이찬진 금융위원장, AI 연계 카드 정보 유출 시 CEO 책임 검토 밝혔다

이찬진 금융위원장은 일요일 국회 국정감사에서 카드사 고객정보 유출이 인공지능 외주 벤더와 연결되면 최고경영자에 대한 책임 검토가 이뤄질 수 있다고 밝혔다. 금융당국 수장이 AI 공급망 실패와 CEO 책임 언급을 직접 연결한 것은 이번 사례에서 처음으로 전해진다.

올해 바뀐 CEO 책임 규정

국내는 은행 장애와 개인정보 유출 사건 이후 임원 책임을 강화했다. 금융위는 실명 임원에게 소명을 요구하고, 극단적 경우 영업정지·과징금을 개인에게 부과할 수 있다. 이 위원장은 AI 계약에 데이터 상주, 재학습 범위, 사고 통보 시간을 시간 단위로 명시해야 한다고 했다.

카드사와 신용평가 3사는 어떤 사기 모델이 해외 GPU에서 돌아가는지, 과천·용인 데이터센터 온프레미스에 남았는지 목록을 만들고 있다. 업계는 모델 엔드포인트 점검보다 벤더 증빙에 의존하는 경우가 많다고 말한다.

감사원·의원들이 요구한 것

여야 의원은 AI 도입 계약에 넣을 표준 조항 공개를 촉구했다. 이 위원장은 연말 가이드를 약속했지만 획일 계약이 소형 핀테크 시범을 막을 수 있다고 경고했다. 야당은 합성 음성 피싱을 포함한 모의 침해를, 여당은 정당한 AI 도입 위축을 우려했다.

이 위원장은 금융감독원이 주말 동안 IT 대기열에 머문 지역은행 2곳의 지연 보고를 이미 보고 있다고 했다. 카드번호는 아니었지만, 카드 유출 사건 전에 막아야 할 공백을 드러냈다고 했다.

소비자단체와 카드 업계

시민단체는 AI 벤더가 유출원일 때 고객 통지를 더 빨리 하라고 촉구했다. 카드 업계는 책임 공포가 규칙 기반 엔진으로 회귀해 새 피싱을 놓칠 수 있다고 우려한다.

주요 카드사는 월요일 내부 메모로 추론 외주가 법적 보호 의무를 넘기지 않는다고 직원에 알렸다. 공개 정책 변경은 없었지만 10월 이사회 보고가 늘었다.

금융위 다음 단계

금융위는 개인정보보호위와 TF를 꾸려 어떤 AI 하청이 결제 정보를 만지는지 지도를 만든다. 이 위원장은 겨울 쇼핑 시즌 전 보고를 약속했고, 형사 조사는 검찰에 맡기고 인가·임원 적격성에 집중하겠다고 했다.

가계에는 당장 변화는 없다. 카드는 그대로 쓰이고 새 유출은 공개되지 않았다. 다만 첫 AI 연계 카드 유출이 나오면 어떤 서버가 아니라 어떤 임원이 계약을 승인했는지 묻겠다는 신호다.

카드사 대응

주요 카드사들은 이미 생성형 AI를 고객센터 요약과 사기 탐지에 쓰고 있어, 규제가 확정되면 내부 보고 양식을 바꿔야 한다. 업계는 개인정보 영향 평가를 분기마다 갱신하자는 자율 가이드를 내놓았다.

서울 아침 독자에게는 같은 사안이 교통·금융·국방 일정과 맞물려 하루 안에 추가 보도가 나올 수 있다. 당국과 기업은 공식 발표 전까지 세부 수치를 제한하는 경우가 많아, 확인된 자료와 발표문을 기준으로 판단하는 것이 안전하다.