요구사항을 사전에 반영한 '규제 준수형(Compliance-by-Design)' 플랫폼을 구축했다.

금융권에서 대형 언어모델(LLM) 기반 서비스가 확대되면서 AI 거버넌스 체계 구축이 필수 과제로 떠올랐다. 특히 개인신용정보를 다루는 금융회사의 경우 AI 시스템의 투명성, 설명가능성, 책임성 확보가 법적 의무로 강화되고 있다. BC카드의 오픈소스 공개는 이러한 규제 환경에서 금융권이 공동으로 활용할 수 있는 참조 모델을 제시한다는 의미를 갖는다.

오픈소스 공개는 금융 AI 개발의 투명성을 높이고, 다수의 개발자가 코드 검증에 참여함으로써 보안 취약점 발견과 개선을 촉진할 수 있다. 다만 금융권 특성상 핵심 알고리즘과 고객 데이터 처리 로직은 별도로 관리되며, 공개된 부분은 WebUI 인터페이스와 기본 프레임워크 구조로 추정된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, BC카드의 AI 기본법 준수형 플랫폼 설계는 금융권 AI 거버넌스의 모범 사례가 될 수 있다. 2026년 현재 AI 기본법 제15조(고위험 AI 시스템 의무)와 신용정보법 제32조의2(자동화 평가 설명 의무)가 동시 적용되는 금융권에서는, 설계 단계부터 법적 요구사항을 반영하는 'Privacy-by-Design' 및 'AI Governance-by-Design' 접근이 필수적이다. 특히 AI 시스템의 결정 과정 기록, 편향성 모니터링, 설명 가능성 확보 메커니즘이 플랫폼 차원에서 구현되어야 한다.

다만 오픈소스 공개 시 바이브 코딩(Vibe Coding) 환경에서의 보안 리스크를 간과해서는 안 된다. 바이브 코딩은 개발자가 자연어 프롬프트로 AI에게 '의도(vibe)'만 전달하면 코드가 자동 생성되는 개발 방식인데, 공개된 오픈소스를 학습한 LLM이 금융 플랫폼 코드를 생성할 때 ① SQL 인젝션 취약 쿼리 생성 ② 인증·권한 검증 로직 누락 ③ 개인정보 로깅 코드 포함 ④ 경쟁조건(race condition) 취약점 등이 발생할 수 있다. 금융권 개발자가 BCGPT 코드를 참조해 바이브 코딩으로 유사 기능을 구현할 때, AI가 생성한 코드에 대한 보안 코드 리뷰와 개인정보 영향평가(PIA) 절차를 반드시 거쳐야 한다.

CPPG·ISMS-P 연계 포인트

1. AI 기본법 제15조 고위험 AI 시스템 준수 체계
금융 신용평가·대출심사 등 고위험 영역의 AI 시스템은 ① 위험관리체계 구축 ② 데이터 품질 관리 ③ 기록 보존 ④ 투명성·설명가능성 확보 의무가 있다. ISMS-P 인증 시 AI 거버넌스 정책, 알고리즘 영향평가(AIA) 절차, AI 시스템 로그 관리 체계가 심사 항목으로 점검된다.

2. Privacy-by-Design 원칙과 AI 시스템 설계
개인정보보호법 제3조 및 ISMS-P 인증기준 2.9.1(개인정보 수집·이용 최소화)에 따라, AI 학습 데이터 수집 단계부터 목적 명확화, 최소 수집, 비식별화·가명처리를 설계에 반영해야 한다. 특히 오픈소스로 공개되는 코드에는 개인정보 샘플 데이터나 실제 고객정보 처리 로직이 포함되지 않도록 소스코드 스캐닝과 데이터 마스킹 절차가 필수다.