쉐도우 AI 4장 카드뉴스

정보보안 분야에서 쓰이는 용어로, 회사 IT·보안 부서의 승인이나 관리 없이 임직원이 업무에 몰래 쓰는 생성형 AI 도구와 그 사용 행태를 가리킵니다. 허가받지 않은 소프트웨어를 뜻하는 '쉐도우 IT'에서 파생됐으며, 개인 계정 챗봇에 사내 문서를 붙여 넣는 행위가 대표 사례입니다. IBM 조사에서는 침해 사고의 20%에 쉐도우 AI가 관련됐고 사고당 평균 67만 달러의 추가 비용을 발생시켜, 금지 일변도 대신 공식 도구 제공과 사용 정책 정비가 대응책으로 자리 잡고 있습니다.

쉐도우 AI는 회사 몰래 쓰는 AI예요. 보안팀이 승인한 도구가 느리거나 아예 없으니, 직원들이 개인 ChatGPT 계정에 회사 자료를 붙여 넣어 일을 끝내는 상황을 말합니다. 문제는 그 자료가 회사 밖 서버로 나가고, 사고가 나도 회사는 무슨 데이터가 나갔는지조차 모른다는 점이에요. 개인 USB에 회사 파일을 담아 다니던 시절의 AI 버전이라고 보면 됩니다.

케이스 1: 삼성전자 — 소스코드 유출 후 사내 생성형 AI 사용 제한 삼성전자는 2023년 초 임직원이 ChatGPT에 반도체 관련 소스코드와 회의 내용을 입력한 사실이 확인되자, 2023년 5월 사내 PC에서 생성형 AI 접속을 제한하고 자체 도구 개발로 방향을 돌렸습니다.[1] 쉐도우 AI 위험이 실제 기밀 유출로 이어진 초기 대표 사례로, 이후 국내외 대기업의 생성형 AI 사용 정책