업무 중 생성형 AI를 사용하는 직장인이라면 한 번쯤 해봤을 법한 행동이에요. 보고서를 요약하거나, 코드를 검토하거나, 계약서를 정리하는 등 생성형 AI는 어느새 업무 도구로 자리 잡았어요.
그런데 여기서 한 가지 질문이 생겨요. “내가 AI에게 입력한 자료는 정말 안전할까요?” 최근 기업 보안에서 새로운 위험 요소로 떠오르고 있는 것이 바로 생성형 AI를 통한 기업정보 유출이에요. 기업들은 AI를 활용하면서 업무 효율을 크게 높이고 있지만, 동시에 소스코드, 계약서, 고객정보, 영업전략, 내부 보고서 등 민감한 자료가 AI 서비스에 입력될 가능성도 커지고 있어요. 실제로 2026년 국내 기업을 대상으로 한 조사에서는 응답자의 86%가 개인 또는 조직 차원에서 비공식적으로 생성형 AI를 업무에 활용하고 있는 것으로 나타났어요. 이른바 ‘BYOAI(Bring Your Own AI)’ 환경이 빠르게 확산되고 있는 거예요.
문제는 회사가 허가하지 않은 AI 서비스를 직원이 사용하는 ‘섀도우 AI(Shadow AI)’예요. 직원 입장에서는 단순히 업무를 편하게 하기 위한 행동일 수 있어요. "오류가 있는 코드인데 AI에게 한번 확인해볼까?" "계약서가 너무 긴데 AI에게 요약해달라고 해야겠다." 하지만 그 안에 회사의 핵심 소스코드나 미공개 사업정보가 들어 있다면 이야기가 달라져요. 기업 내부의 민감정보가 생성형 AI 사용 과정에서 외부로 노출될 가능성이 커지면서, 기업들은 AI 사용 자체를 막기보다는 AI를 안전하게 사용할 수 있도록 통제하는 방향으로 움직이고 있어요.
최근에는 단순히 "회사 자료를 AI에 넣지 마세요"라고 공지하는 것에서 한 단계 더 나아가고 있어요.
▲ 어떤 AI 서비스를 사용할 수 있는지
▲ 어떤 정보를 입력하면 안 되는지
▲ 프롬프트와 사용 기록을 어떻게 관리할지
▲ 외부 AI로 데이터가 전송되는 것을 어떻게 통제할지
등을 구체적으로 관리하는 AI 거버넌스가 중요해지고 있어요. 특히 기업 입장에서는 AI 사용을 무조건 차단하는 것도 정답이 아니에요. 업무 효율 때문에 공식 AI 서비스를 막아버리면 직원들이 개인 계정이나 비인가 서비스를 이용하는 ‘섀도우 AI’로 이동할 수 있기 때문이에요. 오히려 기업이 승인된 AI 환경을 제공하고 데이터 접근 권한과 사용 기록을 관리하는 것이 현실적인 대안이 될 수 있어요.
결국 중요한 건 AI를 사용하느냐, 사용하지 않느냐가 아닌 것 같아요. “무엇을 AI에게 보여줄 것인가?” 그리고 “그 정보를 누가, 어디까지 사용할 수 있는가?” 이 두 가지 질문에 답할 수 있어야 하는 시대가 된 거예요.
AI가 기업의 업무를 대신하는 시대가 빠르게 다가오고 있어요. 그렇다면 기업정보를 지키는 보안 역시 이제는 AI를 막는 보안이 아니라 AI를 통제하고 관리하는 보안으로 진화해야 하지 않을까요?
<관련기사>
○ “직장인 86%, 업무에 개인 생성형 AI 이용…기업 거버넌스 체계 필요성↑” (2026.03.06.)
○ “AI 도입 확산 속 기밀 유출·환각 우려…클루커스, ‘클루스피어’로 원천 차단” (2026.03.26.)
○ “AI 도입 바빴던 기업들, 이젠 ‘안전한 AI 활용’ 챙긴다” (2026.06.28.)
