“生成式AI只准特定服务使用？”…面向全金融业的网络隔离优化说明会

by Oh Kuemin

Published 22 Aug.2024 11:25(KST)

金融当局就金融业将互联网等外部网络与内部业务网络分离运行的网络分离改进方案举行了说明会。会上说明了分阶段路线图的具体内容，并就监管沙盒的运行方向以及强化后的安全对策等进行了介绍。今后还将通过按业态召开说明会的方式，为各家金融机构提供细化的安全咨询服务。

以下是关于金融当局金融领域网络分离改进路线图的问答。

问：在允许生成式人工智能的情况下，是仅允许特定服务（如ChatGPT等），还是凡是应用了生成式人工智能技术的服务都可以被允许？

答：通过监管沙盒允许生成式人工智能的举措并不局限于特定服务，只要是应用了生成式人工智能技术的服务，均可以申请纳入监管沙盒。

问：对于平台即服务（PaaS）形式的生成式人工智能服务，是否可以不受路线图限制而直接使用？

答：无论生成式人工智能的运行结构是软件即服务（SaaS）还是平台即服务（PaaS），只要需要适用网络分离监管特例，就必须申请并获得监管沙盒的指定和批准。

问：在利用生成式人工智能时，即便不处理客户个人信用信息，是否仍需要经过沙盒审查和批准？

答：与网络分离相关的监管沙盒，是为了对《电子金融监督规定》第15条（防止黑客等对策）第1款第3项或第5项给予特例放宽。因此，只要需要对上述规定适用特例，无论是否处理个人信用信息，都必须经过监管沙盒审查和批准。

问：对于已进行假名化处理的个人信用信息，是否有假名化处理适当性评估、外传标准等必要的保护措施要求？

答：路线图中所称的“假名处理”，是指《信用信息法》上的假名处理，必须严格遵守相关法律法规规定的行为准则。并且，还需根据拟开展的业务，遵守关于假名化处理程度的确定、假名化处理方法、适当性审查及事后管理等各项规定。

问：在允许生成式人工智能的情况下，大量假名信息可能在境外被处理，从个人信息保护角度看是否不存在问题？

答：对于通过生成式人工智能在境外处理假名信息的情形，将事先与个人信息保护委员会（以下简称“个保委”）协商，推动在沙盒框架内开展协作。沙盒指定时，个保委也将共同参与关于赋予《个人信息保护法》特例的讨论，并计划将个人信息处理、跨境传输和保护等方面所需的各类安全对策，反映为附加条件。

问：在沙盒过程中进行的安全检查和咨询具体指什么？

答：在沙盒指定时，将根据风险情况附加相应的安全对策作为条件。金融监督院和金融保安院将事前为各家金融机构制定的安全对策提供咨询，审查其适当性、漏洞及需要补充之处，并将在服务上线前检查相关安全措施是否已充分落实。

金炳환金融委员会委员长与市中银行行长的座谈会于20日在首尔银行会馆举行。金委员长正在致辞。摄影记者许永汉 younghan@

问：对于已经通过既有沙盒获得软件即服务（SaaS）使用特例的企业，本次改进出台后是否还需要采取额外措施？

答：通过本次网络分离改进，SaaS的可用范围将被扩大，新方案与既有沙盒下允许的SaaS在适用对象、范围以及附加条件等方面并不相同。若企业已获得监管特例，并拟在既有指定范围内继续开展服务，则无需采取额外措施；但若拟依据本次改进方案新增或扩大SaaS的使用范围，则需另行申请新的沙盒指定。

问：与路线图相关的监管沙盒今后的时间安排如何？是一次性申请，还是未来可以持续申请？

答：与生成式人工智能等路线图相关的监管沙盒，将于今年9月首次受理申请。具体时间安排将通过各行业协会及金融监管沙盒网页发布。与路线图相关的监管沙盒申请并非一次性，将根据申请需求情况，适时研究追加受理时间。

问：对于研发网络的使用范围，是否有统一标准？

答：原则上，研发网络的使用范围需由各家金融机构结合自身的物理和人力资源要素及安全要素（安全能力、保护必要性、开放外部网络的风险等）自行判断。金融机构应自主识别信息资产和系统的重要性及风险，分析评估其影响程度，以此判断是否使用研发网络，并经内部信息保护委员会批准后予以运行。但同时必须遵守因网络分离例外而设立的替代性信息保护控制措施，并定期检查漏洞等，切实完善各类安全装置。

问：关于研发网络使用的详细指引等说明文件大约何时发布？