2026년 11월 4일, 미국 통화감독청(OCC)은 첫 은행 인공지능 검사 프레임워크인 'OCC 은행의 슈퍼인텔리전스 이용 감독 프레임워크'를 2026-54호 고지와 함께 발표했다. 이 문서는 검사관을 위한 것이며, 은행에 직접 적용되는 새 규칙이 아니다. 강제할 수 있는 기준을 정하지도 않고, 은행에 별도의 AI 위험 선호도를 요구하지도 않는다. 판단 기준은 분명하다. 모델이 얼마나 앞선 기술인지가 아니라, 오류가 발생했을 때 어떤 결과가 생기는지를 본다.
보는 것은 모델의 발전 수준이 아니라 실패 비용
OCC는 검사관에게 슈퍼인텔리전스를 기존 검사 업무의 보완 수단으로 다루고, 독립적인 위험 범주로 취급하지 말 것을 요구한다. 문서에서 '슈퍼인텔리전스'는 행정부가 통일해 사용하는 용어로, 기존 인공지능과 자율 에이전트를 포함하며 인간을 뛰어넘는 가상의 시스템만을 뜻하지 않는다. 검사는 여전히 은행의 기존 모델 위험 관리, 거버넌스, 기술, 컴플라이언스, 운영 위험 관행을 토대로 하며, 용도별로 한 겹의 질문을 더한다. 실패했을 때 손실을 누가 부담하는지, 조치를 되돌릴 수 있는지, 사람이 어느 단계에서 멈출 수 있는지가 그것이다.
사례가 기준을 잘 보여준다. 직접 거래를 시작할 권한을 가진 단순한 에이전트는, 내부 문서 작성만 하는 기술적으로 복잡한 모델보다 위험이 클 수 있다. 실시간 신용 결정을 내리고 결제를 자율적으로 완료하는 시스템은 높은 쪽에, 내부 효율성 보조에만 쓰이는 도구는 낮은 쪽에 위치한다. 검사 깊이는 은행 규모와 업무 복잡성에 따라 조정된다.
은행이 먼저 준비해야 할 것
OCC 감독을 받는 전국 은행과 연방 저축협회는 먼저 '돈을 움직일 수 있는' 에이전트를 따로 정리해야 한다. 어떤 거래를 시작할 수 있는지, 권한 경계가 어디에 명시돼 있는지, 권한을 벗어난 행위를 누가 검토하는지, 거래 한도와 모니터링이 갖춰져 있는지를 확인하는 일이다. 프레임워크가 예시로 제시한 보호 장치는 신원 확인, 권한 위임, 거래 한도, 지속적 모니터링과 함께 이상 발생 시 접근을 중단하거나 철회할 수 있는 능력을 포함한다. 가동 중에도 해로운 결정을 계속 내리는 시스템에 대해서는 차단 장치, 속도 제한, 긴급 정지도 언급한다. 이는 검사관이 물을 수 있는 통제 지점이지, 문서 자체가 새로 만든 경직된 의무가 아니다. 은행은 여전히 기존 법령과 건전 경영 요건 안에서 이를 실행해야 한다.
외부 에이전트도 중요한 쟁점이다. 고객, 핀테크 기업, 다른 기업이 운영하고 은행이 직접 통제하지 않더라도, 은행 채널을 통해 계좌에 접속하면 위험이 생길 수 있다. 은행은 고객이 승인한 정상 접속과 권한을 벗어난 행위를 구분하고 추적 가능한 기록을 남겨야 한다. 그렇지 않으면 이상 거래가 고객의 의도인지 에이전트의 권한 초과인지 판단하기 어렵다.
이 문서는 새 법이 아니다, 경계는 어디인가
법적 지위를 분명히 해야 한다. 이 문서는 새로운 규제 요건을 만들지 않으며, 은행이 자기 평가용 컴플라이언스 체크리스트로 쓸 수 있는 것도 아니다. 로이터는 문서 자체에는 법적 구속력이 없지만 은행은 보통 이런 검사 지침을 중시하며, 검사 관행의 변화 자체가 현실적인 영향을 미친다고 전했다. 적용 범위는 미국 OCC 감독 하의 은행 체계에 한정되며, 다른 나라에 그대로 적용할 수 없고 세계 공통의 은행 AI 규칙도 아니다. 기존 법적 의무는 계속 적용된다. 프레임워크는 기존 틀 안에서 검사관이 추가로 무엇을 물어야 하는지를 알려줄 뿐이다. 앞으로 주목할 점은 이 질문 목록이 실제 검사에서 어떻게 쓰이는지, 그리고 OCC가 기술 변화에 맞춰 문서를 업데이트하는지 여부다.
