카지노 운영사의 KYC AML 자동화, 집행 사례와 관할권별 요건으로 본 점검 기준

목차

• 1. KYC AML 자동화가 필요해진 이유, 규제 기관은 어떤 통제 실패에 비용을 부과했을까?

  • 1.1 영국 AML 지적 사례 7건 합계 1,633만 파운드, 통제 실패에 붙은 가격

  • 1.2 위험평가 누락과 임계값 의존과 자금 출처 미확인, UKGC 지적의 세 갈래

  • 1.3 몰타 FIAU 제재 4건 합계 424,313유로와 일 2,000유로의 이행강제금

  • 1.4 신고 건수와 위험평가 등급, 영국 카지노 SAR 4,647건과 몰타 게임 부문 40.1% 감소

• 2. 관할권별 KYC 요건은 임계값과 기한을 어떻게 정할까?

  • 2.1 EU AMLR 적용일 2027년 7월 10일, 게임 서비스 제공자의 2,000유로 기준

  • 2.2 영국 MLR 2,000파운드와 LCCP 17.1.1, 도박 전 검증과 출금 시 추가 요구 제한

  • 2.3 몰타 FIAU 실행 절차 2,000유로·180일·30일, 누적 입금을 추적해야 하는 규칙

  • 2.4 브라질 안면 인식 30분 주기, 온타리오 25,000달러 기준, FATF 2026년 9월 보고서

• 3. KYC AML 자동화는 신원 확인과 거래 모니터링에서 무엇을 검증해야 할까?

  • 3.1 NIST 시험 82개 알고리즘과 SP 800-63A-4, 신원 확인 자동화의 검증 규격

  • 3.2 위조 신분증과 딥페이크, UKGC 위험 점수 9와 벤더 보고서의 사기율 1.53%

  • 3.3 거래 모니터링의 오탐 95~98%와 UKGC 금융 위험 평가 파일럿의 97%

  • 3.4 컴플라이언스 비용 구조와 외주 책임, 인건비 57%와 UKGC FSB 사건

• 4. 운영사는 KYC AML 자동화를 어떤 순서로 점검해야 할까?

  • 4.1 임계값과 기한을 규칙으로 옮기는 설계, 한 번 만들어 관할권별 값만 바꾸는 구조

  • 4.2 규제 일정 달력, 2026년 10월 14일 기준 브라질 62일 뒤와 EU AMLR 269일 뒤

  • 4.3 운영사 점검 항목 여섯 가지, 집행 사례에서 역산한 도입 순서

• 5. 실재 사례 분석, 영국과 몰타와 스웨덴의 세 건은 어떤 통제를 놓쳤을까?

  • 5.1 사례 1. Platinum Gaming Ltd, 영국 1,000만 파운드와 3.4배로 커진 재범 제재

  • 5.2 사례 2. Stanleybet Malta Ltd, 판매점 단위 입금 보고와 일 2,000유로 이행강제금

  • 5.3 사례 3. 스웨덴 Spooniker·Betsson Nordic·Snabbare, 합계 2,200만 크로나와 자금 출처 확인의 기준

• 6. 결론, KYC AML 자동화는 임계값 합산과 자금 출처 대조와 공급사 책임으로 판가름 난다

  • 6.1 핵심 요약

  • 6.2 전망

  • 6.3 실천 가이드

• 7. 참고 및 출처

• 8. 연관글 보기

영국 도박위원회(UKGC)는 2025년 10월 22일 Platinum Gaming Limited에 1,000만 파운드의 금전 제재를 부과했고, 2025년 3월부터 2026년 8월까지 공개한 AML 통제 실패 포함 사례 7건의 합계는 1,633만 8,938파운드입니다. 몰타 금융정보분석기관(FIAU)은 2026년 3월 23일 Stanleybet Malta Ltd에 225,730유로와 일 2,000유로의 이행강제금을 결정했습니다.

두 기관이 지적한 항목은 신원 서류의 유무가 아니었습니다. 위험평가가 고객 구성을 반영하지 못했거나, 입금액 임계값에만 의존했거나, 누적 입금을 추적하지 못한 점이 반복해서 확인됩니다. 규제 기관이 담당자의 판단이 닿지 않는 규모에서 통제 체계의 설계 자체를 심사하기 시작했다는 뜻으로 풀이됩니다. 라이선스를 보유한 온라인 카지노 솔루션 운영사에게 KYC AML 자동화는 비용 절감 수단이기 전에 규제 요건을 충족하는 수단입니다.

KYC(고객 확인)는 가입 시 신원과 주소를 확인하는 절차이고 AML(자금세탁 방지)은 거래 감시와 신고를 포함한 체계 전체를 가리키며, 이 글에서 KYC AML 자동화는 두 절차의 규칙을 시스템이 실행하고 기록하는 구조를 뜻합니다. 수작업 확인의 건수가 아니라 규칙이 임계값에서 작동한 기록이 심사 대상이 되었다는 점이 사례에서 반복됩니다.

이 글은 영국과 몰타의 집행 수치, EU 자금세탁방지 규정(AMLR)을 포함한 관할권별 요건, 신원 확인과 거래 모니터링 기술의 검증 수치를 같은 기준으로 놓고 KYC AML 자동화가 충족해야 하는 규칙을 임계값과 기한으로 환산합니다. 본론은 집행 실태, 관할권별 요건, 자동화 기술의 검증 한계, 운영사 점검 기준의 네 부분이며, 이어서 영국과 몰타와 스웨덴의 사례 세 건과 결론을 정리합니다. 모든 분석은 해당 관할권에서 라이선스를 보유한 운영사의 관점에 한정합니다.

KYC AML 자동화가 필요해진 이유, 규제 기관은 어떤 통제 실패에 비용을 부과했을까?

KYC AML 자동화의 필요는 통제 실패에 규제 기관이 부과한 비용에서 확인됩니다. 이 섹션은 영국의 제재 금액, 지적 사항의 유형, 몰타 FIAU의 제재, 신고 건수와 위험평가를 같은 순서로 비교합니다.

영국 AML 지적 사례 7건 합계 1,633만 파운드, 통제 실패에 붙은 가격

UKGC는 연차 재무 보고서에서 금전 제재와 정산금을 나누어 공개하고, 개별 사건은 규제 조치 공지로 금액과 지적 사항을 밝힙니다. 운영사가 KYC AML 자동화에 얼마를 투입할지 판단하려면 통제 실패가 실제로 얼마의 비용으로 돌아왔는지부터 확인해야 합니다. 아래 표는 2025년 3월부터 2026년 8월까지 UKGC 공지에서 AML 통제 실패가 지적된 온라인 운영사 7건입니다. 사건에 따라 사회적 책임 실패가 함께 다뤄졌으므로 금액은 AML만의 비용이 아닙니다.

운영사	공표일	금액	AML 핵심 지적
AG Communications Ltd	2025.3.4	1,407,834파운드	재무 임계값 의존, 고위험 고객의 수동 강화 실사 지연
Spreadex Ltd	2025.5.15	2,022,000파운드	위험평가에서 고객·상품·지역·결제 위험 누락
ProgressPlay Ltd	2025.8.21	1,000,000파운드	적절한 자금세탁·테러자금 위험평가 부재
Platinum Gaming Ltd	2025.10.22	10,000,000파운드	차단 계정 이력 미반영, 실사 수준 기준 불명확
NetBet Enterprises Ltd	2025.11.5	650,000파운드	위험평가에서 3개 영역 누락
Videoslots Ltd	2025.11.20	650,000파운드	알고리즘 위험 점수가 자금 출처 요청 기준에 제때 미달
QuinnBet (Gibraltar) Ltd	2026.8.20	609,104파운드	자금 출처 확인 없이 고액 입금 수용

7건의 합계는 16,338,938파운드이고 건당 평균은 약 233만 파운드입니다. Platinum Gaming이 합계의 61.2%를 차지하며, 이 건을 뺀 6건의 평균은 약 105만 6,490파운드입니다. 재범 사건에서는 금액이 커지는 방향이 관측됩니다. AG Communications는 2022년 237,600파운드에서 5.9배, Platinum Gaming은 2023년 290만 파운드에서 3.4배, ProgressPlay는 2022년 175,718파운드에서 5.7배가 되었습니다. 연차 보고서 기준으로는 2023/24 회계연도의 금전 제재 7,156,000파운드와 정산금 6,828,000파운드를 합한 13,984,000파운드가 2024/25 회계연도에 3,662,000파운드로 73.8% 줄었습니다.

다만 이 표는 공개 공지에서 AML 지적이 확인된 건을 고른 것이어서 UKGC 전체 집행의 집계가 아닙니다. 공표일 기준 기간과 회계연도(4월~3월)가 달라 7건 합계와 연차 보고서 수치는 직접 비교할 수 없고, 사회적 책임 위반이 섞여 있어 AML 통제만의 비용은 분리되지 않습니다. 금액이 큰 사건일수록 지적 유형이 겹치는지는 다음 항목에서 분류합니다.

위험평가 누락과 임계값 의존과 자금 출처 미확인, UKGC 지적의 세 갈래

7건의 지적 사항은 위험평가, 임계값, 자금 출처의 세 유형으로 나뉩니다. 유형을 가르는 이유는 각각이 다른 종류의 KYC AML 자동화로 보완되기 때문입니다. 위험평가는 고객과 상품 데이터를 모으는 체계의 문제이고, 임계값은 규칙 설계의 문제이며, 자금 출처는 증빙 수집 절차의 문제입니다. 아래 표는 Spreadex 공지를 비롯한 공개 문서에 적힌 수치를 유형별로 정리했습니다.

유형	사례	공지에 적힌 수치와 사실
위험평가 누락	NetBet	제3자 사업 관계, 고액 베팅, 영국 거주 제3국 국적자 영역 누락
위험평가 누락	ProgressPlay	위반 기간 2021년 8월~2024년 8월
임계값 의존	AG Communications	재무 임계값에 도달할 때까지 수동 강화 실사 없음, 한 고객은 8일 지연
자금 출처 미확인	Spreadex	약 64,000파운드 입금, 한 달에 50,000파운드 손실, 자금 출처 정보 없음
자금 출처 미확인	QuinnBet	월 소득 약 2,000파운드 고객이 4일간 9,000파운드 입금·손실
결제 수단	Videoslots	디지털 선불 바우처로 16일간 75,000파운드 초과 입금, 은행 계좌 4곳

수치를 환산하면 QuinnBet 고객의 4일 입금·손실액은 월 소득의 4.5배이고, Spreadex 고객의 손실액은 입금액의 78.1%이며, Videoslots 고객의 입금은 일평균 약 4,688파운드입니다. 세 사례 모두 입금 규모가 고객의 신고 소득이나 거래 이력과 맞지 않았다는 공통점이 있고, 이 불일치는 사람이 일일이 대조하기보다 규칙으로 걸러내기에 적합한 신호로 풀이됩니다. 이 맥락에서 KYC AML 자동화의 일차 과제는 소득 신고 정보와 입금 속도를 같은 화면에서 비교하는 것입니다. 세 유형은 서로 배타적이지 않아 AG Communications 사건에서는 임계값 의존과 수동 강화 실사의 지연이 함께 나타났고, 한 고객의 실사가 8일 늦어진 사실이 공지에 적혔습니다. 유형별로 보완책을 나누면 위험평가는 데이터 수집 체계를, 임계값은 규칙 설계를, 자금 출처는 증빙 수집 절차를 각각 점검하게 됩니다.

다만 표의 유형 구분은 분석자의 분류이고 한 사건이 여러 유형에 걸쳐 있습니다. 공지에 적힌 고객 수치는 규제 기관이 예시로 든 사례이며 운영사 전체 고객의 분포를 뜻하지 않습니다. 같은 문제가 영국에만 있는지는 몰타의 제재 사례로 확인합니다.

몰타 FIAU 제재 4건 합계 424,313유로와 일 2,000유로의 이행강제금

FIAU는 원격 게임 운영사의 행정 제재를 발행 공지로 공개합니다. 몰타는 법정 근거(PMLFTR 21조)에 따른 제재와 시정 지시를 공지로 공개합니다. 아래 표는 금액이 확인되는 4건과 금전 제재 없이 시정 지시로 끝난 1건입니다. 점검 시점은 대부분 2020~2022년이고 공지는 그 뒤에 나왔다는 점에 유의해야 합니다.

사건	공지 시점	조치	확인된 수치
Kanon Gaming	2024.2	67,874유로	자금 출처·재산 출처 미확보 파일 90%
익명 운영사	2024.6	49,802유로	161,483유로 입금·9,610유로 출금 고객이 저위험 분류
익명 운영사	2025.5.15	시정 지시	재산 출처 미확보 20%, 위험평가 지연 20%, PEP 확인 지연 24%
Stanleybet Malta	2026.3.23	225,730유로와 일 2,000유로	누적 입금 추적 체계 부재, 2026.4.14 항소
Goldwin Ltd	2026.7.14	80,907유로	고객 기반 거의 전체에 위험평가 미수행

금액이 확인되는 네 건의 합계는 424,313유로이고 Stanleybet이 53.2%입니다. 일 2,000유로는 100일이면 200,000유로가 되어 이행 지연 자체가 제재 원금에 근접합니다. 한 익명 운영사에서는 입금 대비 출금이 6.0%에 불과한 고객이 저위험으로 남았고, 이는 거래 패턴이 위험 등급에 반영되지 않는 구조를 보여줍니다. 몰타 게이밍 당국(MGA)의 2024년 연차 보고서에 따르면 FIAU가 제재한 MGA 라이선스 보유자는 6곳이고 총액은 185,000유로 미만이어서, 건당 평균은 약 30,800유로 이하로 계산됩니다. 금액 순으로는 Stanleybet(225,730유로), Goldwin(80,907유로), Kanon Gaming(67,874유로), 익명 운영사(49,802유로)가 이어지고 최고액은 최저액의 4.5배이며, 네 건의 건당 평균은 약 106,078유로입니다. 영국 파운드 수치와는 통화가 달라 직접 비교하지 않았습니다.

다만 앞의 두 건은 업계 매체 보도(2순위)이고, 2026년 두 건은 제재가 확정되지 않았거나 항소 중입니다. 제재 금액은 운영사 규모와 협조 정도에 따라 달라지므로 금액 자체보다 지적된 통제 유형이 반복된다는 점이 핵심입니다. 이 유형이 신고와 위험평가 수치에서 어떻게 나타나는지는 다음 항목에서 확인합니다.

신고 건수와 위험평가 등급, 영국 카지노 SAR 4,647건과 몰타 게임 부문 40.1% 감소

제재가 개별 사건의 결과라면 의심거래보고(SAR/STR)와 위험평가는 부문 전체의 통제 수준을 보여주는 지표입니다. 규제 기관은 신고 건수의 변화와 위험 점수를 근거로 감독 대상을 고르므로, 운영사의 모니터링 체계가 이 지표와 어떻게 이어지는지 확인해야 합니다. 아래 표는 영국, 몰타, 영국 정부의 위험평가를 한 표에 모았습니다.

지표	수치	기준
UKGC 사건 보고형 SAR(운영사 제출)	7,917건, 10,728건, 9,790건, 8,940건	2020/21~2023/24 회계연도
NCA 수신 도박 부문 SAR	7,491건(전체의 0.86%), 카지노 4,647건	2024/25
NCA 카지노 DAML	720건	2024/25
FIAU 수신 전체 STR	10,712건(전년 9,430건)	2025
FIAU 수신 게임 부문 STR	3,022건(2022년 5,049건)	2025
UKGC 2026 위험평가 원격 카지노	High, 위험 점수 9인 항목 다수	2026.7.30

카지노는 NCA가 받은 도박 부문 SAR의 62.0%를 차지합니다. 카지노 DAML 720건은 같은 연도 카지노 SAR 4,647건의 15.5%에 해당하지만 두 제도의 성격이 달라 합산하지 않았습니다. UKGC가 집계한 운영사 제출 SAR는 2021/22 회계연도 10,728건에서 2023/24 회계연도 8,940건으로 16.7% 줄었고, 몰타의 게임 부문 STR은 2022년 대비 40.1% 줄었지만 FIAU 수신 전체 STR이 같은 해 13.6% 늘어 게임 부문 비중은 28.2%가 되었습니다. UKGC의 2026년 위험평가는 비대면 고객 확인 미흡, 부적절한 AML 임계값, 연결 계정 통제 부재, AI가 생성한 신분증을 포함한 위조 신원을 모두 점수 9로 매겼습니다.

다만 SAR 건수는 위험의 크기가 아니라 탐지와 신고 행태를 반영하므로 감소를 위험 감소로 읽을 수 없습니다. 영국의 두 시리즈는 제출 대상 기관과 집계 방식이 달라 직접 비교할 수 없고, 몰타 수치는 통신사 보도 기반의 2순위 자료입니다. 규제 기관이 요구하는 통제 수준이 관할권마다 어떻게 규정되어 있는지는 다음 섹션의 요건 비교에서 다룹니다.

관할권별 KYC 요건은 임계값과 기한을 어떻게 정할까?

KYC AML 자동화는 규칙으로 번역할 수 있는 요건 위에서만 작동하며, 번역에 필요한 값은 임계값과 기한과 보존 기간입니다. 이 섹션은 EU와 영국과 몰타의 조문을 같은 항목으로 나누고, 브라질과 온타리오와 FATF의 최근 자료를 더해 비교합니다.

EU AMLR 적용일 2027년 7월 10일, 게임 서비스 제공자의 2,000유로 기준

EU 자금세탁방지 규정(Regulation (EU) 2024/1624, AMLR)은 2027년 7월 10일부터 적용되며 게임 서비스 제공자를 의무 대상 기관으로 둡니다. EU에 서비스하는 라이선스 운영사에게 이 규정은 회원국별 법률의 차이를 줄이는 단일 규칙집이어서, KYC AML 자동화 규칙을 한 번 설계해 여러 시장에 적용할 수 있는 기준점이 됩니다. 아래 표는 EU 관보 조문을 풀어 쓴 Springlex 조문 페이지를 기준으로 자동화에 직접 필요한 값만 추렸습니다.

조문	요건	수치
90조	적용일	2027년 7월 10일
19조 6항	게임 서비스의 고객 실사 발동	판돈 또는 당첨금 수령 거래 2,000유로 이상(단일 또는 연결)
19조 1항	일반 실사 발동	일회성 거래 10,000유로 이상, 의심 시 임계값과 무관
22조	전자 신원확인	eIDAS 보증 수준 substantial 또는 high
26조	고객 정보 갱신 주기	고위험 1년, 그 외 5년
77조	기록 보존	5년, 감독 당국이 최대 5년 추가 요구 가능
18조	외주	최종 책임은 의무 기관, 정책 승인과 관계 개시 결정은 외주 불가

갱신 주기가 고위험 고객 1년, 그 외 5년으로 나뉘므로 위험 등급이 바뀌면 재검증 시점도 바뀌어야 하고, 이 연동은 수작업 달력으로 관리하기 어렵습니다. 실사 발동 기준은 2,000유로로 영국 MLR의 2,000파운드와 숫자가 같아서 두 시장을 함께 운영하는 사업자는 통화만 달리한 하나의 규칙으로 시작할 수 있습니다. 18조는 외부 KYC 공급사를 쓰더라도 관계 개시 결정은 운영사가 내려야 한다고 정하므로, 자동 승인 로직을 공급사에 맡기는 구조는 이 조항과 충돌할 여지가 있다고 풀이됩니다.

다만 이 표는 조문 해설 사이트를 거친 것이어서 인용 전에 EU 관보 원문과 대조해야 합니다. 2,000유로 기준이 온라인 계정 개설 시점의 실사를 대체하는지, 영업 관계 수립 시 실사와 어떻게 병행되는지는 열람한 범위에서 확정하지 못했습니다. 영국의 조문은 같은 값을 쓰면서도 시점 규정이 다르며, 그 차이는 다음 항목에서 확인합니다.

영국 MLR 2,000파운드와 LCCP 17.1.1, 도박 전 검증과 출금 시 추가 요구 제한

영국의 요건은 자금세탁 규정(MLR 2017)과 UKGC의 면허 조건(LCCP)이 이중으로 겹칩니다. 온라인 운영사는 MLR 27조 6항이 판돈 지불과 당첨금 수령을 거래로 규정하므로 온라인 입금과 출금도 이 틀에서 다뤄지며 두 규범을 함께 충족해야 합니다. MLR 27조의 금액은 2026년 6월 30일 SI 2026/621로 통화가 환산 개정되었습니다.

근거	요건	수치와 날짜
MLR 27조 5항	베팅 또는 당첨금 거래의 고객 실사	2,000파운드 이상, 2026.6.30부터
MLR 30조	검증 시점	거래 전, 낮은 위험에 한해 가능한 빨리
MLR 40조	기록 보존	5년, 거래 기록은 10년 초과 불요
LCCP 12.1.1	위험평가 검토	최소 연 1회
LCCP 17.1.1	이름·주소·생년월일 검증	도박 허용 전
UKGC 카지노 가이던스	DAML 신고 기준	3,000파운드(2025년 7월 시행)

2026년 8월 12일 UKGC 블로그는 검증이 이용자가 도박하기 전에, 가능한 한 일찍 끝나야 한다고 상기시켰고 출금 요청이 올 때까지 미해결 질의를 미루지 말라고 경고했습니다. LCCP 17.1.1은 출금 요청이 계기가 되어 더 일찍 요청할 수 있었던 정보를 새로 요구하는 일을 제한합니다. 2,000파운드 기준에 이르기 전에도 이름과 주소와 생년월일은 가입 단계에서 확인되어야 하므로, 영국에서 KYC AML 자동화의 시작점은 임계값이 아니라 가입 직후입니다. 디지털 신원 확인 서비스(DVS) 신뢰 체계는 2026년 9월 1일 1.0판이 발효되었고 등록부에는 46개 사업자와 64개 서비스가 있으나 인증은 선택 사항입니다.

다만 MLR 개정 전의 금액은 열람한 조문 페이지에 표시되지 않았고, 개정 사실은 UKGC 공지로 확인했습니다. UKGC 가이던스 본문의 실사 단계별 요건은 목차만 읽혀 표에 넣지 않았습니다. 영국이 가입 직후와 임계값 두 시점을 모두 요구하는 데 비해, 몰타는 임계값 중심의 구조이며 그 세부는 다음 항목에서 확인합니다.

몰타 FIAU 실행 절차 2,000유로·180일·30일, 누적 입금을 추적해야 하는 규칙

몰타의 원격 게임 규칙은 FIAU가 2020년 7월 2일 개정한 실행 절차 제2부(원격 게임)에 있습니다. 가입 시점에는 고객을 식별하되 검증은 유예할 수 있고, 입금 누적이 2,000유로에 이르면 실사가 발동됩니다. 이 구조에서는 어떤 계정이 언제 기준에 도달하는지 추적하는 기능이 규정 준수의 핵심입니다.

항목	요건	수치
실사 발동	입금 합계 기준, 보너스와 당첨금 제외	2,000유로, 계정 개설 후 누적 또는 180일 rolling
고객 위험평가	임계값 도달 후 완료	30일
PEP 조치	경영진 승인과 재산·자금 출처 확인	30일
미이행 시	출금 차단, 정보 미제공 시 관계 종료	30일
주소 증빙	발급일 기준	6개월 이내
사업 위험평가	검토 주기	최소 연 1회
MGA 환급 지침	자금 환급	5영업일 이내, 실사 완료에 필요한 합리적 시간 허용

FIAU의 제재 공지가 이 규칙을 그대로 적용합니다. Rhinoceros Operations Ltd는 2023년 128,796유로 제재를 받았는데, 다중 계정 선수 4명의 임계값을 브랜드별로 계산했다는 점이 지적되었습니다. 2026년 Stanleybet Malta도 판매점 단위로 입금을 보고 180일 누적을 추적하지 않은 점이 문제였습니다. 두 사건 사이 3년 동안 같은 유형이 되풀이되었다는 것은 임계값 계산이 시스템에 구현되지 않으면 절차 문서만으로는 이행되지 않는다는 뜻으로 풀이됩니다. 계정과 브랜드와 채널을 가로질러 합산하는 규칙이 KYC AML 자동화의 구체적인 요구 사항입니다.

다만 이 문서는 2020년 개정본이고 이후 개정 여부는 확인하지 못했으며, 2023년과 2026년 공지의 내용이 같은 2,000유로와 30일 규칙과 일관된다는 점만 교차 확인했습니다. MGA 플레이어 보호 지침(제2호)에는 KYC 임계값이 없고 5영업일 환급 조항만 있어, 몰타의 KYC 수치는 FIAU 문서에 있습니다. 유럽 밖의 관할권은 임계값 대신 기술과 주기를 지정하는 경우가 있으며, 이어서 비교합니다.

브라질 안면 인식 30분 주기, 온타리오 25,000달러 기준, FATF 2026년 9월 보고서

브라질과 온타리오와 FATF는 유럽형 임계값 구조와 다른 접근을 보여줍니다. 브라질은 신원 확인 기술과 재인증 주기를 규정에 적고, 온타리오는 제재 사례에서 운영사 자체 임계값의 집행을 문제 삼았으며, FATF는 2026년 9월 9일 도박 위험 보고서를 처음 내놓았습니다. 아래 표에 세 관할권의 수치를 모았습니다.

기관	내용	수치
브라질 Portaria 722/2024	계정 활성화 전 CPF 유효성과 안면 인식	비활동 30분 후 재인증, 위치 확인 30분마다, 데이터 5년 보존
브라질 Portaria 1,143/2024	AML 위험 매트릭스, PEP 지위	분석 종결 30일, COAF 보고는 종결 다음 영업일, PEP 5년
브라질 Portaria 3.005/2026	베팅 금지 후 기존 사업자 의무	최종 잔액 보고 2026.10.7, 의무 정산 2026.12.15
온타리오 AGCO	NorthStar Gaming 금전 제재	100,000달러(통화 미명시), 평생 입금 25,000달러에 EDD 기준
FATF	도박 위험 보고서	80여 개 관할권 응답

NorthStar 사건에서 계정은 2024년 3월에 열렸고 EDD 기준 25,000달러는 같은 달 도달했으며 2024년 12월에 55,000달러가 입금되었고 2025년 6월까지 입금은 189,395달러가 되었습니다. 운영사가 위험 등급을 높이고 계정을 종료한 것은 AGCO의 문의 이후인 2025년 6월이었다고 보도되었습니다. 기준을 두는 것과 기준 도달 시 실행하는 것은 별개의 통제이고, 후자는 경보를 사람이 받아 처리하는 구조에서 지연되기 쉽다는 점이 관측됩니다. FATF 보고서는 플랫폼 실소유 구조가 규제 점검 임계값을 우회하도록 짜일 수 있다고 경고했고, 다중 계정과 기기·주소 공유와 휴면 계정의 갑작스러운 충전과 플레이 없는 입출금 순환을 위험 신호로 열거했습니다. 이 신호들은 불법 도박 솔루션 공급망 분석에서 다룬 해외 거점 사이트의 운영 패턴과도 겹치는 부분이 있습니다.

다만 브라질의 금지 조치는 국가 차원의 보도(Poder360, 2026년 9월 25일)와 재정부 공지로 확인되나 후속 법적 절차는 확인하지 못했고, 브라질 규정 본문은 제3자 사본을 읽었습니다. NorthStar의 통화는 보도에 명시되지 않았고, FATF 보고서는 제3자 사본으로 본문을 읽었습니다. 요건을 확인했으니, 이를 이행하는 KYC AML 자동화 기술이 어디까지 검증되었는지를 다음 섹션에서 확인합니다.

KYC AML 자동화는 신원 확인과 거래 모니터링에서 무엇을 검증해야 할까?

요건을 규칙으로 옮겨도 규칙을 실행하는 기술의 정확도와 한계는 별도로 확인해야 합니다. 이 섹션은 얼굴·문서 검증의 시험 결과, 위조와 딥페이크 위협, 거래 모니터링의 오탐과 자금 출처 확인, 비용 구조를 같은 순서로 확인합니다.

NIST 시험 82개 알고리즘과 SP 800-63A-4, 신원 확인 자동화의 검증 규격

KYC AML 자동화 중 신원 확인의 정확도는 운영사가 직접 재기 어렵기 때문에 공개 시험 결과를 기준선으로 삼아야 합니다. 미국 국립표준기술연구소(NIST)는 2025년 7월 31일 디지털 신원 지침 SP 800-63A-4를 확정했고, 얼굴 위장 방지(PAD) 성능은 NISTIR 8491에서 평가했습니다. 아래 표는 두 문서와 NIST 얼굴 인식 평가(FRTE), 국제 표준 ISO/IEC 30107-3의 수치를 모았습니다.

문서	내용	수치
SP 800-63A-4	신원 증명 보증 수준	IAL1~IAL3 세 단계, 2025.7.31 확정
NISTIR 8491(2023.9)	수동형 PAD 평가 규모	알고리즘 82개(개발사 45곳), 공격 제시 약 20,000건, 정상 제시 약 21,000건, 공격 범주 9개
NISTIR 8491	보고된 공격 수락률(APCER, 정상 거부율 1% 기준) 예	위장 유형 1에서 7%, 회피 유형 4에서 62%
FRTE 1:1	누적 참가	2017~2026년 알고리즘 1,483개(개발사 455곳), 2026년 120개(101곳)
ISO/IEC 30107-3:2023	PAD 시험 표준	캡처 장치 수준만 포함, 주입 공격 제외

NISTIR 8491에서 정상 이용자 거부율을 1%로 묶었을 때 회피 유형 공격의 수락률이 알고리즘에 따라 최대 62%까지 보고되었고, 위장 유형 1에서는 7%였습니다. 이 결과는 공격 유형에 따라 수락률이 크게 갈리므로 단일 공급사의 판정에만 의존하는 구조가 약한 범주를 그대로 노출한다는 뜻으로 풀이됩니다. SP 800-63A-4는 생성형 AI와 결합한 주입 공격을 위협으로 명시하며, 촬영된 샘플의 생체 비교만으로는 이를 막지 못하므로 미디어가 실제 센서에서 왔다는 통제가 추가로 필요하다고 설명합니다. EU AMLR 22조가 요구하는 eIDAS 보증 수준은 substantial 또는 high이고 NIST 등급을 지정하지 않으므로, NIST 문서는 규제 요건이 아니라 평가 참고 기준입니다.

다만 NISTIR 8491은 소프트웨어만으로 2D 이미지를 분석하는 수동형 방식만 시험했고 하드웨어와 3D와 챌린지 응답 방식은 포함하지 않았습니다. 2023년 시험이어서 최근 생성형 공격이 얼마나 반영되었는지도 알 수 없습니다. 시험이 포착하지 못한 공격이 실제로 늘고 있는지는 다음 항목의 위협 자료로 확인합니다.

위조 신분증과 딥페이크, UKGC 위험 점수 9와 벤더 보고서의 사기율 1.53%

규제 기관과 업계 보고서는 원격 가입에서 위조 신원이 늘고 있다는 점에 일치하지만 수치의 신뢰도에는 차이가 있습니다. UKGC의 2026년 평가는 규제 기관의 공식 점수를 주고, 벤더 보고서는 표본이 큰 대신 정의가 공개되지 않습니다. 아래 표는 두 종류를 구분해 적었고 벤더 수치에는 3순위를 표시했습니다.

출처(순위)	내용	수치
UKGC 2026 위험평가(1순위)	위조·도난·AI 생성 신분증 위험	점수 9, 사례 한 건은 5명의 정보로 6개월간 약 40,000파운드 입금
UKGC 2025.4 신흥 위험(1순위)	문서 대가 지급, 얼굴 교체 영상	제3자가 신분증 대여 대가 지급
FinCEN 경보(1순위)	딥페이크 사기, 카지노 포함	2024.11.13 발행
Sumsub iGaming(3순위)	글로벌 사기율	1.10%(2024), 1.30%(2025), 1.53%(2026년 1분기)
Sumsub iGaming(3순위)	지역 사기율, 2026년 1분기	유럽 1.14%, 아프리카 2.54%, 북미 0.44%
Entrust(3순위)	2024년 딥페이크 시도, 디지털 문서 위조	5분마다 1건, 전년 대비 244% 증가

Sumsub의 iGaming 사기율은 2024년 1.10%에서 2026년 1분기 1.53%로 39.1% 올랐고, 같은 보고서를 인용한 AGB는 사기의 76%가 KYC 단계 이후에 발생한다고 전했습니다. 사기 이용자가 검증을 완료하는 데 걸리는 시간이 정상 이용자의 4.6배라는 수치는 검증 중 행동 신호가 탐지에 쓰일 수 있음을 시사합니다. 가입 시점의 신원 확인 한 번으로는 계정 탈취와 판매된 계정을 막기 어렵다는 점이 이 수치들의 공통된 함의이며, 이는 KYC AML 자동화가 지속적 모니터링과 연결되어야 하는 근거로 해석됩니다. Entrust 보고서의 디지털 문서 위조 244% 증가와 5분마다 1건의 딥페이크 시도는 같은 표본에서 나온 서로 다른 지표여서 따로 늘려 읽을 수 없습니다. 5분마다 1건은 하루 288건으로 환산되지만 벤더 전체 표본의 평균이므로 개별 운영사의 노출 규모로 옮길 수 없습니다.

다만 벤더 수치는 표본과 사기 정의가 공개되지 않아 규제 기관의 점수와 같은 무게로 쓸 수 없고, 사기율은 고객 구성과 시장에 따라 달라집니다. 지역별 수치는 같은 벤더 안에서만 비교할 수 있습니다. 가입 이후를 지키는 거래 모니터링과 자금 출처 확인의 성능은 다음 항목에서 확인합니다.

거래 모니터링의 오탐 95~98%와 UKGC 금융 위험 평가 파일럿의 97%

거래 모니터링은 규칙 기반 경보가 압도적으로 오탐이라는 문제를 안고 있습니다. 한 학술 논문(arXiv, 2022)은 규칙 기반 시스템이 수작업으로 처리한 경보의 약 95~98%가 오탐이고 조사의 약 5%만 의심거래보고로 이어진다고 정리했습니다. 반면 UKGC는 신용정보기관 데이터로 문서 없이 고객의 재무 상태를 평가하는 방식을 2026년 7월 7일 단계적으로 도입한다고 발표하며 파일럿 결과를 공개했습니다.

근거	내용	수치
학술 논문(2순위)	규칙 기반 경보의 오탐률	95~98%, 조사 중 SAR 전환 약 5%
UKGC 파일럿(1순위)	임계 초과 고객 중 쉽게 평가된 비율	97%(백서 추정 80%)
UKGC 파일럿	평가가 필요한 계정, 평가 불가 비율	계정의 3% 미만, 1,000명 중 1명 미만
UKGC 1단계 기준	24시간 순입금	25세 이상 5,000파운드, 25세 미만 2,500파운드
UKGC 최종 단계	24시간 또는 90일	25세 이상 1,000파운드·3,000파운드, 25세 미만 750파운드·2,000파운드
HSBC 사례(3순위, 자체 보고)	AI 도입 효과	월 12억 건 심사, 의심 활동 탐지 2~4배, 경보 60% 감소

파일럿의 97%는 백서 추정 80%보다 17%p 높고, 평가 대상이 계정의 3% 미만이라는 점은 자동 평가가 전수 심사가 아니라 임계 초과 고객에 집중하는 구조임을 보여줍니다. Videoslots 사건에서는 알고리즘 위험 점수가 자금 출처 요청 기준에 제때 도달하지 못했고 시험에서 효과가 없었다고 UKGC가 지적했습니다. 알고리즘을 도입했다는 사실이 통제의 충분성을 보장하지 않으므로, 모델은 도입 전과 후에 임계값 도달 시점을 기준으로 검증되어야 합니다. 외부 신용정보와 오픈뱅킹을 호출하는 구조에서는 응답 지연과 중복 호출 방지가 요건이어서 API 연동 단계의 멱등성 설계와 맞물립니다.

다만 이 평가는 책임 있는 게이밍의 재무 취약성 확인 제도이며 AML의 자금 출처 확인과 목적이 다르고, 활용할 수 있는 데이터가 겹친다는 점만 공통입니다. HSBC 수치는 은행의 자체 보고여서 카지노에 이식할 수 있는 성능으로 볼 수 없고, 오탐 수치는 2차 인용입니다. 이 기술에 드는 비용이 어느 규모인지는 다음 항목에서 확인합니다.

컴플라이언스 비용 구조와 외주 책임, 인건비 57%와 UKGC FSB 사건

KYC AML 자동화의 비용 논거는 금융권 조사에서 가장 구체적으로 확인됩니다. 다만 이 조사들은 은행과 자산운용사를 대상으로 하므로 카지노 운영사에 그대로 적용할 수 없는 참고 수치입니다. 아래 표는 LexisNexis Risk Solutions의 조사, UKGC의 외주 책임 사건을 같은 표에 놓았습니다.

자료(순위)	내용	수치
LexisNexis 2023(2순위)	글로벌 금융범죄 컴플라이언스 비용	2,061억 달러, 응답자 1,181명, 72%가 분석·AI 사용
LexisNexis EMEA 2024.3(2순위)	EMEA 연간 비용	850억 달러, 98%가 비용 증가, 70%가 KYC 소프트웨어 비용 증가
LexisNexis 2020(2순위)	비용 구성, 기업 온보딩 시간	인건비 57%·기술 40%·기타 3%, 21시간(2017)에서 36시간(2019)
LexisNexis 2020(2순위)	글로벌 금융기관 컴플라이언스 지출	2,139억 달러
UKGC FSB 사건(1순위)	외주 관계 위반 제재	600,000파운드, 2020.5.6

인건비가 비용의 57%이고 온보딩 시간이 2017년 21시간에서 2019년 36시간으로 71.4% 늘었다는 수치는 KYC AML 자동화의 목표가 건당 처리 시간과 인력 투입에 있다는 근거로 풀이됩니다. LexisNexis 2023 조사에서 응답자의 72%가 분석·AI를 쓴다고 답했으므로 조사 대상 금융권에서는 자동화가 이미 표준이 되고 있는 것으로 관측됩니다. 반면 UKGC는 FSB 사건에서 면허 보유자가 제3자 관계에 전적으로 책임진다고 밝혔고, EU AMLR 18조도 외주 시 최종 책임이 의무 기관에 남는다고 규정하므로 KYC 공급사를 쓰는 사업자의 비용은 계약 이후 감독 비용까지 포함해야 합니다. 이 비교 틀은 온라인 카지노 API 공급사를 고를 때 책임 구조와 규제 이력을 보는 기준과 같습니다.

다만 비용 조사는 금융기관 표본이며, 건당 검증 가격 1~5달러는 경쟁사 가격을 적은 홍보 페이지의 값이어서 본문 근거로 쓰지 않았습니다. 비용과 책임 구조를 확인했으므로, 이를 운영사의 도입 순서로 바꾸는 작업이 남았습니다.

운영사는 KYC AML 자동화를 어떤 순서로 점검해야 할까?

앞의 세 섹션에서 확인한 집행 사례와 조문과 기술 검증을 운영사의 점검 순서로 바꾸는 단계입니다. 규칙 설계, 규제 일정, 점검 항목의 세 가지를 같은 근거 위에서 정리하고, 근거가 부족한 부분은 부족하다고 표시합니다.

임계값과 기한을 규칙으로 옮기는 설계, 한 번 만들어 관할권별 값만 바꾸는 구조

관할권별 요건은 숫자는 다르지만 구조가 같아서 규칙 엔진 하나에 값만 바꾸어 넣는 설계가 가능합니다. 영국 MLR의 2,000파운드와 EU AMLR 19조 6항의 2,000유로, 몰타 FIAU의 2,000유로는 모두 도박 거래의 실사 발동 기준이고, 다른 점은 합산 방식과 기한입니다. 이 구분을 놓치면 관할권마다 별도 시스템을 만들게 되어 유지 비용이 늘어납니다. 아래 표는 앞 섹션의 수치를 규칙의 구성 요소별로 다시 정리했습니다.

규칙 요소	영국	EU(2027.7.10부터)	몰타
발동 기준	거래 2,000파운드 이상	거래 2,000유로 이상(연결 거래 포함)	입금 합계 2,000유로
합산 방식	거래 단위, 연결 거래 규정은 확인하지 못함	단일 또는 연결 거래	계정 개설 후 누적 또는 180일 rolling
기한	도박 허용 전 이름·주소·생년월일 검증	관계 수립 시 실사와의 병행은 확인하지 못함	임계값 도달 후 위험평가 30일
갱신 주기	위험평가 연 1회 검토	고위험 1년, 그 외 5년	사업 위험평가 연 1회 검토
기록 보존	5년	5년, 최대 5년 추가	확인하지 못함

표에서 합산 방식이 가장 큰 차이를 만듭니다. Rhinoceros와 Stanleybet 두 사건은 각각 브랜드별 계산과 판매점 단위 보고가 지적되어 합산 단위를 잘못 잡은 데서 비롯되었으므로 고객 식별자를 브랜드와 채널 위에 두는 데이터 모델이 규칙 설계의 출발점입니다. 규칙 엔진이 값을 매개변수로 받으면 2027년 AMLR 적용 때 기준 값과 갱신 주기만 추가하면 되고, 새 관할권을 열 때도 같은 구조를 재사용합니다. 카지노 쪽 구현은 카지노 솔루션 API의 통합 월렛이 입금 이벤트를 한곳에 모으는 구조와 맞물리며, 스포츠 쪽에서는 스포츠 베팅 API로 들어오는 실시간 베팅이 입금 직후 발생하므로 누적 합산이 지연 없이 갱신되어야 합니다.

다만 이 표는 조문 해설과 2020년 개정본에 기대고 있어 관할권별 적용 범위와 예외는 법무 검토가 필요합니다. 몰타의 기록 보존 기간은 열람한 문서에서 확인하지 못했고, 규칙 값을 매개변수로 분리하는 설계가 실제로 유지 비용을 줄이는지는 공개 수치가 없습니다. 규칙의 값이 정해졌다면, 이를 언제까지 구현해야 하는지를 다음 항목의 일정에서 확인합니다.

규제 일정 달력, 2026년 10월 14일 기준 브라질 62일 뒤와 EU AMLR 269일 뒤

규칙 설계에 걸리는 시간은 규제 일정과 함께 계산해야 합니다. 이 글의 기준일은 2026년 10월 14일이며, 일수는 날짜 계산으로 구했습니다. 이미 지난 일정과 남은 일정을 같은 표에 놓으면 어느 요건이 이미 집행 대상인지가 드러납니다.

일정	날짜	기준일 대비
영국 MLR 27조 금액 환산 개정	2026.6.30	106일 전
영국 DVS 신뢰 체계 1.0판 발효	2026.9.1	43일 전
브라질 베팅 금지 후 최종 잔액 보고	2026.10.7	7일 전
브라질 의무 정산	2026.12.15	62일 뒤
EU AMLR 적용	2027.7.10	269일 뒤

브라질의 의무 정산부터 EU AMLR 적용까지는 207일이 있어, 한 해 안에 두 시장의 요건이 모두 확정되는 셈입니다. EU 시장을 대상으로 하는 운영사에게 269일은 규칙 설계와 시험과 감독 당국 협의를 모두 끝내기에 길지 않은 기간입니다. 이미 지난 일정은 요건이 현재 집행 중이라는 뜻이며, 영국 운영사는 2,000파운드 기준을 이미 적용해야 하고 UKGC가 2026년 8월 12일 상기시킨 검증 시점 요건도 현재 유효합니다. 두 시장을 함께 다루는 사업자는 207일 간격의 두 구현 일정을 동시에 관리해야 합니다. 일정이 촉박한 경우에는 입금 이벤트 수집과 고객 단위 누적 추적처럼 모든 관할권에 공통된 기능을 앞 단계에 구현하고 관할권별 값을 뒤 단계에서 채우는 구성이 합리적이라고 풀이됩니다.

다만 AMLR은 조문 적용일이고 회원국별 감독 당국의 세부 지침이 이후에 나올 수 있어, 구현 기한을 적용일에 맞추는 것이 충분한지는 확정할 수 없습니다. 브라질의 일정은 보도와 재정부 공지를 근거로 하며 후속 법적 절차는 확인하지 못했습니다. 일정을 확인했으므로, 점검해야 할 항목을 마지막 항목에서 여섯 가지로 정리합니다.

운영사 점검 항목 여섯 가지, 집행 사례에서 역산한 도입 순서

점검 항목은 규제 기관이 실제로 지적한 항목에서 역산해야 근거가 분명해집니다. 앞의 사례와 조문에서 반복된 통제 실패를 여섯 가지로 묶었고, 각 항목에는 근거가 된 수치를 붙였습니다. 순서는 위반 시 비용이 직접 확인되는 항목부터 정했습니다.

순서	점검 항목	근거 수치
1	가입 직후 이름·주소·생년월일 검증	LCCP 17.1.1, UKGC 2026.8.12 상기
2	고객 단위 누적 입금 추적	FIAU 180일 rolling, Stanleybet 225,730유로
3	위험 등급과 재검증 주기 연동	AMLR 26조 고위험 1년, 그 외 5년
4	소득 대비 입금 속도 규칙	QuinnBet 4일 9,000파운드, 월 소득의 4.5배
5	공급사 책임과 감사	AMLR 18조, UKGC FSB 사건 600,000파운드
6	모델 검증과 기록 보존	Videoslots 650,000파운드, 5년 보존

첫 번째와 두 번째 항목은 법정 요건이어서 구현이 늦으면 바로 위반이 되고, 세 번째부터 여섯 번째는 규칙의 품질에 관한 항목입니다. 네 번째 항목은 UKGC 7건 중 3건에서 확인된 소득과 입금의 불일치를 규칙으로 걸러내는 일이며, 소득 신고 정보가 없는 고객은 입금 속도만으로 경보를 만드는 대체 규칙이 필요합니다. 다섯 번째 항목은 공급사 계약에 감사 권한과 사고 통지 기한을 명시하는 일이어서 불법 도박 솔루션 근절 논의에서 다룬 책임 구조와 같은 질문, 곧 규제 위반이 발생했을 때 누가 비용을 지는가로 이어집니다. 여섯 항목은 앞 항목의 산출물이 뒤 항목의 입력이 되는 순서여서, 고객 식별자와 입금 이벤트 수집이 끝나지 않으면 세 번째 이후 항목은 시험할 수 없습니다. 여섯 번째 항목의 Videoslots 사건은 알고리즘이 있어도 임계값 도달 시점에 맞지 않으면 지적받는다는 사례입니다.

다만 여섯 항목의 순서는 이 글의 판단이며 규제 기관이 정한 순서가 아닙니다. 운영사의 고객 구성과 상품 구조에 따라 순서가 바뀔 수 있고, 각 항목의 구현 비용은 공개 자료로 확인하지 못했습니다. 이 점검 항목이 실제 사건에서 어떻게 작동하지 않았는지를 다음 섹션의 세 사례에서 확인합니다.

실재 사례 분석, 영국과 몰타와 스웨덴의 세 건은 어떤 통제를 놓쳤을까?

사례 1. Platinum Gaming Ltd, 영국 1,000만 파운드와 3.4배로 커진 재범 제재

Platinum Gaming Ltd는 unibet.co.uk와 uk.bingo.com을 운영하는 영국 면허 보유자로, UKGC는 2025년 10월 22일 1,000만 파운드의 금전 제재와 경고, 제3자 감사를 부과했습니다. 지적된 통제 실패는 차단된 계정의 이력이 위험평가에 반영되지 않았고 어떤 고객에게 어느 수준의 실사를 적용하는지 기준이 불명확했다는 점입니다. 이 운영사는 2023년에 290만 파운드 제재를 받은 전력이 있어 금액이 3.4배로 커졌고, 지브롤터 도박 감독관도 2025년 11월 13일 금전 제재 없이 공식 주의를 내리면서 누적 입금의 실사가 부적절했다는 점을 지적했습니다.

항목	내용
조치	1,000만 파운드, 경고, 제3자 감사
이전 제재	2023년 290만 파운드
7건 합계 대비 비중	61.2%
지브롤터 조치	2025.11.13 공식 주의, 금전 제재 없음

이 사례에서 확인할 수 있는 점은 한 번 지적받은 통제가 개선되지 않으면 다음 제재가 직전의 3배 이상으로 커질 수 있다는 것입니다. 제재 후 감사까지 붙었다는 사실은 규제 기관이 문서 보완이 아니라 시스템의 동작을 확인하겠다는 뜻으로 풀이됩니다. 차단 계정 이력과 위험평가를 데이터로 연결하는 일은 앞의 세 번째 섹션에서 다룬 모니터링의 입력 설계에 해당하며, 한 브랜드에서 차단된 고객이 다른 브랜드에서 다시 가입하는 경로가 규칙에 반영되어 있는지를 KYC AML 자동화의 점검 항목에 포함해야 합니다. 다만 UKGC 공지가 밝힌 세부 위반 건수는 일부만 공개되어 있어, 금액이 어떤 항목에 얼마씩 배분되었는지는 확인할 수 없습니다.

사례 2. Stanleybet Malta Ltd, 판매점 단위 입금 보고와 일 2,000유로 이행강제금

Stanleybet Malta Ltd는 몰타 FIAU가 2026년 3월 23일 225,730유로의 행정 제재와 PMLFTR 21조 5항에 따른 일 2,000유로의 이행강제금을 결정한 운영사입니다. 공지에 따르면 이 회사는 누적 입금을 추적할 체계가 없었고, 판매점 채널의 고객에게 2,000유로 이상 단일 거래 또는 한 판매점의 당일 누적 입금에서만 실사를 적용했으나 FIAU 기준은 평생 입금 또는 180일 rolling으로 누적을 계산하도록 요구합니다. 위험 프로필에는 사업이나 근로나 상속처럼 모호하고 일반적인 항목이 쓰였고, 이 회사는 2026년 4월 14일 항소했습니다.

항목	내용
제재	225,730유로, 이행강제금 일 2,000유로
결정에서 항소 통지까지	22일
실사 적용 방식	단일 거래 또는 한 판매점 당일 누적
몰타 기준	평생 입금 또는 180일 rolling 누적
이행강제금이 200,000유로에 이르는 기간	100일

이 사건은 임계값 숫자를 알고 있어도 합산 기준이 다르면 위반이라는 점을 보여줍니다. 2023년 Rhinoceros Operations(128,796유로)에서도 브랜드별 계산이 지적되어 합산 단위의 문제는 3년 간격으로 되풀이되었습니다. 업계 매체와 공급사 분석은 직원이 고객을 알아보는 방식에 모니터링이 의존했다고 전하지만, 이 부분은 FIAU 공지가 아닌 3순위 자료의 해석입니다. 이 사건의 교훈은 앞의 몰타 요건 항목에서 정리한 고객 단위 누적 추적이 점검 항목의 두 번째에 놓인 이유와 같고, 채널이 여럿인 운영사는 온라인 계정과 판매점 입금을 같은 고객 식별자로 묶어야 합니다. 다만 항소가 진행 중이어서 제재가 확정되지 않았으며, 최종 금액이 달라질 수 있습니다.

사례 3. 스웨덴 Spooniker·Betsson Nordic·Snabbare, 합계 2,200만 크로나와 자금 출처 확인의 기준

스웨덴 도박 감독 당국(Spelinspektionen)은 2025년에 Spooniker Ltd에 1,000만 크로나, Betsson Nordic Ltd에 650만 크로나(6월 2일 결정), Snabbare Ltd에 550만 크로나(5월 28일 결정)의 제재금을 부과했고 세 건의 합계는 2,200만 크로나입니다. 링셰핑 행정법원은 2026년 7월 2일 세 건을 모두 유지했으며 항소가 가능합니다. Spooniker 사건에서 당국은 자금이 어디서 오는지 충분한 정보를 수집하지 않았다고 지적했는데, 위반 시기가 2024년 6월 1일 산정 규칙 이전이어서 상한이 100만 유로로 제한되었습니다.

운영사	제재금	결정 또는 공표일
Spooniker Ltd	1,000만 크로나	2025.5.6 공표
Betsson Nordic Ltd	650만 크로나	2025.6.2
Snabbare Ltd	550만 크로나	2025.5.28

Snabbare 사건은 2023년 입금액이 큰 18~29세 50명에서 10명을 표본으로 뽑아 검토했습니다. 18~24세 6명은 각자 약 95만~200만 크로나를 입금했고 25~29세 4명은 약 110만~320만 크로나를 입금했으며 모두 고위험으로 분류되어 있었습니다. 운영사는 수동 확인 139건을 제시했으나 법원은 받아들이지 않았고, 입금액이 과거 당첨금에서 나왔을 것이라고 가정하는 것은 강화된 고객 확인이 아니라고 판단한 것으로 보도되었습니다. 고위험 분류만으로는 통제가 되지 않고 분류 후의 조치가 기록되어야 한다는 점이 이 사건의 요지이며, 이는 영국 QuinnBet 사건의 자금 출처 미확인과 같은 유형입니다. 다만 법원 판결 요지의 일부는 스웨덴 언론(2순위)의 인용에 기대고 있고, 크로나와 유로 환산은 시점에 따라 달라 영국 사건과 직접 비교할 수 없습니다.

결론, KYC AML 자동화는 임계값 합산과 자금 출처 대조와 공급사 책임으로 판가름 난다

핵심 요약

2025년 3월부터 2026년 8월까지 UKGC가 공개한 AML 지적 사례 7건의 합계는 16,338,938파운드였고, Platinum Gaming 한 건이 61.2%를 차지했습니다. 몰타 FIAU의 금액 확인 4건은 합계 424,313유로였으며 Stanleybet Malta에는 일 2,000유로의 이행강제금이 붙었습니다. 지적된 통제는 위험평가 누락과 임계값 의존과 자금 출처 미확인의 세 유형으로 나뉘었고, 합산 단위를 잘못 잡은 사건이 몰타에서 2023년과 2026년에 되풀이되었습니다. 요건은 영국 MLR 2,000파운드, EU AMLR 2,000유로, 몰타 2,000유로와 180일 rolling으로 숫자가 비슷하지만 합산 방식과 기한이 달라 규칙 값을 매개변수로 분리하는 설계가 필요합니다. 기술 쪽에서는 NISTIR 8491에서는 정상 이용자 거부율 1% 조건에서 회피 유형 공격의 수락률이 최대 62%까지 보고되었고, 규칙 기반 경보의 95~98%가 오탐이라는 논문 수치가 있습니다. 비용 조사에서는 인건비가 57%를 차지했으며, 외주를 쓰더라도 최종 책임은 운영사에 남는다는 점이 UKGC FSB 사건과 AMLR 18조에서 같이 확인됩니다.

전망

2026년 10월 14일 기준 EU AMLR 적용일까지는 269일이 남아 있고, 브라질의 의무 정산은 62일 뒤입니다. AMLR이 적용되면 EU에서 서비스하는 라이선스 운영사는 2,000유로 기준과 고위험 고객 1년 갱신 주기를 같은 규칙집으로 받게 되므로, 관할권별로 따로 만든 점검 절차는 하나의 규칙 엔진으로 합쳐질 가능성이 큽니다. 다만 회원국 감독 당국의 세부 지침은 적용일 이후에 나올 수 있어서 구현 범위는 지침에 따라 조정될 수 있습니다.

규제 기관의 관심은 신원 서류의 유무에서 통제가 작동한 시점으로 옮겨가고 있습니다. UKGC는 2026년 8월에 검증 시점을 상기시켰고 7월에는 신용정보 기반 재무 평가를 단계적으로 도입했으며, FATF는 2026년 9월에 도박 위험 보고서를 처음 내놓았습니다. 이 흐름이 이어지면 운영사는 규칙의 존재보다 임계값 도달 시점의 실행 기록을 요구받을 것으로 관측되고, 스웨덴 법원이 수동 확인 139건을 받아들이지 않은 판단이 그 방향을 보여줍니다.

실천 가이드

1. 고객 단위로 입금을 합산하는 데이터 모델을 첫 단계로 구현하십시오. Stanleybet 사건은 판매점 단위 보고 때문에 고객 누적 입금을 놓쳤고, 일 2,000유로의 이행강제금은 100일이면 200,000유로에 이릅니다.

2. 신고 소득과 입금 속도를 대조하는 규칙을 만들고 경보 이후의 조치를 기록하십시오. QuinnBet 고객은 월 소득 약 2,000파운드로 4일간 9,000파운드를 입금했고, Snabbare는 고위험으로 분류한 고객의 수동 확인 139건을 법원이 받아들이지 않았습니다.

3. KYC 공급사 계약에 감사 권한과 오류 통지 기한을 명시하고 모델을 도입 전후로 검증하십시오. AMLR 18조는 외주 시 최종 책임이 운영사에 남는다고 규정하고, Videoslots 사건은 알고리즘이 있어도 임계값 도달 시점이 맞지 않으면 지적받는다는 점을 보여줍니다.

이 글은 산업 분석 자료이며 법률 자문이 아닙니다. 라이선스 요건과 규제는 관할권과 시점에 따라 달라지므로 해당 규제 기관과 현지 법률 전문가를 통해 확인하시기 바랍니다.

작성: 에보소프트 솔루션 | 솔루션 제작 및 마케팅 경력 10년차 팀이 공개 자료와 공식 통계를 기반으로 작성했습니다.

참고 및 출처

• [1순위] UKGC, Platinum Gaming Limited 1,000만 파운드 제재 공지(2025.10.22): gamblingcommission.gov.uk

• [1순위] UKGC, Spreadex Limited 제재 공지(2025.5.15): gamblingcommission.gov.uk

• [1순위] UKGC, AG Communications Limited 제재 공지(2025.3.4): gamblingcommission.gov.uk

• [1순위] UKGC, ProgressPlay Limited 제재 공지(2025.8.21): gamblingcommission.gov.uk

• [1순위] UKGC, NetBet Enterprises Limited 제재 공지(2025.11.5): gamblingcommission.gov.uk

• [1순위] UKGC, Videoslots Limited 제재 공지(2025.11.20): gamblingcommission.gov.uk

• [1순위] UKGC, QuinnBet (Gibraltar) Limited 제재 공지(2026.8.20): gamblingcommission.gov.uk

• [1순위] UKGC, 2026년 자금세탁·테러자금 위험평가(원격 카지노): gamblingcommission.gov.uk

• [1순위] UKGC, 원격 운영사의 신원 확인 요건 상기(2026.8.12): gamblingcommission.gov.uk

• [1순위] UKGC, 재무 위험 평가 단계적 도입 공지: gamblingcommission.gov.uk

• [1순위] UKGC, FSB 제재와 제3자 책임 경고: gamblingcommission.gov.uk

• [1순위] UKGC, LCCP 17.1.1 고객 신원 검증: gamblingcommission.gov.uk

• [1순위] UKGC, 2024/25 신뢰 성명서(Trust Statement): gamblingcommission.gov.uk

• [1순위] 영국 정부, Money Laundering Regulations 2017 27조: legislation.gov.uk

• [1순위] Gibraltar Gambling Commissioner, Platinum Gaming Ltd 공식 주의(2025.11.13): gibraltar.gov.gi

• [1순위] FIAU, 제재 공지(2025.5.15): fiaumalta.org

• [1순위] FIAU, Stanleybet Malta Ltd 제재 공지(2026.3.23): fiaumalta.org

• [1순위] FIAU, 원격 게임 부문 실행 절차 제2부(2020.7.2 개정): fiaumalta.org

• [1순위] MGA, 2024년 연차 보고서: mga.org.mt

• [1순위] NIST, NISTIR 8491 얼굴 위장 방지 평가: nvlpubs.nist.gov

• [1순위] NIST, SP 800-63A-4 디지털 신원 지침: csrc.nist.gov

• [1순위] FinCEN, 딥페이크 사기 경보: fincen.gov

• [1순위] 스웨덴 도박 감독 당국, Spooniker Ltd 제재: spelinspektionen.se

• [1순위] 스웨덴 법원, 도박 사건 판결 보도(2026.7.2): domstol.se

• [1순위] FATF, 도박 위험 보고서(2026.9.9): fatf-gafi.org

• [1순위] UKGC, LCCP 12.1.1 자금세탁 방지: gamblingcommission.gov.uk

• [1순위] UKGC, 카지노 가이던스 갱신 공지(DAML 기준): gamblingcommission.gov.uk

• [1순위] UKGC, 신흥 자금세탁 위험(2025년 4월): gamblingcommission.gov.uk

• [1순위] 영국 정부, MLR 2017 30조: legislation.gov.uk

• [1순위] 영국 정부, MLR 2017 40조: legislation.gov.uk

• [1순위] 영국 정부, OfDIA 2026 연례 보고서(DVS): gov.uk

• [1순위] 영국 NCA, SARs 연례 보고서 부속서 2025: nationalcrimeagency.gov.uk

• [1순위] FIAU, Rhinoceros Operations Ltd 제재 공지(2023): fiaumalta.org

• [1순위] FIAU, 제재 공지(2026년 7월): fiaumalta.org

• [1순위] NIST, FRTE 1:1 얼굴 인식 평가: pages.nist.gov

• [1순위] NIST, FRTE PAD 평가: pages.nist.gov

• [1순위] 브라질 재정부, 베팅 금지 후 사업자 의무 공지(2026년 10월): gov.br

• [1순위] 브라질 SPA/MF, Portaria 722/2024: poder360.com.br

• [1순위] EU 관보, AMLR 원문 Regulation (EU) 2024/1624: eur-lex.europa.eu

• [2순위] Springlex, EU AMLR 조문 해설: springlex.eu

• [2순위] LexisNexis Risk Solutions, 금융범죄 컴플라이언스 비용 조사(2023.9.26): risk.lexisnexis.com

• [2순위] LexisNexis Risk Solutions, 금융범죄 컴플라이언스 조사(2020.4.7): risk.lexisnexis.com

• [2순위] Kasinojournalen, 스웨덴 제재금 결정 정리: kasinojournalen.se

• [2순위] Springlex, AMLR 18조: springlex.eu

• [2순위] Springlex, AMLR 22조: springlex.eu

• [2순위] Springlex, AMLR 26조: springlex.eu

• [2순위] Springlex, AMLR 77조: springlex.eu

• [2순위] Springlex, AMLR 90조: springlex.eu

• [2순위] LexisNexis Risk Solutions, EMEA 컴플라이언스 비용 조사(2024.3): risk.lexisnexis.com

• [2순위] PR Newswire, LexisNexis 금융범죄 컴플라이언스 지출 조사: prnewswire.com

• [2순위] Next.io, Kanon Gaming 몰타 제재 보도: next.io

• [2순위] Italpress, 몰타 FIAU 2025년 통계 보도: italpress.com

• [2순위] Zigram, 몰타 FIAU 보고 통계: zigram.tech

• [2순위] Casino.org, 온타리오 AGCO NorthStar Gaming 제재 보도: casino.org

• [2순위] Poder360, 브라질 베팅 금지 보도: poder360.com.br

• [2순위] arXiv, 거래 모니터링 오탐 연구(2022): arxiv.org

• [2순위] Google Cloud, HSBC AML AI 사례(HSBC 자체 보고): cloud.google.com

• [2순위] AGB, Sumsub 2026년 iGaming 사기 보고 보도(2026.6.29): agbrief.com

• [2순위] Focus Gaming News, 브라질 SPA·COAF 의심거래 보고 안내: focusgn.com

• [2순위] FATF 도박 위험 보고서 본문 사본(2026.9.9): dirittobancario.it

• [3순위] Sumsub iGaming 사기율 보고를 인용한 업계 매체(2026.6.29): sigma.world

• [3순위] Entrust, 딥페이크 시도와 디지털 문서 위조 보고(2024.11.19): entrust.com

연관글 보기

• 함께 보기 (총론): 카지노 솔루션 API 아키텍처: 2025~2026년 온라인카지노 인프라 분석

• 함께 보기: 에볼루션 게이밍 2026년 전망, 매출/M&A/리스크 심층분석

• 다른 관점: 스포츠솔루션이란? 6개 핵심 레이어로 보는 완벽 가이드