금융안정위원회(FSB)는 2026년 10월 15일 '인공지능의 책임 있는 도입을 위한 건전 관행' 최종 보고서를 발표해 전 세계 금융기관을 위한 12가지 관행을 제시하고, 각 기관의 이사회와 경영진이 자사의 AI 거버넌스, 리스크 관리, 내부통제 체계를 이 목록과 대조해 볼 것을 강력히 권고했다. 최종본은 2026년 6월 공개된 협의안을 바탕으로 했으며, FSB는 같은 날 협의 의견 요약도 함께 공개했다.
새 법은 아니지만 각국 감독당국이 자로 쓸 수 있다
FSB는 24개 국가와 지역의 금융당국 업무를 국제적으로 조율하는 기구로, 직접 집행 권한은 없으며 12가지 관행도 구속력 있는 국제 기준은 아니다. 공식적인 위치는 기관의 규모와 리스크 수준에 맞춰 조정하고 사이버 및 제3자 리스크 등 기존 체계에組み 넣을 수 있는 '실용 도구 모음'이다. 무게가 실리는 이유는 회원 감독당국들이 같은 테이블에 앉아 있기 때문이다. 자국 감독당국이 검사나 이사회 질의를 할 때 이 목록을 항목별로 대조할 수 있다. 따르지 않아도 오늘 FSB의 벌금은 없지만, 자국 규제당국 앞에서 답을 못 하는 상황이 생길 수 있다. 싱가포르통화청(MAS)이 2026년 10월 7일 확정한 AI 리스크 관리 지침과도 다르다. 그 지침은 한 관할권이 자국 금융기관에 적용하는 감독 지침이고, FSB 문서는 전 세계를 대상으로 은행과 보험사 등 금융기관 전반을 포괄하며 통일된 준수 기한도 두지 않는다.
앞의 네 항목은 이사회에 묻고, 뒤의 여덟 항목은 전 수명주기를 관리한다
첫 번째 그룹 네 항목은 기관 전체 거버넌스에 관한 것이다. 이사회와 경영진은 AI 도입을 사업 모델, 리스크 성향, 전략과 일치시켜야 하고, 거버넌스의 역할과 책임을 명확히 정해야 하며, AI 리스크를 기존 리스크 관리 체계에 편입하고 AI가 어디에 쓰이는지 문서화해야 하고, 기술 변화에 맞춰 계속 학습하고 적응해야 한다. 두 번째 그룹 여덟 항목은 개별 활용 사례를 착수부터 폐기까지 따라간다. 착수 시점과 그 이후의 중요성 및 리스크 평가, 과업에 맞는 기술 선정, 학습·테스트·운영 데이터의 정확성, 완전성, 신뢰성, 안전성을 지키는 데이터 거버넌스, 설명 가능성이 제한될 때 더 설명 가능한 방식이나 보완 통제의 검토, 리스크에 비례한 성능 평가와 테스트 및 지속 모니터링, 적절하고 실효적인 인간 감독, AI 관련 사이버 및 ICT 리스크 관리, 그리고 성능, 투명성, 데이터 품질, 공급망 집중, 업무 연속성을 포함한 제3자 AI 의존 리스크 관리이다.
최종본에서 가장 크게 바뀐 곳은 에이전트에 단 '승인 게이트'
로이터의 최종 지침 보도에 따르면 FSB는 6월 협의 이후 에이전트형 AI 부분을 강화했다. 활용 사례의 리스크가 높을수록 인간 감독을 더 촘촘히 하고, 에이전트가 어떤 행위를 하기 전에 인간 승인을 받아야 하는지를 리스크 기반의 명확한 트리거로 미리 정해야 한다는 것이다. 최종본은 AI를 '합성 직원'처럼 취급하자는 생각도 걷어냈고, 대신 AI 에이전트는 인간처럼 추론하지 않으며 미리 정해진 목표를 예상 밖의 방식으로 해석할 수 있음을 기관에 상기시켰다. 논리는 단순하다. 스스로 행동할 수 있는 시스템의 권한 경계는 원칙 속에만 둘 것이 아니라 구체적인 승인 트리거로 적어 넣어야 한다.
금융기관이 지금 보완해야 할 네 가지
첫째, 목록화다. 기관 내 AI 활용 사례와 데이터 출처, 제3자 의존을 등록하고 관행이 요구하는 사용 기록의 빈틈을 메워야 한다. 둘째, 에이전트 등급 나누기다. 중요성과 리스크에 따라 자동 실행해도 되는 행위와 반드시 인간이 승인해야 하는 행위를 나누고, 트리거를 회의록이 아니라 시스템 설정에 적어 넣어야 한다. 셋째, 설명 가능성의 빚 갚기다. 작동 원리를 설명할 수 없는 고위험 모델은 더 설명 가능한 방식으로 바꾸거나 인간 검토, 한도 설정 같은 보완 통제를 붙이고, 대상별로 맞는 투명성을 제시해야 한다. 넷째, 제3자 리스크를 내 리스크처럼 다루는 일이다. 공급업체의 성능, 데이터 품질, 집중도를 정기적으로 점검하고 계약에 감사와 철수 조항을 남겨야 한다. 은행과 보험사에 AI 제품을 파는 공급업체도 대비가 필요하다. 고객의 실사 질문지는 이 12가지 관행을 따라 길어질 가능성이 크고, 데이터 거버넌스와 인간 감독에 답하지 못하면 계약은 컴플라이언스 단계에서 먼저 막힌다.
