싱가포르, 금융회사 AI 위험 관리 지침 발표…2027년·2028년 단계별 적용

두 차례의 이행 시한에 금융권 AI 감독이 주요 의제로

싱가포르 금융기관은 인공지능(AI) 감독에 관한 핵심 감독 기대사항을 충족하기 위해 2027년 10월 7일까지 이행해야 하며, 더 폭넓은 통제·역량·인프라에 대해서는 2028년 10월 7일까지 추가로 이행해야 한다. 싱가포르 통화청(MAS)은 2026년 10월 7일 모든 금융기관과 모든 형태의 AI 기술을 대상으로 하는 인공지능 위험 관리 지침을 발표했다.

이 지침은 챗봇과 직원의 문서 작성을 돕는 소프트웨어를 넘어선다. 전통적인 머신러닝, 콘텐츠를 생성하는 생성형 AI, 연결된 도구를 통해 의사결정을 내리거나 행동을 수행할 수 있는 AI 에이전트도 포함한다. MAS는 도구에 접근할 수 있는 에이전트가 잘못되거나 승인되지 않은 행동을 자율적으로 수행할 수 있다며, 답변의 정확성만큼 행동 권한도 중요하다고 경고했다.

감독당국의 AI 위험 지침은 모든 기업에 동일한 기술 요건을 규정하는 별도 법률이 아니라 감독상의 기대사항을 제시한다. 핵심 원칙은 비례성이다. 금융기관은 AI 활용 현황을 파악하고, 각 애플리케이션의 중요성과 위험을 평가한 뒤, 위험 노출 수준에 맞는 통제 체계를 마련해야 한다.

이에 따라 규제 범위는 폭넓게 설정하되 모든 애플리케이션을 똑같이 취급하지 않는다. 투자 권고나 고객 위험 평가에 영향을 미치는 시스템은 내부 이메일의 교정에 쓰이는 도구와 다른 수준의 검토가 필요하다. 구분 기준은 제품에 AI라는 이름이 붙었는지가 아니라 고객과 다른 기관에 미칠 수 있는 피해 등 잠재적 결과다.

적용 대상은 누구인가?

적용 대상에는 은행, 펀드 운용사, 금융 자문사, 보험사, 결제기관, 거래소, 청산소, 수탁기관, 신용평가기관, 자본시장 상품을 취급하는 기업이 포함된다. 면제 대상인 선물 및 장외 파생상품 중개업체도 명시적으로 포함된다.

모든 AI 기술에 적용되므로 이 지침은 생성형 AI만을 대상으로 한 규정집도, 대형 은행만 겨냥한 조치도 아니다. MAS는 AI 활용의 규모와 성격을 비롯한 위험 프로필에 맞춰 금융기관이 이행 방식을 조정할 수 있도록 했다.

이 지침은 공정성·윤리·책임성·투명성 원칙(FEAT) 등 기존 MAS 요건과 원칙을 보완한다. 금융 서비스에 이미 적용되는 폭넓은 의무를 대체하는 것이 아니라 AI 위험 관리 체계를 추가하는 것이다.

필요한 업무 범위를 판단할 때 핵심은 적용 범위의 폭과 통제 강도를 구분하는 데 있다. 적용 대상이라고 해서 모든 기업이 같은 지배구조를 갖춰야 하는 것은 아니다. 다만 각 기관은 AI를 어디에 활용하는지, 시스템 성능이 저하되거나 이용할 수 없게 될 경우 어떤 일이 생길 수 있는지 타당하게 파악해야 한다.

2028년 10월까지 무엇이 달라지나?

이번 발표에 앞서 MAS는 2025년 11월 의견 수렴을 시작했다. 2026년 8월 의회 답변에서 MAS는 제안된 지침을 곧 확정할 예정이라고 밝히고 에이전트형 AI도 적용 대상이라고 확인했다. 이어 10월 발표에서 두 단계의 이행 일정을 제시했다.

• 2025년 11월: MAS가 제안된 AI 위험 관리 지침에 대한 공개 의견 수렴을 시작했다.
• 2026년 8월 5일: 의회 답변에서 에이전트형 AI를 포함해 금융기관의 모든 AI 활용 사례가 제안에 포함된다고 확인했다.
• 2026년 10월 7일: MAS가 최종 지침을 발표했다.
• 2027년 10월 7일: 지침이 발효되며, 제3절과 제4절의 기대사항이 이날부터 적용된다.
• 2028년 10월 7일: 금융기관은 제5절과 제6절의 기대사항을 충족해야 한다.

일정에 따르면 기업은 발표 후 1년 안에 핵심 감독·위험 관리·정책 체계를 마련하고, 그 다음 1년 동안 더 폭넓은 운영 체계를 갖춰야 한다. 후속 시한이 있다고 해서 지침 전체의 적용이 2028년까지 미뤄지는 것은 아니다.

간략한 보도자료는 발효일을 연도 없이 10월 7일로 표기했다. 하지만 MAS의 지침과 발표문에는 발효일이 2027년 10월 7일이며 단계적 이행이 2028년까지 이어진다고 명시돼 있다.

새 위원회가 없어도 이사회는 책임을 진다

MAS는 이사회와 고위 경영진이 AI 위험에 대해 효과적으로 감독할 것을 기대한다. 여기에는 책임 소재를 정하고, 위험 성향을 설정하며, 위험 관리 체계와 정책·절차를 마련하는 일이 포함된다. 위험 성향은 기관이 감수할 의사가 있는 위험의 수준과 유형을 뜻한다.

감독당국의 발표문은 의견 수렴 과정에서 제기된 실무적 우려를 다룬다. 기존 지배구조가 관련 부서 전반에 걸쳐 적절한 감독과 조율을 제공한다면 기업은 이를 활용할 수 있다. 이 기대사항을 충족하기 위해 AI 전담 위원회를 둘 필요는 없다.

이 구분은 이행 과정에서 중요하다. 요구되는 것은 실효성 있는 책임 체계이지 특정 명칭의 위원회나 조직도상의 구조가 아니다. 기존 체계도 기대사항을 충족할 수 있지만, AI 위험을 감독하고 담당자 간 업무를 조율할 수 있어야 한다.

금융기관은 조직 전체 차원과 개별 애플리케이션 차원에서 위험을 관리해야 한다. 개별 애플리케이션만 보면 관리 가능한 것처럼 보여도, AI 활용이 확대되면 기관 차원의 감독·기술·인프라가 더 필요해질 수 있다. 이에 따라 MAS는 도입이 확대됨에 맞춰 역량을 키울 것을 기대한다.

목록화로 구체화하는 위험 평가

금융기관은 AI 활용 현황을 파악하고 적절한 수준의 세부 정보를 담은 목록을 유지해야 한다. 목록은 어떤 애플리케이션이 가장 중요한지 평가하고 필요한 통제를 정하는 기반이 된다. 이런 토대가 없으면 고위 경영진이 기관의 위험 노출을 신뢰성 있게 판단할 수 없다.

MAS는 각 애플리케이션의 위험 중요성도 평가할 것을 기대한다. 쉽게 말해 시스템의 오류, 성능 저하 또는 이용 불가가 기관과 고객, 다른 금융기관을 포함한 이해관계자에게 실질적인 결과를 초래할 수 있는지 판단해야 한다.

지침은 금융·운영·행위·금융범죄·평판 위험을 제시한다. 생성형 AI에는 보안과 개인정보 보호, 외부 제공업체와 관련된 위험도 있다. 따라서 평가는 모델이 대체로 정확한 답을 내놓는지 확인하는 데 그치지 않는다.

AI 서비스의 성능 저하나 이용 불가가 중대한 영향을 미칠 가능성이 낮다면 MAS는 기본적인 정책과 절차를 허용한다. 위험 노출이 클수록 더 정교한 통제를 마련해야 한다. 실무적 판단 기준은 기술의 새로움이 아니라 실패가 미칠 수 있는 영향이다.

AI 시스템 도입 후에도 통제는 이어져야 한다

지침은 AI 생애주기 전반에 비례적인 통제를 적용하도록 요구한다. 생애주기란 개발·시험부터 배포·사용, 이후 변경에 이르는 단계를 뜻한다. MAS가 꼽은 통제에는 데이터 거버넌스, 시험, 인간의 감독, 사이버 보안, 모니터링, 변경 관리가 포함된다.

데이터 거버넌스는 정보의 관리와 활용 방식을 다룬다. 시험은 시스템이 의도된 목적에 적합한지 확인한다. 모니터링은 운영 중 성능을 점검하고, 변경 관리는 행동이나 위험을 바꿀 수 있는 수정을 다룬다. 이는 출시 전 한 번의 승인 절차가 아니라 서로 연결된 책임이다.

인간의 감독도 지침의 일부다. 금융 의사결정에 영향을 주거나 이를 실행할 수 있는 AI 시스템이라면, 사람이 결과를 읽을 수 있는지만 따져서는 안 된다. 금융기관은 애플리케이션의 위험과 시스템이 취할 수 있는 행동에 맞춰 감독 방식을 검토해야 한다.

MAS는 AI 활용이 확대되고 기술이 발전함에 따라 통제를 정기적으로 검토할 것을 기대한다. 문안 작성 도구에 맞춰 설계한 체계라도 나중에 행동을 수행할 수 있는 시스템에 접근하게 된다면 재평가가 필요할 수 있다. 지침은 자율형 에이전트 활용 증가와 정기 검토의 필요성을 구체적으로 연결한다.

AI를 구매해도 책임은 이전되지 않는다

금융기관은 외부 기업이 개발·운영·제공한 시스템을 포함해 자사가 제공하는 서비스에 쓰이는 AI에 대한 책임을 계속 진다. 기술을 외부에 맡겨도 그로 인해 발생하는 위험에 대한 책임까지 넘길 수는 없다.

MAS는 기업이 제공업체로부터 충분한 보증을 받고 AI가 의도된 용도에 적합한지 평가할 것을 기대한다. 현실적인 제약이나 보증의 공백이 있다면 금융기관은 보완 통제를 적용해야 한다. 보완 통제란 선호하는 보증이나 통제를 이용할 수 없을 때 위험을 줄이기 위한 조치다.

감독당국은 보완 조치로도 충분하지 않을 때의 대응 방안도 제시한다. 위험을 기관의 위험 성향 안으로 낮출 수 없다면 AI 서비스의 사용 제한·중단·대체를 검토해야 한다. 제공업체의 상업적 매력이 크거나 시스템이 이미 업무에 깊이 통합돼 있다는 이유만으로 계속 사용할 수는 없다.

이는 제품과 서비스에 내장된 AI라는 의견 수렴 과정의 또 다른 우려를 다룬다. 중요한 것은 해당 기능을 기관이 어떻게 사용하고 그 결과를 어떻게 관리하는지이지, 모델을 직접 개발했는지가 아니다. 제공업체의 보증이 기업의 실제 사용 목적에 부합하는지 평가해야 한다.

추가 지침 발표 전에도 적용되는 에이전트형 AI

에이전트형 AI는 답변 생성에 그치지 않을 수 있다. 도구를 사용해 과업을 수행하고 더 높은 자율성으로 행동할 수 있다. 금융 서비스에서는 잘못되거나 승인되지 않은 행동의 위험을 관리하기 위해 권한 설정, 개입, 의사결정 기록이 핵심이 된다.

8월 의회 답변에서 간김용 부총리 겸 통상산업부 장관이자 MAS 의장은 제안된 지침이 에이전트형 AI를 포함한 금융기관의 모든 AI 활용 사례에 적용된다고 확인했다. 이 답변은 자율형 에이전트와 예상되는 감독 요건에 관한 마리암 자파르 셈바왕 집선거구 의원의 질문에 대한 것이었다.

간 부총리는 업계와 함께 개발한 실무 자료도 소개했다. 프로젝트 마인드포지(Project MindForge) 아래 업계는 금융기관의 지침 이행을 돕는 AI 위험 관리 툴킷을 개발했다. 런타임 금융 에이전트 보호 체계(SAFR)는 에이전트의 행동을 승인하고, 인간의 감독을 활성화하며, 중요한 의사결정 단계마다 발생한 일을 기록하는 잠재적 접근 방식을 제시한다.

이 자료들은 감독 체계와는 목적이 다르다. 툴킷은 이행을 지원하고 SAFR은 잠재적인 운영 방식을 설명한다. 의회 답변은 SAFR 자체를 의무화한다고 발표한 것이 아니다.

MAS는 2027년에 에이전트형 AI에 관한 추가 지침이 유용할지 금융권과 의견을 나눌 계획이다. 구체적인 의견 수렴 일정은 밝히지 않았으며, 그 결과로 나올 지침의 내용도 발표하지 않았다. 에이전트는 이미 지침의 적용 대상이므로, 예정된 의견 수렴을 이유로 위험 관리를 미뤄서는 안 된다.

규제 명확성, 단 허용 가능한 위험에는 한계

MAS는 이 체계를 AI 금지가 아니라 책임 있는 도입을 뒷받침하는 방안으로 제시한다. 의견 제출자들은 원칙과 비례적 통제를 토대로 한 접근을 지지하면서도 기존 지배구조의 활용, 제품에 내장된 AI, 기본 정책만으로 충분한 경우에 대한 설명을 요구했다. 최종 체계는 주요 기대사항을 유지하면서 이러한 우려를 다뤘다.

호헌신 MAS 부총재는 AI의 잠재적 이점과 갈수록 역량이 커지는 시스템을 금융기관이 이해해야 할 필요성을 연결했다. 그는 다음과 같이 말했다.

이러한 이점을 지속적으로 실현하려면 금융기관이 역량이 커지는 AI 시스템에 수반되는 위험을 이해하고 관리해야 한다.

그의 발언은 지침의 핵심인 균형을 보여준다. 금융기관은 생산성 향상과 위험 관리 강화, 새로운 서비스 개발을 추진할 수 있지만 이를 제공하는 데 쓰이는 시스템에 대한 책임을 져야 한다.

다음으로 확정된 주요 일정은 2027년 10월과 2028년 10월의 이행 시한이다. 에이전트형 AI에 관한 추가 의견 수렴은 2027년으로 예정돼 있으며, MAS는 필요할 경우 감독 기대사항을 계속 검토하고 갱신하겠다고 밝혔다. 새로운 에이전트형 AI 요건의 별도 시한은 발표되지 않았다.

핵심 내용

• MAS는 2026년 10월 7일 모든 금융기관과 AI 기술을 대상으로 하는 AI 위험 관리 지침을 발표했다.
• 제3절과 제4절의 핵심 기대사항은 2027년 10월 7일부터 적용되며, 제5절과 제6절은 2028년 10월 7일까지 이행해야 한다.
• 이사회와 고위 경영진은 효과적인 감독을 제공해야 하지만 AI 전담 위원회가 필수는 아니다.
• 금융기관은 AI 활용 현황을 목록화하고 중요성을 평가해 잠재적 피해에 비례하는 통제를 적용해야 한다.
• 기업은 외부 제공업체가 공급한 AI에 대해서도 책임을 지며, 위험을 허용할 수 없는 서비스는 제한하거나 대체하는 방안을 검토해야 한다.
• 에이전트형 AI도 이미 적용 대상이다. MAS는 2027년 추가 지침 가능성을 놓고 의견을 수렴할 계획이다.