리스크관리·컴플라이언스 부서의 AI 전환 — 규제 모니터링과 내부통제에서 나타나는 변화

컴플라이언스 조직은 전통적으로 AI 도입에 가장 느린 부서로 꼽혀왔다. 규제 대응과 감사 추적이 걸린 업무라 실험적인 도구를 들이기 어렵다는 이유였다. 그런데 역설적으로 금융권의 자금세탁방지(AML) 모니터링은 AI를 가장 오래, 가장 깊이 적용해온 영역 중 하나다. 반복적인 거래 패턴을 사람이 일일이 들여다보기엔 양이 너무 많고, 규칙 기반 시스템이 쏟아내는 오탐(false positive)을 줄이는 일 자체가 시급한 과제였기 때문이다. 최근 몇 년의 흐름을 보면 이 영역에서 먼저 검증된 접근이 다른 내부통제·감사 업무로 번지는 동시에, AI 도입 자체가 새로운 통제 대상으로 떠오르는 두 가지 흐름이 겹쳐서 나타난다.

오탐을 줄이는 데서 시작된 적용

HSBC는 2018년 머신러닝 스타트업 아야스디(Ayasdi, 현재는 심포니AI(SymphonyAI) 산하)와 협력해 AML 모니터링에 AI를 적용했다. 거래 데이터에서 정상적인 패턴을 먼저 학습시킨 뒤 이상 행동을 걸러내는 방식으로, 기존 규칙 기반 시스템이 만들어내던 오탐을 줄이는 데 초점을 맞췄다. 아야스디 측이 공개한 수치로는 오탐이 20퍼센트 이상 줄었고, 실제 의심거래보고(SAR) 건수는 기존 수준을 유지했다고 한다. 이 수치는 벤더 쪽에서 나온 것이라 독립적인 검증 자료는 아니지만, 여러 매체가 반복해서 다뤘고 방법론도 비교적 투명하게 공개돼 있다. 특히 결과를 블랙박스로 던지지 않고 의사결정 트리 형태로 보여줘 HSBC 내부 담당자가 그 분류 결과를 직접 해석하고 규제기관에 설명할 수 있게 한 점이 눈에 띈다. 컴플라이언스처럼 "왜 이 거래를 의심스럽다고 판단했는가"를 설명해야 하는 업무에서는 정확도만큼이나 해석 가능성이 채택 여부를 가른다는 것을 보여주는 사례다.

업계 전반의 조사도 비슷한 방향을 가리킨다. 레그테크 업체 리미널(Liminal)이 2026년 발표한 조사에 따르면 AML 거래 모니터링 담당자의 78퍼센트가 AI 에이전트를 이미 쓰고 있거나 도입을 계획하고 있다고 답했다. 다만 이 수치는 벤더가 수행한 설문이라는 점을 감안해야 한다. 내부감사 영역에서도 흐름은 같다. 월터스클루버(Wolters Kluwer)가 2025년 내부감사 담당자 4,214명을 조사한 결과 39퍼센트가 이미 AI를 쓰고 있었고 41퍼센트는 12개월 내 도입을 계획한다고 답해, 합산하면 2026년까지 80퍼센트에 이를 것으로 전망됐다. 흥미로운 대목은 같은 조사에서 응답자의 46퍼센트가 "우리 내부감사 조직의 AI 도입은 회사의 다른 부서보다 뒤처져 있다"고 답했다는 점이다. 컴플라이언스·감사 조직이 AI를 쓰기 시작했다는 것과, 전사 다른 조직에 비해 여전히 뒤처져 있다는 두 가지 사실이 동시에 성립한다.

AI가 통제 대상에서 통제 주체로, 다시 리스크 요인으로

여기서 흥미로운 반전이 나온다. 보안·컴플라이언스 플랫폼 업체 소로패스(Thoropass)가 2026년 3월 발표한 "2026 State of Audit and Compliance Report"는 AI가 이제 기업의 IT 보안·컴플라이언스 조직이 가장 중요하게 꼽는 새로운 리스크 요인이 됐다고 밝힌다. 보안·IT·컴플라이언스 책임자 500여 명을 조사한 결과, 응답자의 약 70퍼센트가 자기 회사의 AI 활용이 통제 체계보다 더 빠르게 앞서가고 있다고 답했다. AI와 관련한 우려가 전통적인 보안 위협보다 발생 가능성과 영향력 모두에서 더 크게 평가됐다는 점도 눈에 띈다. 소로패스 CEO 샘 리는 이 간극을 "혁신과 감독 사이에 벌어진 틈"이라고 표현했다.

이 조사가 가리키는 것은 단순하다. 컴플라이언스 조직이 AI를 리스크 모니터링 도구로 쓰는 동시에, 그 AI 사용 자체가 새로운 감사 대상이 됐다는 것이다. 어떤 직원이 어떤 업무에 생성형 AI를 썼는지, 민감한 데이터가 외부 모델로 흘러갔는지, AI가 내린 판단을 누가 검토하고 승인했는지를 추적하는 일이 거래 모니터링만큼 중요한 통제 항목으로 올라섰다. 규제기관의 움직임도 같은 방향이다. 미국 식품의약국(FDA)은 2025년 1월 의약품·바이오의약품 규제 결정을 지원하는 AI 활용에 대한 가이드라인 초안을 냈고, 2026년 1월에는 유럽의약품청(EMA)과 공동으로 관련 원칙을 발표했다. 두 기관이 공통으로 강조하는 지점은 AI가 내린 결론이라도 최종 책임은 인간의 감독에 있어야 하고, 그 감독 과정이 문서로 남아야 한다는 것이다. AI를 썼다는 사실보다 그 사용을 누가, 어떻게 검증했는지를 증명할 수 있는지가 규제 대응의 핵심이 되고 있다.

한국 기업에 주는 시사점

한국의 금융·제조·헬스케어 기업이 리스크관리·컴플라이언스 조직에 AI를 들일 때 참고할 지점은 두 가지로 압축된다. 첫째, 오탐 감소나 모니터링 범위 확대 같은 효율화 효과는 해외 금융권 사례에서 상당히 일찍, 상당히 꾸준히 확인된 영역이다. 다만 그 효과는 결과를 설명할 수 있는 구조를 같이 설계했을 때 나온 것이지, 모델의 정확도만으로 얻어진 것이 아니다. 둘째, AI 도입 속도가 통제 체계 정비 속도를 앞서는 순간 그 간극 자체가 새로운 리스크 항목이 된다는 점을 전사 차원에서 먼저 인지해야 한다. 컴플라이언스 조직에 AI를 들이는 결정과, 전사의 AI 사용을 누가 감독하고 그 기록을 어떻게 남길지를 정하는 결정은 분리해서 생각할 문제가 아니라 같은 설계의 두 축이다.

리스크관리·컴플라이언스 부서의 AI 전환 — 규제 모니터링과 내부통제에서 나타나는 변화

오탐을 줄이는 데서 시작된 적용

AI가 통제 대상에서 통제 주체로, 다시 리스크 요인으로

한국 기업에 주는 시사점

참고한 자료

글보다 직접 만져보는 게 빠릅니다