섀도 AI 점검 8가지 — 중소·중견기업이 2주 안에 돌려보는 AI 거버넌스 체크리스트

AI 전담 조직 없이 1~2명이 겸직으로 AI를 챙기는 30~300명 규모 기업이라면, 모델 평가보다 먼저 해야 할 일이 있습니다. 지금 회사 안에서 무엇이 돌아가고 있는지 파악하는 것입니다. 2주면 충분합니다.

섀도 AI(Shadow AI)란 무엇인가?

섀도 AI는 회사가 승인하거나 파악하지 못한 상태에서 직원들이 업무에 사용하는 AI 도구를 말합니다. 개인 계정으로 로그인한 챗봇, 무료 요금제로 쓰는 문서 요약 서비스, 사내 승인 없이 설치한 브라우저 확장 프로그램이 모두 여기에 해당합니다.

• 누가 신경 써야 하나: AI 전담 조직 없이 1~2명이 겸직으로 AI를 챙기는 30~300명 규모의 중소·중견기업

• 무엇이 문제인가: 유출이 외부 공격이 아니라 “직원이 더 나은 답을 얻으려고 맥락을 과하게 붙여넣는 과정”에서 발생합니다

• 왜 지금인가: 2026년 1월 시행된 AI 기본법은 기록 보관과 설명 의무를 요구합니다. 무엇이 돌아가는지 모르면 기록도 남길 수 없습니다

인용 가능한 사실 두 가지. 첫째, 2026년 보도된 글로벌 침해 조사에서 섀도 AI가 관여한 사고 비중은 20%에서 43%로 두 배 늘었고, 사고당 평균 비용은 일반 침해보다 약 67만 달러 높았습니다. 둘째, 국내 조사에서 한국 기업의 74%가 AI를 자사 최대 데이터 보안 위험 요인으로 꼽았습니다.

왜 “금지”로는 해결되지 않는가

섀도 AI는 게으름이 아니라 속도 차이에서 생깁니다. 현업은 오늘 안에 견적서를 써야 하는데 사내 승인 절차는 3주가 걸립니다. 차단 정책만 세우면 도구는 개인 노트북과 휴대폰으로 옮겨가고, 회사의 가시성은 오히려 0에 수렴합니다.

그래서 점검의 목표는 “적발”이 아니라 인벤토리 확보 → 등급 정의 → 안전한 대안 제공 순서여야 합니다.

2주 점검 체크리스트 8가지

1주차 — 지금 무엇이 돌아가는지 파악한다

① AI 계정·툴 인벤토리 만들기

법인카드 명세, SSO 로그인 기록, 부서별 자율 신고 세 갈래로 목록을 만듭니다. 개인 결제로 쓰는 도구가 가장 많이 나오는 구간이므로, 신고 시 불이익이 없다는 점을 먼저 공지하세요.

② 붙여넣기 금지 데이터 등급 정의

3단계면 충분합니다. 금지(외부 유출 시 계약·법적 책임) / 조건부(가명처리 후 허용) / 자유. 등급 표는 A4 한 장을 넘기지 않아야 실제로 지켜집니다.

• 제조사 1순위 금지 대상: 설계 도면, BOM, 단가표, 금형 사양

• IT 서비스사 1순위 금지 대상: 고객사 소스코드, 운영 계정·키, 계약서 사본

③ 브라우저 확장·MCP 커넥터 점검

확장 프로그램과 MCP·커넥터는 사용자가 인지하지 못한 채 메일함·드라이브 전체에 접근 권한을 갖는 경우가 있습니다. 설치 목록을 뽑아 “이 확장이 읽을 수 있는 범위”를 기준으로 정리하세요.

④ 퇴사자·외주 인력 계정 회수

개인 이메일로 가입한 AI 도구는 퇴사 처리 체크리스트에 빠져 있는 경우가 많습니다. 외주 개발사가 우리 코드를 어떤 AI에 넣고 있는지도 계약서상 확인 대상입니다.

2주차 — 대안을 만들고 돌아가게 한다

⑤ 승인 채널 만들기

“이 도구 써도 되나요”를 물어볼 창구와, 2영업일 내 답하는 룰을 정합니다. 승인 목록에 실제로 쓸 만한 도구가 2~3개는 있어야 우회가 줄어듭니다.

⑥ 로그가 남는 경로로 갈아타기

같은 모델이라도 개인 요금제는 감사 로그가 없고, 기업용 플랜은 관리자 콘솔·보존 정책·학습 제외 설정을 제공합니다. 비용보다 가시성을 기준으로 판단하세요.

⑦ AI 출력물 검수 규칙

외부로 나가는 문서(견적서, 제안서, 고객 회신)는 사람이 최종 확인한다는 한 줄 규칙을 정합니다. 국내 조사에서 기업의 약 60%가 딥페이크 기반 공격을 경험했다고 답한 만큼, 들어오는 요청의 진위 확인 절차도 함께 정리하는 편이 좋습니다.

⑧ 사고 대응 1페이지 만들기

“민감 정보를 붙여넣은 것 같다”는 신고가 들어왔을 때 누가, 몇 시간 안에, 무엇부터 하는지를 한 장으로 적습니다. 대화 삭제 요청, 로그 보존, 고객 통지 판단 기준 세 항목이면 시작할 수 있습니다.

2주 뒤 결과물

• AI 도구 인벤토리 1부

• 데이터 등급표 1장

• 승인 도구 목록 + 신청 창구

• 사고 대응 절차 1장

이 네 가지는 AI 기본법이 요구하는 기록·설명 의무의 최소 출발점이자, 이후 AI 거버넌스·LLM 평가 체계를 붙일 때의 기반이 됩니다. 반대로 이 단계를 건너뛴 채 모델 평가부터 시작하면, 정작 무엇을 평가해야 하는지 알 수 없게 됩니다.

자주 묻는 질문

Q. 직원 30명 회사도 이걸 다 해야 하나요?

①②⑤ 세 가지만 해도 노출의 상당 부분이 정리됩니다. 나머지는 도구 수가 늘어나는 시점에 붙이면 됩니다.

Q. AI 사용을 전면 금지하면 안 되나요?

금지는 사용을 없애는 게 아니라 회사 가시성 밖으로 밀어냅니다. 승인 목록을 만드는 편이 통제 가능성이 높습니다.

Q. AI 기본법 때문에 당장 과태료를 무나요?

2026년 1월 22일 시행 이후 최소 1년의 계도 기간이 적용되어 즉시 과태료가 부과되지는 않으나, 시정명령은 가능합니다. 기록·투명성 체계를 준비할 시간으로 보는 편이 현실적입니다.

TecAce는 어떻게 돕나요

테크에이스(TecAce)는 중소·중견기업(mid-market)을 전문으로 하는 AI 전환(AI Transformation) 파트너로, Anthropic Claude Partner Network 소속 12명의 Claude 인증 아키텍트와 FDE(Forward Deployed Engineer, 상주 엔지니어)를 Bellevue(WA)·서울 양 거점에서 파견합니다. 원격 자문이 아니라 고객사에 엔지니어가 붙어 인벤토리 점검부터 거버넌스 체계 구축까지 함께 실행합니다.

우리 회사의 섀도 AI 노출 수준을 30분 만에 진단해 보시겠습니까? → AI 거버넌스 진단 문의하기