금융 AI 챗봇 및 생성형 LLM 도입 시 개인신용정보 유출 방지 쟁점

핵심 판단

외부 LLM API 호출·RAG 구축 과정에서 고유식별정보·개인신용정보가 프롬프트나 학습 데이터로 유출되지 않도록, 입력 필터링(DLP)·가명/비식별 처리·CISO 승인 및 이용지침이 갖춰졌는지가 핵심이다. 신용정보는 목적 외 처리·재식별 위험이 특히 크므로 학습 투입 전 정제 절차가 확인되어야 한다.

배경

대고객 상담·내부 업무 효율화를 위해 생성형 AI를 도입하면서, 상담 로그·계좌정보 등이 정제 없이 외부 모델로 전송되거나 RAG DB에 축적되어 재식별·유출 위험이 발생한다. AI 활용에 대한 내부통제 지침과 승인 체계가 미비한 경우가 많다.

주요 쟁점 및 심사 포인트

• 외부 LLM API 송신 시 주민번호·계좌번호 등 고유식별/신용정보 마스킹·필터링 여부
• RAG·학습 데이터셋 구축 시 가명·비식별 처리 및 재식별 위험 검토 여부
• AI 활용 범위·금지사항에 대한 내부지침 수립 및 CISO/CPO 승인 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 3.1.1 개인정보 수집·이용
• 3.1.4 민감정보 및 고유식별정보의 처리 제한
• 2.6.3 응용프로그램 접근
• 2.8.4 시험 데이터 보안
• 1.4.1 법적 요구사항 준수 검토

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「신용정보의 이용 및 보호에 관한 법률」 제19조(신용정보전산시스템의 안전보호)
  • 신용정보회사등은 신용정보 전산시스템에 대한 기술적·물리적·관리적 보안대책을 수립·시행 → AI 연계 시스템도 대상.
• 「개인정보 보호법」 제15조·제17조·제18조
  • 수집·이용·제공·목적 외 이용 제한 규정 → 상담 데이터를 학습 목적으로 재사용하려면 목적 적합성·법적 근거 필요.
• 「개인정보 보호법」 제23조·제24조
  • 민감정보·고유식별정보 처리 제한 → 학습·프롬프트에 포함되지 않도록 통제.

참고 가이드

• 금융분야 AI 개발·활용 관련 안내서(금융위·금융보안원 계열, 최신본 확인 권장)
• 「개인정보 처리 통합 안내서」(개인정보보호위원회)

심사 시 확인사항 (증적)

• AI 이용지침·승인 문서, 금지 데이터 유형 정의
• 프롬프트/전송 구간 DLP·마스킹 설정 및 차단 로그
• 학습·RAG 데이터셋 가명처리 내역 및 재식별 위험성 검토서
• 외부 LLM 사업자와의 계약서상 데이터 미학습·보관금지 조항

주요 결함 사례

고객 상담 로그를 정제 없이 사내 RAG 기반 LLM 학습 데이터로 투입하여 고객 개인(신용)정보가 모델 응답을 통해 노출될 수 있는 구조로 운영됨.

보완 대책

1. 프롬프트 입력단 DLP·정규식 마스킹 도입, 금지 데이터 유형 표준화
2. 학습·RAG 투입 전 가명처리 파이프라인 구축 및 재식별 위험 정기 점검

연관 쟁점

• [ISSUE-014] 가명정보 결합·활용 시 추가정보 분리보관 및 재식별 모니터링 쟁점
• [ISSUE-003] 마이데이터 Open API 권한 검증(BOLA) 및 과다 노출 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)