KT AI 에이전틱 금융권 확산…엄격한 개인정보 보호체계 구축 필수

핵심 요약

- KT가 금융권 대상 AI 에이전틱(AX) 서비스 확대하며 개인정보 보호·보안 중심 E2E 실행체계 구축 - AX 전략 수립부터 솔루션 구축, 서비스 운영, 성능 개선, 확산까지 전 단계 보안 통제 적용 - 금융권 특성상 엄격한 개인정보 처리 요구사항 충족 위한 AI 전문 인력 배치 및 협업 체계 마련

주요 내용

KT가 2026년 금융권을 중심으로 AI 에이전틱(Agent eXperience, AX) 서비스를 본격 확산하고 있다. AI 에이전틱은 AI 에이전트가 사용자의 의도를 파악해 자율적으로 업무를 수행하는 차세대 서비스로, 금융권에서는 고객 상담, 대출 심사, 이상거래 탐지 등 다양한 분야에 적용되고 있다.

금융권은 개인신용정보, 금융거래정보 등 민감한 개인정보를 대량으로 처리하는 특성상 일반 산업군보다 훨씬 엄격한 보안 및 개인정보 보호 체계가 요구된다. 이에 KT는 AI 에이전틱 도입 초기 단계부터 보안을 설계에 포함하는 'Security by Design' 원칙을 적용하고 있다. 특히 개인정보 처리 단계별로 암호화, 접근통제, 로깅, 모니터링 체계를 구축해 개인정보보호법과 신용정보법 준수를 보장한다.

KT의 E2E 실행체계는 ▲AX 전략 수립 ▲솔루션 구축 ▲서비스 운영 ▲성능 개선 ▲확산의 5단계로 구성된다. 각 단계마다 AI 전문 인력이 금융기관 담당자와 협업하며, 개인정보 영향평가(PIA), 보안성 검토, 취약점 진단 등을 수행한다. 특히 AI 모델 학습 과정에서 개인정보 비식별 조치, 학습 데이터 접근 권한 관리, 모델 출력 결과 민감정보 필터링 등 다층 보안 통제를 적용하고 있다.

금융권 AI 에이전틱 서비스는 고객 편의성 향상과 업무 효율화라는 장점이 있지만, AI가 생성한 응답에 개인정보가 부적절하게 노출되거나, 학습 데이터에 포함된 개인정보가 유출될 위험도 존재한다. KT는 이러한 위험을 최소화하기 위해 AI 거버넌스 체계를 구축하고, 지속적인 모니터링과 개선 활동을 수행하고 있다고 밝혔다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 금융권 AI 에이전틱 도입 시 가장 중요한 것은 개인정보 생명주기 전반에 걸친 통제체계 구축이다. AI 모델 학습 단계에서는 개인정보 최소 수집 원칙 적용, 비식별 조치 적절성 검증, 학습 데이터 보유·파기 정책 수립이 필수다. 서비스 운영 단계에서는 AI 응답 결과에 대한 실시간 민감정보 탐지·차단 체계, 사용자 질의·응답 로그의 안전한 보관 및 주기적 검토, 이상 행위 탐지 시스템 운영이 요구된다. 특히 금융회사는 신용정보법상 '신용정보 처리·보관 및 전송 시 암호화 의무'를 준수해야 하므로, AI 시스템 내부 데이터 흐름 전반에 암호화 적용 여부를 면밀히 검토해야 한다.

또한 AI 에이전틱은 외부 API 연동, 다중 시스템 접근 등 복잡한 구조를 가지므로 '바이브 코딩(Vibe Coding)' 방식으로 개발된 코드의 보안 취약점에도 주의해야 한다. 바이브 코딩은 개발자가 자연어로 의도만 표현하면 AI가 자동으로 코드를 생성하는 방식인데, AI가 생성한 코드에는 SQL 인젝션, 인증·인가 로직 누락, 경쟁조건(Race Condition) 취약점 등이 포함될 수 있다. 금융권에서는 AI 생성 코드에 대한 보안 코드 리뷰, 정적·동적 분석 도구 활용, 침투 테스트 수행을 의무화해야 하며, 특히 개인정보 처리 모듈은 수작업 검증을 병행하는 것이 바람직하다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(Privacy Impact Assessment, PIA): 개인정보를 활용하는 신규 시스템 도입 시 개인정보 침해 위험요인을 사전에 분석·평가하는 제도. 금융권 AI 에이전틱은 대량의 개인신용정보를 처리하므로 개인정보보호법 제33조 및 신용정보법 제41조에 따라 영향평가 수행이 필수이며, 평가 결과에 따른 위험 완화 조치 이행 여부를 ISMS-P 심사 시 확인한다.

AI 거버넌스 및 보안 통제: ISMS-P 인증기준 2.9.1(인공지능 보안) 항목은 AI 시스템의 학습 데이터 관리, 모델 보안, 출력 결과 검증 등을 요구한다. 금융권은 특히 AI 모델의 편향성, 설명 가능성, 개인정보 처리 적법성을 입증할 수 있는 문서화 체계를 갖춰야 하며, AI 에이전트의 권한 범위, 접근 가능한 데이터 범위, 자동 의사결정 한계 등을 명확히 정의해야 한다.