AI 편집 대출서류 검토 132건 중 14건서 편집 우려 확인

AI로 편집한 대출 서류 134개를 심사·처리 경력자에게 검토하게 한 실험에서 연구진은 132건의 판정 중 14건(10.6%)에서 편집을 뒷받침하는 우려를 확인했다. 우려의 근거는 문서 내부 또는 문서 간 식별정보 불일치였다.

2026년 10월 공개된 프리프린트에서 연구진은 동의를 받아 확보한 실제 금융 문서 47개를 바탕으로 위조 PDF를 만들었다. 대출 심사·처리 경력자 3명이 문서를 살펴 132건의 판정을 제출했다.

연구진이 검토자들의 설명을 원본과 대조한 결과, 14건은 의심 판정 12건과 정보 부족 판정 2건으로 구성됐다. 두 유형 모두 식별정보가 맞지 않는다는 지적에 근거했다.

시각적 단서만으로 실제 편집 부분을 찾아낸 사례는 보고되지 않았다. 연구진은 검토자가 3명뿐이고 진짜 문서를 섞은 대조군도 없다는 점에서 결과를 금융권 전반의 위조 탐지율로 일반화할 수 없다고 밝혔다.

다른 평가 연구인 AIForge-Doc은 2026년 2월 공개됐다. 연구진은 영수증과 양식 이미지의 숫자 항목을 AI로 바꾼 문서 이미지 4061개를 구성해 탐지 성능을 평가했다.

보고된 AUC는 TruFor 0.751, DocTamper 0.563, GPT-4o 0.509였다. AUC는 해당 시험 조건에서의 판별 성능 지표로, 실제 금융 현장의 적발률을 뜻하지 않는다.

문서 검증은 서로 다른 질문을 다룬다. 탐지 도구는 이미지의 편집 흔적을 찾고, 디지털 서명은 서명 뒤 파일이 바뀌었는지와 어떤 키가 서명했는지를 확인하며, 발급기관 조회는 제출 내용이 실제 기록과 일치하는지 대조한다.

미국 국립표준기술연구소(National Institute of Standards and Technology·NIST)의 디지털 서명 표준 FIPS 186-5는 서명이 데이터의 무단 변경을 탐지하고 서명자를 인증하는 데 쓰인다고 설명한다. 서명이 유효하다는 사실만으로 문서 내용의 진실성까지 확인되는 것은 아니다.

NIST의 디지털 신원 지침 SP 800-63A는 증거 수준에 따라 검증 요건을 다르게 둔다. 최상급(SUPERIOR) 증거에서는 발급기관의 디지털 서명과 신뢰 앵커까지 이어지는 인증서 체인을 검증해야 하며, 핵심 속성은 권위 있거나 신뢰할 수 있는 출처와 대조하거나 발급기관이 서명한 속성이라면 발급기관 공개키로 정확성을 검증하도록 한다.

발급기관 조회는 제출된 문서의 내용이 기관의 실제 기록과 맞는지 확인하는 절차다. 이미지의 편집 흔적이나 서명 상태만으로는 이 대조를 대신할 수 없다.

콘텐츠 출처 표준 C2PA의 콘텐츠 자격증명(Content Credentials)은 파일에 연결된 출처 정보를 담은 데이터 구조에 암호학적 서명을 적용한다. 이를 통해 기록된 정보나 파일이 변경됐는지 확인하도록 돕는다.

다만 확인할 수 있는 출처 이력은 제공되고 검증된 정보의 범위에 한정된다. C2PA는 출처 정보만으로 콘텐츠의 진실성이나 정확성, 전체 출처 이력을 보증하지 않는다고 밝힌다.

블록체인에 문서 원문 대신 해시를 기록하면 나중에 확보한 파일과 등록 당시 해시를 대조해 파일이 같은지 확인할 수 있다. 기록 뒤 문서가 변경됐는지를 확인하는 데 쓰이는 방식이다.

해시만으로는 등록 전 문서가 진실했는지, 등록자가 발급 권한을 가졌는지 알 수 없다. 이더리움 오라클 문서도 외부 정보를 체인에 입력할 때 자료의 출처와 정확성을 확인해야 한다고 설명한다.

유럽 데이터보호위원회(European Data Protection Board·EDPB)는 블록체인에서 개인정보의 삭제나 정정이 어려울 수 있다고 지적하며 추가 개인정보를 가능한 한 체인 밖에 두도록 권고했다. 해시도 상황에 따라 개인정보로 간주될 수 있다.

국내에서 과학기술정보통신부는 인공지능기본법 제31조의 투명성 의무를 AI 서비스 사전 고지와 AI 생성물 표시로 설명했다. AI 사용 사실을 알리는 조치와 금융 서류가 실제 발급기관 기록인지 확인하는 절차는 구분된다.