FINMA 지침 08/2024

2024년 12월 18일 스위스 금융시장감독청(FINMA)은 인공지능 사용 시의 지배구조 및 위험관리에 관한 「감독 안내 08/2024」를 공표하였다. 이 안내는 새로운 규칙을 만들지 않는다. 이는 감독 과정에서 FINMA가 관찰한 사항을 기술하고, 지배구조, 위험관리 및 내부통제에 관한 기존 요건이 인공지능에 어떻게 적용되는지를 설명한다. FINMA는 운영 위험, 특히 견고성, 정확성, 설명가능성의 결여나 편향과 같은 모델 위험을 지적하였고, 아울러 데이터 위험, IT 및 사이버 위험, 제3자에 대한 의존도 증가, 그리고 법적 위험과 평판 위험을 확인하였다.¹ FINMA는 “대부분의 금융기관이 아직 발전의 초기 단계에 있으며”, 지배구조가 “아직 구축 중”이라고 판단하였다.² 이어서 안내는 일곱 개 영역에 걸쳐 관찰 사항과 기대 사항을 제시한다.

● 지배구조: 기관들은 “주로 데이터 보호 위험에 초점을 맞추었고, 모델 위험에는 덜 주목하였다”. FINMA는 기관 전체에 걸친 중앙 차원의 개관, 명확한 책임 및 일관된 기준을 기대한다.

● 목록 관리 및 위험 분류: 일부 기관은 “AI를 좁게 정의하였다”. FINMA는 충분히 넓은 정의, 완전한 목록, 그리고 중요성과 위험의 현실화 가능성에 따른 애플리케이션의 분류를 기대한다.

● 데이터 품질: 기관들에는 데이터가 완전하고 정확하며 무결하다는 점, 그리고 데이터의 가용성과 접근이 확보된다는 점을 보장하는 통제가 흔히 결여되어 있었다.

● 테스트 및 지속적 모니터링: 애플리케이션은 성과 지표, 임계값 및 “데이터 드리프트” 탐지를 갖추고 정확성, 견고성 및 안정성에 대하여 테스트되어야 한다.

● 문서화: 문서화는 흔히 “충분히 상세하지 않고 수신자 지향적이지 않았다”. 중요한 애플리케이션의 경우 문서화는 목적, 데이터 선택, 모델 선택, 성과 측정, 한계 및 대체 방안을 포괄해야 한다.

● 설명가능성: 결과는 “흔히 이해, 설명 또는 재현될 수 없다”. 결정을 고객, 투자자 또는 감독당국에 정당화해야 하는 경우, 기관은 그 결정을 설명할 수 있어야 한다.

● 독립적 검토: 중요한 애플리케이션에 대하여 자격 있는 인력이 독립적 검토를 수행한 곳은 “소수의 감독 대상 기관뿐”이었다.³ 이 안내는 비례성 원칙을 적용한다. 작성 업무에 챗봇을 사용하는 루가노의 소규모 자산운용사에게 대형 은행 수준의 모델 지배구조가 필요하지는 않다. 다만 이 자산운용사는 자신이 어떤 인공지능 애플리케이션을 사용하는지 알고, 그중 어느 것이 중요한지 평가해야 한다. 또한 그 결과가 고객이나 컴플라이언스에 영향을 미치는 결정에 사용되기 전에 필요한 역량을 갖춘 사람이 이를 점검하도록 보장해야 한다.⁴ 은행의 경우 이러한 기대 사항의 법적 근거는 「은행법」과 「은행 시행령」의 조직 요건에 있으며, 이들 법령은 업무에 적합한 조직과 효과적인 내부통제 시스템을 요구한다. 포트폴리오 관리인과 수탁자의 경우에는 「금융기관법」의 해당 규정에 그 근거가 있다.⁵

주석

1. FINMA, “FINMA publishes guidance on governance and risk management when using artificial intelligence”(2024년 12월 18일), https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/. ↩
2. 2024년 12월 18일 FINMA 보도자료(위의 자료). ↩
3. FINMA, 「감독 안내 08/2024」(위의 자료), 제2.1절–제2.7절(인용문은 공식 영문 번역에 따름). ↩
4. FINMA, 「감독 안내 08/2024」(위의 자료)(FINMA는 “a technology-neutral, proportional and standardised approach”를 취하며, “the materiality of the AI applications used and the probability that the risks ... will materialise”를 언급한다). 소규모 자산운용사에 관한 예시는 필자가 이 안내를 적용한 것이다. ↩
5. 1934년 11월 8일 「연방 은행 및 저축은행법」(「은행법」, BankA), SR 952.0, 제3조 제2항 a호(업무 범위 및 업무에 상응하는 관리 조직), https://www.droit-bilingue.ch/de-fr/9/95/952.0-3-10.html; 2014년 4월 30일 「은행 시행령」(BankO), SR 952.02, 제12조(“Funktionentrennung und Risikomanagement”), https://www.droit-bilingue.ch/de-fr/9/95/952.02-12-20.html; 2018년 6월 15일 「연방 금융기관법」(FinIA), SR 954.1, 제9조(“Organisation”) 및 제21조(포트폴리오 관리인과 수탁자는 “ein angemessen ausgestattetes Risikomanagement und eine wirksame interne Kontrolle”를 갖추어야 한다), https://www.droit-bilingue.ch/de-fr/9/95/954.1-21-24.html. ↩

일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.