섀도우 AI
더 많은 작업
- Shadow AI; 섀도우 AI
- 조직의 승인이나 관리 없이 임직원이 업무에 쓰는 AI 도구와 서비스
섀도우 AI(Shadow AI)는 회사가 허가하거나 파악하지 못한 상태에서 임직원이 업무에 쓰는 생성형 AI 서비스, AI 기능이 붙은 SaaS, 브라우저 확장, 개인 계정의 챗봇, 직접 내려받은 모델 등을 말한다. IT 부서 몰래 쓰는 소프트웨어와 클라우드 서비스를 가리키는 섀도우 IT의 AI판이다. "섀도 AI"라고도 쓴다.
섀도우 IT와 다른 점은 데이터가 프롬프트로 직접 흘러나간다는 것이다. 문서를 요약하거나 코드를 고쳐 달라고 붙여 넣는 순간 사내 정보가 외부 서비스로 전송되고, 서비스 약관에 따라 저장되거나 학습에 쓰일 수 있다. 사용이 쉬운 만큼 퍼지는 속도도 빠르다. 마이크로소프트와 링크드인의 2024년 조사(31개 시장 지식 노동자 3만 1,000명)에서 지식 노동자의 75%가 업무에 AI를 쓰고 있었고, AI 사용자의 78%가 회사가 준 것이 아닌 자기 AI 도구를 업무에 가져와 쓴다(BYOAI)고 답했다. AI 사용자의 52%는 중요한 업무에 AI를 쓴다는 사실을 밝히기 꺼린다고 답했다.[1]
| 위험 | 내용 |
|---|---|
| 민감 정보 유출 | 소스 코드, 회의록, 고객 개인정보, 계약서를 외부 AI에 입력한다. 입력은 회수가 어렵다 |
| 학습 데이터 사용 | 개인용 요금제는 입력을 모델 개선에 쓰는 경우가 있다. 기업용 계약과 조건이 다르다 |
| 계정·기록 유출 | 개인 계정의 대화 기록이 계정 탈취나 서비스 측 사고로 노출된다 |
| 규정 위반 | 개인정보 보호법, 업종별 규제, 고객 계약의 제3자 제공 금지 조항을 모르는 사이에 어긴다 |
| 출력 품질 | 검증 없이 쓴 환각 결과가 업무 결과물에 들어간다 |
| 과도한 권한 | 메일·드라이브에 접근하는 AI 확장이나 에이전트를 개인이 연결해, 조직 데이터에 대한 접근 권한이 승인 없이 외부로 넘어간다. 과도한 위임 참고 |
과학기술정보통신부·한국인터넷진흥원의 「인공지능(AI) 보안 안내서」(2025년 12월)는 AI 보안 위협 13종 가운데 데이터 유출 유형으로 이용자의 민감정보 입력을 따로 꼽고, 이용자 보안 수칙을 두었다.[2] 국가정보원도 2023년 6월 「챗GPT 등 생성형 AI 활용 보안 가이드라인」을 냈다.[2]
이코노미스트(한국판)는 2023년 3월 30일 삼성전자 DS(반도체) 부문이 3월 11일부터 사내에서 ChatGPT 사용을 허용한 뒤 20일이 안 되어 정보 유출 사고 3건이 있었다고 보도했다.[3]
- 설비 계측 데이터베이스 다운로드 프로그램의 소스 코드 전체를 붙여 넣고 오류 해결 방법을 물었다.
- 수율·불량 설비 파악용 프로그램의 소스 코드 전체를 넣고 최적화를 요청했다.
- 회의 녹음을 문자로 바꾼 뒤 ChatGPT에 넣어 회의록을 만들게 했다.
회사는 질문당 입력을 1024바이트로 제한하는 긴급 조치를 하고, 사고 경위를 조사하고, 사내 전용 AI 서비스 구축을 검토한다고 알렸다.[3] 이어 5월 1일부터 DX(모바일·가전) 부문 임직원의 회사 PC 등에서 생성형 AI 사용을 일시 금지하고, 개인 기기에서도 회사 관련 정보를 입력하지 말라고 공지했다.[4]
전면 금지만으로는 업무 수요가 없어지지 않고, 사용이 개인 기기나 개인 계정처럼 더 보이지 않는 곳으로 옮겨 갈 수 있다. 그래서 승인된 대안을 주면서 위험한 사용을 줄이는 통제를 함께 둔다.
- 사용 지침: 쓸 수 있는 도구, 입력해서는 안 되는 정보의 종류, 결과 검증 책임, 위반 시 처리를 문서로 정한다. 공공·대학의 지침 예시는 AI 사용 지침 문서 참고.
- 승인 도구 제공: 입력을 학습에 쓰지 않고 데이터 보존 기간을 통제할 수 있는 기업용 계약이나 사내 구축형 모델을 제공한다. 삼성전자도 금지와 함께 번역·문서 요약·개발용 자체 도구를 만드는 것으로 보도되었다.[4]
- 발견: CASB, SASE, 웹 프록시 로그로 AI 서비스 접속과 OAuth 연동 앱을 찾아낸다.
- 유출 방지: 프롬프트와 업로드 파일에서 개인정보·기밀을 탐지해 차단하거나 가리는 인공지능 DLP를 둔다.
- 교육: 무엇을 넣으면 안 되는지 사례 중심으로 알린다. 기본 원칙은 KISA 안내서의 이용자 보안 수칙과 같다.[2]
- 거버넌스: AI 도구 목록과 사용 부서를 관리하고 ISO/IEC 42001 같은 AI 경영 체계에 편입한다.
- ↑ Microsoft·LinkedIn, 2024 Work Trend Index Annual Report, 2024-05-08
- ↑ 2.0 2.1 2.2 과학기술정보통신부·한국인터넷진흥원, 인공지능(AI) 보안 안내서, 2025-12-10
- ↑ 3.0 3.1 정두용, 〈[단독 우려가 현실로…삼성전자, 챗GPT 빗장 풀자마자 '오남용' 속출〉], 이코노미스트, 2023-03-30.
- ↑ 4.0 4.1 조혜림, Samsung bans AI chatbots after leak, The Korea Herald(Asia News Network 재게재), 2023-05-04.