AI 해킹 시대, 금융사 법적 책임 판단 기준

AI를 활용한 사이버공격이 금융기관을 대상으로 실제 발생하면서 제재와 책임 문제에 관심이 쏠리고 있다. AI 해킹은 공격자가 AI를 이용하는 유형과 금융회사가 도입한 AI 시스템을 노리는 유형으로 나뉜다. 후자에는 AI 서비스의 설계·운영·통제에 대한 주의 의무가 새로 적용되며 AI 기본법도 함께 적용된다.

회사나 금융기관의 책임은 개인정보 보호법, 정보통신망법, 전자금융거래법 등에 따른 보호조치를 이행했는지가 일차 기준이 된다. 법률은 이행이 불가능한 의무를 부과하지 않으므로 기술 수준, 위험의 예견 가능성, 조치의 비용을 종합적으로 고려한다. 고객 정보 유출은 개인정보 보호법과 신용정보의 이용 및 보호에 관한 법률이, 부정 송금은 전자금융거래법 제9조가 주요 쟁점이 된다.

AI 보안솔루션을 도입했다고 해서 책임이 면제되지는 않아 금융사는 경영진의 위험관리와 외부 업체 관리 능력까지 평가받을 전망이다. 딥페이크로 인한 '위조·변조' 해석과 이용자의 중대한 과실 인정 범위가 향후 핵심 쟁점이 될 것으로 보인다. 결국 사고 이전에 합리적 보호조치를 다했다는 객관적 기록이 책임 범위를 가르는 기준이 될 것으로 보인다.