FINMA의 감독상 기대

「리스크 모니터 2023」에서 지침 08/2024까지

스위스 금융시장감독청(FINMA)은 인공지능에 관한 회람을 발표하지 않았다. FINMA는 원칙 중심적이고 기술 중립적인 접근 방식에 따라, 기존의 거버넌스 및 위험관리 체계 안에서 기대 사항을 제시하는 방식을 택하였다. FINMA는 「리스크 모니터 2023」(Risk Monitor 2023)에서 네 가지 기대 영역을 제시하였다. 거버넌스와 책임, 견고성과 신뢰성, 투명성과 설명 가능성, 그리고 평등한 대우이다. FINMA는 AI가 생성한 결과를 인간이 이해하거나 설명하지 못할 수 있다는 점, 오류나 불평등한 대우가 눈에 띄지 않게 스며들 수 있다는 점, 그리고 AI에 기반한 결정에 대한 책임이 불분명하게 남을 수 있다는 점을 우려한다고 설명하였다. FINMA는 2023년 4분기부터 AI를 광범위하게 사용하거나 감독상 중요한 영역에서 사용하는 기관을 대상으로 현장 검사와 감독 대화를 실시하였다.¹

2024년 12월 18일 FINMA는 인공지능 사용 시의 거버넌스 및 위험관리에 관한 지침 08/2024를 발표하였다. 이 지침은 FINMA가 감독 과정에서 관찰한 내용을 요약하고 있으며, 대부분의 기관이 아직 초기 단계에 있어 거버넌스 및 위험관리 구조를 구축하는 중이라고 기술한다. 지침은 운영 위험, 특히 견고성, 정확성 또는 설명 가능성의 결여 및 편향과 같은 모델 위험을 지적한다. 또한 보안, 품질 및 가용성에 관한 데이터 관련 위험, IT 및 사이버 위험, 제3자에 대한 의존도 증가, 그리고 법적 위험과 평판 위험을 열거한다.²

지침의 내용

이 지침은 FINMA가 적절하다고 보는 조치, 그리고 FINMA가 감독 과정에서 기관을 평가하는 기준이 되는 조치를 기술한다. 기관은 AI의 개발, 구현, 모니터링 및 사용에 관한 책임이 명확히 정해진 거버넌스를 수립해야 한다. 기관은 조직 내에서 사용되는 AI 시스템의 목록을 작성하고 이를 위험에 따라 분류해야 한다. 많은 애플리케이션에서는 모델의 선택보다 데이터의 품질이 더 중요하므로 데이터 품질이 보장되어야 한다. 시스템은 도입 전에 테스트를 거치고 지속적으로 모니터링되어야 하며, 포괄적이고 쉽게 접근할 수 있는 문서가 이를 뒷받침해야 한다. 고객, 직원 또는 감독 당국에 결정을 정당화해야 하는 경우에는 설명 가능성이 보장되어야 하며, 적절한 경우 독립적인 검토가 이루어져야 한다. 마지막으로, AI가 올바르고 윤리적으로 사용되도록 직원을 교육해야 한다. FINMA는 이 모든 것을 비례성 원칙에 따라 구성한다. 즉, 조치의 강도는 AI 시스템의 중요성과 관련 위험이 현실화될 가능성에 따라 달라져야 한다.³

이 지침의 두 가지 특징은 강조할 만하다. 첫째는 제3자에 대한 취급이다. 기관이 외부 제공업체의 모델, 하드웨어 또는 클라우드 서비스를 이용하는 경우에도 위험에 대한 책임은 기관에 남으며, FINMA는 아웃소싱 규정의 논리를 따르는 통합적 접근을 기대한다. 둘째는 이 문서의 법적 성격이다. FINMA 지침은 구속력 있는 법이 아니지만, 기관이 적절한 조직 및 위험관리라는 법정 요건을 충족하는지를 평가할 때 FINMA가 적용하는 감독 실무를 기술한다. 지침에서 벗어나는 기관은 자체적인 접근 방식이 어떻게 동일한 보호를 달성하는지 설명할 수 있어야 한다. 실무상 감사인과 FINMA가 가장 먼저 요청하는 요소는 목록, 위험 분류 및 테스트 문서이다.

2024년 이후의 감독 우선순위

FINMA의 「리스크 모니터 2025」는 인공지능을 그 자체로 주요 위험으로 열거하지 않는다. 이 보고서는 아홉 가지 주요 위험을 제시하는데, 그중 아웃소싱, 사이버 공격, 정보통신기술의 복잡성이 AI와 직접 관련된다. FINMA는 핵심 기능의 아웃소싱에 대해 보다 견고한 통제를 요구하였으며, 보고된 전체 사고의 거의 절반이 제3자와 관련되어 있다고 지적하였다.⁴ 이러한 분류는 논리적이다. 감독의 관점에서 대부분의 AI 위험은 운영 위험, 아웃소싱 위험 또는 사이버 위험으로 현실화되므로 기존의 범주 안에서 포착할 수 있다. 오작동하는 AI 모델은 운영 사고이고, 데이터를 유출하는 모델은 사이버 및 데이터 보호 문제를 일으키며, 단일 미국 언어 모델 제공업체에 대한 의존은 아웃소싱 및 집중 위험이다. 따라서 FINMA의 접근 방식은 AI를 스위스 기관들이 이미 알고 있는 체계 안에 위치시킨다. 이는 불확실성을 줄이지만, 관련 규정이 여러 규범에 흩어져 있다는 것을 의미하기도 한다.

주석

1. FINMA, “Künstliche Intelligenz: Die FINMA formuliert ihre Erwartungen” (dossier Fintech), https://www.finma.ch/en/documentation/dossier/dossier-fintech/kuenstliche-intelligenz/ (2026년 9월 확인). 이 자료에 따르면 업계는 FINMA의 기술 중립성과 위험 기반 접근 방식을 환영하였다. ↩
2. FINMA, “FINMA guidance on governance and risk management when using artificial intelligence”, 2024년 12월 18일 보도자료, https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/. ↩
3. Pestalozzi, “FINMA guidance on governance and risk management when using AI”, https://pestalozzilaw.com/en/insights/news/legal-insights/finma-guidance-on-governance-and-risk-management-when-using-ai/ (2026년 9월 확인), FINMA 지침 08/2024의 요약. ↩
4. FINMA, “FINMA Risk Monitor 2025: accentuated geopolitical risks – cyber and real estate risks continue to grow”, 2025년 11월 17일, https://www.finma.ch/en/news/2025/11/20251117-mm-risikomonitor/. ↩

일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.