[아이뉴스24 안영록 기자] [김주상의 디지털자산] 금요일 밤11시47분. 이용자가 AI(인공지능) 비서에게 말했다. “다음 주 부산 출장 항공권과 호텔을 70만원 안에서 예약해 줘. 보증금은 내 디지털자산 지갑을 사용해도 돼.”
다음 날 아침 3건의 알림이 왔다. 날짜가 잘못된 항공권, 취소할 수 없는 호텔 객실, 그리고 처음 보는 지갑으로 전송된 유에스디코인(USDC)이었다.
이용자는 결제 버튼을 누르지 않았다고 항의했다. AI 서비스는 결제 권한을 위임받았다고 답했다.
카드사는 정상 인증된 거래라고 했고, 지갑 사업자는 이용자 권한으로 서명된 전송이라 되돌리기 어렵다고 설명했다. 호텔도 환불을 거부했다. 그렇다면 이 사고는 누구의 책임일까.
이 장면은 더 이상 공상만이 아니다. 2026년 3월, 마스터카드는 국내에서 AI 에이전트가 교통편을 검색·예약하고 결제까지 마친 실제 인증 거래를 공개했다. AI는 추천을 넘어 계약과 지출을 실행하기 시작했다.
-사람이 누르던 마지막 버튼이 사라진다
기존 결제는 사람이 상품과 금액을 확인하고 마지막 승인 버튼을 누른다는 전제 위에 세워졌다.
그러나 AI 에이전트는 사용자가 목표와 예산만 제시하면 검색, 비교, 판단, 주문과 결제를 연속으로 처리한다.
오류는 긴 의사결정 과정에 흩어진다. 사용자의 지시가 모호했는지, AI가 조건을 잘못 해석했는지, 가맹점 정보가 조작됐는지, 결제망이 이상징후를 놓쳤는지를 모두 살펴야 한다. 카드사들이 에이전트 전용 결제 토큰과 권한 기록에 집중하는 이유다.
비자는 이용자 동의와 결제 지시·금액·가맹점 조건의 일치를 확인하고, 주문 정보를 보관하도록 했다. AI의 지능보다 ‘누가 무엇을 어디까지 승인했는가’를 증명하는 일이 먼저인 셈이다.
-카드 사고와 온체인 사고는 결말이 다르다
카드 결제에는 승인 취소, 이의제기, 이상 거래 탐지와 차지백 같은 사후 절차가 있다.
반면, 개인 지갑에서 스테이블코인을 전송하면 정상 서명된 거래를 일방적으로 취소할 공통 절차가 없다.
기술적으로 되돌리기 어렵다고 법적 책임까지 사라지는 것은 아니다. 다만, 상대방을 특정하고 관할을 정해 실제 자산을 회수하기는 훨씬 어렵다.
AI가 세션키로 거래를 연속 실행하면 사고의 속도와 규모도 달라진다. 위조된 가맹점 주소에 송금하거나 악성 스마트컨트랙트의 권한 요청을 승인하는 순간 손실이 확산될 수 있다. 디지털자산 결제에서는 사후 복구보다 결제 이전의 통제가 중요하다.
-현행법은 출발점일 뿐이다
전자금융거래법은 접근 매체의 위·변조, 거래 지시의 전송·처리 사고 등으로 발생한 손해에 금융회사나 전자금융업자의 배상책임을 둔다. 온라인 구매에는 청약 철회와 환불 규정도 적용될 수 있다.
그러나 AI가 정상 권한을 사용했지만 지시를 잘못 해석한 경우는 카드 도용이나 전산장애와 다르다. 결제와 인증은 정상인데 결과만 의도에서 벗어난다.
이때는 위임 범위, 약관, 추가 확인 절차, 가맹점 정보, 거래 로그와 각 사업자의 과실을 함께 따져야 한다.
금융위원회도 2026년 6월, AI가 추천과 가입을 넘어 결제까지 맡는 상황을 전제로 책임과 권한의 규율 체계를 검토하겠다고 밝혔다.
-책임은 버튼이 아니라 통제 가능성을 따라가야 한다
사용자가 ‘좋은 호텔을 싸게 예약해 줘’라고 모호하게 지시했다면 이용자의 위임 책임과 AI 서비스의 추가 확인 의무를 함께 봐야 한다.
반대로 ‘1박 20만원 이하, 무료 취소 상품만’이라고 제한했는데 AI가 70만원짜리 환불 불가 상품을 결제했다면 플랫폼과 에이전트 운영자의 책임이 커진다.
카드 토큰이나 지갑키가 탈취됐다면 인증·지갑·결제사업자의 보안 통제가, 가맹점이 허위 가격이나 환불 조건을 제공했다면 가맹점과 커머스 플랫폼의 책임이 쟁점이다. 스마트컨트랙트나 오라클 오류라면 개발자·배포자·운영 거버넌스가 보유한 통제권도 확인해야 한다.
결국 책임은 누가 마지막 버튼을 눌렀는지가 아니라 누가 권한을 설정했고, 거래를 인증했으며, 위험을 발견하고 중단할 수 있었는지를 따라가야 한다.
AI는 피해자에게 돈을 돌려주거나 법정에서 배상할 주체가 아니다.
-AI 결제도 금융판 블랙박스가 필요하다
사용자의 원래 명령, 허용한 금액·상품·기간·결제 수단, 에이전트의 신원과 버전, AI가 읽은 가격과 환불 조건, 추가 인증, 카드 승인이나 지갑 서명, 거래를 멈출 수 있었던 시점이 기록돼야 한다.
디지털자산 결제에는 에이전트 전용 지갑이나 제한된 세션키, 가맹점 허용목록, 일일 한도, 고액·환불 불가·온체인 거래 추가 승인, 즉시 권한 회수와 긴급정지를 기본값으로 넣어야 한다. 사고 보험과 분쟁 절차도 필요하다. AI 결제의 신뢰는 AI가 얼마나 영리한가로 결정되지 않는다.
잘못된 거래를 누가 설명하고 멈추며, 되돌릴 수 없을 때 누가 보상하는지가 더 중요하다. 사람이 버튼을 누르지 않는 시대에도 책임까지 사라져서는 안 된다.
필자 소개: 김주상은 전자상거래와 기술경영을 기반으로 디지털자산과 미래금융을 연구하는 IT컨설턴트다. 2013년 비트코인의 전자상거래 화폐 가능성을 연구했으며, 암호화폐·NFT 제공 시스템 관련 등록 특허(2023)와 저서로는 ‘100년 만에 부의 기회가 왔다(2021)’가 있다.
*외부 글은 <아이뉴스24> 편집 방향과 일치하지 않을 수 있습니다.
/안영록 기자(rogiya@inews24.com)