싱가포르는 금융 AI를 배포하기 전 독립 검토를 요구한다

싱가포르 금융당국의 AI 위험관리 지침은 2027년 10월 7일부터 시행된다. 금융회사는 AI를 실제 서비스에 투입하기 전에 독립적인 검토를 거쳐야 한다.

싱가포르 통화청(MAS)은 금융회사에 AI 사용 사례를 배포 전에 독립적으로 검토하고, 도입 후에도 자체 시스템과 외부 업체의 AI를 계속 감시하도록 요구하는 지침을 발표했다. 싱가포르에서 금융 서비스를 제공하는 기관은 AI를 쓰는 서비스와 공급업체까지 관리 대상으로 삼아야 한다.

이 지침은 무엇을 요구하나

이 지침은 금융회사가 AI를 도입하고 운영할 때 위험을 관리하는 기준이다. AI 위험관리는 자동차 운행 전 점검과 운행 중 정비를 함께 하는 일에 빗댈 수 있다. 배포 전에는 개발에 참여하지 않은 당사자가 모델과 관련 시스템, 평가·시험 등 통제 절차를 검토해야 하며, 기술 및 사이버보안 검토도 거쳐야 한다.

싱가포르 통화청은 AI가 업무 성과를 높일 수 있지만, 복잡하고 결과가 확률적으로 달라질 수 있어 예상하지 못하거나 편향된 행동을 발견하기 어렵다고 지적했다. 생성형 AI는 학습 데이터의 잡음과 대표성 부족, 학습 때 없던 상황을 만나는 문제 때문에 불확실성이 더 크다고 봤다. 에이전트형 AI는 이런 위험을 더 키울 수 있다고 경고했다.

외부 AI도 금융회사가 책임져야 하나

그렇다. 금융회사는 외부 업체가 개발·운영·제공하는 AI가 자사 서비스에 쓰일 때도 책임을 진다. 업체의 AI가 안정적이고 안전한지 감시하고, 용도에 적합한지 평가해야 한다. 충분한 보증을 얻기 어렵거나 보증에 빈틈이 있다면 가능한 범위에서 보완 통제를 적용해야 한다. 위험을 감당할 수 없다면 외부 AI 서비스의 사용을 제한하거나 중단하고 대체해야 한다.

AI가 의도한 대로 작동하는지 확인하려면 배포 뒤에도 지속적으로 감시해야 한다. 데이터나 모델이 바뀌면 성능이 떨어질 수 있고, 시간이 지나 모델이 목적에 맞지 않게 될 수도 있기 때문이다. 금융회사는 사업에 쓰이는 AI의 최신 목록을 유지해야 한다. 외부 서비스가 AI 사용 사실을 공개하지 않아 목록을 완성할 수 없다면, 파악할 수 없는 AI 사용이 만드는 위험을 관리할 방법을 찾아야 한다.

위험도가 높은 업무에 AI를 쓰는 경우에는 실패나 예상 밖 행동에 대비한 비상 계획과 대체 수단도 마련해야 한다. 지침은 사업 연속성을 위해 대체 시스템이나 수작업 절차를 둘 것을 요구한다. 싱가포르 통화청은 금융회사 이사회와 고위 경영진이 AI까지 포함하도록 위험관리 체계를 확장해야 한다고 밝혔다.

지침은 2027년 10월 7일 시행된다. 원문은 요구 사항을 어겼을 때의 제재나 세부 이행 기준은 밝히지 않는다.