신원확인 기술기업 OCR 스튜디오가 클라우드·AI 모델·벤더 등 모든 구성요소를 기본적으로 신뢰하지 않는 '제로트러스트 KYC 선언문'을 발표했다. 핵심은 네 가지 원칙으로, 신분증 이미지나 얼굴 사진 같은 민감한 신원 데이터는 사용자가 제시한 지점(가능하면 기기 내 또는 브라우저 내)에 머물러야 하고, 검증 절차는 QR코드로 스마트폰 앱으로 넘기지 않고 브라우저 세션 안에서 완결되는 '웹 네이티브' 방식이어야 하며, 부정행위 탐지는 'AI가 거부했다'는 식이 아니라 근거를 추적할 수 있는 증거 기반이어야 하고, 조명이 나쁘거나 흐릿한 문서 등 불완전한 실제 환경 조건에서도 불확실성을 숨기지 않고 작동해야 한다는 것이다. 저자들은 클라우드 인프라·외부 벤더에 대한 맹목적 신뢰가 반복적인 신원정보 유출 사고의 근본 원인이라며, 기업의 조달 요건과 규제 기준 모두 제로트러스트 원칙을 중심에 둬야 한다고 주장했다.

• •원칙1: 신분증·얼굴 이미지 등 민감 데이터는 기기 내·브라우저 내 처리로 외부 전송 최소화
• •원칙2: 신원확인은 QR코드로 모바일 앱 전환 없이 데스크톱 브라우저 세션 안에서 완결(웹 네이티브)
• •원칙3: 부정행위 판정은 'AI가 거부' 같은 블랙박스가 아니라 추적 가능한 근거를 제시해야 함
• •원칙4: 흐릿함·저조도·저가 기기 등 비이상적 실제 조건에서도 불확실성을 숨기지 않고 작동해야 함