직원들은 이미 몰래 쓰고 있습니다 — 섀도우 AI 다루는 법

회사가 AI 도입을 고민하는 사이, 직원들은 이미 각자의 AI를 쓰고 있습니다.

정책보다 앞서 있는 현실

AI 사용 정책 만들기 편에서 우리는 "무엇을 허용하고 무엇을 금지할지"를 정하는 법을 이야기했습니다. 그런데 많은 회사에서 순서가 뒤집혀 있습니다. 정책이 생기기 전에, 사용이 이미 퍼져 있습니다.

이것을 섀도우 AI(shadow AI)라고 부릅니다. 회사의 승인이나 관리 없이, 직원이 개인 계정으로 AI 도구를 쓰는 현상입니다.

이건 예외가 아니라 기본값입니다

한 조사에 따르면 조직의 98%에서 비승인 AI 사용이 확인됐고, 직원의 최대 65%가 회사 IT 부서를 거치지 않고 AI 도구를 쓰고 있었습니다. 반면 명확한 AI 거버넌스 정책을 갖춘 조직은 37%에 그쳤습니다.

즉, 대부분의 회사에서 벌어지는 일은 이렇습니다. 직원은 쓰고, 회사는 모릅니다.

왜 막아도 안 막힐까

경영진의 첫 반응은 대개 "그럼 금지하자"입니다. 그런데 금지는 거의 항상 실패합니다.

이유는 간단합니다. AI 도구는 너무 편하고, 너무 쉽게 접근됩니다. 브라우저만 열면 됩니다. 금지하면 사용이 사라지는 게 아니라 보이지 않는 곳으로 숨습니다. 위험은 그대로인데, 회사는 그것을 관리할 창구마저 잃습니다.

저희가 자문한 한 중견 서비스 회사는 사내 공지로 외부 AI 사용을 전면 금지했습니다. 3개월 뒤 확인해보니, 직원들은 회사 노트북 대신 개인 휴대폰으로 같은 일을 하고 있었습니다. 달라진 건 회사가 아무것도 볼 수 없게 된 것뿐이었습니다.

진짜 위험은 '유출'입니다

섀도우 AI의 위험은 추상적이지 않습니다. 가장 흔한 사고는 민감 정보 유출입니다.

직원이 급한 마음에 고객 명단을, 계약서 초안을, 내부 재무 자료를 개인 AI 도구에 그대로 붙여 넣습니다. 그 순간 정보는 회사 통제 밖으로 나갑니다. 한 보고서에 따르면 이렇게 섀도우 AI가 연루된 유출 사고는 평균 피해액이 약 463만 달러(약 60억 원)에 달했습니다.

보안과 개인정보 편의 원칙이 여기서도 그대로 적용됩니다. 문제는 기술이 아니라, 무엇을 넣으면 안 되는지 아무도 알려주지 않았다는 데 있습니다.

금지 대신, 안전한 길을 깔아주기

해법은 통제가 아니라 대체와 안내입니다. 세 가지면 충분합니다.

1. 승인된 도구를 먼저 쥐여주기 쓸 만한 공식 도구가 있으면, 직원은 굳이 개인 도구로 숨지 않습니다. "쓰지 마"보다 "이걸 써"가 훨씬 강력합니다.

2. 넘지 말아야 할 선을 분명히 "고객 개인정보, 계약 정보, 미공개 재무자료는 어떤 AI에도 넣지 않는다." 이 정도의 빨간 선 몇 개를, 길고 복잡한 규정 대신 짧고 외우기 쉽게 정합니다.

3. 금지가 아니라 교육으로 왜 위험한지 한 번 설명 들은 직원은, 규정 100줄보다 잘 지킵니다. 교육과 온보딩 편의 접근이 여기에 그대로 쓰입니다.

숨은 것을 드러내는 게 먼저입니다

섀도우 AI를 없앨 수는 없습니다. 하지만 양지로 끌어낼 수는 있습니다.

직원이 AI를 쓴다는 사실을 숨기지 않아도 되는 회사. 어떤 도구를 어디까지 써도 되는지 물어볼 창구가 있는 회사. 그런 회사에서는 섀도우 AI가 그냥 AI 활용이 됩니다.

막으려 할수록 어두워지고, 열어줄수록 밝아집니다. 이건 통제의 문제가 아니라 신뢰의 문제입니다.