EU·미국 AI 관리 강화…기업 78% 외부감사 대응 자신 없다” [카테고리 설정이 아직되어 있지 않습니다.] 유럽과 미국이 기업의 AI 사용 실태를 들여다보기 시작했다.
유럽연합(EU)은 지난 2일부터 AI법의 일부 투명성 의무를 적용했다. 미국 증권거래위원회(SEC)도 등록 금융회사의 AI 활용을 검사 대상으로 삼으면서 기업의 AI 관리 부담이 커지고 있다.
EU는 AI 생성물 표시 요구…미국도 금융회사 AI 활용 점검
EU AI법에 따라 챗봇 등 일부 AI 시스템은 이용자가 AI와 상호작용하고 있다는 사실을 알 수 있도록 해야 한다. 생성형 AI 제공자는 AI가 생성하거나 조작한 콘텐츠를 식별할 수 있도록 해야 하며, 딥페이크 등 일부 콘텐츠에도 표시 의무가 적용된다.
고위험 AI에는 별도의 관리 요건이 적용된다. 제공자는 위험관리와 기술문서, 활동 기록, 인간 감독 등의 요건을 갖추고 적합성 평가를 거쳐야 한다. 고위험 AI를 사용하는 기업에도 시스템 운영 모니터링과 인간 감독자 지정 등의 의무가 부과된다.
미국 SEC는 2026년 검사에서 등록 금융회사가 외부에 설명한 AI 활용과 실제 운영이 일치하는지 확인한다. 사기 탐지와 내부 업무, 자금세탁방지, 거래 등에 AI를 사용할 경우 이를 감독하는 정책과 절차를 갖췄는지도 점검한다.
EU와 미국 모두 모든 기업에 독립적인 AI 감사를 의무화한 것은 아니다. EU는 AI 유형과 위험도에 따라 의무를 부과하고, 미국은 금융회사를 중심으로 기존 감독 체계 안에서 AI 활용을 들여다보고 있다.
기업 78% AI 외부감사 대응 자신 없다”
기업의 AI 외부검증 대응 수준은 낮았다.
미국 회계·컨설팅업체 그랜트손튼이 올해 2~3월 미국 10개 산업의 고위경영진 950명을 조사한 결과, 응답자의 78%는 독립적인 AI 거버넌스 감사를 받을 경우 석 달 안에 통과할 수 있다고 강하게 확신하지 못했다.
90일은 법으로 정해진 기한이 아니다. 그랜트손튼이 외부 검증이 이뤄졌을 때 기업이 필요한 자료를 단기간에 제시할 수 있는지를 확인하기 위해 설정한 조사 조건이다.
이사회 관리체계도 충분하지 않았다. 조사 대상 이사회의 약 4분의 3은 주요 AI 투자를 승인했지만 48%는 AI 거버넌스 관리 기준을 정하지 않았다. AI 위험을 이사회나 위원회의 상시 감독 대상에 포함하지 않은 기업도 46%였다.
AI 도입 단계에 따라 대응 수준에는 큰 차이가 났다. AI를 시험 운영하는 기업 가운데 외부감사 대응에 강한 자신감을 보인 곳은 7%였다. AI를 조직 전반에 통합한 기업에서는 74%로 높아졌다.
AI를 시험 운영하는 기업 가운데 독립적인 AI 거버넌스 감사를 통과할 수 있다고 강하게 자신한 곳은 7%에 그쳤지만, AI를 조직 전반에 통합한 기업에서는 74%로 높아졌다. / 출처=그랜트손튼
그랜트손튼은 기업이 AI를 도입하고도 의사결정이 어떻게 이뤄졌는지, 결과에 대한 책임이 누구에게 있는지를 제시하지 못하는 문제를 ‘AI 활용과 이를 입증할 관리체계 사이의 격차’로 설명했다.
AI 침해 기업 97% 접근통제 미흡…승인 없는 AI 사용도 증가
기업 내부에서는 AI 사용을 통제하지 못하는 사례가 나타나고 있다.
IBM의 ‘2025 데이터 유출 비용 보고서’에 따르면 AI 관련 보안 사고를 경험한 조직의 97%는 사고가 발생한 시스템에 적절한 AI 접근통제를 갖추지 못했다. 데이터 유출을 경험한 조직의 63%는 AI 거버넌스 정책이 없거나 아직 마련하는 단계였다.
직원이 회사 승인 없이 생성형 AI를 사용하는 문제도 커졌다. 오스터만리서치가 미주와 유럽·중동·아프리카, 아시아태평양 지역 기업의 정보관리·데이터보안·AI 담당자 750명을 조사한 결과, 승인되지 않은 생성형 AI 사용 여부를 파악하지 못한다는 기업은 2025년 6.3%에서 올해 17.6%로 늘었다.
AI 에이전트에서는 이 비율이 21.1%로 높아졌다. AI 에이전트는 기업 시스템에 접속해 데이터를 조회하고 여러 업무를 수행할 수 있어 일반 생성형 AI보다 더 넓은 권한을 가질 수 있다.
그랜트손튼 조사에서는 기업 약 4곳 중 3곳이 AI 에이전트에 데이터와 업무 프로세스 접근 권한을 주고 있었다. 조사 대상 기업의 60%는 중간 수준의 위험이 있는 업무 자동화를 허용했고, 5%는 사람의 검토 없이 고위험 의사결정을 수행하도록 했다.
AI 사고 대응 절차를 실제로 시험해본 기업은 20%에 그쳤다. AI 에이전트의 규제·컴플라이언스 불확실성을 우려한 최고운영책임자는 54%였지만 최고정보책임자와 최고기술책임자는 20%였다.
그랜트손튼은 AI 에이전트의 자율성이 커질수록 AI의 데이터 접근과 수행 작업을 추적할 수 있는 관리체계가 필요하다고 분석했다.
Top
