규제 준수(Regulatory compliance)는 더 이상 거버넌스의 체크박스 항목이 아닙니다. 그것은 배포를 가로막는 장애물입니다. 코펜하겐의 핀테크 및 해양 중소기업(SME)들은 GDPR, MiFID II, 그리고 EU AI Act라는 동일한 의무 사항으로 수렴하고 있지만, 대부분은 AI를 안전하게 운영할 수 있는 조직적 인프라가 부족합니다.

코펜하겐은 북유럽에서 가장 데이터 집약적인 두 개의 SME 섹터를 운영하고 있으며, 두 섹터 모두 동시에 동일한 문제로 수렴하고 있습니다.

NETS 및 Lunar와 같은 기관과, 대부분의 유럽 시장보다 디지털 금융을 더 앞당긴 북유럽 규제 환경에 의해 형성된 핀테크 계층은 설명 가능성(explainability) 압박을 받고 있습니다. 금융 자문, 신용 점수 산정(credit scoring) 또는 고객 세분화(customer segmentation)에 사용되는 모든 AI 시스템에 대한 MiFID II 준수는, 대부분의 20~50인 규모 핀테크 기업들이 제품에 AI를 처음 통합할 당시 설계하지 않았던 문서화 및 감사 의무를 발생시킵니다.

Maersk 생태계와 그 주변을 도는 수백 개의 해운, 항만 물류 및 화물 정보 SME들에 의해 지탱되는 해양 및 물류 계층은 데이터는 풍부하고 AI에 대한 관심은 높지만, 거버넌스는 취약합니다. 이 기업들은 선박 추적, 항만 체류 시간, 화물 운임, 컨테이너 활용도와 같은 수년간의 운영 데이터를 축적해 왔습니다. 이들은 그 데이터 안에 지능이 잠겨 있다는 것을 알고 있습니다. 하지만 대부분은 이를 안전하게 추출할 수 있는 조직적 인프라를 아직 구축하지 못했습니다.

두 섹터 모두 최근 몇 년 동안 가장 활발하게 활동한 EU 감독 기관 중 하나인 덴마크 데이터 보호 당국 Datatilsynet의 GDPR 집행 대상입니다. 또한 두 섹터 모두 2026년부터 EU 전역에서 활발히 집행되고 있는 EU AI Act의 범위 내에 있습니다. 컴플라이언스 스택(compliance stack)은 대체로 공유됩니다. 유스케이스(use cases)는 다르지만, 배포로 가는 경로는 가장 중요한 측면에서 동일합니다.

왜 코펜하겐 핀테크 SME들이 다른 AI 문제에 직면하는가

북유럽의 핀테크 (fintech) 산업은 역사적으로 남유럽 시장에 비해 실험을 위한 허용적인 규제 환경의 혜택을 받아왔습니다. 오픈 뱅킹 (Open banking), 실시간 결제 (real-time payments), 그리고 디지털 신원 인프라 (digital identity infrastructure)는 대부분의 EU 회원국보다 덴마크에 더 일찍 도입되었으며, 이는 핀테크 SME들에게 기술적인 선점 효과를 제공했습니다.

이러한 선점 효과는 이제 거버넌스 지연 (governance lag)을 야기하고 있습니다. 신용 리스크 (credit risk), 사기 탐지 (fraud detection), 고객 이탈 예측 (customer churn prediction), 또는 자동화된 자문 (automated advice)을 위해 AI를 빠르게 도입했던 기업들은 이제 규제 프레임워크 (regulatory framework)가 자신들의 내부 문서화 수준을 따라잡았거나, 어떤 경우에는 추월했다는 사실을 깨닫고 있습니다. 설명 가능한 의사결정 (explainable decision-making)에 대한 MiFID II의 요구 사항은 새로운 것이 아니지만, AI 보조 금융 프로세스에 대한 적용은 최근의 집행 지침 (enforcement guidance)에서 훨씬 더 구체화되었습니다.

직원이 25명에서 45명 사이인 코펜하겐의 핀테크 SME에게 실질적인 문제는 다음과 같습니다: 신용 평가 워크플로 (credit assessment workflow)나 고객 포트폴리오 도구에 통합된 AI 시스템은 아마도 제3자 벤더 (third-party vendor)로부터 조달되어, 엔지니어에 의해 통합되고, 제품 매니저 (product manager)에 의해 검증되었을 것입니다. 컴플라이언스 (compliance) 문서 — 모델 카드 (model card), 감사 추적 (audit trail), 설명 가능성 보고서 (explainability report), 벤더와의 데이터 처리 계약 (data processing agreement) — 는 아예 생성되지 않았거나, 한 번 생성된 후 업데이트되지 않았을 가능성이 큽니다. Finanstilsynet (덴마크 금융 감독청)이나 Datatilsynet (덴마크 데이터 보호국)이 이를 요구할 때, 이러한 부재는 막대한 비용을 초래합니다.

이 단계에서 코펜하겐 핀테크 SME를 위한 AI 거버넌스 (AI governance) 컨설팅은 새로운 유스케이스 (use cases)를 식별하는 것보다 기존의 유스케이스를 관리하는 것에 더 가깝습니다. 진단 단계에서는 일반적으로 프로덕션 (production) 환경에서 실행 중이지만 문서화가 미비한 3~4개의 AI 통합 사례가 드러납니다. 데이터 흐름 매핑 (mapping data flows), 모델 로직 문서화 (documenting model logic), 벤더 계약 검토 (reviewing vendor contracts), 모니터링 절차 수립 (establishing monitoring procedures)과 같은 거버넌스 작업이 주요 결과물입니다. 기존 스택 (stack)이 통제 하에 들어온 후에야 새로운 배포 (deployments)가 뒤따를 수 있습니다.

왜 코펜하겐 해양 SME들이 다른 AI 문제에 직면하는가

코펜하겐 생태계 내 해양 및 물류 SME(중소기업)의 도전 과제 프로필은 핀테크와 거의 정반대입니다. 거버넌스 노출(Governance exposure)은 더 낮습니다. 해양 물류는 금융 서비스와 같은 수준의 규제적 설명 가능성(Regulatory explainability) 요구사항을 수반하지 않기 때문입니다. 하지만 배포 준비도(Deployment readiness) 또한 더 낮습니다. 이 기업들은 빠르게 움직이며 거버넌스 부채(Governance debt)를 쌓은 것이 아니라, 느리게 움직이며 활용 가능한 운영 가치를 아직 포착하지 못한 상태입니다.

데이터 자산은 상당합니다. Maersk의 영향권에 있는 중형 화물 운송업체(Freight forwarder)나 항만 물류 운영사는 일반적으로 예약 기록, 선박 일정, 체류 시간 로그(Dwell time logs), 예외 보고서, 운송사 성과 데이터 등 5~10년 치의 구조화된 운영 데이터를 보유하고 있습니다. 이는 ETA(도착 예정 시간) 예측, 용량 계획(Capacity planning), 비용 이상 탐지(Cost anomaly detection), 공급업체 신뢰도 점수 산정(Supplier reliability scoring)과 같이 고부가가치 예측 AI 유스케이스(Use cases)를 구동하는 바로 그 유형의 데이터입니다.

배포의 장벽은 기술적인 경우가 드뭅니다. 그것은 조직적인 문제입니다. 이 세그먼트의 해양 SME들은 소규모의 중앙 팀으로 운영됩니다. 운영 이사(Operations director)나 물류 책임자는 일상적인 해운 복잡성을 관리하느라 AI 벤더를 평가하거나, 파일럿(Pilot) 범위를 설정하거나, 예측 모델을 운영화(Operationalise)하는 데 필요한 데이터 인프라를 구축할 여력이 없습니다. AI 프로젝트는 "나중에 탐색" 항목에 머물러 있게 됩니다.

구조화된 AI 컨설팅 계약은 이 문제를 직접적으로 해결합니다. 컨설턴트의 역할은 운영 팀이 수행할 여력이 없는 평가 작업을 대신하는 것입니다. 즉, 단기 ROI(투자 대비 수익)가 가장 높은 2~3개의 유스케이스 범위를 설정하고, 각 유스케이스에 대한 데이터 준비도를 평가하며, 벤더 평가를 구조화하고, 벤더가 통제하는 개념 증명(Proof of concept)이 아닌 실제 운영 증거를 생성할 수 있는 파일럿을 설계하는 것입니다.

해양 분야의 중소기업(SME)의 경우, 거버넌스 계층이 핀테크보다는 단순하지만 여전히 존재합니다. 해운 데이터에는 거래 상대방, 선박 이동, 화물에 관한 정보가 포함되는 경우가 많으며, 이는 개인정보를 포함하거나 제3자 AI 벤더와 공유될 때 GDPR(일반 데이터 보호 규정) 의무를 발생시킵니다. Datatilsynet(덴마크 데이터 보호국)은 자동화된 물류 의사결정과 관련된 지침을 발행한 바 있습니다. 데이터 인벤토리(Data inventory), 처리 계약(Processing agreements), 보유 정책(Retention policies)과 같은 기본적인 데이터 거버넌스 프레임워크는 책임 있는 배포를 위한 전제 조건이며, 이 정도 규모의 기업이 구조적인 지원을 받아 이를 구현하는 것은 큰 부담이 아닙니다.

공유된 컴플라이언스 기반

운영상의 차이에도 불구하고, 코펜하겐의 핀테크 및 해양 중소기업(SME)은 동일한 규제 기반을 공유합니다.

GDPR은 양쪽 모두에 적용됩니다. 채용 플랫폼부터 이커머스 운영사에 이르기까지 기업들에 대한 상당한 과징금 및 집행 조치를 포함하는 Datatilsynet의 집행 기록은 덴마크의 GDPR 준수가 이론적인 수준에 그치지 않음을 시사합니다. AI 도구를 통합하는 중소기업(SME)의 경우, 주요 위험 영역은 다음과 같습니다: 적절한 데이터 처리 계약(Data processing agreements) 없이 제3자 AI 벤더를 사용하는 것, 명확한 법적 근거 없이 AI 시스템에서 개인정보를 처리하는 것, 그리고 필요한 안전장치 없이 자동화된 의사결정을 수행하는 것입니다.

EU AI Act(EU 인공지능법) 또한 양쪽 모두에 적용됩니다. 신용 점수 산정(Credit scoring)이나 고객 리스크 평가를 위해 AI를 사용하는 핀테크 기업은 해당 법안의 부속서 III(Annex III)에 따라 고위험(High-risk) 범주에서 운영됩니다. 물류 최적화를 위해 AI를 사용하는 해양 기업은 일반적으로 위험도가 낮지만, 구체적인 구현 방식에 따라 문서화 및 투명성 의무가 발생할 수 있습니다. 두 섹터 모두 EU AI Act에 대한 예비 스코핑(Scoping) 작업을 수행했어야 하지만, 대부분 수행하지 않은 상태입니다.

두 규제 프레임워크(Regulatory frameworks)를 모두 충족하기 위해 요구되는 거버넌스 산출물(Governance artefacts)은 상당 부분 중복됩니다. AI 벤더의 데이터 흐름을 매핑하는 데이터 처리 기록(Data processing register)은 GDPR 제30조의 의무와 EU AI Act의 기술 문서(Technical documentation) 요구 사항을 모두 충족합니다. 승인된 사용 사례(Use cases), 금지된 사용, 그리고 감독 절차를 정의하는 AI 정책은 내부 거버넌스와 규제 방어력(Regulatory defensibility) 모두에 기여합니다. 두 프레임워크를 모두 염두에 두고 이 스택(Stack)을 한 번에 구축하는 것이, 이를 순차적으로 처리하는 것보다 훨씬 더 효율적입니다.

코펜하겐 AI 컨설팅 프로젝트의 모습

코펜하겐의 핀테크 또는 해양 SME(중소기업)를 위한 구조화된 AI 컨설팅 프로젝트는 일반적으로 네 가지 구성 요소로 이루어집니다.

규제 기준 검토(Regulatory baseline review)는 현재의 AI 사용 현황을 GDPR, MiFID II(핀테크의 경우), 그리고 EU AI Act의 의무 사항과 대조하여 매핑합니다. 이는 법률 감사(Legal audit)가 아니라, 문서화의 공백이 어디에 존재하는지, 그리고 어떤 공백이 가장 높은 노출(Exposure) 위험을 초래하는지를 식별하는 운영 평가(Operational assessment)입니다.

사용 사례 우선순위 설정(Use case prioritisation)은 운영 가치가 가장 높고 통제된 배포(Governed deployment)로 가는 경로가 가장 명확한 두세 가지 AI 배포 사례를 선정합니다. 핀테크의 경우, 이는 대개 새로운 AI를 배포하기보다는 기존의 AI 통합(Integration)을 거버넌스 체계 내로 가져오는 것을 의미합니다. 해양 분야의 경우, 대개 첫 번째 예측 사용 사례(Predictive use case)를 식별하고, 이를 90일 이내에 배포할 수 있도록 데이터 및 벤더 작업을 구조화하는 것을 의미합니다.

벤더 평가 및 파일럿 구조(Vendor evaluation and pilot structure)는 우선순위가 지정된 사용 사례와 관련된 AI 벤더들에게 일관된 점수 산정 프레임워크(Scoring framework)를 적용합니다. 그 결과물로는 평가된 트레이드오프(Trade-offs)가 포함된 최종 후보 명단(Shortlist), 선두 후보를 위한 파일럿 설계, 그리고 계약을 위한 데이터 처리 합의서(Data processing agreement) 체크리스트가 제공됩니다.

거버넌스 프레임워크 및 인수인계(Governance framework and handover)는 내부 팀이 컨설턴트에 대한 의존성 없이 지속적인 AI 배포를 관리하는 데 필요한 문서화된 정책, 모니터링 절차, 그리고 벤더 계약 주석(Vendor contract annotations)을 전달합니다.

전체 프로젝트 기간은 90일에서 120일 동안 진행됩니다. 규제 산업 분야의 기업들에게 이러한 구조를 통해 얻는 컴플라이언스 신뢰성(compliance confidence)은 부차적인 이점이 아니라, 가장 핵심적인 이점입니다.

자주 묻는 질문 (Frequently Asked Questions)

코펜하겐 핀테크 SME의 AI에 적용되는 MiFID II 의무 사항은 무엇인가요?

MiFID II는 투자 기업 및 금융 서비스 제공업체가 자문 및 의사결정의 근거에 대한 기록을 유지해야 하며, 자동화된 의사결정 과정(automated decision-making processes)이 규제 기관과 고객에게 설명 가능해야 한다고 규정합니다. 신용 평가, 고객 리스크 스코어링(customer risk scoring) 또는 자동화된 자문에 AI를 사용하는 코펜하겐 핀테크 SME의 경우, 이는 AI 출력이 어떻게 생성되었는지와 어떤 인간의 감독(human oversight)이 존재했는지를 입증하는 모델 문서화(model documentation), 감사 로그(audit logs), 그리고 데이터 처리 기록을 유지해야 함을 의미합니다. 이러한 기능을 위해 사용되는 제3자 AI 벤더(Third-party AI vendors)는 모델 문서화 의무를 포함하는 데이터 처리 계약(data processing agreements)을 체결해야 합니다.

SME에 대한 Datatilsynet의 집행은 얼마나 적극적인가요?

Datatilsynet은 불법적인 데이터 처리, 부적절한 동의 메커니즘, 데이터 보호 영향 평가(data protection impact assessments) 미실시 등의 분야에서 SME를 포함한 다양한 규모의 기업들을 대상으로 집행 조치 및 과징금을 부과해 왔습니다. 개인 데이터를 포함하는 AI 배포(대부분의 운영 AI 유스케이스가 이에 해당함)의 경우, 기본적인 데이터 거버넌스(data governance) 검토는 표준적인 전제 조건입니다. 리스크는 주로 재무적인 것이 아니라, 집행 조사로 인해 시정 조치가 완료될 때까지 AI 배포를 중단해야 할 경우 발생하는 운영 중단(operational disruption)입니다.

코펜하겐 해양 SME를 위한 가장 가치 있는 AI 유스케이스(use cases)는 무엇인가요?

유럽 물류 운영사들의 배포 패턴(deployment patterns)에 기반했을 때, 해양 물류 SME(중소기업)에게 가장 명확한 단기 ROI(투자 대비 수익)를 제공하는 유스케이스(use cases)는 다음과 같습니다: ETA(도착 예정 시간) 예측 및 운송사 신뢰도 점수 산정(과거 성능 데이터 활용), 화물 비용 이상 탐지(청구 불일치 또는 요율 편차 식별), 그리고 용량 계획 최적화(예약 패턴 데이터를 활용한 가동률 개선)입니다. 이 세 가지 모두 구조화된 데이터 자산과 상용 AI 도구를 통해 달성 가능합니다. 즉, 장벽은 기술이 아니라 거버넌스(governance)와 파일럿 구조(pilot structure)에 있습니다.

EU AI Act는 제3자 AI 도구를 사용하는 코펜하겐 SME에 어떤 영향을 미치나요?

EU AI Act는 AI 시스템 제공자(providers)와 배포자(deployers) 모두에게 의무를 부과합니다. 신용 점수 산정, HR 스크리닝, 안전에 영향을 미치는 물류 경로 최적화와 같이 규제 대상인 비즈니스 프로세스에 제3자 AI 도구를 통합하는 코펜하겐 SME는 해당 법안에 따른 배포자(deployer)에 해당하며, 고위험 시스템에 대한 기본권 영향 평가(fundamental rights impact assessments), 인간의 감독 메커니즘(human oversight mechanisms), 기술 문서화(technical documentation)를 포함한 의무를 집니다. SME는 계약을 통해 이러한 의무를 벤더(vendor)에게 전가할 수 없으며, 배포자로서의 책임을 유지합니다. AI 거버넌스 프레임워크(AI governance framework)는 이러한 의무가 운영 측면에서 어떻게 충족되는지를 정의합니다.

작성자: Dr Hernani Costa | 제공: Core Ventures

원문 게시지: First AI Movers

기술은 쉽습니다. 이를 손익계산서(P&L)에 매핑하는 것은 어렵습니다. First AI Movers에서 우리는 단순히 코드를 작성하는 것이 아니라, EU SME를 위한 '경영 신경계(Executive Nervous System)'를 구축합니다.

귀하의 AI 아키텍처는 기술 부채를 만들고 있습니까, 아니면 비즈니스 자산을 만들고 있습니까?