승인되지 않은 AI, 여러분의 조직은 괜찮으신가요?

이제 ChatGPT, Claude, Perplexity 같은 생성형 AI 툴은 더 이상 일부 기술 전문가들만의 것이 아닙니다. 업무 효율을 위해 문서 요약, 기획안 작성, 이메일 초안 작성 등 다양한 용도로 직원 스스로 AI를 활용하는 시대가 왔죠.

하지만 문제는 여기서 발생합니다. 조직이 이를 ‘허용’하기 전에, 이미 직원들이 먼저 사용하고 있다는 것. 이를 ‘섀도우 AI(Shadow AI)’ 혹은 ‘무단 AI 사용(Unauthorized AI Use)’이라 부릅니다. 2025년 7월 21일 HR Executive 기사( 10 ways to tackle the growing problem of unauthorized AI at work)에서는 이러한조용히 커져가는 위험을 짚으며, HR이 취할 수 있는 10가지 대응 전략을 제안합니다.

---

▶ 핵심 요약

• 직원들의 AI 사용은 늘어나고 있지만, 조직의 가이드라인이나 교육은 턱없이 부족
• 승인되지 않은 AI 사용은 데이터 유출, 보안 위협, 업무 왜곡 등 리스크 유발
• 단순히 “AI 쓰지 마세요”가 아니라, 어떻게 잘 쓰게 할지를 고민해야 할 시점
• HR은 기술 부서와 협력하여 AI 정책 수립 + 커뮤니케이션 + 교육 + 피드백 루프를 설계해야 함
• 직원 주도적 사용을 억제하기보다, 안내하고 조율하는 방향이 바람직

---

▶ 인사이트 : AI를 막을 수 없다면, '질서 있게' 받아들여라

섀도우 AI 이전에는 사실 섀도우 IT가 있었습니다. IT 부서나 HR의 허락 없이 직원들이 클라우드 협업 툴을 쓰던 시기가 있었죠. 지금은 AI가 그 자리를 대신하고 있습니다. 우리는 직원들에게 "절대 쓰지 마세요"라고 말하는 대신, 이렇게 질문해야 합니다.

“어떻게 하면 AI를 안전하고, 효과적으로 쓸 수 있을까?”

금지는 실용적이지 않습니다. (사실 하지 말라고 하면 더 하고 싶은게 사람 마음이죠) 직원들은 이미 AI의 편리함을 경험했고, 업무에 실제로 도움이 된다는 걸 체감하고 있습니다. 그렇다면 조직이 해야 할 일은 방치하거나 금지하는 것이 아닌, 가이드라인을 제공하고 책임 있게 쓰게 만드는 것입니다.

---

▶ Think Point

• 여러분의 조직에서 직원들은 AI를 이미 쓰고 있지 않나요?
• 회사는 이를 묵인하고 있나요, 아니면 방치하고 있나요?
• 지금이라도 AI 정책, 교육, 체크리스트를 만들고 적용해야 할 때 아닐까요?

---

▶ 10가지 대응 전략 (기사 요약 기반)

1. 현황 파악: 직원들이 어떤 AI를 어떻게 사용하는지 조사.
2. 기본 정책 수립 :‘무단 사용 금지’보다 ‘이런 방식으로 쓰세요’라는 허용과 제한의 가이드라인 필요.
3. 데이터 분류 기준 정리 :어떤 정보는 절대 AI에 입력하면 안 되는지 명확히 제시.
4. 직원 교육 진행 :"AI는 어떻게 작동하고, 어디까지 신뢰할 수 있으며, 무엇이 위험한가?"를 알려줘야 함.
5. 사용 승인 프로세스 설계 :필요시 승인 신청 절차를 마련해, AI 도입 자체를 막지 않되 관리 가능하게 함.
6. 보안팀·법무팀과 연계 :개인정보, 저작권, 기업 데이터 보호 등 법적 리스크까지 고려 필요.
7. 실제 사례 공유 :무단 사용으로 문제가 생긴 사례를 내부적으로 공유하여 위험을 인식시킴.
8. 적극적 커뮤니케이션 :금지 위주의 공지보다, 실무자 중심의 Q&A, 워크숍 등 대화형 접근
9. AI 거버넌스 팀 구축 :기술·보안·HR이 함께 참여하는 실무협의체 구성
10. 지속적인 업데이트 : AI 트렌드는 빠르게 바뀜. 정책도 정기적 리뷰·보완이 필요

---

▶ 나의 이야기: AI는 “몰래 쓰는 것”이 되면 안 된다

저 역시 처음에는 회사에서 AI를 사용하는 것이 ‘눈치 보이는 일’처럼 느껴졌습니다. 특히 회사 데이터나 기밀 정보가 나도 모르게 새어 나갈 수 있다는 우려 때문에, 누구에게 물어보지도 못하고 혼자 조심조심 사용했던 기억이 있어요. (물론 이러한 이유로 사내 자료는 AI에 업로드하지 않았습니다)

하지만 시간이 지나며 알게 됐습니다. 직원들이 몰래 AI를 쓰는 구조 자체가 더 위험하다는 사실을 말이죠. AI를 어떻게 쓰면 안 되는지, 어디까지는 괜찮은지에 대한 기준이 없으면, 결국 가장 민감한 정보가 가장 쉽게 외부로 노출될 수도 있다는 것을 알게 되었습니다. 그 이후 저는 아래와 같이 작은 가이드라인을 만들기 시작했습니다.

• “사내 인사정보, 고객 데이터는 절대 입력 금지”
• “외부 공유 자료 요약용으로는 사용 가능”
• “공식 발표 전에는 AI 결과만으로 판단하지 않기”

지금은 조직 내 AI 가이드라인을 만들어 교육자료와 실무자용 FAQ까지 배포하기 위해 분주히 노력하고 있습니다. 이 작은 노력 하나가 회사 전체의 AI 리스크를 줄일 수 있지 않을까요?

---

▶ AI, 이제는 ‘승인된 습관’이 되어야 한다

AI는 더 이상 “쓸까 말까”의 기술이 아닙니다. 이제는 “어떻게 쓰게 할 것인가”가 더 중요한 질문입니다. 회사는 지금부터라도 AI를 둘러싼 책임과 규칙, 윤리 기준을 세워야 합니다. 그리고 그 기준은 ‘금지’가 아닌, 신뢰 기반의 가이드라인에서 출발해야 합니다.

섀도우 AI를 방치하지 마세요. 그건 직원이 회사를 배신하는 것이 아니라, 회사가 직원에게 명확한 안내를 주지 않은 결과일 수 있습니다.