금융분야 AI 통합 가이드라인, RMF 및 보안안내서의 주요내용과 시사점

금융당국이 금융 분야 AI 활용도 제고와 안전성 확보를 위한 제반 정책을 발표하고 이를 시행해 나감에 따라 금융 분야 AI 컴플라이언스 환경도 본격적인 전환기에 접어들었습니다. 우선 (i) 금융위원회는 기존 금융 분야 AI 가이드라인을 통합 개정한 「금융 분야 AI 가이드라인」(통합 가이드라인) 최종본을 공개(2026. 6. 19.)하였으며, 금융감독원은 「금융 분야 AI 위험 관리 프레임워크」(AI Risk Management Framework in Financial Sector; 금융 AI RMF)를, 금융보안원은 「금융 분야 인공지능 보안 안내서」(보안 안내서)를 각각 최종 확정(2026. 6. 22.)하였습니다. 나아가 금융당국은 (ii) 금융회사가 내부 업무망에서 클라우드 기반 응용 소프트웨어(SaaS)를 활용할 경우 일정한 보안 규율을 준수하는 것을 전제로 망분리 규제 예외를 허용하는 방향으로 「전자금융감독규정 시행세칙」을 개정하고(2026. 4. 20.), 「고성능 AI 관련 금융권 보안 위협 대응 방안」(2026. 5.)을 발표하며 미토스(Mythos) 쇼크에 대응하기 위해 비조치 의견으로 보안 목적 AI 활용 시 망분리 규제를 한시적으로 완화하는 조치도 추진한 바 있습니다.

참고로, 2026. 1. 22. 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(인공지능 기본법)은 “사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능 시스템으로서 특정 영역에서 활용되는 인공지능 시스템”을 ‘고영향 인공지능’으로 정의합니다(제2조 제4호). 금융 분야에서는 “대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가”(같은 호 사목)가 이에 해당합니다. 고영향 AI에 해당하는 경우 인공지능 사업자는 ① 위험 관리 방안 수립·운영, ② 설명 방안 수립·시행, ③ 이용자 보호 방안 수립·운영, ④ 사람의 관리·감독, ⑤ 문서 작성·보관 등의 의무를 이행하고 그 근거를 문서로 5년간 보관하며 주요 내용을 홈페이지 등에 게시하여야 합니다(인공지능 기본법 제34조 제1항 및 같은 법 시행령 제27조).

본 뉴스레터는 「금융 분야 AI 가이드라인 Bound」, 「금융 분야 AI 위험 관리 프레임워크」 및 「금융 분야 인공지능 보안 안내서」의 주요 내용을 분석하고, 금융회사에서 AI를 도입 및 활용하는 데 있어서 규제 체계상 시사점과 실무적으로 고려할 필요가 있는 사항들을 중심으로 정리하고자 합니다.

1. 금융위원회 ‘통합 가이드라인 및 금융 AI 7대 원칙’
    금융위원회는 2026. 6. 19. 기존 3개 가이드라인(AI 운영 ‘21. 7., 개발·활용 ‘22. 8., 보안 ‘23. 4.)을 통합하여 통합 가이드라인을 공개하였습니다. 이는 기존 금융업권이 위 가이드라인들을 기준으로 AI 관련 내부 통제 시스템을 구축·보안해 온 실무를 종합한 것으로서, 통합 가이드라인은 ‘금융 AI 7대 원칙’에 따라 세부 이행 과제를 체계적으로 제시하고 있습니다.

    통합 가이드라인은 기존 가이드라인과 마찬가지로 모범 규준(Best Practice)·자율 규제 형식으로 운영될 예정이어서 직접적인 강제력이 있다고 하기는 어렵지만, 금융감독원 검사 및 현장 조사 시 내부 통제 적정성 평가의 판단 기준으로 활용되는 등, 실무상 중요한 내부 통제 지침으로 작용할 것으로 예상됩니다.

    통합 가이드라인은 특정 회사 또는 업무에 국한되지 않고 금융 분야 전반의 인공지능 시스템 활용에 폭넓게 적용됩니다. 구체적으로, 금융상품·금융서비스 제공 업무에 인공지능 시스템을 활용하는 금융회사는 물론, 인공지능 시스템의 활용 결과가 금융거래에 영향을 줄 수 있는 비금융회사(예: 핀테크 기업)에도 적용될 수 있으며, 대출 심사·신용 평가·챗봇·금융상품 비교·추천·이상 거래 탐지(FDS) 등 금융권 인공지능 시스템 전반과 금융회사 내부의 지원·관리 업무에 인공지능을 활용하는 경우에도 폭넓게 적용할 것이 권장되고 있습니다.

    인공지능 기본 법령과 통합 가이드라인이 중복 적용되는 경우에는 인공지능 기본 법령 및 관련 가이드라인이 우선 적용되고, 인공지능 기본 법령이 적용되지 않거나 이를 규정하지 않은 사항에 대하여 통합 가이드라인이 적용되며, 고영향 AI에 해당하는 경우에는 인공지능 기본법상 사업자 책무를 이행하면서 추가로 거버넌스 원칙·금융 안정성 원칙 등 통합 가이드라인의 해당 내용을 적용할 수 있습니다. 또한, 통합 가이드라인은 인공지능 기본법상 고영향 AI를 위험 점수와 무관하게 ‘고위험 AI’로 자동 분류하여 통제를 강화하도록 하고 있습니다.

    금융 AI 7대 원칙의 핵심 내용은 다음과 같습니다.
 

원칙	주요 내용
① 거버넌스 원칙	■ AI 윤리위원회 등 최고 의사결정 기구 설치 ■ AI 기획·개발 조직과 독립된 위험 관리 전담 조직 구성
② 합법성 원칙	■ 인공지능 기본법 등 공통 법령과 업권별 개별 법 이슈 사전 식별     □ 대출 심사·신용 평가 → 신용정보법     □ 이상 거래 탐지 → 특정금융거래정보법     □투자 권유·자문 서비스 → 자본시장법·금융소비자보호법 ■ 외부 위탁 AI에 대한 법규 준수 직접 관리 ■ 해외 규제(EU AI Act, GDPR 등)의 역외 적용 가능성 검토 권고
③ 보조수단성 원칙	■ 원칙적으로 AI를 업무의 보조 수단으로 활용하되, 최종 의사결정·책임은 임직원이 수행(Human-in-the-Loop) → 다만, AI 위험도에 따라 AI의 의사결정 범위와 인간의 개입 수준이 달라질 수 있음을 전제 ■ 외부 제공 AI(오픈소스 포함) 활용 시에도 책임은 해당 금융회사에 귀속 ■ 인공지능 기본법상 고영향 AI에 대한 사업자 책무 중 ‘사람의 관리 ∙ 감독’과 연계
④ 신뢰성 원칙	■ 모델 성능 관리(생성형 AI 환각 완화 포함) ■ 데이터 품질 확보, 공정성·편향성 점검, XAI 기반 설명 가능성 확보
⑤ 금융 안정성 원칙	■ AI 관련 취약점(제3자 의존성 증대, 시장 동조화, 사이버 리스크 확대 등)을 참고하여 시스템 리스크 평가 ■ 백업 모형·긴급 정지(kill switch) 등 안전장치 마련 ■ 제3자 IT 리스크 관리 ■ 감독당국 보고 의무는 「전자금융감독규정 시행세칙」 상 전자금융사고 대응 시스템(EFARS) 등과 연계 가능
⑥ 신의성실 원칙	■ 로보어드바이저, 금융상품 비교·추천 등에서의 이해상충 방지(금융소비자보호법 시행령 제5조 제4항 참조) ■ AI 활용 사실을 일반 소비자에게 사전 고지 권고
⑦ 보안성 원칙	■ AI 특화 보안 위협(데이터 오염, 프롬프트 인젝션, 탈옥 공격 등) 식별·대응 체계 구축 ■ 외부 모델·데이터의 공급망 보안 관리 ■ 기존 IT 보안 체계의 AI 확장 적용

2. 금융감독원 ‘금융 AI RMF’
    금융감독원은 2026. 6. 22. 금융 AI RMF를 공개하였습니다. 이는 미국 NIST의 AI 위험 관리 프레임워크, 싱가포르 MAS의 Veritas Framework 등 주요국의 AI 위험 관리·평가 체계를 참고하여 마련된 것입니다.

    금융 AI RMF는 통합 가이드라인의 ‘금융 AI 7대 원칙’을 핵심 기준으로 삼아, 거버넌스·보조수단성·금융 안정성 원칙은 정성적(Qualitative) 평가 항목으로, 합법성·신뢰성·신의성실·보안성 원칙은 정량적(Quantitative) 평가 항목으로 반영함으로써, ‘금융 AI 7대 원칙’을 거버넌스·위험 평가·위험 통제의 실행 체계로 구체화한 것이라는 점에서 양자는 원칙과 실행의 관계로 유기적으로 연계됩니다.

    금융 AI RMF는 법적 강제력이 없는 자발적 지침이나, ‘AI 거버넌스’에 대한 구체적 실행 지침을 제공한다는 점에서 의의가 있고, 특히 책무구조도를 도입한 금융회사는 내부 통제 규정의 일부로 포섭하는 것이 가능합니다. 또한, 금융 AI RMF는 전술한 통합 가이드라인과 같이 시정 권고 등 금융감독원 행정 지도의 간접적 근거로 기능할 수 있을 뿐 아니라, 감독 기관인 금융감독원이 직접 발간한 지침이라는 점에서도 그 중요성이 더욱 강조됩니다. 참고로, 금융 AI RMF는 고성능 AI 사업자가 인공지능 기본법 제32조에 따라 구축하여야 하는 위험 관리 체계와는 별개이며, 금융 AI RMF를 따른다고 하더라도 곧바로 AI 기본법상 의무가 면책되지는 않는다는 점을 유의할 필요가 있습니다.

    금융 AI RMF의 주요 내용은 다음과 같습니다.
 

구분	주요 내용
① 거버넌스	■ AI 위험 관리를 위한 최고 의사결정 기구(예: AI 위험관리위원회) 설치 → AI 관련 내규 제·개정, 위험 관리·소비자 보호 정책 수립, 고위험 AI 서비스 승인 등 심의·의결 ■ AI 기획·개발 추진 조직과 독립된 위험 관리 전담 조직 설치 요구 ■ 의사결정 기구 위원장의 CEO에 대한 정기적 보고(AI 관련 사업 계획·전략·위험 등) → 이사회·최고경영자에 대한 보고를 통한 최종 책임 명확화 ■ 책무 구조도 도입 금융회사의 경우, AI 관련 내부 통제 및 위험 관리 책무를 책무 구조도에 반영 고려 ■ AI 관련 내규 수립 및 세부 업무 매뉴얼 작성 → AI 도입·활용 전 프로세스에 걸쳐 부서 간 역할·책임 명확화
② 위험 평가	■ 위험 기반 접근 방법(Risk-based approach) 채택 ■ 4단계 절차: 위험 인식·측정 → 위험 경감 → 잔여 위험 평가 → 위험 등급 산정 ■ 4대 원칙별 정량 평가: 합법성(20%), 신뢰성(30%), 신의성실(20%), 보안성(30%) → 16개 세부 항목 점수화 ■ 위험 등급 분류: 25점 미만(저위험), 25점 이상 50점 미만(중위험), 50점 이상(고위험), 75점 이상(초고위험, 금융 안정성 훼손·소비자 권익 침해 우려 등) ■ 인공지능 기본법상 고영향 AI(대출 심사 등)는 위험 점수와 무관하게 고위험으로 분류
③ 위험 통제	■ 위험 등급에 따른 차등 통제 적용     □ 저위험: 승인 절차 간소화 등 완화된 관리     □ 고위험: 최고 의사결정 기구의 사전 승인·사후 검증, 제3자 평가 검증, 운영 모니터링 강화 등 추가 통제 ■ 초고위험 AI 시스템: AI 의사결정 기구를 통한 출시 여부 재검토 ■ AI 모형 오작동을 대비한 긴급 정지(kill switch), 백업 모형, 회생 계획 등 안전장치 사전 구축 권고 ■ 모니터링·사후 관리, 문서화 및 교육, 감독당국 정보 공유 등 위험 통제 제반 절차 이행 요구

3. 금융보안원 ‘보안안내서’

금융보안원은 2026. 6. 22. 보안안내서를 공개하였습니다. 보안안내서는 통합 가이드라인 제7장 ‘보안성 원칙’을 금융 현장에서 실천하기 위한 구체적·실무적 보안 관리 방안을 제시하는 것을 목적으로 하며, AI 특화 보안 위협의 식별·관리, 특화 공격의 탐지·대응, 데이터·모델 등 AI 자산의 보호, 외부 모델·데이터 검증 및 공급망 보안, 기존 보안 관리의 AI 확장 적용, 보안성 검증·운영 관리에 이르기까지 보안성 원칙의 6개 세부 원칙에 대응하는 실무 지침을 담고 있습니다.

보안성 원칙의 6개 세부 원칙별 주요 내용은 다음과 같습니다.
 

세부 원칙	주요 내용
① AI 특화 보안 위협 식별 및 관리	■ 위협 모델링(자산 식별 → 공격 벡터 분석 · 시나리오 도출 → 영향도 분석 → 보안 통제 설계) ■ AI 특화 위협 식별 체계 구축 및 정기 검토
② AI 특화 공격 탐지 및 대응	■ 입출력 필터링 체계 구축 ■ 회피 공격(프롬프트 인젝션 · 탈옥) 대응 ■ 적대적 공격 테스트 · 방어 ■ 실시간 위협 모니터링
③ AI 자산 보호 및 관리	■ 데이터 · 모델 추출 공격 대응(질의 횟수 제한 · 민감 정보 마스킹 등) ■ 자산 목록 · 형상 관리 ■ 해시값(SHA-256 등) 비교를 통한 데이터 · 모델 변조 여부 검증(무결성 검증) · 접근 통제
④ 외부 모델 및 데이터 검증	■ 데이터 · 모델 오염 공격 대응 ■ 외부 자산 출처 · 신뢰성 검증(SBoM · CVE 점검 등) ■ 공급망 보안
⑤ 기존 보안 관리의 AI 확장 적용	■ 접근 통제 · 권한 관리(킬 스위치 등 긴급 정지) ■ 네트워크 보안 · 데이터 보호(국외 이전 확인 등) ■ AI 보안 교육 · 인식 제고
⑥ AI 시스템 보안성 검증 및 운영 관리	■ 개발~운영 단계별 보안성 검증 ■ 제3자(금융보안원 등) 독립 검증 ■ 특수 환경(상용 생성형 AI 내부망 이용) 보안 관리

4. 시사점 및 대응 방안
    통합 가이드라인과 금융 AI RMF는 모범 규준·자발적 지침이지만, 기존에도 금융업권이 3대 가이드라인을 기준으로 AI 내부 통제 시스템을 구축해 왔다는 점을 고려하였을 때 그 실질적 영향력은 상당합니다. 특히 금융 AI RMF가 구체적 거버넌스 구조를 제시함에 따라 전체 금융권이 이에 준하는 체계를 갖추게 될 것으로 예상됩니다. 금융 AI RMF 위반 자체가 곧바로 제재로 이어지지는 않겠으나, 금융 AI RMF 기준을 내규화하고 책무 구조도에 따라 책무가 부여된 후에는 금융회사의 내부 통제 장치의 일환으로 그 효율적인 설계와 운영 여부를 평가받게 될 것으로 이해됩니다. 즉 AI 관련 서비스에서 사고가 발생하고, 이것이 금융회사의 거버넌스 구축 및 운영의 미흡에 따른 것이라고 판단되는 경우, 금융회사 및 그 임직원은 「금융회사의 지배구조에 관한 법률」상 내부 통제 의무와 관련한 제재 대상이 될 가능성도 있다는 점에 유의하여야 합니다. 금융 AI RMF가 AI 의사결정 기구 위원장의 CEO에 대한 정기 보고를 요구하고 있는 점에 비추어, 향후 CEO가 AI 관련 감독자 책임을 부담할 가능성에도 유의할 필요가 있습니다.

    또한 보안 안내서는 금융 AI RMF가 보안성 원칙을 정량 위험 평가 항목(보안성 30%)으로 반영하고 있는 점과 맞물려 그 실무적 중요성이 부각됩니다. 보안 안내서가 제시하는 AI 특화 보안 위협 대응 체계의 구축 여부는 위험등급 산정에 직접 영향을 미칠 수 있습니다. 또한 AI 시스템이 전자금융감독규정상 정보 처리 시스템 또는 신용정보법상 신용정보 전산 시스템에 해당하는 경우, 보안 안내서가 제시하는 보안 조치의 이행 수준은 전자금융거래법 제21조의 안전성 확보 의무 및 신용정보법 제19조의 기술적·물리적·관리적 보안 대책 이행 여부를 판단하는 실무적 기준으로 원용될 여지가 있습니다.

    한편 인공지능 기본법 제33조 제1항에 의해 금융회사인 인공지능 사업자는 자사 대출 심사 AI 시스템 등의 고영향 AI 해당 여부를 사전에 검토하여야 합니다. 이와 관련하여, 「고영향 인공지능 판단 가이드라인」은 인공지능 시스템이 대출 심사의 최종 결정에 상당한 영향을 미치는 결정을 하거나 대출 심사 개별 단계를 종합하여 최종 결정을 하는 경우 또는 차별·민감 데이터를 사용하는 경우 등을 고영향 AI에 해당하는 것으로 보고 있습니다.

    하나의 AI 시스템에 대하여 복수의 법령이 동시에 적용될 가능성도 있습니다. 인공지능 기본법(사업자 책무 불이행), 전자금융거래법(안전성 확보 의무 위반), 금융소비자보호법(설명 의무·적합성 위반), 신용정보법(자동화 평가 설명 의무 위반 및 개인 신용정보 유출), 개인정보보호법(위법한 개인정보의 국외 이전) 등이 중첩 적용될 수 있으므로, AI 시스템 도입·운영 시 합법성의 원칙에 따라 관련 법규를 종합적으로 검토할 필요가 있습니다.

    결국, 이번 통합 가이드라인 발표 및 금융 AI RMF, 보안 안내서의 확정으로 금융 분야 AI 규제 프레임워크의 윤곽이 어느 정도 확정된 것으로 판단되며, 금융회사는 본격적인 AI 서비스의 구축과 활용에 있어 우선 거버넌스를 포함한 관련 규제 프레임워크를 완성할 필요가 있습니다. 구체적으로 금융회사는 ① 금융 AI RMF를 참고한 거버넌스 체계 구축(통합 가이드라인 확정에 따라 금융회사의 책무 구조도 개편도 필요하므로 이에 대한 신속한 대응도 요구됨), ② 금융 AI RMF 및 보안 안내서상 지침을 고려한 자사 AI 서비스별 위험 등급 자체 분류 및 위험 통제 실시(위험 통제 장치의 실효적 구축·운영이 사고 발생 시 금융회사의 책임 판단에 핵심적 요소가 될 수 있으므로 이에 대한 면밀한 검토 필요), ③ 전자금융거래법 및 신용정보법 등 금융 관계 법령 준수 점검, ④ 인공지능 기본법상 의무 사항 점검 및 이행, ⑤ 제3자 리스크 관리 및 업권별 모범 규준 준수(외부 AI 모델·클라우드 계약 시 데이터 학습 재사용 금지, 보안성 평가 등) 등을 선제적으로 검토할 필요가 있습니다.


저희 법무법인(유) 광장 Tech & AI 팀/디지털금융팀은 금융회사 AI 거버넌스 구축 업무, 금융 분야 고영향 AI 해당 여부 판단 및 관련 책무 이행 자문, 금융권 클라우드 이용 및 망분리 솔루션 제공을 포함하는 다양한 금융 AI 규제 업무를 성공적으로 수행한 바 있습니다. 또한 인공지능 기본 법령 제정 작업 및 인공지능 관련 여러 가이드라인 집필 작업에도 깊이 관여하여, 업계 최고의 AI 분야 전문성을 보유하고 있습니다.

인공지능 기본법, 통합 가이드라인, 금융 AI RMF, 보안 안내서 등에 따른 금융 분야 AI 컴플라이언스와 관련하여 자문이 필요하신 경우 언제든지 문의하여 주시기 바랍니다.