RegTech M&A 이후 KYC 절차가 '더 간편해진다'는 말, 어디까지 사실일까

결론부터 말하면, RegTech(규제기술) 업체 간 인수합병(M&A)이 늘어나면서 온라인 배팅·카지노 플랫폼의 KYC(고객확인, Know Your Customer) 절차가 '눈에 띄게 간편해진다'는 커뮤니티 소문은 절반만 맞고 절반은 위험한 오해다. 화면상 클릭 단계가 줄어드는 것은 사실이지만, 그것이 곧 본인확인 강도가 낮아진다는 뜻은 아니다. 오히려 여러 검증 단계를 백엔드로 숨기는 구조라, 이용자 입장에서 '무슨 데이터가 언제 어떻게 수집·공유되는지'를 파악하기 더 어려워졌다는 게 핵심이다.

배경부터 정리하면 이렇다. 최근 몇 년간 신원확인·이상거래탐지(AML, 자금세탁방지) 솔루션을 만드는 RegTech 회사들이 서로 합쳐지는 흐름이 뚜렷하게 관찰된다. 개별 업체가 여권 인증, 얼굴 대조, 주소 증빙, 제재 대상 조회를 따로따로 제공하던 구조에서, 한 회사가 이 기능을 통째로 묶어 파는 '올인원' 모델로 재편되는 것으로 알려졌다. 플랫폼 사업자 입장에서는 여러 벤더와 계약할 필요 없이 API 하나로 끝나니 비용과 개발 부담이 줄어든다. 이 지점에서 '간소화'라는 단어가 마케팅 문구로 등장하는데, 여기서 말하는 간소화는 '사업자의 통합 편의'이지 '이용자의 검증 완화'가 아니라는 점을 구분해야 한다.

이용자 관점으로 내려와 보자. 실제 가입·출금 과정에서 체감되는 변화는 분명히 있다. 예전 같으면 신분증 촬영 후 상담원 수동 검토로 하루 이상 걸리던 절차가, 자동화된 통합 솔루션 도입 후 수 분 내로 끝나는 사례가 늘어난 것으로 보인다. 문제는 속도가 빨라진 만큼 데이터 처리 경로가 길어졌다는 점이다. 내가 업로드한 신분증 이미지가 플랫폼 서버가 아니라 제3의 RegTech 업체 인프라에서 처리되고, 그 업체가 다시 인수합병으로 소유주가 바뀌면, 내 민감정보가 처음 동의했던 범위와 다른 관할권(국가)으로 넘어가 있을 가능성을 배제하기 어렵다. 약관상 '위탁 처리 업체 변경 시 개별 고지'가 빠져 있는 곳이라면 이용자는 이 이동을 인지조차 못 한다.

숨은 리스크는 크게 세 가지로 압축된다. 첫째, 데이터 관할권 리스크다. RegTech 본사가 어느 나라에 있고 서버가 어디 있느냐에 따라 개인정보 보호 수준과 수사기관 열람 권한이 달라진다. 둘째, 검증 품질의 블랙박스화다. 통합 솔루션이 어떤 기준으로 통과·거절을 판정하는지 이용자에게 공개되지 않으니, 오탐(정상 이용자 차단)이나 미탐(위험 계정 통과)이 생겨도 이의 제기 근거를 잡기 어렵다. 셋째, 책임 소재의 분산이다. 문제가 생겼을 때 플랫폼은 '벤더 책임', 벤더는 '계약 범위 밖'을 주장하며 이용자가 낀 채로 시간만 흘러가는 구조가 될 수 있다.

그렇다면 이용자는 무엇을 기준으로 판단해야 할까. 우선 가입 전에 개인정보 처리방침에서 '수탁 업체명'과 '국외 이전 여부'가 명시돼 있는지 확인하는 게 가장 실질적이다. 이 두 항목이 '해당 없음' 또는 공란이면서 본인확인이 유독 빠르다면, 오히려 검증 로그 관리가 부실한 신호일 수 있다. 또 정식 라이선스를 보유한 사업자는 규제 당국에 KYC·AML 절차를 보고할 의무가 있으므로, 라이선스 번호와 발급 관할이 표기돼 있는지도 봐야 한다. '절차가 간편하다'는 홍보 문구 자체는 판단 기준이 될 수 없다. 간편함은 편의의 지표일 뿐, 안전의 지표가 아니기 때문이다.

정리하면, RegTech M&A는 산업 전체로 보면 검증 인프라를 표준화하는 긍정적 흐름일 수 있으나, 이용자에게는 '내 데이터가 누구 손을 거치는가'라는 질문을 더 무겁게 만든다. 화면이 매끄러워질수록 뒤에서 무슨 일이 벌어지는지 확인할 책임은 오히려 이용자에게 넘어온다는 역설을 기억해 둘 필요가 있다. 규제 환경은 계속 바뀌므로, 구체적인 관할 규정과 라이선스 요건은 이용 시점 기준으로 다시 확인하길 권한다.