금융위원회는 2026년 6월 18일 ‘금융권 인공지능 전환(AX) 현장 간담회’에서 기존 금융분야 AI 관련 지침을 통합·개정한 「금융분야 인공지능 가이드라인」(이하 ‘가이드라인’)을 발표하였고, 가이드라인은 2026년 6월 22일부터 시행되었습니다. 시행일에 맞추어 금융감독원은 가이드라인의 거버넌스 원칙을 구체화한 「금융분야 AI 위험관리 프레임워크」(이하 ‘AI RMF’)를, 금융보안원은 보안성 원칙을 구체화한 「금융분야 인공지능 보안 안내서」(이하 ‘보안 안내서’)를 각각 공개하였습니다. 이로써 2026년 1월 22일 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(이하 ‘인공지능기본법’)과 함께 금융분야 AI 규율체계의 기본 골격이 갖추어졌다고 평가됩니다.
본 뉴스레터에서는 가이드라인의 성격과 적용 범위, 금융 AI 7대 원칙, AI RMF 및 보안 안내서의 주요 내용과 기업 실무상 유의사항을 정리하였습니다.
추진 배경 및 경과
- 기존 지침의 통합: 금융당국은 그간 「금융분야 AI 운영 가이드라인」(2021년), 「금융분야 AI 개발·활용 안내서」(2022년), 「금융분야 AI 보안 가이드라인」(2023년)을 통해 금융권의 AI 활용을 규율하여 왔습니다. 이번 가이드라인은 위 3개 지침을 하나의 체계로 통합한 것입니다.
- 인공지능기본법 시행에 따른 정비: 인공지능기본법이 제정(2025년 1월)·시행(2026년 1월 22일)되어 고영향 인공지능에 대한 사업자 책무 등 법률 차원의 규율이 도입됨에 따라, 기존 지침과 법령 간 정합성을 확보할 필요가 제기되었습니다. 금융당국은 AI 협의회를 통해 업계·전문가 의견을 수렴한 후 최종안을 확정하였습니다.
가이드라인의 성격 및 적용 범위
- 법적 성격: 가이드라인은 자율규제 성격의 모범규준으로서 그 자체로 직접적인 강제력을 갖지 않습니다. 다만 금융감독원의 검사 등 감독 과정에서 AI 관련 내부통제의 적정성을 판단하는 참고 기준으로 활용될 수 있어, 실무상 규범력은 상당할 것으로 예상됩니다.
- 적용 범위: 가이드라인은 업종·업무를 불문하고 AI를 활용하는 금융회사 전반에 적용되며, AI 활용 결과가 금융거래에 영향을 미칠 수 있는 핀테크 기업 등 비금융회사에도 적용될 수 있습니다. 대출심사·신용평가·챗봇·금융상품 추천·이상거래탐지 등 대고객 업무뿐 아니라 내부 지원·관리 업무에 AI를 활용하는 경우에도 폭넓게 적용하는 것이 권장됩니다.
- 인공지능기본법과의 관계: 인공지능기본법령이 적용되는 사항에는 법령이 우선 적용되고, 가이드라인은 법령이 규율하지 않는 사항을 보완합니다. 특히 가이드라인은 인공지능기본법상 고영향 인공지능(대출 심사 등 개인의 권리·의무에 중대한 영향을 미치는 판단·평가에 활용되는 AI, 같은 법 제2조 제4호)을 자체 위험평가 점수와 무관하게 ‘고위험 AI’로 분류하여 강화된 통제를 적용하도록 합니다. 반면 위험평가 결과 고위험 AI로 분류되었다고 하여 곧바로 인공지능기본법상 고영향 인공지능에 해당하는 것은 아니므로, 두 개념을 구분하여 검토할 필요가 있습니다.
금융 AI 7대 원칙
가이드라인은 금융회사 등이 AI를 도입·활용할 때 준수할 7개 기본 원칙과 원칙별 세부 이행사항을 제시하고 있습니다.
① 거버넌스: AI 위험관리를 위한 의사결정기구를 설치하고, AI 기획·개발 조직과 독립된 위험관리 전담조직을 구성하며, 위험평가 체계와 내규·업무매뉴얼을 마련하여 위험 수준별로 차등화된 통제를 수행하여야 합니다.
② 합법성: AI 개발·이용에 적용되는 법규를 사전에 식별·검토하고 그 요구사항을 내부 정책과 업무 절차에 반영하여야 합니다. 대출심사·신용평가에는 신용정보법, 이상거래탐지에는 특정금융정보법, 투자권유·자문에는 자본시장법 및 금융소비자보호법 등 업무별 개별 법령이 문제될 수 있습니다.
③ 보조수단성: AI는 업무의 보조수단으로 활용하고 최종 의사결정과 그에 따른 책임은 임직원이 수행하여야 하며, AI 시스템 운영 단계별로 인적 개입이 필요한 상황을 사전에 정하여야 합니다. 외부에서 제공받은 AI를 활용하는 경우에도 책임은 해당 금융회사에 귀속됩니다.
④ 신뢰성: 모델 성능지표의 설정·점검, 학습·입력 데이터의 품질 관리, 공정성·편향성 점검, 의사결정 과정에 대한 설명가능성 확보가 요구됩니다.
⑤ 금융안정성: AI 시스템이 금융시장 전반에 미칠 수 있는 위험을 평가·관리하고, 모형 오작동에 대비한 백업모형·긴급정지 기능 등 안전장치와 제3자 IT리스크 관리체계를 마련하며, 시스템 리스크로 확대될 우려가 있는 사고 발생 시 감독당국과 신속히 정보를 공유하여야 합니다.
⑥ 신의성실: 대고객 서비스에 AI를 활용하는 경우 이해상충을 방지하고, 소비자에게 AI 활용 사실을 사전에 고지하며, 소비자 피해 발생 시 신속한 대응 절차를 갖추어야 합니다.
⑦ 보안성: 데이터 오염, 프롬프트 인젝션 등 AI에 특화된 보안위협을 식별하여 탐지·대응 체계를 구축하고, 데이터·모델 등 핵심 자산을 보호하며, 외부 도입 모델·데이터에 대한 검증을 통해 공급망 위험을 관리하여야 합니다.
AI RMF 및 보안 안내서의 주요 내용
- AI RMF: 금융감독원이 공개한 AI RMF는 미국 NIST의 AI 위험관리 프레임워크 등 해외 사례를 참고하여 거버넌스, 위험평가, 위험통제의 3개 핵심 프로세스를 제시합니다. 위험평가는 위험 인식·측정, 위험 경감, 잔여위험 평가, 위험등급 산정의 4단계로 구성되며, 합법성·신뢰성·신의성실·보안성 원칙에 관한 정량평가 점수를 기준으로 AI 서비스를 저위험·중위험·고위험·초고위험 등급으로 분류하고 등급에 따라 승인 절차, 제3자 검증, 모니터링 등 통제 수준을 차등 적용하도록 합니다. 고위험 등급에 대해서는 최고 의사결정기구의 사전 승인과 사후 검증이, 초고위험 등급에 대해서는 출시 여부의 재검토가 요구됩니다.
- 보안 안내서: 금융보안원이 공개한 보안 안내서는 가이드라인의 보안성 원칙을 실무 차원에서 구체화한 것으로, AI 특화 보안위협의 식별·관리, 특화 공격에 대한 탐지·대응(입출력 필터링, 적대적 공격 테스트 등), AI 자산의 보호·관리(무결성 검증, 접근통제 등), 외부 모델·데이터의 검증 및 공급망 보안, 기존 IT 보안체계의 AI 확장 적용, 개발부터 운영까지 단계별 보안성 검증에 관한 지침을 담고 있습니다.
관련 정책 동향
- 규제 정비 계획: 금융위원회는 가이드라인 시행과 함께 금융권 AI 활용을 뒷받침하기 위하여 망분리 규제 완화, 개인신용정보 동의제도 및 데이터 가명처리 관련 규제 정비를 추진하겠다고 밝혔습니다. 이에 앞서 금융당국은 「전자금융감독규정 시행세칙」을 개정(2026년 4월)하여 일정한 보안 요건 하에 내부망에서의 SaaS 활용에 대한 망분리 규제 예외를 확대한 바 있습니다.
- 향후 과제: 금융위원회는 2026년 하반기부터 TF 운영 등을 통해 금융권 AX 추진을 위한 제도 개선, AI 도입 관련 리스크 관리방안, AI 에이전트 시범사업 운영방안 등을 검토할 계획이며, 가이드라인 시행에 맞추어 금융회사의 실무 문의에 대응하는 안내데스크도 운영합니다.
기업 실무상 시사점
내부통제 체계 정비: 가이드라인과 AI RMF는 자율규제 형식이지만, 그 내용을 내규에 반영하고 책무구조도상 책무로 편입하는 경우 「금융회사의 지배구조에 관한 법률」상 내부통제 체계의 일부로 평가받게 됩니다. AI 관련 사고가 거버넌스 구축·운영의 미흡에서 비롯된 것으로 판단되면 금융회사와 임직원의 내부통제 관련 책임이 문제될 수 있으므로, 의사결정기구 설치, 독립된 위험관리 조직 구성, 책무구조도 반영 여부를 우선 점검할 필요가 있습니다.
고영향 인공지능 해당 여부 검토: 금융회사인 인공지능사업자는 자사 AI 시스템이 고영향 인공지능에 해당하는지를 사전에 검토하여야 하고(인공지능기본법 제33조 제1항), 해당하는 경우 위험관리방안 수립·운영, 설명방안 마련, 이용자 보호, 사람의 관리·감독, 관련 문서의 보관 등 같은 법 제34조에 따른 책무를 이행하여야 합니다. 대출심사·신용평가 등 개인의 권리·의무에 중대한 영향을 미치는 AI 시스템을 운영하는 금융회사는 법령상 책무와 가이드라인상 고위험 AI 통제를 함께 적용받게 되므로 이행 체계를 통합적으로 설계하는 것이 효율적입니다.
개별 법령의 중첩 적용 검토: 하나의 AI 시스템에 인공지능기본법 외에 전자금융거래법(안전성 확보의무), 신용정보법(자동화평가에 대한 설명요구권 등), 금융소비자보호법(설명의무·적합성원칙), 개인정보 보호법 등이 중첩적으로 적용될 수 있습니다. AI 서비스 기획 단계에서 적용 법령을 종합적으로 식별하고, 외부 AI 모델·클라우드 도입 시에는 학습 재사용 금지, 보안성 평가 등 계약상 안전장치를 확보할 필요가 있습니다.
