기업 Shadow AI 사용 현황 파악하는 5단계
- AI 서비스 접속 기록과 연동 권한을 함께 조사합니다.
- 설문과 인터뷰로 로그에 잡히지 않는 사용을 찾습니다.
- 도구와 데이터 위험도를 나눠 대응 우선순위를 정합니다.
기업 내 Shadow AI 사용 현황을 파악하려면 AI 웹사이트 접속 기록만 확인해서는 부족합니다. 브라우저 확장 프로그램, 업무용 계정과 연결된 앱, SaaS에 새로 추가된 AI 기능, 개인 기기 사용까지 함께 살펴야 실제 사용 경로가 드러납니다. Shadow AI는 IT·보안 부서의 검토나 관리 범위 밖에서 사용하는 AI 도구와 기능을 뜻합니다. 아래 5단계로 도구, 사용자, 연결 권한, 입력 데이터의 범위를 확인해 보세요.
1. 조사 범위와 기준부터 정합니다
조사 대상에 AI 기능과 에이전트도 포함합니다
ChatGPT 같은 독립형 서비스만 목록에 넣으면 누락이 생깁니다. 문서·회의·개발 도구에 내장된 생성형 AI, 브라우저 확장 프로그램, 외부 AI API를 호출하는 사내 스크립트, 내부 시스템에 연결된 AI 에이전트도 조사 대상으로 정합니다. 에이전트는 정해진 작업을 수행하도록 AI와 도구를 연결한 소프트웨어입니다. 개인 계정, 회사 계정, 회사 기기, 개인 기기 중 어디까지 볼지도 미리 정해야 조사 결과를 해석할 수 있습니다.
관찰 기간과 기록 항목을 고정합니다
최근 일정 기간의 기록을 대상으로 삼고, 자료마다 수집 범위와 보존 기간을 표시합니다. 조사표에는 서비스명과 접속 주소, 사용 부서·기기, 계정 유형, 사용 목적, 연결된 데이터와 권한, 승인 여부, 확인 근거를 기록합니다. 이 목록은 조직의 AI 시스템 현황을 정리하고 위험 우선순위를 정하는 출발점입니다. NIST AI 위험관리 프레임워크는 조직의 위험 우선순위에 따른 AI 시스템 목록 마련과 역할·책임의 명확화를 제시합니다. 이를 바탕으로 AI 위험관리 문서에 현황과 책임자를 기록하는 방법도 구체화할 수 있습니다.
핵심 기준: “어떤 AI에 접속했나”와 함께 “누가 어떤 계정·권한으로 어떤 데이터를 처리했나”를 기록해야 사용 현황을 위험 평가로 연결할 수 있습니다.
2. 기술 기록으로 사용 흔적을 모읍니다
브라우저·네트워크·엔드포인트 기록을 대조합니다
보안 운영팀과 협의해 프록시·DNS·보안 게이트웨이의 도메인 기록, 관리 브라우저의 방문·확장 프로그램 목록, 단말 보안 도구의 프로세스와 파일 업로드 이벤트를 확인합니다. 로그마다 관찰하는 범위가 다르므로 한 가지 기록만으로 사용자를 단정하지 마세요. 도메인 접속은 서비스 이용 가능성을 보여줄 뿐, 실제로 프롬프트를 입력했거나 어떤 내용을 전송했는지 증명하지 않습니다. 암호화된 연결이나 개인 기기, 모바일 앱에서는 회사 기록에 흔적이 제한될 수 있습니다.
계정 연동과 SaaS 내장 기능을 별도로 확인합니다
Google Workspace, Microsoft 365 등 업무 계정의 OAuth 연결 앱(계정 권한을 위임받아 다른 서비스와 연동하는 앱), SSO 로그인 기록, SaaS 관리 콘솔의 앱·AI 기능 목록을 살펴봅니다. 앱 이름만 보지 말고 부여된 권한, 접근 가능한 데이터, 마지막 사용 시점, 승인 주체를 확인합니다. 기존 공급업체가 AI 요약·검색 기능을 추가했을 수도 있으므로 계약 및 관리 콘솔의 기능 설정도 점검 대상입니다.
- 네트워크: AI 서비스 도메인과 접속 시각, 접속 단말을 확인합니다.
- 브라우저·단말: 확장 프로그램, AI 관련 프로세스, 업로드 이벤트를 확인합니다.
- 계정·SaaS: OAuth 앱, 관리자 설정, AI 기능 활성화 상태와 권한을 확인합니다.
3. 설문과 인터뷰로 빠진 사용을 찾습니다
비난 없이 업무 맥락을 묻습니다
기술 기록만으로는 개인 계정이나 개인 기기에서의 사용, 짧은 시험 사용, 업무 도구에 포함된 기능을 모두 발견하기 어렵습니다. 직원에게 사용한 AI 서비스, 업무 목적, 입력 정보의 종류, 회사 계정 여부, 반복 빈도, 필요한 대체 기능을 묻는 간단한 설문을 진행하세요. “규정을 어겼는가”보다 “어떤 일을 더 빨리 하려고 썼는가”를 질문해야 실제 수요를 파악하고 응답을 유도하기 쉽습니다.
부서별 대표 사례를 후속 확인합니다
설문 결과에서 반복 사용이 많은 업무를 골라 짧은 인터뷰를 합니다. 예를 들어 회의 요약에 고객 정보가 들어가는지, 코드 도우미가 저장소에 접근하는지, 번역 서비스에 계약서 원문을 넣는지처럼 구체적으로 확인합니다. 인터뷰에서는 프롬프트 원문이나 민감한 파일을 불필요하게 수집하지 말고 데이터 유형과 흐름만 기록합니다. 직원에게 조사 목적, 접근하는 기록의 범위, 활용·보관 기간을 알리고, 설문·로그 검토에 필요한 최소 정보만 수집하세요. 디지털 장치를 도입·변경해 개인정보 처리 범위가 달라지는 경우에는 개인정보 보호 방안을 마련하고 근로자 등 이해관계자와 사전 협의하는 절차도 검토해야 합니다.
4. 서비스와 데이터의 위험도를 분류합니다
도구 특성과 연결 권한을 함께 평가합니다
발견한 서비스는 승인 여부만으로 위험을 판단하지 말고 데이터 처리 조건과 실제 권한을 함께 봅니다. 입력 데이터의 민감도, 외부 저장·보존 및 학습 설정, 관리 로그 제공 여부, 계정 연동 권한, 파일 업로드·공유 기능, 결과 검증 필요성을 확인합니다. 학습 제외 설정이 제공되더라도 보관·검토·접근 조건은 서비스와 요금제에 따라 다를 수 있으므로 약관과 관리 콘솔에서 확인해야 합니다.
| 분류 | 확인 사례 | 우선 조치 |
|---|---|---|
| 높음 | 민감 데이터 입력, 광범위한 업무 계정 연동 | 연결 권한과 데이터 흐름을 우선 검토 |
| 중간 | 승인 전 도구지만 공개 정보로 제한 사용 | 업무 목적과 서비스 조건 확인 |
| 낮음 | 승인된 서비스의 허용된 기능 사용 | 정책 범위와 설정을 주기적으로 점검 |
분류는 조직의 데이터 등급과 허용 기준에 맞춰 조정하세요. 개인정보·고객정보·소스코드·계약서·영업비밀처럼 보호가 필요한 자료가 입력됐다는 정황이 있으면, 접속 차단만으로 끝내지 말고 관련 권한과 기록을 보존하고 정해 둔 사고 대응 절차에 따라 확인합니다. 민감한 개인정보와 기밀 영업정보의 노출 위험은 OWASP 생성형 AI 보안 위험 안내에서도 다룹니다.
5. 결과를 검증하고 안전한 사용 경로를 엽니다
단계별로 현황을 확정합니다
- 목록화: 서비스, 기능, 계정 유형, 사용자 부서, 연결 권한을 조사표에 정리합니다.
- 교차 확인: 접속 기록·앱 연동 목록·직원 응답을 대조하고 근거와 확인 시점을 남깁니다.
- 위험 분류: 데이터 민감도, 권한 범위, 저장 조건을 기준으로 우선 검토 대상을 정합니다.
- 조치 결정: 승인, 조건부 승인, 추가 검토, 제한 등 상태와 담당자·기한을 지정합니다.
- 재점검: 새 기능·앱 연동·사용 사례가 추가될 때 목록을 갱신하고 이전 조치가 유효한지 확인합니다.
금지보다 승인 대안과 신청 경로를 마련합니다
현황 조사 후에는 승인된 도구 목록, 데이터 입력 가능·금지 기준, 검토 요청 창구, 예외 승인 조건을 직원이 쉽게 찾을 수 있게 공개합니다. 업무에 필요한 기능이 승인 도구에 없다면 간단한 신청 양식으로 목적·데이터 종류·필요 권한을 받고, 위험이 낮은 요청은 짧은 검토 절차로 처리할 수 있습니다. 그래야 같은 업무 수요가 개인 계정이나 검토되지 않은 연동으로 이동하는 일을 줄일 수 있습니다.
성과는 단순히 발견된 서비스 수로 평가하지 마세요. 승인 여부가 확인된 서비스 비율, 권한 검토가 끝난 연동 앱 수, 민감 데이터 사용 정황의 처리 상태, 미해결 고위험 항목, 승인 요청 처리 기간을 함께 보면 조사와 후속 조치가 실제로 이어지는지 확인할 수 있습니다. NIST의 AI 위험관리 프레임워크와 생성형 AI 프로파일은 조직의 AI 위험 관리와 거버넌스 점검을 위한 공식 참고 자료입니다.
자주 묻는 질문
Q. AI 사이트 접속 기록만으로 실제 사용 현황을 알 수 있나요?
아닙니다. 접속 기록은 서비스에 연결됐다는 단서일 뿐 프롬프트 입력, 파일 전송, 사용 목적까지 증명하지 않습니다. 계정 연동과 단말 기록, 직원 설문을 함께 확인하세요.
Q. 직원 개인 계정과 개인 기기도 조사해야 하나요?
조사 필요성은 있지만 회사가 확인할 수 있는 기록의 범위와 목적을 먼저 정하고 직원에게 안내해야 합니다. 개인정보 처리는 목적에 필요한 최소 범위로 설계하고, 디지털 장치 도입·변경과 관련된 절차를 점검하세요. 개인 기기 기록을 무리하게 수집하기보다 회사 계정·네트워크에서 확인 가능한 정보와 자발적 설문을 조합하세요.
Q. 승인되지 않은 AI 서비스는 발견 즉시 차단해야 하나요?
민감 데이터 처리나 과도한 계정 권한이 확인되면 신속한 제한이 필요할 수 있습니다. 다만 공개 정보로 제한 사용한 도구까지 일괄 차단하기보다는 위험과 업무 필요를 확인해 승인 대안, 조건부 사용, 제한 중 적절한 조치를 정하세요.
Q. 조사 결과는 얼마나 자주 갱신해야 하나요?
한 번의 전수 점검으로 끝내지 말고 새 서비스·기능 도입, 계정 연동 변경, 중대한 사용 사례 발견 시 목록을 갱신하세요. 정기 점검 주기는 조직의 위험도와 도구 변경 속도에 맞춰 정하고 담당자와 검토 시점을 기록합니다.
