토스, 보안 인력 AI로 대체하나…'인간 검토·승인 권한' 미비 논란

핵심 요약

- 토스가 2026년 11월 2일 보안 통합채용 공고를 공개하며 보안 엔지니어, 보안 리서처, 정보보호 매니저, 개인정보보호 매니저 등을 모집 중 - 동시에 AI 기반 보안 자동화 시스템을 확대 운영하면서 고객 개인정보 처리에 대한 인간의 최종 결정·검토 권한 구조가 불명확하다는 지적 - ISMS-P 인증기준상 자동화된 개인정보 처리 시스템의 통제 가능성과 설명 책임 확보가 필수적이나 현재 체계로는 심사 시 미흡 판정 가능성

주요 내용

토스가 보안팀 인력 충원을 위한 통합채용 공고를 진행하면서도, 동시에 AI 기반 보안 자동화 시스템을 적극 도입하고 있어 업계의 주목을 받고 있다. 2일 공개된 채용 공고에는 보안 엔지니어(Security Engineer), 보안 리서처(Security Researcher), 정보보호 매니저(Information Security Manager), 개인정보보호 매니저(Privacy Manager) 등 핵심 보안 직무가 포함됐다.

문제는 AI 시스템이 고객의 개인정보를 처리하고 보안 의사결정을 내리는 과정에서 인간 전문가의 개입 범위와 최종 승인 권한 체계가 명확하지 않다는 점이다. 특히 이상 거래 탐지, 계정 정지, 본인인증 실패 처리 등 고객에게 직접적 영향을 미치는 자동화된 의사결정 프로세스에서 인간의 검토와 이의제기 절차가 충분히 마련되어 있는지가 핵심 쟁점이다.

금융 서비스 특성상 토스는 대규모 개인정보를 실시간으로 처리하며, AI 기반 보안 시스템은 효율성과 신속성 측면에서 장점이 있다. 그러나 개인정보보호법 제37조의2(자동화 평가 등)에서 규정한 '자동화된 결정에 대한 정보주체의 거부권'과 설명 요구권을 실질적으로 보장할 수 있는 체계 구축이 선행되어야 한다는 지적이 나온다.

또한 ISMS-P 인증을 보유한 기업으로서 토스는 인증기준 2.8.3(개인정보 처리 단계별 요구사항)과 2.10.1(개인정보 영향평가) 항목에 따라 AI 시스템의 개인정보 처리 과정에 대한 명확한 통제 체계와 책임 소재를 입증해야 한다.

전문가 시각

ISMS-P 선임심사원으로서 현장 심사 경험을 토대로 볼 때, AI 기반 자동화 시스템 도입 시 가장 큰 문제는 '설명 가능성(Explainability)'과 '인간 개입 지점(Human-in-the-loop)'의 부재다. 특히 금융권에서는 고객의 금융 활동을 제한하거나 거부하는 자동화된 의사결정이 빈번한데, 이에 대한 구체적 판단 근거와 이의제기 절차를 명확히 문서화하지 않으면 인증 유지심사 시 중대 부적합 사항으로 지적될 수 있다.

실무적으로는 AI 보안 시스템의 의사결정 로직을 정기적으로 검증하고, 오탐(False Positive)이나 편향(Bias)으로 인한 고객 피해 발생 시 신속한 구제 절차를 마련해야 한다. 또한 보안 전문 인력을 채용하면서도 이들이 AI 시스템을 효과적으로 감독·통제할 수 있는 역량과 권한을 부여하는 조직 구조 설계가 필수적이다. 단순히 AI에 업무를 위임하는 것이 아니라, 인간 전문가가 최종 결정권을 보유하는 'AI-Assisted' 모델로 설계해야 법적·윤리적 책임 소재를 명확히 할 수 있다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.3(개인정보 처리 단계별 요구사항) 및 2.9.2(개인정보 처리 위탁 관리)
- AI 시스템에 의한 자동화된 개인정보 처리 시 수집·이용·제공·파기 단계별 통제 절차 문서화 여부
- 자동화 의사결정 로직의 정기적 검증 및 모니터링 체계 구축 여부
- AI 시스템 오작동 시 개인정보 침해 사고 대응 절차 및 책임자 지정 여부
- 관련 법령: 개인정보보호법 제37조의2(자동화 평가 등), 제29조(안전조치의무)

2. 인증기준 2.10.1(개인정보 영향평가) 및 3.1.3(정보보호 조직 운영)
- AI 기반 보안 시스템 도입 시 개인정보 영향평가(PIA) 실시 여부 및 결과 반영
- 정보주체의 자동화된 결정 거부권 행사 절차 마련 및 공지 여부
- 보안 인력의 AI 시스템 감독 권한 및 최종 의사결정 구조 명확성
- 관련 법령: 개인정보보호법 제33조(개인정보 영향평가), 신용정보법 제36조의2(자동화평가)

3. 인증기준 2.1.3(정보보호 관련 법적 요구사항 준수)
- AI 의사결정 결과에 대한 설명 제공 절차 및 이의제기 채널 운영 실태
- 고객 금융거래 제한 등 중요 의사결정 시 인간 전문가의 검토·승인 프로세스 존재 여부
- 관련 법령: 전자금융거래법 제21조의2(전자금융거래 기록의 생성 및 보존)

CPPG·ISMS-P 연계 포인트

자동화된 의사결정(Automated Decision-Making)
개인정보보호법 제37조의2에서 규정한 개념으로, 정보주체에 관한 법적 효과를 발생시키거나 권리·의무에 중대한 영향을 미치는 결정이 개인에 대한 평가를 목적으로 개인정보를 자동으로 처리하여 이루어지는 것을 의미한다. 정보주체는 자동화된 결정을 거부하거나 설명을 요구할 권리가 있으며, 개인정보처리자는 이를 보장하기 위한 조치를 취해야 한다. CPPG 시험에서는 자동화된 결정의 요건, 정보주체 권리, 개인정보처리자 의무 등이 출제된다.

AI·알고리즘 투명성 및 설명 가능성(Explainability)
ISMS-P 인증기준에서는 명시적 조항은 없으나, 제2.8.3조(개인정보 처리 단계별 요구사항)와 제2.1.3조(법적 요구사항 준수) 해석 시 AI 시스템의 투명성과 설명 가능성이 요구된다. 특히 금융·신용정보 분야에서는 신용정보법 제36조의2(자동화평가)에 따라 신용평가 등 자동화된 처리 결과에 대한 설명 의무가 있다. 심사 시에는 AI 알고리즘의 판단 근거, 오류 정정 절차, 인간 개입 체계 등을 점검하며, 실무에서는 모델 설명서, 검증 보고서, 이의제기 처리 기록 등의 증적 자료가 필요하다.