뱅크오브아메리카 12억 달러 벌금이 '검증 가능한 AI 컴플라이언스'를 희소재로 만들었다

뱅크오브아메리카▼−0.57% — 뱅크오브아메리카, down 0.57 percent today가 2026년 10월 14일 발표한 3분기 실적에는 AML 및 제재 위반과 관련한 12억 달러의 세액공제 불가 일회성 비용이 반영됐다 ¹. 그러나 이번 처벌에서 돈은 작은 절반에 불과하다. 처벌의 근거가 된 합의명령서(consent order)는 은행이 놓친 의심 거래에 대한 제3자 소급조사(lookback)를 요구한다↗. 아울러 거래 모니터링과 고객 실사, 데이터 거버넌스가 실제로 작동하는지에 관한 독립 검토도 의무화했다 ².

소프트웨어는 이 요구에 답하지 못한다. 은행이 감독기관에 내놓을 수 있는 가장 가까운 답은 미 재무부 금융범죄단속국(FinCEN)↗이 스스로 제안한 규정이 가치를 인정하는 형태의 증거, 즉 프로그램의 작동 여부를 겨냥한 독립 테스트와 AI의 효과적 활용을 명시적으로 포함하는 입증 가능한 효과성 증거다 ³. 그로부터 며칠 뒤 샌프란시스코의 컴플라이언스 에이전트 개발사 브레튼AI가 그 증거의 한 조각을 내놨다. 독립 회계법인이 자사 에이전트를 검증했다는 내용이었다 ⁴.

10월의 벌금이 묻는 것은 '프로그램이 작동하느냐'다

제재는 연달아 이어졌다. 미국 국법은행 감독기관인 통화감독청(OCC)은 2026년 10월 8일, 무역 기반 자금세탁 의심 거래를 10년간 보고하지 않은 것과 관련해 아메리칸엑스프레스 내셔널뱅크에 3억5000만 달러의 벌금을 부과했다↗. OCC는 이번 조치에서 결함 가운데 하나로 취약한 독립 테스트를 지목했다 ⁵.

2026년 10월 13일에는 미 재무부가 뱅크오브아메리카에 대한 조치에 나섰다 ². FinCEN은 12억 달러의 벌금을 부과했다↗ ⁶. OCC는 7억5000만 달러의 민사 과징금을 물렸다. OCC 역사상 최대 규모다 ². 해외자산통제국(OFAC)은 제재 위반 혐의 건을 1160만 달러에 합의했다 ². 은행은 은행비밀법을 고의로 위반했음을 인정했다 ⁶. FinCEN의 벌금은 재무부 역사상 세 번째로 크다. 앞선 두 건은 각각 2023년의 바이낸스와 2024년의 TD뱅크다 ¹².

규제 기준, '서류'에서 '증명'으로

FinCEN은 2026년 4월 7일 기존 기준인 '서류가 존재하는가'를 더 까다로운 기준으로 바꾸는 안↗을 제안했다. 새 기준은 '프로그램이 실제로 작동하는가'다 ³. 독립 테스트는 완전성이 아니라 효과성에 초점을 맞추게 되고, FinCEN 국장은 제재 결정에서 입증 가능한 효과성 증거를 반영하게 된다. 여기에는 AI의 효과적 활용이 명시적으로 포함된다 ³.

브레튼AI의 윌 로렌스 최고경영자(CEO)는 2026년 10월 20일 글로벌 파이낸스↗에 이번 제재가 사업적으로 무엇을 의미하는지 명확히 말했다. 은행은 분석가를 더 뽑고, 새 기술을 사들이고, 정책을 다시 써도 금융범죄를 찾아내는 능력이 나아지지 않을 수 있다는 것이다. 감독당국이 원하는 것은 변화가 실제로 효과를 내고 있다는 증거다 ¹. 컴플라이언스 예산이 장바구니에 담는 물건이 달라지는 셈이다.

회계법인의 '검증 서한'이 상품이 된다

브레튼AI는 2026년 10월 19일, 플로리다에 본사를 둔 최대 독립 회계·자문회사이자 미국 전체 50위권에 드는 카우프만 로신이 자사의 고객확인(KYC)·자금세탁방지(AML)·제재 에이전트에 대한 독립 모델 검증을 완료했다↗고 밝혔다 ⁴. 이번 검증은 거버넌스와 모델의 정확성·안정성, 설명 가능성, 의사결정 추적 가능성, 변경 관리, 상시 모니터링을 포괄했다 ⁴.

카우프만 로신의 제이슨 촐린스 프린시펄(principal)은 설계를 이렇게 설명한다. 대규모언어모델(LLM)의 조사 추론에 결정론적 규칙 로직과 정형화된 출력 스키마를 결합하고, 어떤 최종 처리(disposition)보다 앞서 인적 검토를 필수로 거친다는 것이다 ⁴. 로렌스는 이런 문서가 드문 이유를 이렇게 짚는다. 미국 연방준비제도(연준)의 SR 11-7 같은 은행 모델 리스크 가이드라인↗은 결정론적 모델용으로 쓰였지 범용 AI를 위한 것이 아니라는 것이다 ⁷.

FinCEN의 제안은 내부 인력이든 외부 업체든 독립 테스트를 프로그램이 작동하는지를 판가름하는 시험으로 삼는다 ³. 그렇게 되면 그 증명을 인증해 주는 회계법인이 무엇을 증거로 인정할지를 가르는 관문이 된다. 남은 한계는 두 가지다. 어느 감독당국도 검증 서한을 증거로 받아들이겠다고 밝힌 적이 없고, 카우프만 로신의 검증 결과 자체는 공개되지 않아 브레튼AI의 발표를 통해서만 알려진다 ⁴.

뱅크오브아메리카 주주는 시정 비용을 물고…브레튼AI는 케이스 완결 건당 번다

뱅크오브아메리카(NYSE:BAC) 주주들은 이 일회성 비용에 더해, 로렌스의 말대로라면 수년이 걸릴 수 있는 시정 작업(remediation)까지 떠안는다 ¹. 경영진은 이에 필요한 인력과 기술 비용이 은행의 경상 지출(expense run rate) 안에서 충당되며 은행을 옥죄는 자산한도(asset cap)도 없다고 말했다. 모건스탠리·−1.87% — 모건스탠리, down 1.87 percent as of its last quote는 목표주가를 내리면서도 이 종목에 '오버웨이트'(매수에 해당하는 투자의견)를 유지했다 ⁸.

브레튼AI는 로빈후드▼−4.75% — 로빈후드, down 4.75 percent today, Mercury, Gusto 등을 고객으로 두고 있으며, 케이스 완결 건당으로 과금한다. 본지가 10월 9일 보도한 MVB뱅크 AML 얼럿 큐 계약↗이 바로 그 사례다 ⁴⁹. 미국 통화감독청(OCC)의 7억5000만 달러 과징금은 브레튼AI가 자체 공개한 평균 계약 규모(20만1000달러)의 3700배가 넘는다 ²¹⁰. 뱅크오브아메리카 주주에게 이 돈은 이미 나간 돈이지만, 컴플라이언스 벤더에게 똑같은 의무는 케이스 한 건 한 건 벌어들이는 매출이다.

마지막 남은 조각은 '대규모에서 통하는 독립 증거'

성능 좋은 모델에서 더 안전한 은행으로 이어지는 고리는 거의 다 만들어졌다. 조사를 완결하는 에이전트, 모든 산출물을 검토하는 사람, 검증을 마친 모델, 증명을 보상하는 규정 개정안까지 갖춰졌다 ³⁴. 빠진 고리는 단 하나, 에이전트가 대규모 환경에서도 버티는지를 보여주는 독립 증거다.

향방을 가를 변수는 세 가지다. 첫째는 어느 감독기관이든 회계법인의 검증 서한을 '프로그램이 작동한다'는 증거로 받아들일지다. 검증 결과 자체는 아직 공개되지 않았다. 둘째는 재원이 이미 확보된 뱅크오브아메리카의 시정 작업이 브레튼AI가 2026년 8월 맺은 계약처럼 케이스당 과금 계약으로 이어질지다 ⁹. 셋째는 이번 분기에 몰리는 66건의 규제 마감 기한↗이 은행들로 하여금 FinCEN의 규정이 확정되기 전에 증명 문제에 답하게 만들지다 ¹⁰.

뱅크오브아메리카 주주는 서류상의 컴플라이언스 프로그램과 실제로 작동하는 프로그램 사이 간극의 대가를 이미 치렀다. 다음은 그 간극을 증거로 메우는 이들이 돈을 받을 차례다. 이번 달의 제재는 그 증거의 가격을 전국 모든 컴플라이언스 예산 앞에 드러내놓았다.