'정보유출' 신한카드, 국가 AI 협의체 참여 제약 없던 이유

신한카드 CI

가맹점주 19만 건 정보유출로 개인정보보호위원회(개보위)·금융감독원·경찰의 동시 조사를 받고 있는 신한카드가 과학기술정보통신부 주관 국가 인공지능(AI) 협의체 '에이전틱 AI 얼라이언스'에 민간 금융사 유일로 참여했다. 정보유출 신고와 협의체 출범 사이 간격은 약 3개월이다.

이것이 가능한 것은 현행 제재 체계의 시간차 때문이다. 여신전문금융업법은 최대 6개월 영업정지를, 개인정보보호법은 과징금·시정명령을 각각 규정하고 있고, 제재가 확정되면 신사업 인허가 심사 중단 등 간접적 사업 제약도 뒤따른다.

법적 수단 자체가 부재한 것은 아니지만 이 모든 장치는 제재가 최종 확정된 뒤에야 작동한다. 개보위 조사, 금감원 검사, 경찰 수사가 동시에 진행 중이지만 어느 것도 결론이 나지 않은 현재, 신한카드의 사업 활동에는 법적 제약이 없다.

같은 금융업이라도 증권사·운용사는 내부통제 부실만으로 업무 일부 정지가 부과된 사례가 있지만, 카드업에서 내부 직원에 의한 정보유출로 영업정지가 부과된 전례도 아직 없다.

◇ 모니터 촬영·수기 메모, 3년간 이어진 내부 일탈

10일 금융업계에 따르면 신한카드 정보유출 사건은 5개 영업소 소속 직원 12명이 2022년 3월부터 2025년 5월까지 3년 넘게 가맹점 대표자의 휴대전화번호·성명·생년월일 등 총 19만2088건을 빼돌린 내부 일탈 사건이다.

직원들은 시스템 로그에 기록을 남기지 않기 위해 모니터 화면을 스마트폰으로 촬영하거나 종이에 수기로 적는 아날로그 수법을 사용했다. 빼돌린 정보는 신규 카드 모집 영업에 활용됐다.

신한카드는 3년 넘게 이 사실을 인지하지 못했다. 내부 모니터링 시스템이 아닌 개보위에 접수된 공익 제보를 통해 뒤늦게 사태를 파악했다.

신한카드는 "일부 내부 직원의 개인 일탈"이라는 입장이지만, 개보위와 금감원은 이를 내부통제·권한관리 부실에 따른 관리 실패로 보고 있다. 개보위 조사, 금감원 현장검사, 경찰청 국가수사본부 사이버테러대응과 수사가 동시에 진행 중이며, 현재 어느 것도 최종 결론이 나지 않은 상태다.

구조적으로 유사한 우리카드 사건(가맹점주 7만5000건 유출)에서 개보위는 목적 외 이용·접근권한 관리 부실·접속기록 점검 미흡을 위반 사유로 판단해 134억5100만 원의 과징금을 부과한 바 있다.

신한카드는 유출 규모가 우리카드의 약 2.5배이고 매출(영업수익)도 6조원대여서 과징금 규모가 400억원 이상으로 예상된다.

신한카드가 참여한 '에이전틱 AI 얼라이언스'는 과기정통부가 AI 에이전트 생태계의 주도권 확보를 위해 출범시킨 범국가적 민관 협의체다. '에이전틱 AI'란 기존 챗봇형 생성형 AI와 달리, AI가 스스로 판단하고 행동까지 수행하는 차세대 기술을 말한다.

예컨대 AI 에이전트가 사용자를 대신해 상품을 비교하고, 결제까지 자율적으로 처리하는 식이다. 이 기술이 산업 전반에 확산되면서 에이전트 간 협력, 시스템 연동, 안전 규범 등 생태계 차원의 조율이 필요해졌다.

얼라이언스는 산업·기술·생태계·안전신뢰 4개 분과로 구성돼 있으며, 국내 250여개 기업·기관이 참여한다. KT, SK텔레콤, 카카오, NC AI, LG AI연구원 등이 총망라돼 있고, 향후 참여를 계속 확대할 방침이다.

신한카드는 생태계 분과에 소속돼 있으며, 이 분과의 역할은 시장 수요가 높은 AI 에이전트와 도구를 전략적으로 확충하고, 서비스 유형별로 최적화된 민관 협력형 책임 가이드라인을 마련하는 것이다.

신한카드가 이 자리에 앉게 된 데는 상당한 AI 투자 이력이 배경에 있다.

2020년 금융권 최초로 AI 제품 안정성 인증인 'AI+' 인증을 획득했고, 카드업계 최초로 AI 기반 금융사기 방어 체계(FDS)를 구축했다.

올해 3월에는 국내 카드사 최초로 AI 에이전트 페이 실거래에도 성공했다. 에이전틱 커머스 영역에 선제적으로 투자해온 이력이 있어, 기존 사업의 연장선에서 자연스럽게 합류한 것으로 볼 수 있다.

그러나 에이전틱 AI 결제 생태계가 작동하려면 AI 에이전트가 사용자의 카드 정보·결제 정보에 접근해야 하고, 그 접근권한을 어떻게 통제하며 오남용을 어떻게 탐지할 것인지가 이 생태계의 가장 민감한 설계 과제다.

안전신뢰 분과장인 최대선 숭실대 AI안전성연구센터장도 출범식에서 "자동화된 에이전트의 권한 오남용이나 연쇄 오류 위험이 있다"며 "안전과 신뢰가 담보되지 않으면 얼라이언스 전체가 실패한다"고 경고했다.

바로 그 '접근권한 통제'와 '오남용 탐지'에서 3년간 실패한 회사가, AI 결제 생태계의 책임 구조를 논의하는 테이블에 앉았다.

◇카드업 영업정지, 12년 만에 재작동 조짐

이것이 가능한 이유는 제도에 있다.

현행 개인정보보호법이 정보유출 기업에 부과할 수 있는 제재 수단은 과징금(매출액의 3% 이내, 2026년 9월 시행 예정인 개정법에서는 반복·중대 위반 시 10%까지 상향)과 시정명령(내부통제 강화, 접근권한 최소화 등), 공표명령(홈페이지 게시)이 주축이다.

법에는 '개인정보 처리의 일시 정지'도 시정명령의 한 유형으로 규정돼 있지만(제64조 제1항), 정보유출 사안에서 이 조항이 실제로 발동된 사례는 확인되지 않는다.

카드사에 개인정보 처리 정지를 명하면 카드 발급·결제 등 핵심 업무가 사실상 불가능해지기 때문에, 제도적으로는 존재하지만 현실에서는 작동하지 않는 도구에 가깝다.

카드업의 근거법인 여신전문금융업법에는 6개월 이내 업무정지 조항(제57조)이 있지만, 정보유출 사안에 이것이 적용된 것은 2014년 KB국민·NH농협·롯데카드 1억 건 유출 사건(3개월 부분영업정지)이 유일했다.

4월 9일 금감원이 롯데카드(297만명 해킹·주민번호·CVC 유출)에 영업정지 4.5개월을 사전통지하면서 12년 만에 카드업 영업정지가 다시 작동할 조짐이 나타났지만, 이는 2014년 반복 위반을 반영한 50% 가중 처분이라는 점에서 극단적 사안에 한정된 예외적 조치다.

내부 직원에 의한 정보유출의 경우, 우리카드가 134억원 과징금을 부과받은 뒤에도 금감원의 추가 제재는 1년이 넘도록 확정되지 않았고, 영업정지는 검토조차 공개적으로 논의되지 않았다.

같은 금융업이라도 자본시장법(금융투자업) 하에서는 사정이 다르다.

증권사·자산운용사는 내부통제 부실을 이유로 업무 일부 정지, 기관경고, 수십억 원 과태료, 임원 해임권고가 부과된 사례가 많다.

2021년 신한금융투자(현 신한투자증권)는 라임 무역금융펀드 관련 내부통제 부실로 장외파생상품·사모펀드 업무 6개월 일부정지와 과태료 18억 원, 관련 임직원 직무정지 및 면직 상당 징계를 받았다.

카드업에서는 2014년 1억 건 유출과 이번 롯데카드 297만 명 해킹이라는 극단적 사안에서만 영업정지가 작동했을 뿐, 신한카드와 같은 내부 직원 소행의 정보유출에 대해서는 영업정지가 부과된 전례가 없다.

에이전틱 AI 얼라이언스 역시 인허가 사업이 아닌 민관 협력 플랫폼이어서, 참여사의 법규 위반 이력이나 진행 중인 제재를 확인하는 심사 절차가 설계돼 있지 않은 것으로 파악된다.

제재가 최종 확정되면 인허가 심사 중단, 대주주 적격성 심사 불이익 등 간접적 사업 제약이 뒤따를 수 있지만, 제재 확정 전 단계에서는 이 장치들이 작동하지 않는다.

신한카드가 조사 진행 중에 국가 AI 협의체에 참여할 수 있었던 것은 바로 이 시간차 때문이다.

이에 대해 한 금융권 관계자는 "법적 수단 자체는 갖춰져 있지만, 제재가 확정되기까지의 과정에서 해당 기업의 사업 활동에 제약을 가하는 장치는 사실상 없다"며 "특히 부처 간 정보 공유가 안 되는 구조에서, 한쪽에서 조사를 받으면서 다른 쪽에서 국가 프로젝트에 참여하는 상황이 발생하는 것은 제도적 사각지대"라고 지적했다.