에이전틱 AI 시대 국내 금융기관 96% 준비 중, 거버넌스 확신은 48%에 그쳐

▲ 이미지 출처: ITWorld Korea

오픈텍스트(OpenText)가 후원하고 디지털뱅킹리포트(Digital Banking Report)가 발표한 조사 결과, 전 세계 금융기관의 96%가 에이전틱 AI 도입을 추진 중이라고 밝혔다. 그러나 실제 운영 단계까지 도달한 곳은 19%에 불과하다. 자체 거버넌스가 규정 준수형 에이전틱 AI를 뒷받침할 준비가 됐다고 확신하는 기관은 48%에 그쳤다. 도입 의지와 운영 역량, 그리고 책임 구조 사이의 삼중 간극이 수면 위로 드러난 것이다.

에이전틱 AI란 무엇인가: 기존 생성형 AI와의 결정적 차이

에이전틱 AI(Agentic AI)는 사용자의 단발성 지시에 반응하는 기존 생성형 AI와 근본적으로 다르다. 목표를 스스로 분해하고, 외부 시스템에 접근해 도구를 호출하며, 중간 결과를 평가해 다음 행동을 자율 결정한다. 금융 영역에서는 이상 거래 감지 에이전트가 신호를 포착하면 즉시 계좌를 보호 조치하고, 대출 상담 에이전트가 고객의 현금흐름을 분석해 최적 상품을 선제적으로 제안하는 시나리오가 이미 파일럿 단계에 있다.

그 자율성이 곧 리스크의 핵심이다. OWASP의 LLM 애플리케이션 Top 10은 “과도한 에이전시(Excessive Agency)”를 주요 취약점으로 지목한다. 에이전트가 예상치 못한 출력 또는 악의적 프롬프트 인젝션에 반응해 승인되지 않은 금융 거래를 실행하거나, 민감 데이터를 외부로 전송할 수 있다는 경고다. 자율 에이전트를 도입하는 금융기관이 거버넌스 프레임워크를 동시에 정비하지 않으면, 규정 위반과 재무 손실의 리스크가 기하급수적으로 커진다.

맥킨지는 생성형 AI(에이전틱 AI의 기반 기술)가 은행업계에 연간 2,000억~3,400억 달러 규모의 가치를 창출할 수 있다고 분석했다. 이는 은행업 운영이익의 9~15%에 해당하는 수치로, 대부분 생산성 향상에서 비롯된다. 또한 맥킨지는 AI 도입으로 은행 순비용의 최대 20%를 절감할 수 있다고 별도 보고서에서 밝혔다.

96% 추진, 19% 실행: 숫자가 말하는 준비 격차

오픈텍스트·디지털뱅킹리포트 조사의 핵심 데이터를 정리하면 현실은 더 선명해진다.

• 96% — 에이전틱 AI 도입을 추진 중인 금융기관 비율 (OpenText·Digital Banking Report)
• 19% — 실제 운영 단계까지 도달한 금융기관 비율 (동 보고서)
• 9% — 콘텐츠·커뮤니케이션·거래 데이터를 실시간으로 연결 가능한 기관 비율 (동 보고서)
• 48% — 현재 거버넌스가 규정 준수형 에이전틱 AI를 뒷받침할 준비가 됐다고 확신하는 기관 비율 (동 보고서)
• 14% — AI 투자 중 인력 역량 강화에 배분되는 비율, 전 항목 중 최하위 (동 보고서)
• 93% — 더 넓은 디지털 전환 목표를 달성하지 못했다고 응답한 은행 비율 (동 보고서)

이 수치들은 개별 지표가 아니라 하나의 구조적 패턴을 보여준다. 도입 의지(96%)는 압도적이지만 실행(19%), 데이터 통합(9%), 거버넌스 확신(48%), 인력 투자(14%)로 갈수록 수치가 급락한다. 에이전틱 AI를 “도입했다”고 말하는 것과, 자율 에이전트가 실시간 금융 데이터에 접근해 의사결정하는 환경을 안전하게 운영하는 것 사이의 거리가 얼마나 먼지를 보여주는 지표들이다.

거버넌스 확신 48%의 실제 의미: 리스크와 책임의 공백

거버넌스 확신율 48%는 추상적 수치가 아니다. 이 숫자 뒤에는 구체적인 법적·재무적 리스크가 존재한다.

2025년 1월 미국 투자사 두 시그마(Two Sigma)는 알고리즘 거버넌스 실패로 9,000만 달러(약 1,200억 원) 규모의 SEC 제재를 받았다. 트레이딩 파라미터가 승인 없이 변경됐고 이를 감지·차단할 거버넌스 체계가 없었다. 2024년 8월 브렉스 트레저리(Brex Treasury)는 자동 신원 인증 알고리즘이 1,500만 달러 이상의 의심 거래를 통과시켜 90만 달러 규모의 FINRA 과징금을 받았다(ValidMind, 2026). 이 두 사례는 에이전틱 AI 이전, 훨씬 덜 자율적인 알고리즘 시스템에서 발생했다. 에이전틱 AI가 본격 배포되는 환경에서 거버넌스 공백의 대가는 더 클 수 있다.

학술 연구도 경고를 보탠다. 2026년 8월 arXiv에 게재된 AI 거버넌스 논문에 따르면, 조사 대상 금융 전문가의 88%가 에이전틱 AI에 대한 운영 거버넌스 프레임워크가 없다고 응답했다. 또한 미국 대형 자산운용사 75곳 중 AI 사용을 공시한 곳 가운데 공식 거버넌스 정책을 보유한 곳은 32%(24곳)에 불과했다. 이 논문은 정적 검증 프레임워크가 지속적으로 재학습하는 에이전틱 시스템과 구조적으로 불일치한다는 점을 핵심 문제로 짚는다.

또 다른 리스크는 시스템 상관 위험(crowding risk)이다. 동 논문은 다수 금융기관이 유사한 에이전틱 AI를 동시에 운영할 경우, 시장 급등락 국면에서 기관 간 공동 손실 확률이 평온 구간의 39.2%에서 스트레스 구간에는 79.3%까지 상승한다는 시뮬레이션 결과를 제시했다.

해외 비교: 대형 은행들은 이미 다른 단계에 있다

글로벌 대형 은행의 현실은 조사 응답과 다른 층위에서 전개되고 있다. 뱅크오브아메리카의 가상 어시스턴트 ‘에리카’는 누적 30억 건의 고객 상호작용을 처리했으며, 현재 하루 200만 건 이상의 상담을 소화한다. JP모건체이스는 25만 명의 임직원에게 LLM 기반 오퍼레이션 도구 접근 권한을 부여했다.

엑센츄어 조사에 따르면 향후 3년 내 은행 임원의 57%가 에이전틱 AI를 리스크·컴플라이언스·감사·사기 탐지 기능에 완전 통합할 것으로 예상했고, 56%는 신용 평가·대출 처리·KYC(고객 신원 확인) 업무에서 광범위한 도입이 이뤄질 것으로 전망했다(Banking Dive, 2026). BNY멜론은 2026년 내 AI 기반 서비스 150개를 구축할 계획이다.

캡제미니 연구소의 2026 금융서비스 세계 클라우드 보고서는 은행과 보험사의 거의 절반이 AI 에이전트를 감독하는 신규 직무를 이미 창설하고 있다는 점을 주목했다. “도구 도입”과 “도구 관리 체계 설계”를 동시에 추진하는 선도 기관과, 도입만 추진하는 기관 사이의 격차가 앞으로 더 벌어질 전망이다.

한국 규제 환경: 금융위원회 AI 가이드라인 7대 원칙

국내에서는 금융위원회가 2026년 6월 22일 ‘금융분야 인공지능(AI) 가이드라인’을 시행했다. 2021년·2022년·2023년에 각각 발표된 세 가지 가이드라인(운영·개발 및 활용·보안)을 통합하고, 생성형 AI 등 새로운 기술과 인공지능기본법 제정을 반영한 개정판이다.

가이드라인은 금융회사와 핀테크 기업이 자율적으로 준수해야 할 7대 원칙을 제시했다: ① 거버넌스, ② 합법성, ③ 보조수단성(AI는 최종 의사결정을 대체하지 않음), ④ 신뢰성, ⑤ 금융안정성, ⑥ 신의성실, ⑦ 보안성. 특히 ‘보조수단성’ 원칙은 에이전틱 AI가 자율적으로 금융 의사결정을 수행하는 시나리오와 직접 충돌할 수 있다 — 에이전트가 “도구”인지, “의사결정자”인지의 경계 설정이 아직 명확히 정의되지 않은 상태다(파이낸셜뉴스, 2026.6.18).

이는 에이전틱 AI 도입을 추진하는 국내 금융기관에 법적 불확실성으로 작용한다. 거버넌스 확신 48%라는 수치는, 기술이 준비되어 있더라도 규제 해석이 확정되지 않은 상황에서 확신을 갖기 어려운 현실을 반영한 결과일 수 있다.

중소 금융기관·핀테크가 챙겨야 할 실질 시사점

• 거버넌스 설계를 도입과 동시에 시작하라. 에이전트 배포 이후 거버넌스를 구축하면 이미 리스크가 발생한 뒤다. NIST AI RMF나 금융위 7대 원칙을 체크리스트로 활용해 도입 전 최소 통제 기준을 확인할 것.
• 데이터 통합 역량이 병목임을 직시하라. 콘텐츠·커뮤니케이션·거래 데이터를 실시간으로 연결하는 기관이 9%에 불과하다는 수치는, AI 에이전트의 판단 품질이 결국 데이터 파이프라인 품질에 달려 있다는 현실을 가리킨다. 에이전트 도입 전 데이터 거버넌스를 먼저 점검하라.
• 인력 투자 비중을 재검토하라. AI 투자 중 인력 역량 강화가 14%로 최하위라는 데이터는, 에이전트를 감독·검증·주도할 사람을 키우지 않으면 자율 시스템의 오작동을 아무도 인지하지 못할 수 있다는 위험 신호다.
• 파일럿을 실제 배포와 구분하는 내부 기준을 만들어라. 93%의 은행이 디지털 전환 목표를 달성하지 못했다는 데이터는 파일럿이 종착점이 되는 반복 패턴을 가리킨다. ‘실제 운영’의 정의와 KPI를 사전에 명확히 설정할 것.
• EU AI Act와 OWASP LLM Top 10을 참조 프레임으로 삼아라. 국내 규제가 확정되기 전까지, EU AI Act의 고위험 AI 분류 기준과 OWASP의 과도한 에이전시 취약점 체크리스트는 실무 가이드로 활용할 수 있는 현존 최선의 공개 프레임워크다.

---