싱가포르 금융 규제 당국이 이번 주 발표한 새 의견 수렴 문서에 따르면, 금융기관 이사회와 최고경영진이 AI가 초래하는 기관 차원의 리스크에 직접 책임을 지게 될 수 있다. EU AI법 등 다른 지역 규제에서도 경영진 책임 원칙이 있지만, 이처럼 구체적인 기준을 제시한 것은 이번이 사실상 처음이다.
이런 규제를 통해 싱가포르 통화청(MAS)은 기술이 금융권 전반에 더 깊게 자리 잡기 전에 이사회의 책임을 명확히 할 수 있다.
싱가포르 금융권은 현재 글로벌 금융기관과 마찬가지로 AI 투자 열풍이 거세다. 싱가포르 3대 금융기관인 DBS은행, 오버시즈 차이나 은행(OCBC), 유나이티드 오버시스 은행(UOB)은 최근 싱가포르 기반 인력 3만 5,000명 전체를 AI 활용 역량 중심으로 재교육하겠다고 발표했다. DBS은행은 이미 글로벌 인력 4만 1,000명 가운데 4,000명을 감축해 일상 기능을 AI로 전환하겠다고 밝힌 바 있다. 이 두 조치는 싱가포르 경제가 AI에 점점 더 크게 의존하고 있음을 보여준다.
이런 상황을 고려해 통화청은 “금융권 전반에 적용할 수 있는 공통 기대치를 마련하고, 다양한 규모와 리스크 특성을 가진 금융기관에 비례 적용할 예정이다”라고 명시했다.
이사회에 요구되는 AI 전문성
문서는 이사회가 “AI를 충분히 이해하고 효과적으로 감독하고 견제하는 역할”을 수행해야 한다고 상세히 규정했다. AI 도입을 승인하는 것만으로는 부족하다. 새 규제 체계에서는 도입 과정의 모든 요소에 대한 리스크를 평가하고, 각 리스크 항목을 감독할 개인 또는 위원회를 이사회가 지정해야 한다.
AI가 새로운 유형의 난해한 리스크를 초래할 수 있다는 점도 우려로 제기됐다. 이로 인해 서비스 장애, 금융범죄 탐지 실패, 다양한 유형의 편향 발생, 고객에게 잘못된 정보를 제공하는 챗봇으로 인한 평판 리스크가 생길 수 있다.
싱가포르 통화청은 생성형 AI 확대로 위험은 더 커질 것이라고 경고했다. 생성형 AI는 예측하기 어렵고 사전 테스트도 복잡해 데이터 오염, 프롬프트 공격, 비동의 데이터 활용, 법적·지식재산권 리스크, AI 기반 서비스 장애까지 범위가 크게 확대된다고 지적했다.
리스크 평가에 AI를 사용할 때의 리스크
싱가포르 통화청은 “리스크 평가에 쓰이는 AI 모델의 성능이 낮으면 큰 재무적 손실이 발생하고, AI 시스템의 예기치 않은 행동이 핵심 운영을 혼란에 빠뜨릴 수 있으며, 고객 접점에서 활용되는 AI의 부적절한 출력은 고객 피해나 재무적 손해를 초래할 수 있다”라고 설명했다. 또, “AI 에이전트처럼 더 높은 자율성과 다양한 도구 접근 권한을 갖는 신기술은 이런 위험을 더욱 증폭할 수 있다”라고 덧붙였다.
점점 복잡해지는 AI 리스크를 다루기 위해서는 이사회가 위험 요소를 식별하고 장기적 관리 체계를 구축하는 데 노력을 기울여야 한다. IT 컨설팅 회사 소타텍(Sotatek)의 CEO MK 통은 “은행 시스템 전체가 에이전틱 AI 중심으로 자동 학습·진화하는 환경에서는 문제가 발생할 가능성이 너무 크고 리스크는 측정조차 어려운 수준이다. 글로벌 규제기관이 이런 복합 시스템의 영향을 과소평가하고 있다”라고 경고했다.
통은 싱가포르가 금융·기술 분야에서 국제적 영향력이 큰 만큼, 최종 확정될 통화청 가이드라인이 사실상 글로벌 표준이 될 가능성이 높다고 분석했다. 특히, “싱가포르의 비례 적용·원칙 중심·포괄적 접근 모델은 규제 중심의 EU AI법이나 파편화된 집행 중심의 미국 방식과 비교해 매력적인 대안이 될 수 있다”라고 강조했다.
싱가포르 통화청 가이드라인은 AI 거버넌스와 보안 수준을 강화하려는 광범위한 정책의 일부다. 싱가포르는 지난달에도 다양한 위협으로부터 AI 시스템을 보호하기 위한 ‘AI 시스템 보안 가이드라인 및 지침서’를 발표해 보안 설계 원칙을 제시했다.
다만 규제와 베스트 프랙티스만으로는 충분하지 않다는 지적도 있다. 지난 7월 시큐리티스코어카드는 기업 규모 상위 그룹 중 91%가 사이버보안 A등급을 받았음에도, 모두 지난 1년 동안 공급망 침해 사고를 겪었다고 보고했다.
[email protected]
SOCIAL SHARE CARD GENERATOR