2022년 현재, World Alliance를 둘러싼 환경에 속한 누구도 인공지능(AI)과 머신러닝(ML) 기술의 변혁적 영향을 피할 수 없으며, 피하려 해서도 안 됩니다. 이 정도 규모의 변화가 늘 그렇듯, 잠재적 이익과 해악은 무엇일까요? 이 두 기술이 점점 더 깊이 자리 잡아 감에 따라 이러한 질문이 제기되고 있습니다. 이에 답하기 위한 출발점으로서 근본적인 사실은 법과 규제가 이 산업의 틀을 이루는 지침을 제공한다는 점입니다. 몇 달 전 국제증권감독기구(IOSCO)는 AI와 ML에 관한 규제 당국의 질문을 다룬 최종 보고서를 발표했습니다.
규제 당국은 무엇을 물었는가?
데이터 가용성과 컴퓨팅 성능의 향상에 힘입어 인공지능과 머신러닝은 금융 서비스에서 점점 더 많이 활용되고 있습니다. 시장 중개기관과 자산운용사의 AI 및 ML 활용은 기업의 비즈니스 모델을 변화시켜 왔습니다. 예를 들어 많은 기업이 자문 및 지원 서비스, 위험 관리, 고객 확인 및 모니터링, 거래 알고리즘 선택, 포트폴리오 관리를 지원하기 위해 AI와 ML을 활용해 왔습니다. 그 과정에서 이들 기업 자체의 위험 특성도 변화했을 가능성이 큽니다. 이들을 둘러싼 위험 환경 역시 전체적으로 변화하고 있습니다. 이러한 외부 산업의 변화가 적절히 평가되고 있을까요?
이러한 기술의 활용은 더 빠른 거래 체결 속도와 투자 서비스 비용 절감을 포함하여 기업과 투자자에게 상당한 효율성과 이익을 가져다줄 수 있습니다. 동시에 그 활용은 특정 위험을 새로 만들어 내거나 증폭시킬 수도 있으며, 이는 잠재적으로 금융시장의 효율성에 영향을 미치고 고객에게 피해를 줄 수 있습니다.
IOSCO는 시장 중개기관과 자산운용사의 AI 및 ML 활용을 핵심 우선 과제로 지정했습니다.[1] 2019년 4월 IOSCO 이사회는 "시장 중개기관 규제"를 담당하는 제3상임위원회와 "투자 관리"를 담당하는 제5상임위원회에 이러한 기술의 도입과 그 영향에 대한 공적 감독과 관련하여 현재 및 잠재적인 모범 사례를 검토하도록 위임했습니다. 두 위원회는 회원 관할권이 영업행위 위험에 대응하기 위해 채택을 고려할 수 있는 지침을 제안하도록 요청받았습니다.
협의 보고서에서 확인된 잠재적 위험
IOSCO의 발표는 전 세계 금융 서비스 컴플라이언스 담당자들의 주목을 받습니다. IOSCO는 AI와 ML이 어떻게 활용되는지 파악하기 위해 시장 중개기관을 대상으로 설문조사와 라운드테이블 토론을 실시하고 자산운용사를 대상으로 의견 수렴 활동을 펼쳤습니다. 그리고 관련 위험이 무엇인지 질의했습니다.
2020년 6월 발표된 협의 보고서[2]에서는 이러한 기술의 개발, 테스트 및 도입과 관련하여 잠재적 위험과 피해가 발생할 수 있는 다음 영역이 강조되었습니다.
- 거버넌스 및 감독
- 알고리즘 개발, 테스트 및 지속적 모니터링
- 데이터 품질 및 편향
- 투명성 및 설명 가능성
- 아웃소싱
- 윤리적 문제
IOSCO 지침
이번 협의를 위해 구성된 글로벌 규제 당국 팀이 접수한 의견을 바탕으로, 최종 보고서는 IOSCO 회원이 AI와 ML을 활용하는 시장 중개기관과 자산운용사를 감독하는 데 도움이 되는 지침을 제공합니다.
이 지침은 관련 민간 부문 당사자에게 기대되는 행위 기준을 반영한 여섯 가지 조치로 구성되어 있습니다. 다시 말하지만, 각 관할권은 글로벌 원칙을 자국의 시장, 법률 및 규제 여건에 맞게 조정해야 하므로 "지침"이라는 단어가 특히 중요합니다. IOSCO 회원과 기업은 조치를 이행할 때 대응의 비례성도 고려해야 합니다.
기술이 발전함에 따라 AI와 ML의 활용은 더욱 늘어날 것이며, 이와 관련하여 새롭게 대두되는 위험에 대응하기 위해 규제 체계도 함께 진화해야 할 가능성이 높습니다. IOSCO는 정의와 지침을 포함한 2022년 보고서가 향후 검토 및 갱신될 수 있다고 밝혔습니다. 각국 당국은 글로벌 지침을 수용하는 과정에서 필요에 따라 더 나아간 조치를 취하도록 권장됩니다.
조치 1: 규제 당국은 기업이 AI 및 ML의 개발, 테스트, 도입, 모니터링 및 통제에 대한 감독 책임을 지는 고위 경영진을 지정하도록 요구하는 방안을 검토해야 합니다. 여기에는 명확한 책임 체계를 갖춘 문서화된 내부 거버넌스 체계가 포함됩니다. 관련 역량과 지식을 갖춘 적절한 직급의 개인 또는 그룹이 이러한 기술의 최초 도입과 중대한 업데이트를 승인하는 책임을 맡아야 합니다.
조치 2: 규제 당국은 기업이 도입된 AI 및 ML 기법의 결과를 지속적으로 검증하기 위해 사용하는 알고리즘을 테스트하고 모니터링하도록 요구해야 합니다. 테스트는 도입에 앞서 실제 운영 환경과 분리된 환경에서 수행되어야 하며, 이를 통해 AI와 ML이 다음을 충족하는지 확인해야 합니다.
(a) 스트레스 상황과 정상 상황의 시장 여건 모두에서 예상대로 작동할 것
(b) 규제상의 의무를 준수하는 방식으로 운영될 것
조치 3: 규제 당국은 기업이 자체적으로 구축하는 AI 및 ML을 개발, 테스트, 도입, 모니터링하고 그 통제를 감독하는 데 필요한 충분한 역량, 전문성 및 경험을 갖추도록 요구해야 합니다. 컴플라이언스 및 위험 관리 부서는 생성된 알고리즘을 이해하고 이에 이의를 제기할 수 있어야 하며, 제3자 공급업체가 특히 금융 서비스 분야에서 입증한 지식, 전문성 및 경험 수준을 포함하여 해당 공급업체에 대한 실사를 수행할 수 있어야 합니다.
조치 4: 규제 당국은 기업이 모든 종류의 제3자 IT 공급업체에 대한 의존도를 파악하고 이러한 관계를 적극적으로 관리하도록 요구해야 합니다. 여기에는 공급업체의 성과를 모니터링하고 감독을 수행하는 것이 포함됩니다. 적절한 책임성을 확보하기 위해 기업은 아웃소싱된 기능과 공급업체의 범위 및 책임을 명확히 하는 서비스 수준 협약과 계약을 갖추어야 합니다. 명확한 성과 지표와 함께 성과가 미흡할 경우의 권리와 구제 수단도 규정되어야 합니다.
조치 5: 규제 당국은 기업에 AI 및 ML 활용에 관해 어느 수준의 공시를 요구할지 검토해야 하며, 여기에는 다음이 포함됩니다.
- 이러한 기술의 활용이 고객 성과에 어떠한 영향을 미치는지에 관해 기업이 고객에게 의미 있는 정보를 공개하도록 요구하는 것.
- AI와 ML을 활용하는 기업에 대해 적절하고 효과적인 감독을 수행할 수 있도록 해당 기업에 어떤 유형의 정보를 요구할 수 있을지 검토하는 것.
조치 6: 규제 당국은 AI 및 ML의 성능을 뒷받침하는 데이터가 편향을 방지할 수 있을 만큼 충분한 품질을 갖추고, 이러한 도구를 근거 있게 적용할 수 있을 만큼 충분히 광범위하도록 기업이 적절한 통제 장치를 갖추도록 요구하는 방안을 검토해야 합니다.
이러한 IOSCO 조치에 더하여, G20/OECD 기업지배구조 원칙[3]은 이사회가 전사적 위험 관리를 감독하고, 관련 제안과 그 지속적인 내부 모니터링을 이해·검토·승인할 것을 요구합니다.
World Alliance를 위한 결론
IOSCO 회원 감독기관은 전 세계에 걸쳐 있습니다. 이들이 감독하는 금융 서비스는 World Alliance 회원 금융센터만큼이나 다양합니다. 이러한 이유로 IOSCO는 원칙, 모범 사례 및 권고의 수준에서 활동합니다. 즉, 법률로 그대로 옮겨질 규칙을 작성하여 관할권마다 동일한 집행을 기대할 수는 없습니다.
이러한 변혁적 변화에는 또 다른 측면이 있습니다. 당국은 자체 업무를 위해 레그테크(RegTech)를 효과적으로 도입해야 합니다. 감독 업무에 유사한 AI 및 ML 기술을 활용하는 감독기관은 민간 부문과 마찬가지로 그 위험과 이익을 충분히 인식하고 있어야 합니다. 이는 관할권별로 흥미로운 논의로 이어질 것입니다.
[3] https://www.oecd.org/corporate/principles-corporate-governance/. 본문은 13개 언어로 제공됩니다.
[2] 시장 중개기관 및 자산운용사의 인공지능 및 머신러닝 활용, IOSCO 이사회 협의 보고서, 2020년 6월, 다음에서 확인 가능: https://www.iosco.org/library/pubdocs/pdf/IOSCOPD658.pdf
[1] 이사회 우선순위 - IOSCO 2019년 업무 계획, 2019년 3월 25일, 다음에서 확인 가능: https://www.iosco.org/library/pubdocs/pdf/IOSCOPD625.pdf
여기에 게재된 글은 각 저자의 견해이며 반드시 World Alliance의 견해를 반영하는 것은 아닙니다.