모두가 필리핀 금융권의 AI 도입은 2027년의 이야기가 될 것이라고 가정합니다. 하지만 데이터는 다른 이야기를 하고 있습니다. 2026년 1분기까지 필리핀 5대 범용 은행 중 3곳이 사기 탐지(fraud detection), 신용 점수 산정(credit scoring), 고객 온보딩(customer onboarding) 분야에서 실제 AI를 도입하여 운영 중이었던 반면, 필리핀 중앙은행(Bangko Sentral ng Pilipinas, BSP)은 여전히 자율적인 AI 거버넌스 프레임워크(AI governance framework)를 마무리하는 단계였습니다. 도입과 규제 사이의 격차는 미래의 문제가 아닙니다. 이는 마카티(Makati)의 모든 컴플라이언스 담당자(compliance officer)들이 직면한 당면 과제입니다.

BSP의 두 줄짜리 자율 프레임워크

2026년 초, BSP는 금융 서비스에서의 인공지능(AI) 사용을 위한 일련의 자율적 거버넌스 원칙을 발표했습니다. 이 프레임워크는 공정성(fairness), 투명성(transparency), 책임성(accountability), 그리고 인간의 감독(human oversight)을 다루는 약 2페이지 분량의 지침적 가이드라인으로 구성되어 있습니다 (출처: Inquirer Business, 2026). 이는 대규모로 AI를 실제 운영 환경(production)에서 가동하고 있는 산업군에 비하면 매우 빈약한 문서입니다.

이 원칙들은 명시적으로 '자율적(voluntary)'이라고 명시되어 있습니다. BSP는 2026년 하반기에 의무적인 규칙이 뒤따를 것임을 시사했지만, 과도기 동안에는 강제력을 발휘할 수 있는 수단이 없습니다. 규제 기관이 생각하는 속도보다 더 빠르게 AI를 도입하고자 하는 은행들은 예고 없이 닫힐 수 있는 규제 공백 상태에서 운영되고 있습니다. 컴플라이언스 팀들은 자신들의 스프린트 보드(sprint boards)보다 BSP의 일정을 더 면밀히 주시하고 있습니다.

AI 뱅킹은 이미 파일럿 단계를 넘어섰습니다

The Asian Banker의 2026년 AI 뱅킹 운영 플레이북(operating playbook)은 명확한 전환을 설명합니다. AI는 분석가의 워크플로(workflows)에 내장된 코파일럿(co-pilot) 기능에서 채권 추심(collections), 고객 확인 제도(KYC), 사기 탐지(fraud), 중소기업(SME) 신용, 그리고 자문(advisory) 분야의 자율적 워크플로(autonomous workflows)로 이동하고 있습니다 (출처: The Asian Banker, 2026). 필리핀 은행들은 이러한 유스케이스(use cases)에 대해 파일럿(pilot)을 수행하고 있는 것이 아닙니다. 이들은 실제 고객 데이터(live customer books)를 바탕으로 이를 실행하고 있습니다.

그 함의는 불편합니다. 채권 회수(collections)나 사기 탐지(fraud) 분야에서의 자율적인 워크플로우(autonomous workflow)는 모델이 과거에 인간의 서명이 필요했던 결정을 내리고 있음을 의미합니다. 만약 해당 모델에 드리프트(drift, 모델 성능 저하/변화)가 발생한다면, 은행은 내부 감사(internal audit)가 아닌 고객의 불만을 통해 그 드리프트를 발견하게 됩니다. 필리핀 중앙은행(BSP)의 자율 프레임워크(voluntary framework)는 모델 모니터링(model monitoring) 공시를 요구하지 않습니다. 하지만 의무 규정(mandatory rules)은 이를 요구할 가능성이 높습니다.

디지털 은행의 뒷문이 닫히고 있습니다

AI를 넘어, BSP는 2026년에 디지털 은행 및 지방 은행(rural banks)에 대한 자본 규정을 강화하여, 업계 관찰자들이 디지털 은행 라이선스 카테고리로 들어가는 "뒷문(backdoor)"이라고 불렀던 통로를 차단했습니다 (출처: Fintech News Philippines, 2026). 최소 자본 요건과 운영 임계값(operational thresholds)이 상향 조정되었으며, 진행 중이던 여러 신청자는 사업 계획서를 다시 작성해야 했습니다.

핀테크 창업자들에게 전달되는 실질적인 메시지는 규제 기관의 태도가 "수천 개의 꽃이 피게 두자(let a thousand flowers bloom)"에서 "대차대조표(balance sheet)를 가져와라"로 바뀌었다는 것입니다. 필리핀 디지털 은행 협회(DiBA PH)와 FintechAlliance.ph는 공동 산업 이니셔티브(industry initiatives)로 대응하고 있지만, 규제의 최저 기준선(regulatory floor)은 이제 더 높아졌습니다.

AMLC와 "대상자(Covered Person)"의 함정

필리핀에서 자금 이동을 처리하는 핀테크 스타트업은 개정된 공화국법 제9160호(Republic Act No. 9160)에 따라 자금세탁방지위원회(AMLC)에 대상자(Covered Persons)로 등록해야 합니다 (출처: Lawzana, 2025). 이는 창업자들이 규제 스택(regulatory stack)에서 가장 마지막에 발견하고 가장 먼저 후회하는 부분입니다. AMLC 등록은 의심 거래 보고(suspicious transaction reporting), 기록 보관 의무, 그리고 준법 감시인(compliance officers)의 개인적 책임을 촉발합니다.

많은 초기 단계 창업자들은 AMLC를 법인 설립 시 체크해야 할 항목 정도로 취급합니다. 하지만 이는 영구적인 운영 비용에 더 가깝습니다. 등록을 하지 않는다고 해서 집행(enforcement)이 지연되는 것은 아닙니다. 단지 집행이 닥쳤을 때 그 처벌이 더 가혹해질 뿐입니다.

AI 네이티브 컴플라이언스 스택(AI-Native Compliance Stack)의 실제 모습

BSP(필리핀 중앙은행)의 향후 의무 규정을 깔끔하게 통과할 은행들은 컴플라이언스(Compliance, 준법 감시)를 법적 문제가 아닌 엔지니어링 문제로 다루는 곳들입니다. 이는 모든 운영 모델에 대한 모델 카드(Model Cards), 보호 대상 계층에 대한 자동화된 공정성 테스트(Fairness Testing), 그리고 막연한 느낌(vibe)이 아닌 정의된 트리거에 의해 작동하는 인간 개입(Human-in-the-loop) 오버라이드(Override)를 의미합니다 (출처: Securiti, 2025).

또한 데이터 레지던시(Data Residency, 데이터 현지화)와 동의 영수증(Consent Receipts)을 버전 관리되는 아티팩트(Artifacts)로 취급하는 것을 의미하기도 합니다. 2026년 초 출시된 Veeam과 Securiti의 Agent Commander는 바로 이 격차를 지적했습니다. 대부분의 은행이 해당 워크플로우에 대한 감사 추적(Audit Trails)을 갖추기도 전에 에이전트형 AI(Agentic AI) 워크플로우를 도입했다는 점입니다 (출처: Securiti, 2026). 필리핀이 이 부분에서 뒤처진 것은 아닙니다. 정확히 제때에 와 있으며, 이는 곧 약간 늦었다는 뜻이기도 합니다.

FAQ

Q: BSP의 AI 거버넌스 프레임워크는 의무 사항인가요?
A: 아니요. 2026년 초에 발표된 원칙들은 자율적입니다. BSP는 2026년 하반기에 구속력 있는 규칙이 뒤따를 것임을 시사했지만, 그때까지 집행력은 제한적입니다.

Q: 핀테크 스타트업의 AMLC 등록을 유발하는 요인은 무엇인가요?
A: 전자 지갑, 결제 프로세서, 대출 플랫폼을 포함하여 자금 이동을 처리하는 모든 핀테크 기업은 RA 9160에 따라 AMLC(자금세탁방지위원회)에 대상자(Covered Person)로 등록해야 합니다. 등록은 선택 사항이 아니며 지속적인 보고 의무를 수반합니다.

Q: 필리핀 디지털 은행의 자본 규정은 어떻게 변하고 있나요?
A: BSP는 2026년에 디지털 및 지방 은행의 최소 자본 및 운영 임계값을 인상하여, 자본력이 취약한 신청자들의 경로를 차단했습니다. 여러 대기 중인 신청자들이 사업 계획을 재조정해야 했습니다.

Q: 오늘날 필리핀 은행업계에서 AI 컴플라이언스의 가장 큰 격차는 무엇인가요?
A: 모델 모니터링(Model Monitoring)과 감사 추적(Audit Trails)입니다. 대부분의 은행은 규제 기관에 해당 워크플로우를 설명할 수 있는 문서화 인프라를 구축하기 전에 AI 워크플로우를 배포했습니다.

핵심 요약 (Key Takeaway)

"AI가 실제 운영 환경(production)에 적용된 시점"과 "AI가 규제되는 시점" 사이의 간극은 필리핀의 모든 은행이나 핀테크(fintech) 기업에 있어 가장 위험한 분기입니다. 필리핀 중앙은행(BSP)의 자율 프레임워크(voluntary framework)는 예우 차원의 조치일 뿐, 규제의 상한선이 아닙니다. 향후 6개월을 유예 기간으로 간주하는 창업자와 최고위험관리책임자(CRO)들은 2026년에 쌓아둘 수 있었던 신뢰를 2027년에 다시 재구축하는 데 시간을 허비하게 될 것입니다.

만약 당신이 오늘 필리핀 금융 기관에서 AI를 운영하고 있다면, 당신의 모델 모니터링(model monitoring) 정책은 무엇이며, 그것이 내일 당장 진행될 BSP 감사(audit)를 통과할 수 있겠습니까?