회사 몰래 쓰는 AI, 이미 벌어진 일

회사 몰래 쓰는 AI, 이미 벌어진 일

"우리 회사는 아직 AI 도입을 논의하는 중"이라고 말하는 경영진이 많다. 그런데 사무실 안에서 실제로 벌어지는 일은 다르다. 직원들은 벌써 각자의 자리에서 챗봇에 보고서를 붙여넣고, 코드 리뷰를 맡기고, 회의록을 요약시키고 있다. 회사가 허락하지 않았을 뿐, 안 쓰는 게 아니다.

이렇게 회사의 승인이나 감시 없이 직원들이 알아서 끌어다 쓰는 AI 도구를, 우리는 섀도우 AI(Shadow AI)라고 부른다. 말 그대로 '그림자 AI'다. 예전에 IT 부서가 미처 통제하지 못한 채 퍼져 나갔던 '섀도우 IT'가 있었는데, 그것의 AI 버전인 셈이다. 그리고 이 그림자는 우리가 짐작하는 것보다 훨씬 짙다.

데이터 보안업체 바로니스(Varonis)가 2025년 1,000개 기업 환경을 들여다본 조사에서는, 조직의 98%가 승인받지 않은 앱—그 안에는 섀도우 AI가 포함된다—을 두고 있었다. 한편 IBM이 같은 해 내놓은 '데이터 유출 비용 보고서'에서, AI 사용을 관리하거나 섀도우 AI를 잡아낼 규칙을 갖춘 조직은 37%뿐이었다. 거의 모든 회사에 승인받지 않은 도구가 흘러 다니는데, 그중 3분의 1 남짓만 규칙을 마련해 둔 상태라는 뜻이다. 도구가 정책을 한참 앞질러 달려가고 있는 것이다.

왜 직원들은 '몰래' 쓰는가

섀도우 AI를 그저 '규칙 위반'으로만 보면 정작 중요한 것을 놓친다. 직원들이 회사 몰래 AI를 쓰는 이유는 대개 아주 단순하다.

• 당장 일이 편해지기 때문이다. 반복되는 문서 작업, 번역, 초안 잡기 같은 일에서 손에 잡히는 생산성이 곧바로 올라간다.
• 회사가 마땅한 대안을 주지 않았기 때문이다. 공식으로 승인된 도구가 없으니, 각자 알아서 무료 서비스를 찾아 쓴다.
• 물어보면 오히려 금지당할 게 뻔하기 때문이다. "쓰지 마라"는 답이 훤히 예상되면, 아예 묻지 않고 그냥 쓰는 쪽을 택한다.

정리하면, 섀도우 AI가 퍼지는 현상은 회사가 통제에 실패했다는 신호라기보다 수요가 공급을 앞질렀다는 신호에 가깝다. 직원들은 이미 'AI가 필요하다'는 답을 내렸는데, 회사만 아직 '필요할까?'를 따지는 질문 단계에 머물러 있는 것이다.

막기만 하면 자라나는 진짜 위험

문제는, 이 그림자 속에서 진짜 위험이 자란다는 데 있다.

첫째, 데이터 유출. 직원이 고객 정보나 회사 내부 소스코드를 외부 챗봇 창에 붙여넣는 순간, 그 데이터가 어디로 흘러가 어떻게 쓰이는지 회사는 알 길이 없다. 계약서에 적어 둔 기밀 유지 조항이 한순간에 무의미해지는 지점이다.

둘째, 검증되지 않은 결과물. AI가 써 준 초안에는 사실과 다른 내용이나 그럴듯하게 지어낸 오류, 이른바 '환각(hallucination)'이 섞여 있을 수 있다. 아무도 이걸 걸러내지 못하면 그 오류가 그대로 대외 문서에 실려 나갈 수도 있다.

셋째, 규제 리스크. 누가, 어떤 도구로, 어떤 데이터를 다뤘는지 기록이 전혀 없다면, 나중에 감사를 받거나 규제 당국에 해명해야 하는 상황에서 회사는 스스로를 방어할 근거조차 갖지 못한다. 실제로 IBM은 섀도우 AI 사용이 많은 조직일수록 유출 사고가 났을 때 평균 67만 달러가 더 드는 것으로 집계했다.

이쯤에서 많은 회사가 꺼내 드는 카드가 "전면 차단"이다. 하지만 차단은 그림자를 없애 주지 않는다. 오히려 더 깊은 그림자 속으로 밀어 넣을 뿐이다. 회사가 사내망에서 막으면, 직원들은 개인 노트북과 개인 계정, 휴대폰으로 자리를 옮겨 간다. 실제로 보안업체 넷스카이프가 기업 클라우드 사용 로그를 분석한 2026년 보고서에서, 생성형 AI 사용자의 47%가 회사가 관리하지 않는 개인 계정으로 도구에 접속하고 있었다. 그러면 위험은 그대로인데 회사가 그걸 들여다볼 눈만 완전히 사라진다. 통제하려던 시도가 도리어 통제 불능을 부르는 셈이다.

길을 터줬을 때 벌어지는 변화

반대쪽 사례는 훨씬 희망적이다. 미국의 한 의료 시스템에서는 승인된 도구를 정식으로 제공하자 무단 사용이 89% 줄었다는 결과가 보고됐다(보안업체 Vectra 정리). 산업 전체의 통계가 아니라 한 조직의 경험이라는 한계는 있지만, 방향은 분명하다. 직원들이 몰래 쓰던 이유가 '규칙을 어기는 게 좋아서'가 아니라 '달리 쓸 게 없어서'였다는 방증이다. 안전하면서도 쓸 만한 공식 창구가 열리자, 대부분은 기꺼이 그쪽으로 옮겨 왔다.

바로 이 대목이 핵심이다. 섀도우 AI 문제의 해법은 금지(Ban)가 아니라 대체(Replace)에 있다.

막기와 터주기 사이, 현실적인 3단계

그렇다면 실무에서는 무엇부터 손대야 할까. 완벽한 정책이 나올 때까지 기다리기보다, 다음 순서로 움직이는 편이 현실적이다.

1단계 — 실태를 파악한다(가시화). 먼저 처벌은 접어 두고 실태부터 조사한다. '누가, 무엇을, 왜 쓰는지'를 익명 설문이나 인터뷰로 확인한다. 처벌을 앞세우는 순간 그림자는 더 깊이 숨어 버린다. 지금 직원들이 AI로 처리하고 있는 업무 목록이, 곧 회사가 공식적으로 지원해야 할 우선순위 목록이다.

2단계 — 대안을 쥐여 준다(공식 도구). 수요가 가장 큰 영역부터 검증된 도구를 공식으로 내준다. 이를테면 기업용 보안 요건을 갖춘 유료 플랜, 입력한 데이터가 AI 학습에 쓰이지 않는다는 계약 조건, 사내 데이터와 분리된 환경 같은 선택지를 마련하는 것이다. 앞서 소개한 '무단 사용 89% 감소' 같은 변화가 바로 이 단계에서 나온다.

3단계 — 규칙을 정한다(거버넌스). 마지막으로 '되는 것'과 '안 되는 것' 사이에 선을 분명히 긋는다. 어떤 데이터는 절대 입력하면 안 되는지, 결과물은 누가 어떻게 검수하는지, 민감한 업무에는 어떤 도구만 써도 되는지를 짧고 분명하게 정한다. 두툼한 금지 목록보다, 직원이 5분 만에 이해하는 원칙 몇 개가 훨씬 잘 지켜진다.

결국은 신뢰의 문제

섀도우 AI를 어떻게 대하는지를 보면, 그 회사가 직원을 어떤 존재로 여기는지가 드러난다.

"몰래 쓰는 사람을 잡아내겠다"는 태도는 직원을 잠재적 위반자로 취급한다. 반대로 "직원들이 이미 필요로 하는 걸 안전하게 쓰도록 해 주겠다"는 태도는 그들을 더 잘 일하고 싶어 하는 사람으로 본다. 조직의 98%에 이미 승인받지 않은 도구가 퍼져 있다는 숫자는 문제의 증거인 동시에, 수요의 증거이기도 하다.

막을 것인가, 터줄 것인가. 사실 이 질문 자체가 잘못됐다. 막기만 하면 통제는 환상에 그치고, 무작정 터주면 보호가 사라진다. 진짜 물어야 할 질문은 이것이다. "안전한 길을 얼마나 빨리 깔아 줄 것인가." 그림자는 빛이 닿지 않는 곳에 생긴다. 앞문에 불을 켜는 회사만이, 뒷문의 위험까지 함께 걷어낼 수 있다.