이 질문에 자신 있게 답할 수 있는 조직은 많지 않습니다. 문서를 요약하고, 코드를 작성하고, 기획안을 다듬는 일에 생성형 AI는 이미 중요한 파트너가 됐지만, 그 활동의 상당 부분은 조직의 시야 밖에서 일어납니다. 직원이 회사가 승인하지 않은 개인 계정의 AI 서비스에 업무 자료를 입력하는 순간, 그 데이터는 조직의 통제 범위를 벗어납니다. 이른바 ‘Shadow AI’입니다.

Shadow AI는 악의적 내부자의 이야기가 아닙니다. 더 빠르게, 더 잘하려는 평범한 직원들의 선택이 모여 만들어진 현상입니다. 바로 그 점이 이 문제를 까다롭게 만듭니다. 명백한 위반은 차단하면 그만이지만, 생산성을 높이려는 자연스러운 행동을 어떻게 다룰 것인가는 훨씬 어려운 질문입니다.

그럼에도 국내 조직이 이 문제에 실제로 얼마나 노출돼 있고, 어떻게 대응하고 있는지 보여주는 데이터는 드뭅니다. 시중의 통계 대부분은 해외 기업을 기준으로 합니다. 이 리포트는 그 공백을 메우기 위해 국내 기업 및 기관 재직자를 대상으로 진행한 설문을 토대로 합니다. 응답자에는 AI·정보보안 실무자가 다수 포함돼, 현장의 시선에서 Shadow AI 실태를 들여다볼 수 있었습니다.