직원이 몰래 쓰는 AI...기업을 흔드는 ‘섀도우 AI’의 확산

생성형 AI가 업무 현장에 빠르게 스며들면서 기업 보안 체계의 빈틈이 더욱 중요한 문제로 부상하고 있다. 회사가 공식 도입하지 않은 외부 AI 서비스를 직원이 개인 계정으로 사용하는 이른바 ‘섀도우 AI(Shadow AI)’ 현상이 전 세계 기업에서 광범위하게 나타나기 때문이다. 

생산성을 높이기 위한 자발적 선택이지만 기업 입장에서는 데이터 통제와 책임 문제를 동시에 떠안을 수밖에 없다.

최근 글로벌 보안 기업과 컨설팅 기관들의 조사에 따르면 90%에 가까운 기업에서 승인되지 않은 AI 도구 사용이 확인됐다. 일부 조사에서는 98% 이상의 조직에서 섀도우 AI 활동이 관찰됐다는 결과도 나왔다. 

직원 개인이 스스로 AI 도구를 가져와 사용하는 ‘BYOAI(Bring Your Own AI)’ 형태가 확산되면서 기업 내부에 공식적으로 관리되지 않는 AI 접점이 빠르게 늘고 있다는 의미다.

이 현상은 과거 ‘섀도우 IT’와 닮아 있다. 승인되지 않은 클라우드 저장소나 메신저가 업무에 쓰이던 것과 비슷하지만 결정적인 차이는 데이터 처리 방식에 있다. 생성형 AI는 문서를 읽고, 요약하고, 재작성하는 과정에서 내부 정보를 직접 서버로 전송한다. 

사용자는 브라우저 화면에 텍스트를 입력하지만 그 데이터는 외부 인프라에서 처리된다. 어느 국가의 서버에 저장되는지, 얼마나 보관되는지, 학습 데이터로 활용되는지 여부는 서비스 약관에 따라 달라진다.

문제는 가시성이다. 기업 보안팀은 어떤 직원이 어떤 문서를 어떤 AI에 입력했는지 실시간으로 파악하기 어렵다. 로그가 통합되지 않으면 사고 발생 시 원인 추적도 쉽지 않다. 보안 기업들의 분석에 따르면 직원 1천 명당 수백 개에 이르는 승인되지 않은 AI 애플리케이션이 동시에 사용되는 사례도 확인됐다.

실제 입력되는 정보의 성격도 매우 민감한 경우가 많다. 일부 조사에서는 직원의 3분의 1이 인사 정보나 급여 자료 등 민감 데이터를 외부 AI에 입력한 경험이 있다고 응답했다. 절대 외부로 공개되어서는 안 될 재무 자료나 내부 전략 문서가 업로드되는 경우도 적지 않다. 

소스 코드나 기술 설계 문서가 외부 서버로 전송될 경우 지식재산권 침해 문제로 이어질 가능성도 있다. 생성된 결과물이 기존 저작물을 침해했을 때 책임 소재 역시 아직 명확히 정리되지 않은 상태다.

비용도 무시하기 어렵다. 글로벌 조사 결과에 따르면 기업의 약 20%가 섀도우 AI와 연관된 보안 침해를 경험했으며 이로 인한 손실이 수십만 달러 규모에 달한 사례가 보고됐다. 시장조사업체들은 2030년까지 전체 기업의 40%가 섀도우 AI로 인한 보안 또는 규정 준수 사고를 겪을 수 있다고 전망한다.

그럼에도 불구하고 직원들이 외부 AI를 사용하는 이유는 속도와 기능 면에서 압도적이기 때문이다. 생성형 AI 서비스는 계정만 만들면 즉시 사용할 수 있다. 반면 기업 차원의 도입은 보안 검토와 계약, 내부 정책 수립 등 여러 절차를 거친다. 

최신 모델 업데이트도 외부 서비스가 더 빠른 경우가 많다. 번역 품질이나 코드 생성 정확도에서 차이가 체감되면 현업 담당자 입장에서는 무조건 효율을 선택할 수밖에 없다.

이 같은 흐름에 대응해 기업들은 전면 금지 대신 통제 가능한 영역으로 흡수하는 전략을 택하고 있다. 사내 전용 생성형 AI를 구축하거나 외부 서비스와 기업용 계약을 체결해 데이터 저장과 학습 활용 범위를 보다 정확하게 규정하는 방식이다. 

일부 기업은 네트워크 차원에서 특정 AI 서비스 접속을 차단하거나 데이터 유출 방지 시스템을 통해 주민등록번호나 고객 식별 정보가 입력되는 즉시 차단하는 기술을 도입했다. API 관리 플랫폼을 통해 어떤 애플리케이션이 외부 AI와 연결되는지 중앙에서 추적하는 방식도 확산되고 있다.

국제 규제 환경도 변화하고 있다. 유럽연합은 AI 활용에 대한 책임 체계를 강화하는 법안을 단계적으로 시행 중이며 미국과 아시아 주요국도 기업의 데이터 관리 의무를 명확히 하는 방향으로 정책을 정비하고 있다. 

개인정보 보호법과 산업기밀 보호 규정은 이미 기업에 데이터 관리 책임을 부여하고 있어 직원의 무단 사용이라 하더라도 사고 발생 시 법적 책임은 기업이 지게 되는 구조다.

보안 업계는 차단보다 가시성을 우선해야 한다고 지적한다. 승인된 AI 플랫폼을 공식적으로 제공하고 사용 로그를 기록하며 어떤 정보까지 입력 가능한지 구체적인 가이드라인을 마련해야 한다는 조언이다. AI를 업무 인프라로 인정하고 그 안에서 통제 체계를 설계하지 않으면 섀도우 AI는 음지에서 계속 확산된다는 판단이다.