AML — 암호학이 멈추는 자리

목적: 이 카드는 다른 카드에 적어둔 문장 하나 때문에 생겼습니다. **기관 커스터디 스터디** 카드가 분리를 약속했죠 — *어디까지가 엔지니어링(MPC·승인 상태기계·AA 정책)이고, 어디부터가 있거나 없거나인 라이선스인가.* 그러고는 라이선스 쪽을 옆으로 치워뒀습니다. 그 뒤의 거의 모든 카드가 각도만 바꿔 같은 벽에 부딪혔습니다. **VC**는 기관이 서명했다는 사실만 증명하고 그 주장이 참인지는 증명하지 못하므로, 결국 **어느 발급자를 신뢰할지 사람이 정해야** 합니다. **ZK 선택적 공개**는 생년월일을 밝히지 않고 적격 투자자임을 증명하지만, **적격의 정의는 회로가 아니라 규제기관이** 씁니다. **멀티체인 RWA** 카드의 가장 어려운 질문도 결국 과발행을 어떻게 탐지하느냐가 아니라 **누가 책임지느냐**로 귀결됐습니다. 매번 기술적 작업이 같은 경계에서 멈추는데, 그 경계를 지나가며 언급만 하지 말고 정면으로 공부해 볼 값어치가 있습니다. **지금 살아 있는 이유, 2026-08-20.** 서울에서 열린 'Financial AX Risk & Compliance 2026' 콘퍼런스에서 송근섭 국제자금세탁방지전문가협회 대표는 금융범죄가 AML보다 빠르게 초국경화됐다고 지적했습니다 — 디지털자산과 새 지급결제 수단이 업권 경계를 허물고 있으므로, 고객확인·지배구조 확인·제재 스크리닝·의심거래 분석을 개별 회사가 아니라 함께 끌어올려야 한다는 것입니다. 실무 지침은 **완벽한 데이터·AI 거버넌스를 기다리지 말고** 통제 가능한 업무부터 개념검증을 돌리라는 것이었고(예로 STR 분석을 들었습니다), 효과성을 확인한 뒤 범위를 넓히라고 했습니다. 다만 선을 그었습니다 — AI가 전문가를 우회하는 지름길이 되어선 안 되고, 전문가의 판단을 **강화**하는 쪽이어야 한다는 것. **두 지침은 같은 업무를 반대 방향에서 가리키고**, 이 카드가 실제로 측정할 수 있는 것이 그 긴장입니다.

동작 방식: 에세이가 아니라 **지도 하나를 산출물로** 하는 정독 스터디로 계획합니다. 실제로 구속력을 갖는 **국내 층부터**: 가상자산사업자 **특금법 신고**, 나머지 전부의 관문인 **실명확인 입출금계정** 요건, 기준금액 이상의 **트래블룰**, 그리고 그것을 실어 나르는 국내 솔루션(**CODE·VerifyVASP**) — 이건 구조적으로 RWA 카드가 다룬 **기관 간 사실 전달과 같은 문제**인데, 프로토콜이 아니라 **컨소시엄으로 푼 사례**입니다. 다음으로 국제 프레임: **FATF 권고 16번**과 그것이 요구하는 송신인·수취인 필드, **OFAC 등 제재 목록 스크리닝**, **STR(의심거래보고)·CTR(고액현금거래보고)** 의무, 그리고 고객별 실사 강도를 정하는 **위험기반접근법(RBA)**. 만들 값어치가 있는 산출물은 **두 칸짜리 지도**입니다 — 프로토콜이 실제로 질 수 있는 의무(수취 주소 스크리닝, 전송 화이트리스트 강제, 원문 없이 적격성 증명) 대 **사람과 책임을 가진 법인만 질 수 있는 의무**(의심거래보고 제출, 위험등급 판정, 감독당국 응대). 내내 놓치지 말아야 할 긴장은 이것입니다 — **AML은 "누구인지 아는 것" 위에 서 있고, 이 카탈로그의 대부분은 "알 필요가 없게 만드는 것" 위에 서 있습니다.** 재사용 가능한 KYC 크리덴셜이 그 둘이 실제로 만나는 유일한 지점이고, 흥미로운 질문은 **재사용된 증명이 원본 증거를 파일로 갖고 싶어 하는 감독당국을 만족시키는가**입니다. ### 2026-08-20 발언의 긴장, 그리고 그것을 재는 법 STR 트리아지는 **모델이 분석가의 1차 판단을 대체하는 바로 그 자리**입니다. 그러니 "STR부터 시작하라"와 "전문가를 우회하지 말라"는 같은 업무를 반대 방향에서 겨누고 있고, 발언은 둘을 가르는 시험을 주지 않습니다. 조직도에서는 똑같아 보입니다 — 어느 쪽이든 사람이 서명하니까요. 둘을 가르는 것은 측정 가능합니다: | 신호 | 강화하고 있음 | 형식적 결재가 되고 있음 | |---|---|---| | 분석가 번복률 | 유의미하고 안정적 | 0으로 수렴 | | 번복의 정확도 | 번복이 모델보다 자주 옳음 | 번복이 잡음 | | 건당 소요 시간 | 줄다가 평탄해짐 | 서명 수준까지 떨어짐 | | 모델이 안 잡은 건의 상향 보고 | 여전히 발생 | 사라짐 | 시험할 값어치가 있는 주장: **강화하는 AI는 유의미한 번복률을 남기고 그 번복이 우연보다 자주 옳다. 형식적으로 결재되는 AI는 번복률이 붕괴한다.** 이것이 **자동화 편향(automation bias)**이고, 은행 데이터 없이도 됩니다 — 합성 경보 큐와 두 개 군이면 같은 형태가 재현됩니다. ### 거버넌스 조언에 정정 하나 "완벽한 거버넌스를 기다리지 말라"는 옳습니다. 그리고 그것은 **"감사 추적 없이 시작하라"와 같은 말이 아닙니다.** STR은 사후에 검사받는 규제 보고이므로, PoC가 첫날부터 지고 있어야 할 최소치는 **결정 기록**입니다 — 입력, 모델 버전, 점수, 분석가가 무엇을 했고 왜 그랬는지. 이것은 완전한 AI 거버넌스보다 훨씬 작은 물건이고, 둘을 뭉뚱그리는 순간 좋은 조언이 핑계로 바뀝니다. ### 민관 파트너십 주장이 놓이는 자리 마지막 논점 — 정보와 전문성이 금융회사·감독기관·민간 전문가에게 흩어져 있으니 민관 파트너십이 중요하다 — 은 새 카드가 아니라 **이 카드의 기존 2열 지도**에 놓입니다. 유형(typology) 공유는 사실 전달 문제이고, 이 카탈로그가 이미 다룰 줄 아는 것입니다. 리스크 등급을 정하고 보고서에 서명하는 일은 아닙니다. 세 번째 열로 추가할 것: **컨소시엄이 질 수 있는 의무** — 프로토콜이 질 수 있는 것과 라이선스 보유 기관만 질 수 있는 것 사이에 놓입니다.