AI 사용 금지해도 개인 계정 이용 77%
보안업계, 정보유출 차단 기술 개발 속도

▲파수AI가 조사한 국내 기업의 생성형 AI 운영 방식과 사용 금지 조직의 섀도 AI 사용 실태. 그래픽=파수AI

직원들이 회사 승인 없이 챗GPT 등 생성형 인공지능(AI)을 사용하는데도 이를 파악하고 통제하는 기업은 5곳 중 1곳에 불과한 것으로 나타났다. 직원들의 AI 활용이 늘면서 기업의 보안 관리에 허점이 드러나고 있는 것이다. 이를 겨냥해 직원들의 AI 사용을 통제하고 정보 유출을 막는 보안 시장이 커지고 있다. 세계 AI 사용 통제 시장은 내년 73% 성장할 전망이다.

30일 정보기술(IT) 업계에 따르면 국내 보안기업 파수AI가 최근 기업과 기관의 IT·보안 담당자 151명을 대상으로 조사한 결과, 직원들의 개인 AI 사용 현황을 파악하고 통제하는 조직은 19.2%에 그쳤다. 반면 응답자의 88.7%는 업무 중 개인 계정으로 생성형 AI를 사용한다고 답했다. AI 사용을 원칙적으로 금지한 조직에서도 응답자의 77.3%가 개인 계정으로 AI를 이용하는 것으로 나타났다.

기업의 AI 사용 관리 기준도 미흡한 것으로 조사됐다. 별도 방침없이 직원 자율에 맡긴다는 응답이 29.1%로 가장 많았다. 일부 AI 서비스만 허용한다는 응답은 22.5%, 자체 AI를 구축해 운영한다는 응답은 17.9%였다. AI 사용을 원칙적으로 차단하는 조직은 14.6%에 그쳤다.

이처럼 회사의 승인이나 관리 없이 직원들이 외부 AI 서비스를 업무에 활용하는 것을 '섀도 AI(Shadow AI)'라고 한다. 직원이 개인 계정으로 회의록이나 계약서, 고객정보 등을 외부 AI에 입력하면 회사가 정보 유출 여부를 파악하기 어렵다. 기업의 내부 자료가 외부 AI 서비스로 넘어가더라도 사용 기록을 확인하거나 사고 경위를 추적하는 데 한계가 있다.

▲IBM이 공개한 인공지능(AI) 거버넌스 관련 조사 이미지. 조사 대상 기업의 63%가 AI 관리 정책을 갖추지 않은 것으로 나타났다. 사진=IBM

미국에서는 직원이 회사 몰래 외부 AI에 고객정보를 입력했다가 중대한 보안 사고로 이어진 사례도 있다. 미국 커뮤니티뱅크는 지난 5월 직원이 승인받지 않은 AI 프로그램에 고객 이름과 사회보장번호, 생년월일 등을 입력한 사실을 확인했다. 은행은 이를 중대한 사이버 보안 사고로 판단해 미국 증권거래위원회(SEC)에 공시했다. 외부 보안 전문가를 투입해 조사에 나서고 고객정보 보호 조치도 강화했다.

섀도 AI 사용이 늘면서 기업들이 부담하는 보안 사고 비용도 커지고 있다. IBM이 지난해 발표한 '데이터 침해 비용 보고서'에 따르면 조사 대상 조직 5곳 중 1곳이 섀도 AI와 관련된 데이터 침해를 경험했다. 섀도 AI 사용 수준이 높은 조직은 그렇지 않은 조직보다 데이터 침해 비용이 평균 67만달러 더 많았다.

파수AI 조사에서도 기업 내부 핵심 데이터가 외부 AI 모델 학습에 활용될 가능성(28.3%)이 가장 큰 위험으로 꼽혔다. 개인정보보호법 등 규제 위반(24.0%), 사용 이력 추적이 어려워 사고 대응이 곤란하다는 응답(23.7%)이 뒤를 이었다.

문제는 기업들이 직원들의 AI 사용을 일일이 확인하기 어렵다는 점이다. 한 국내 보안업계 관계자는 “기업들이 AI를 사용하지 말라고 안내하더라도 이를 강제하기는 어렵다"며 “AI를 어떻게 사용해야 하는지에 대한 정책이나 가이드라인조차 명확하게 정해지지 않은 곳이 많다"고 말했다.

▲2026년 10월 22일 촬영된 사이버 보안 관련 자료사진. 화면에 'Cyber Security' 문구와 PHP 코드가 표시돼 있다. 사진=로이터 연합뉴스

보안업계는 이 같은 관리 사각지대를 겨냥해 AI 사용 통제 기술 개발에 나서고 있다. 직원들의 AI 사용을 전면 금지하는 대신 업무에 필요한 서비스는 허용하되 개인정보나 기업 기밀이 외부로 넘어가는 것을 막는 방식이다.

기존 정보유출방지(DLP) 기술이 파일이나 자료의 외부 반출을 관리했다면, AI 사용 통제 기술은 외부 AI에 입력하는 내용까지 관리한다. 직원이 어떤 AI 서비스를 이용하는지 파악하고, 개인정보나 기업 기밀이 포함된 내용을 입력하면 경고하거나 전송을 차단한다.

파수AI 관계자는 “기업들이 AI 사용을 통합적으로 파악하고 관리할 수 있는 수단이 부족하다"며 “이를 해결할 수 있는 기술이 필요하다는 기업들의 요구가 많아지고 있다"고 말했다. 이어 “개인정보가 외부로 유출되는 것만으로도 기업에 직접적인 피해가 발생할 수 있다"고 했다.

AI 사용 통제 시장도 급성장할 전망이다. 글로벌 시장조사업체 가트너는 세계 AI 사용 통제 시장 규모가 올해 4억3300만달러(약 6000억원)에서 내년 7억4900만달러(약 1조400억원)로 73% 커질 것으로 내다봤다. 전체 AI 보안 시장의 예상 성장률(68.7%)보다 높다.

가트너는 기존 보안 기술만으로 AI 특유의 위협에 대응하기 어려워지면서 전문 보안 솔루션 수요가 늘어날 것으로 분석했다. 국내 보안업계도 관련 기술 개발에 나섰지만, 시장이 초기 단계인 만큼 기업들의 도입에는 시간이 걸릴 것이라는 전망도 나온다.

김나현 기자 knh@ekn.kr