“생성형 AI, 특정서비스만 허용?”…전 금융권 대상 망분리 개선 설명회

금융당국이 인터넷 등 외부망과 내부 업무망을 분리해 운영하는 금융권 망분리 개선책에 대한 설명회를 열었다. 단계별 로드맵 내용을 설명하고 규제 샌드박스 운영 방향이나 강화된 보안 대책 등을 안내했다. 향후 업권별 설명회를 통해 금융사별 세부 보안 컨설팅도 진행한다.

다음은 금융당국의 금융분야 망분리 개선 로드맵 관련 질문과 답변.

Q. 생성형 AI(인공지능) 허용의 경우 특정 서비스(챗GPT 등)만 허용하는 것인지? 아니면 생성형 AI 기술이 적용된 서비스라면 허용 가능한 것인지?

A. 규제 샌드박스를 통한 생성형 AI 허용은 특정 서비스에 국한되지 않으며, 생성형 AI 기술이 적용된 서비스라면 얼마든지 규제 샌드박스 신청 가능하다.

Q. PaaS(서비스형 플랫폼) 형태의 생성형 AI 서비스의 경우 로드맵과 상관없이 이용 가능한지?

A. 생성형 AI의 운영 구조(SaaS 또는 PaaS)와 관계없이 망분리 규제 특례가 필요하면 규제 샌드박스 신청 및 승인이 필요하다.

Q. 생성형 AI 활용 시 고객 개인신용정보를 취급하지 않는 경우에도 샌드박스 심사 및 승인이 필요한지?

A. 망분리 관련 규제 샌드박스는 전자금융감독규정 제15조(해킹 등 방지대책) 제1항 제3호 또는 제5호에 대한 특례를 허용하는 것으로, 개인신용정보 취급 여부와 관계없이 해당 규정에 대한 특례허용이 필요한 경우 규제 샌드박스 심사 및 승인이 필요하다.

Q. 가명처리된 개인신용정보에 대한 가명처리 적정성 평가, 반출 기준 등 필요 보호조치가 있는지?

A. 로드맵에서 언급하고 있는 ‘가명처리’란 신용정보법상 가명처리를 의미하며, 관련 법령에서 정하고 있는 행위 규칙 등을 필히 준수해야 한다. 활용하고자 하는 업무에 따라 가명처리 수준 결정, 가명처리 방법, 적정성 검토 및 사후관리 등 규정 준수도 필요하다.

Q. 생성형 AI 허용 시 대량의 가명 정보가 국외에서 처리될 수도 있는데, 개인정보보호상의 문제는 없는지?

A. 생성형 AI를 통한 가명정보의 국외 처리에 대해서는 개인정보보호위원회(이하 개보위)와 샌드박스 협업을 추진하기로 사전 협의한다. 샌드박스 지정 시 개인정보보호법 특례 부여에 대해서는 개보위도 함께 참여할 예정이며, 개인정보 처리·이전·보호 등에 필요한 각종 보안대책도 부가조건에 반영할 계획이다.

Q. 샌드박스 과정에서의 보안 점검·컨설팅은 무엇인지?

A. 샌드박스 지정시 리스크에 따른 보안대책을 부가조건으로 부과한다. 금융감독원과 금융보안원은 개별 금융회사가 수립한 보안대책의 적절성, 취약점, 보완 필요사항 등을 사전 컨설팅하고, 서비스 개시 전 해당 보안조치 등을 제대로 갖췄는지 점검할 예정이다.

김병환 금융위원장과 시중 은행장들의 간담회가 20일 서울 은행회관에서 열렸다. 김 위원장이 인사말을 하고 있다. 사진=허영한 기자 younghan@

Q. 기존 샌드박스를 통해 서비스형 소프트웨어(SaaS) 이용 특례를 받은 기업의 경우, 금번 개선에 따라 추가 조치를 취해야 하는지?

A. 이번 망분리 개선을 통해 SaaS 이용범위가 확대되며, 기존 샌드박스를 통해 허용한 SaaS와는 대상 및 범위, 부가 조건 등이 상이하다. 이미 규제특례를 받아 기존의 지정 범위 내에서 서비스를 영위하고자 할 경우 추가적인 조치가 필요하지 않으나, 개선방안에 따라 SaaS 이용 범위를 새로 확대하고자 하는 경우엔 별도의 샌드박스 지정 신청이 필요하다.

Q. 로드맵 관련 규제샌드박스 향후 일정은 어떻게 되는지? 일회성 신청인지? 앞으로 지속적으로 신청할 수 있는지?

A. 생성형 AI 등 로드맵 관련 규제 샌드박스는 올해 9월 중 첫 신청을 받을 예정이다. 상세 일정은 각 협회 및 금융규제 샌드박스 웹페이지를 통해 안내한다. 로드맵 관련 규제샌드박스 신청은 일회성이 아니며, 신청 수요를 보아가며 추가 신청 시기를 검토할 예정이다.

Q. 연구·개발망 활용 범위에 대한 기준이 있는지?

A. 연구·개발망의 활용 범위는 원칙적으로 개별 금융회사의 물적·인적 요소 및 보안 요소(보안역량, 보호 필요성, 외부망 오픈 리스크 등)을 고려하여 자체 판단할 필요가 있다. 금융사 자체적으로 정보자산·시스템의 중요도·리스크를 식별하고 영향도를 분석·평가해 연구개발망 사용여부를 판단하고, 내부 정보보호위원회 승인 등을 거쳐 운영해야 한다. 다만 망분리 예외에 따른 대체 정보보호통제 등을 준수하고, 취약점을 정기적으로 점검하는 등 보안장치도 철저히 갖출 필요는 있다.

Q. 연구·개발망 활용 상세지침 등의 안내서는 언제쯤 발간될 예정인지?

A. 금년 말까지 연구·개발 분야 망분리 개선을 위한 ‘전자금융감독규정’ 및 시행세칙을 개정할 예정이며, 업계 의견수렴 등을 거쳐 연구·개발망의 구체적인 활용 범위, 필요 보안대책, 모범사례 등을 담은 상세 지침을 함께 발간할 계획이다.

오규민 기자 moh011@asiae.co.kr