金融当局が、AI活用を後押しするネットワーク分離規制の緊急緩和について、第2金融圏と電子金融業者まで対象を広げる。業界ではAIやクラウドの活用拡大への期待が高まる一方、第2次テストへの参加を巡っては大手と中小で温度差もみられる。今後、AIとセキュリティの対応力を備えた金融機関を中心に緩和が進めば、金融機関の間で活用格差が広がるとの見方もある。

金融委員会は3日、金融監督院、金融保安院などと「フロンティアAI状況対応班」の第5回会議を開き、「第2次ネットワーク分離規制の緊急緩和措置」の詳細案を確定した。第2次テストでは、これまで大手金融会社が中心だった対象を、第2金融圏や電子金融業者にも拡大する。

申請対象は第1次の49社から75社に増える。選定規模も10社から15社以内に広げる。金融会社の申請基準は、総資産10兆ウォン以上かつ常時従業員1000人以上から、総資産2兆ウォン以上かつ常時従業員300人以上へと引き下げた。ただし、最高情報保護責任者（CISO）が他のIT部門業務を兼務しないことを条件とする。

電子金融業者には別の基準を適用する。年間の電子金融取引額が2兆ウォン以上で、電子金融業関連の売上高が全体売上高の10％を超えることが要件だ。電子金融業者についても、CISOが他のIT部門業務を兼務しないことを求める。金融委員会によると、基準を満たす金融会社は59社、電子金融業者は16社という。

業界の受け止めは分かれている。大手の電子金融業界では、第2次テストへの申請を検討する動きが出ている。ある大手電子金融業者の関係者は、「申請対象に該当するかを社内で改めて確認しており、参加の可否も検討している」と話した。

フィンテック業界では、ネットワーク分離規制を緩和する方向性そのものを評価する声が多い。AIやクラウドなど外部技術を実務やサービスに活用できる範囲が広がり、従来のネットワーク分離体制を維持するコストや時間を減らせるためだ。

フィンテック業界の関係者は「AIやクラウドなどの外部技術を、実務やサービスに活用できる道が広がる点は前向きに受け止めている」としたうえで、「ネットワーク分離に伴うコストと時間を抑えながら、業務自動化やデータ活用、新規サービス開発のスピードを高め、デジタル競争力の強化につなげられる」と期待を示した。

一方で、こうした期待がすべての金融会社に同じように広がっているわけではない。第2金融圏などでは、申請資格を満たしていても、現時点では第2次テストに参加する計画はないとの見方がある。

規制が緩和されても、AIやセキュリティの専門人材、関連システム、ネットワーク分離に代わる統制手段を自前で整える必要があるためだ。規模の小さい金融会社ほど、その負担は重くなりやすい。

金融委員会は申請企業の選定にあたり、資産や人員規模だけでなく、セキュリティ対応力やAI活用能力も評価する方針だ。選ばれた企業がフロンティアAIやセキュリティSaaSを活用するには、データ流出や外部侵害のリスクを抑える代替的な統制手段の整備が欠かせない。

今後のネットワーク分離規制の緩和も、こうした能力を備えた金融機関を軸に進む可能性が高い。金融委員会は、第1次・第2次テストの結果と追加申請の需要を踏まえ、追加の緊急緩和措置や恒久制度化の案を検討している。あわせて、高度なAI・セキュリティ能力を持つ金融機関から、ネットワーク分離規制を全面解除する案についても関係機関と協議を進めている。

金融委員会が段階的な緩和に踏み切った背景には、AIを悪用したサイバー攻撃の高度化がある。第1次テストでは、フロンティアAIが数百万～数千万行に及ぶ膨大なソースコードを数時間で分析し、既存の脆弱性を広範囲に探し出す能力を示した。当局は、AIを使った侵害脅威が本格化する事態に備え、攻撃対象領域の管理や迅速なセキュリティパッチに加え、「AIをAIで防御する」対応体制の強化が必要だとみている。

ただ、AIを活用したセキュリティ対応の重要性が高まるほど、実際に導入できる企業とできない企業の差が広がる可能性は残る。投資余力に乏しい中小の金融会社や電子金融業者は、緩和対象に選ばれにくいうえ、AIを使ったセキュリティ対応力を備えること自体も相対的に難しいためだ。

金融政策に詳しい関係者は、「セキュリティとAIの対応力を持つ大手を中心にネットワーク分離規制が緩和され、中小が引き続き規制に縛られれば、中小はAI攻撃にAIで対抗する機会すら制限されかねない」と指摘する。そのうえで、「緩和対象に入れない中小の金融会社や電子金融業者に対しても、別途のセキュリティ対策を併せて整備する必要がある」と述べた。

AIとセキュリティへの投資余力そのものが、今後の業界競争力の差につながるとの懸念もある。同関係者は「今後は、AIセキュリティにどれだけの人員と予算を投じるか、CISOがどの程度の権限を持つかによって、企業ごとの対応力の差が大きくなる可能性がある」としたうえで、「中小はその分、相対的に出遅れるおそれがある」と話した。