쉐도우 AI 4장 카드뉴스

정보보안 분야에서 쓰이는 용어로, 회사 IT·보안 부서의 승인이나 관리 없이 임직원이 업무에 몰래 쓰는 생성형 AI 도구와 그 사용 행태를 가리킵니다. 허가받지 않은 소프트웨어를 뜻하는 '쉐도우 IT'에서 파생됐으며, 개인 계정 챗봇에 사내 문서를 붙여 넣는 행위가 대표 사례입니다. IBM 조사에서는 침해 사고의 20%에 쉐도우 AI가 관련됐고 사고당 평균 67만 달러의 추가 비용을 발생시켜, 금지 일변도 대신 공식 도구 제공과 사용 정책 정비가 대응책으로 자리 잡고 있습니다.

쉐도우 AI는 회사 몰래 쓰는 AI예요. 보안팀이 승인한 도구가 느리거나 아예 없으니, 직원들이 개인 ChatGPT 계정에 회사 자료를 붙여 넣어 일을 끝내는 상황을 말합니다. 문제는 그 자료가 회사 밖 서버로 나가고, 사고가 나도 회사는 무슨 데이터가 나갔는지조차 모른다는 점이에요. 개인 USB에 회사 파일을 담아 다니던 시절의 AI 버전이라고 보면 됩니다.

[1] 쉐도우 AI 위험이 실제 기밀 유출로 이어진 초기 대표 사례로, 이후 국내외 대기업의 생성형 AI 사용 정책 정비가 이어졌습니다. [2] AI 관련 침해를 겪은 조직 대부분이 AI 접근 통제 체계를 갖추지 못한 상태였습니다. [3] 추적 대상 생성형 AI 앱은 1,550개까지 늘었고 조직당 평균 15개 앱이 쓰이고 있었습니다. 금지 정책만으로는 따라잡을 수 없는 확산 속도입니다.