[PEDIEN] AI 에이전트 커머스 결제 제도개편과 금융권 망분리 전면해제가 2026년 하반기 한국 전자금융 규제사의 최대 변곡점으로 떠올랐다. 본지가 2024년 8월 이후 금융위원회·금융감독원이 내놓은 규제개선 로드맵과 보도자료, 그리고 2026년 상반기 잇단 시행세칙 개정·자문단 발족 일정을 시간축으로 교차 분석한 결과, 지금의 흐름은 개별 규제 몇 건을 손보는 수준이 아니라 2013년 이후 13년간 유지돼 온 '물리적 망분리 중심' 보안 패러다임 자체를 걷어내는 방향으로 수렴하고 있었다. 특히 사람이 아닌 소프트웨어 에이전트가 스스로 상품을 탐색하고 협상하며 결제까지 완결하는 이른바 에이전트 커머스가 현실화하면서, 신원확인·권한위임·소비자보호라는 세 축이 망분리 해제와 맞물려 한꺼번에 재편되는 국면에 들어섰다.
먼저 사실관계를 시간 순으로 짚을 필요가 있다.
흐름을 모르면 이번 변화의 무게를 가늠하기 어렵기 때문이다.
금융권 망분리 전면해제란 무엇이고, 언제부터 어떻게 바뀌나
망분리는 금융회사의 내부 업무망과 외부 인터넷망을 물리적으로 갈라놓아 해킹과 정보유출을 차단하려는 규제다. 2013년 대형 전산사고를 계기로 도입돼 오랫동안 금융보안의 상징처럼 여겨졌다.
그러나 생성형 인공지능과 클라우드 소프트웨어 이용이 보편화하면서, 인터넷과 단절된 폐쇄망 안에서는 최신 개발도구도 외부 협업도 쓰기 어렵다는 불만이 업권에서 꾸준히 제기됐다.
규제가 보안을 지키는 동시에 혁신을 가로막는 이중적 존재가 된 셈이다.
전환의 신호탄은 2024년 8월 13일이었다.
금융위와 금감원은 민간 보안전문가와 금융협회, 금융보안원 등이 참여한 가운데 '금융분야 망분리 개선 로드맵'을 발표했다.
핵심은 낡은 물리적 망분리를 단번에 없애는 대신 3단계에 걸쳐 점진적으로 완화하고, 그 끝에 새로운 금융보안법 체계를 세운다는 구상이었다.
생성형 AI 활용을 원칙적으로 허용하고, 클라우드 기반 응용프로그램 이용 범위를 넓히며, 연구·개발 환경의 숨통을 틔우겠다는 것이 골자였다.
로드맵은 문서로 남았지만, 실제 규정이 손질된 것은 2026년 들어서다.
금융당국은 2026년 1월 20일 금융회사가 내부 업무망에서 클라우드 소프트웨어를 이용할 경우 일정한 보안규율을 지킨다는 전제 아래 이를 망분리 규제의 예외로 명시하는 전자금융감독규정 시행세칙 개정안을 사전예고했다.
로드맵의 첫 단추가 규범의 형태로 꿰어진 순간이었다.
속도를 결정적으로 끌어올린 것은 역설적이게도 보안위협이었다. 2026년 5월, 전산망 취약점을 스스로 탐색하는 초거대 AI가 사이버 공격에 악용될 수 있다는 우려가 커지자, 금융위는 '고성능 AI 관련 금융권 보안위협 대응 간담회'를 열고 오히려 방어에도 AI를 써야 한다며 망분리 한시 완화를 앞당겼다.
대상은 총자산 10조원 이상, 상시종업원 1000명 이상, 전자금융거래법상 전담 정보보호최고책임자를 둔 49개 대형 금융사로 좁혀졌다.
신청을 받아 보안관리 역량과 AI 활용 능력을 전문가가 평가하고, 금융위 보고와 비조치의견서 발급을 거쳐 1년간 한시적으로 규제를 풀어주는 구조다.
본지가 확인한 6월 중순 보도들을 종합하면, 1차 한시 완화 대상으로 대형 은행과 인터넷전문은행 등 10곳가량이 선정된 것으로 전해졌다.
그리고 금융위는 여기서 한발 더 나아가, 보안 역량이 충분하다고 판단되는 회사에는 2026년 연말, 즉 12월을 목표로 망분리를 아예 전면 해제하는 방안을 검토 중이다.
'한시 완화'가 '전면 해제'로 넘어가는 마지막 관문이 올해 마지막 달에 놓여 있는 셈이다.
AI 에이전트 커머스 결제 제도개편, 무엇이 쟁점인가
망분리 해제가 금융사 내부의 문을 여는 일이라면, 에이전트 커머스는 소비자 쪽 문을 여는 일이다.
이용자를 대신해 소프트웨어 에이전트가 검색부터 비교, 협상, 결제까지 자동으로 처리하는 이 방식은 결제의 주체가 사람에서 기계로 옮겨간다는 점에서 기존 전자금융 질서를 근본부터 흔든다.
금융위는 2026년 상반기 관련 정책설명 과정에서 신원확인, 권한위임, 망분리 해제, 소비자보호라는 네 가지 개편 과제를 함께 올려놓았다.
첫째는 신원확인이다.
결제 플랫폼에 들어오는 것이 정당한 에이전트인지, 누구를 대리하는지를 검증하는 이른바 '에이전트 인증' 체계가 없으면 자동결제는 위험한 통로가 된다.
둘째는 권한위임이다.
이용자가 에이전트에게 얼마까지, 어떤 범위에서 결제를 맡길지 그 위임의 법적 근거와 한도 제어장치를 어떻게 설계할지가 관건이다.
이는 곧 세 번째 축인 개인신용정보 동의제도 개편과 직결된다.
실제로 금융위는 2026년 6월 16일 부위원장 주재로 개인신용정보 동의제도 개편을 위한 법률자문단 발족 회의를 열었다. 1995년 제정 이후 30년 넘게 유지돼 온 건별·사전 동의 방식을 근본적으로 다시 보겠다는 것이다.
에이전트가 매번 새로운 사이트에서 개별 동의를 받아야 한다면 자동 탐색과 협상은 불가능하다.
그래서 사전적·포괄적 동의를 허용하는 방향으로 신용정보법상 동의체계를 유연화하는 방안이 검토되고 있다.
다만 당국은 자동결제 자체의 도입에는 금융안정 위험을 이유로 신중한 태도를 유지하고 있으며, 결제수단도 특정 기술에 얽매이지 않고 카드와 스테이블코인 등을 기술중립적으로 함께 열어두겠다는 입장이다.
미국·EU·싱가포르는 어디까지 왔나, 국제 비교
국제적으로 보면 한국의 고민은 특수하지 않다.
다만 접근법에는 뚜렷한 온도차가 있다.
미국은 민간 주도로 에이전트 결제 표준과 스테이블코인 기반 정산이 빠르게 상용화 단계에 접어들었다는 평가가 나온다.
규제가 사후적으로 따라가는 구조여서 혁신 속도는 빠르지만, 소비자 피해가 발생했을 때 책임 소재가 불투명하다는 지적이 함께 따라붙는다.
시장이 먼저 뛰고 제도가 뒤를 정리하는 전형적인 방식이다.
유럽연합은 정반대다.
인공지능을 위험도에 따라 차등 규율하는 법제와 강력한 개인정보보호 규범을 먼저 세워두고, 그 틀 안에서 에이전트의 신원과 책임을 규정하려 한다.
안전장치는 두텁지만 상용화 속도는 상대적으로 더디다.
원칙을 먼저 세우고 시장을 그 안에 담는 방식인 셈이다.
싱가포르와 영국은 그 중간에서 규제 샌드박스를 활용한다.
한정된 범위에서 실험을 허용하고 데이터를 쌓아 규범을 다듬는 실용 노선으로, 소규모 개방경제답게 실험과 통제를 병행한다.
일본 역시 결제 인프라의 안정성을 앞세우며 단계적 개방에 무게를 싣고 있어, 대체로 아시아권은 속도보다 안정을 택하는 경향이 읽힌다.
이 지형에서 한국의 좌표를 본지가 짚자면, 미국식 속도와 유럽식 안전 사이에서 '역량 검증을 통과한 사업자부터 단계적으로 문을 여는' 절충 모델에 가깝다.
총자산과 인력, 전담 보안책임자라는 정량 기준으로 대상을 추리고, 한시 완화를 거쳐 전면 해제로 넘어가는 이번 망분리 개편 방식이 그 성격을 압축적으로 보여준다.
본지의 분석과 남는 물음
본지 분석에 따르면 이번 개편의 본질은 규제 완화가 아니라 '규제의 형식 전환'이다.
물리적 칸막이로 위험을 원천 차단하던 방식에서, 회사의 보안 역량을 평가해 자율과 책임을 부여하는 사후·성과 중심 감독으로 무게추가 옮겨가고 있다.
칸막이를 세우던 규제가 능력을 심사하는 규제로 바뀌는 것이다.
본지의 두 번째 결론은, 망분리 해제와 에이전트 커머스가 별개의 사안처럼 보이지만 실제로는 하나의 사슬로 엮여 있다는 점이다.
금융사 내부에서 AI를 자유롭게 돌릴 수 있어야 에이전트 기반 서비스가 나오고, 그 서비스가 소비자 결제와 만나려면 신원확인과 위임 규범이 함께 서야 한다.
어느 한 축만 풀리고 다른 축이 막히면 병목은 그대로 남는다.
셋째, 본지가 우려하는 대목은 규제 완화의 문턱이 정량 기준에 묶여 있다는 점이다.
총자산 10조원과 종업원 1000명이라는 잣대는 대형사에 유리하고, 정작 혁신의 실험대인 중소 핀테크는 완화 대상에서 비켜서 있다.
보안 역량이 곧 규모와 등치되면서, 규제 개편이 자칫 대형사 중심의 시장 재편을 앞당길 수 있다는 것이 본지의 판단이다.
실제로 완화 대상 선정 국면에서 핀테크 업계의 소외 우려가 잇따라 제기된 바 있다.
함의는 분명하다. 12월로 예고된 전면 해제가 성공하려면 세 가지가 맞물려야 한다.
첫째, 망분리를 걷어낸 자리를 메울 실효적 보안 규율과 사고 시 책임 배분 원칙이 규정에 명시돼야 한다.
둘째, 에이전트 결제의 오작동·오결제에 대비한 소비자 피해구제 절차가 자동결제 상용화보다 앞서 마련돼야 한다.
사고가 난 뒤 제도를 만드는 순서여서는 곤란하다.
셋째, 완화의 문을 대형사에만 열지 않도록 중소 사업자를 위한 별도의 검증 경로를 병행해 규제 격차가 시장 격차로 굳는 일을 막아야 한다.
속도와 안전, 그리고 공정한 경쟁이라는 세 균형점이 이번 개편의 성패를 가를 것이다.
검증 노트
본 기사는 2026년 7월 26일 기준으로 작성됐다.
금융위원회·금융감독원의 '금융분야 망분리 개선 로드맵'(2024년 8월 13일) 및 관련 보도자료, 2026년 1월 전자금융감독규정 시행세칙 개정안 사전예고, 2026년 5~6월 고성능 AI 보안위협 대응 및 망분리 한시 완화 추진 발표, 2026년 6월 16일 개인신용정보 동의제도 개편 법률자문단 발족 자료를 1차 자료로 교차 확인했다.
완화 대상 금융사 선정 규모(10곳가량)와 연말 전면해제 목표는 복수 언론의 보도에 근거한 것으로, 최종 대상과 시행 시점은 심사 결과에 따라 달라질 수 있어 '검토·목표' 수준으로 명시했다.
국제 비교는 각국의 일반적 규제 기조를 요약한 것으로 세부 수치는 포함하지 않았다.
기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국