[QA] 생성형 AI 망분리 허용, 챗GPT 등에 국한되지 않는다

[연합뉴스]

금융당국이 금융보안원과 함께 전 금융업권을 대상으로 '금융분야 망분리 규제개선 로드맵'에 대한 합동 업무설명회를 22일 개최했다. 금융회사 등의 정보기술(IT) 및 보안 담당자 약 400여명이 참석해 생성형 인공지능(AI) 활용방안을 고민했다. 지난 13일 발표된 '금융분야 망분리 개선 로드맵'에 따라 로드맵 단계별 세부 내용, 규제 샌드박스 운영 방향, 금융회사 또는 전자금융업자가 갖춰야 할 강화된 보안 대책 등을 논의한 것이다.

이날 주요 논의를 문답으로 정리했다.

Q. 생성형 A 허용의 경우 챗GPT 등 특정 서비스만 허용하는 것인지? 아니면 생성형 AI 기술이 적용된 서비스라면 허용 가능한 것인지?

-샌드박스를 통한 생성형 AI 허용은 특정 서비스에 국한되지 않는다. 생성형 AI 기술이 적용된 서비스라면 얼마든지 규제 샌드박스 신청 가능하다.

Q. PaaS 형태의 생성형 AI 서비스의 경우 로드맵과 상관없이 이용 가능한지?

-생성형 AI의 운영 구조(SaaS 또는 PaaS)와 관계없이 망분리 규제 특례가 필요하면 규제 샌드박스 신청 및 승인이 필요하다.

Q. 생성형AI 활용시 고객 개인신용정보를 취급하지 않는 경우에도 샌드박스 심사 및 승인이 필요한지?

-망분리 관련 규제 샌드박스는 전자금융감독규정 제15조(해킹 등 방지대책) 제1항 제3호 또는 제5호에 대한 특례를 허용하는 것이다. 개인신용정보 취급 여부와 관계없이 해당 규정에 대한 특례허용이 필요한 경우 규제 샌드박스 심사 및 승인이 필요하다.

Q. 가명 처리된 개인신용정보에 대한 가명처리 적정성 평가, 반출 기준 등 필요 보호조치가 있는지?

-로드맵상에선 '신용정보법'상 가명처리를 의미하며, 관련 법령에서 정하고 있는 행위 규칙 등을 필히 준수해야한다. 활용하려는 업무에 따라 가명처리 수준 결정, 가명처리 방법, 적정성 검토 및 사후관리 등 규정 준수가 필요하다.

Q. 생성형 AI 허용시 대량의 가명 정보가 국외에서 처리될 수도 있는데, 개인정보보호상의 문제는 없는지?

-생성형 AI를 통한 가명정보의 국외 처리에 대해서는 개인정보보호위원회(개보위)와 샌드박스 협업을 추진하기로 사전 협의했다. 샌드박스 지정시 개인정보보호법 특례 부여에 대해서는 개보위도 함께 참여할 예정이다. 개인정보 처리·이전·보호 등에 필요한 각종 보안대책도 부가조건에 반영 예정이다.

Q. 샌드박스 과정에서의 보안 점검·컨설팅은 무엇인지?

-샌드박스 지정시 리스크에 따른 보안대책을 추가조건으로 부과한다. 금감원·보안원은 개별 금융회사가 수립한 보안대책의 적절성, 취약점, 보완 필요사항 등을 사전 컨설팅하고, 서비스 개시 전 해당 보안조치 등을 제대로 갖췄는지 점검할 예정이다.

Q. 기존 샌드박스를 통해 SaaS 이용 특례를 받은 기업의 경우, 금번 개선에 따라 추가 조치를 취해야 하는지?

-금번 망분리 개선을 통해 SaaS 이용범위가 확대되는 것이다. 기존 샌드박스를 통해 허용한 SaaS와는 대상 및 범위, 부가 조건 등이 상이하다. 이미 규제특례를 받아 기존의 지정 범위 내에서 서비스를 영위하고자 할 경우 추가적인 조치가 필요하지 않으나, 금번 망분리 개선방안에 따라 SaaS 이용 범위를 새로 확대하고자 하는 경우에는 별도의 샌드박스 지정 신청이 필요하다.

Q. 이번 로드맵 관련 규제샌드박스 향후 일정은 어떻게 되는지? 일회성 신청인지? 앞으로 지속적으로 신청할 수 있는지?

-생성형AI 등 금번 로드맵 관련 규제 샌드박스는 금년 9월 중 첫 신청을 받을 예정이다. 상세 일정은 각 협회 및 금융규제 샌드박스 웹페이지를 통해 안내할 예정이다. 일회성은 아니다. 추가 신청 시기는 조만간 검토한다.

Q. 연구·개발망 활용 범위에 대한 기준이 있는지?

연구·개발망의 활용 범위는 원칙적으로 개별 금융회사의 물적·인적 요소 및 보안 요소(보안역량, 보호 필요성, 외부망 오픈 리스크 등)을 고려해 자체 판단할 필요가 있다. 금융회사 자체적으로 정보자산·시스템의 중요도·리스크를 식별하고 영향도를 분석·평가해 연구개발망 사용여부를 판단하고, 내부 정보보호위원회 승인 등을 거쳐 운영한다. 다만 망분리 예외에 따른 대체 정보보호통제 등을 준수하고, 취약점을 정기적으로 점검하는 등 보안장치도 철저히 갖출 필요가 있다.

Q. 연구·개발망 활용 상세지침 등의 안내서는 언제쯤 발간될 예정인지?

-연말까지 연구·개발 분야 망분리 개선을 위한 '전자금융감독규정' 및 시행세칙을 개정할 예정이다. 업계 의견수렴 등을 거쳐 연구·개발망의 구체적인 활용 범위, 필요 보안대책, 모범사례 등을 담은 상세 지침을 함께 발간하려고 한다. 김경렬기자 iam10@dt.co.kr