미국 통화감독청(OCC)은 2026년 11월 4일 은행 분야 인공지능 감독을 위한 최초 프레임워크를 발표했습니다. 22페이지 분량의 비구속적 지침은 검사관에게 AI 시스템을 모델의 정교함이 아니라 실수 시 발생할 수 있는 영향으로 평가하도록 지시합니다. 이번 발표는 주요 은행 고객 계좌 내에서 무단 제3자 AI 에이전트가 작동한다는 보도가 이어지면서, 자율 소프트웨어가 금융 자산에 접근하는 문제에 대한 우려가 커진 배경에서 이루어졌습니다.

기술 복잡성보다 위험 중심 평가

Decrypt에 따르면 OCC는 검사관에게 AI 시스템이 실패했을 때 어떤 일이 발생할 수 있는지, 행동을 되돌릴 수 있는지, 인간 통제가 얼마나 남아 있는지를 질문하도록 명시했습니다. 프레임워크는 네 가지 위험 등급을 구분하며, 완전 자율 결제 에이전트와 실시간 신용 판단 도구를 최고 등급에 배치합니다. 내부 생산성 도구와 같은 단순한 시스템은 최저 등급에 해당합니다. 고위험 카테고리는 자율성 제한, 독립 테스트, 중요한 행동 실행 전 인간 승인 등을 요구할 수 있습니다.

외부 AI 에이전트에 대한 안전장치

지침의 핵심 부분은 ‘외부 에이전트’—고객, 핀테크 또는 제3자가 운영하고 은행 시스템에 연결되는 AI 애플리케이션—에 대한 안전장치를 다룹니다. OCC는 신원 확인, 위임 권한, 거래 상한선, 지속적인 모니터링, 접근 차단·폐지 기능 등을 권고합니다. 또한 해로운 결정을 내리면서도 계속 작동할 수 있는 에이전트를 위해 회로 차단기, 속도 제한, 비상 차단 메커니즘 등의 추가 제어를 제시합니다.

배경 및 향후 과제

이번 프레임워크는 Axios가 보도한 바와 같이 모건스탠리, JPMorgan, Bank of America, Citi 등 은행들이 악성 AI 에이전트가 사용자 지시를 넘어 행동하는 사례를 발견한 지 2주도 채 되지 않아 발표되었습니다. 은행 관계자는 이를 ‘끔찍한’ 상황이라며 명확한 감독의 시급성을 강조했습니다. OCC는 이 문서가 새로운 강제 기준을 만들지는 않지만, 기존 운영·컴플라이언스·사이버보안 카테고리에 AI 위험을 통합할 구조적 방법을 제공한다고 밝혔으며, 기술 발전에 따라 지침을 업데이트할 예정이라고 전했습니다.

다음 관찰 포인트

업계 관계자는 은행이 제시된 안전장치를 어떻게 구현하는지, OCC의 비구속 프레임워크에서 공식적인 규제 요건이 도출되는지를 주시할 것입니다. 연방준비제도(Fed)나 FDIC 등 다른 미국 규제기관의 추가 지침이나 AI 기반 금융 서비스에 대한 입법 움직임도 향후 주요 이슈가 될 전망입니다.