JPMorgan Chase는 AI 에이전트가 고객 계좌에 접근하는 방식을 통제하겠다고 밝혔다. 특히 사용자의 자격증명을 이용해 자금을 이동하는 외부 소프트웨어에 대한 규제가 핵심이다. 이 은행이 설정한 경계는 소프트웨어에 부여된 접근 권한과 실행 권한에 관한 것이다. JPMorgan은 이미 내부적으로 AI 에이전트를 활용하고 있으며, 향후 고객 서비스에도 적용할 계획이다.
이 같은 입장은 2026년 10월 13일 3분기 실적 발표 콘퍼런스 콜에서 공식적으로 드러났다. JPMorganChase 공식 보도자료에 따르면, 최고경영자(CEO) 제이미 다이먼과 최고재무책임자(CFO) 제러미 바넘이 금융 자동화의 핵심 질문을 직접 다뤘다. 고객이 AI 에이전트에 행동을 위임할 때, 얼마나 많은 통제권을 유지할 수 있는가 하는 문제다.
자격증명과 자금 이동의 경계
콘퍼런스 콜 녹취록에서 바넘 CFO는 핵심 문제를 구체화했다. 공유된 자격증명과 스크린 스크래핑 방식을 통해 에이전트가 자금을 이동시키는 서비스가 문제의 본질이라고 지목했다. 스크린 스크래핑이란 구조화된 연결을 통하지 않고, 웹사이트 인터페이스에서 직접 정보를 추출하는 방식이다. 바넘은 이러한 방식을 불안전하다고 보고, JPMorgan은 가능한 한 이를 차단하고 있다고 밝혔다.
다이먼 CEO는 한발 더 나아가 외부 에이전트가 은행 시스템에 자유롭게 접근하는 것을 전면 차단하겠다는 입장을 분명히 했다. 그는 “고객과 JPMorgan 모두에게 너무 위험하다”(SpazioCrypto 번역)고 말했다. 이 발언은 접근 통제의 원칙을 제시하는 것이지. 모든 공급자를 위한 완전한 규정이나 승인된 에이전트 목록, 또는 전면 서비스 개방 일정을 의미하지는 않는다.
잔액 조회와 결제 실행은 다른 권한이다
Chase는 이미 비밀번호 공유 없이 외부 애플리케이션을 계좌에 연결하는 방법을 공식 안내 페이지에서 제공하고 있다. 고객이 은행에 직접 인증하고, 연결할 계좌를 선택하며, 언제든지 접근을 철회할 수 있다. 허용된 거래에 필요한 경우에는 대체 계좌번호를 사용하는 방식도 설명되어 있다. 즉, 승인된 외부 연결은 이미 존재하며, 기능의 범위는 서비스 내용과 부여된 동의에 따라 달라진다.
결정적인 구분은 데이터 접근과 실행 권한 사이에 있다. AI 에이전트는 지출을 분류하거나 결제 제안을 준비할 수 있지만, 실제로 결제를 실행할 수는 없다. API를 통한 연결 자체가 의사결정의 정확성을 보장하지는 않는다. 어떤 계좌에서, 어떤 작업이 허용되며, 어떤 확인 절차가 필요한지 명확히 알아야 한다. 이 주제는 SpazioCrypto가 분석한 AI 에이전트의 위임 업무 신뢰성 문제와도 직결된다.
은행 접근 방식: 구분해야 할 세 가지 모델
편집부 정리. 출처: 2026년 10월 13일 JPMorganChase 콘퍼런스 콜 및 Chase 데이터 공유 문서.- 은행이 개발한 에이전트. 은행이 도구와 자체 시스템 통합을 직접 관리한다. 그러나 내부 개발이라는 사실만으로 오류 위험이 사라지지는 않는다.
- 승인된 API를 통한 외부 에이전트. 허용 범위는 활성화된 기능과 부여된 권한에 따라 달라진다. 정보 공유가 자동으로 결제 권한을 부여하지는 않는다.
- 고객 자격증명을 사용하는 외부 에이전트. 서비스가 사용자의 접근 권한을 그대로 활용한다. 자금 이동에 사용될 경우 바넘 CFO가 명시적으로 문제 삼는 방식이다.
보안과 핀테크 경쟁의 교차점
제3자 서비스 연동의 역사는 AI 에이전트 등장 이전으로 거슬러 올라간다. JPMorganChase와 Plaid는 2025년 9월 16일 데이터 접근 계약 갱신을 발표했으며, 가격 구조와 서비스 지속 약정을 포함했다. 이 계약은 정보의 승인된 공유에 관한 것으로, 에이전트가 거래를 자유롭게 실행할 수 있다는 의미가 아니다. 다만 은행이 모든 외부 연결을 차단하려 한다는 해석에 대한 반론 근거가 된다.
SpazioCrypto의 시각에서 보면, 여기서 경쟁상의 긴장이 드러난다. 여러 은행의 서비스를 비교하는 AI 어시스턴트가 고객의 일상적인 기준점이 될 수 있다. 그렇게 되면 은행은 예금을 보관하는 곳에 머물고, 다른 플랫폼이 고객의 의사결정을 주도하게 된다. 접근 권한 보호와 고객 관계 유지는 공존할 수 있다. 이 흐름을 제대로 평가하려면, 은행 자체가 개발한 에이전트의 경우에도 투명한 허용 기준과 명확한 권한 범위가 필요하다.
책임은 클릭 한 번으로 해결되지 않는다
사실, 다이먼은 고객이 외부 도구를 승인할 때 책임이 이전된다고 말했고. 바넘은 자격증명을 넘긴 이후 발생한 원치 않는 행동은 사용자에게 귀책된다고 경고했다. 이는 경영진이 콘퍼런스 콜에서 밝힌 입장이며, 새로운 규정이 아니다. 이 발언에서 환불에 관한 보편적 원칙이나 분쟁의 결과를 추론하는 것은 적절하지 않다.
가상의 사례를 들면 문제가 명확해진다. 어시스턴트에게 수수료가 더 저렴한 계좌를 찾아달라고 요청하는 것이, 잔액을 이전하라는 권한까지 부여하는 것은 아니다. 만약 소프트웨어가 그 단계를 실행한다면, 지시 내용과 부여된 권한, 확인 절차를 모두 재구성해야 한다. 위임은 추천에서 실행으로 넘어가는 경계를 가시화해야 한다. 이는 팀 버너스리가 강조한 개인 데이터 통제 문제의 금융 버전이라 할 수 있다.
더 넓은 맥락에서 바라보기
핀테크의 다음 전장은 사람의 의도를 금융 거래로 변환하는 주체가 누가 될 것인지에 관한 것이 될 수 있다. AI 에이전트는 비교와 절차를 단순화할 수 있지만, 사용자가 무엇을 승인했는지 파악하지 못하게 되는 순간 그 이점은 취약해진다. 이 문제는 스테이블코인 기반 에이전트 간 결제 흐름과도 연결된다. 가치 이전을 자동화할수록, 위임 범위를 명확히 정의하는 일이 더 중요해진다.
JPMorgan 사례는 앞으로의 관련 발표를 평가하는 기준을 제공한다. 에이전트를 누가 식별하는지, 어떤 권한이 부여되는지, 고객이 어떻게 이를 중단할 수 있는지를 확인해야 한다. 유용한 어시스턴트라면 이해 가능하고, 제한적이며, 통제 가능한 위임 구조를 남겨야 한다. 금융 자동화의 가치는 소프트웨어가 제안에서 실행으로 넘어갈 때도 이 조건들을 유지할 수 있느냐에 달려 있다.
