생성형 AI가 보고서 작성과 자료 요약에 빠르게 활용되면서 기업의 업무 방식도 크게 달라지고 있습니다. 문제는 직원이 회사의 승인 없이 외부 AI 서비스를 이용할 때 내부 문서와 고객 정보가 통제 범위 밖으로 빠져나갈 수 있다는 점입니다. 특히 민감한 금융 데이터를 다루는 자산운용사는 작은 실수도 고객 피해와 신뢰 하락으로 이어질 가능성이 큽니다. 삼성자산운용이 사내 전용 AI 인프라와 새로운 보안 체계를 구축하려는 배경에도 이처럼 눈에 잘 띄지 않는 섀도우 AI 위험이 자리 잡고 있습니다.
편리한 업무 도구가 유출 통로로 바뀌는 순간
직장인이 생성형 AI에 문서를 붙여 넣는 이유는 대개 악의가 아니라 업무 시간을 줄이기 위해서입니다. 하지만 외부 서비스에 입력한 내용이 어디에 저장되고 어떤 방식으로 처리되는지 확인하지 않으면 회사의 관리가 닿지 않는 영역으로 정보가 넘어갈 수 있습니다. 계약서와 회의록뿐 아니라 매출 전망이나 인사 자료도 조직에는 중요한 자산이므로 편의성만 보고 다뤄서는 안 됩니다. 잠깐의 복사와 붙여넣기가 장기간 이어질 보안 사고의 출발점이 될 수 있다는 뜻입니다.
보이지 않는 AI 사용이 더 위험한 까닭
섀도우 AI는 회사가 공식적으로 허용하거나 관리하지 않는 AI 서비스를 직원이 업무에 사용하는 현상을 가리킵니다. 보안 담당자는 어떤 서비스에 무슨 자료가 입력됐는지 알기 어려워 문제가 발생해도 피해 범위를 곧바로 파악하기 힘듭니다. 기존 보안 정책이 이메일과 이동식 저장장치 중심으로 설계됐다면 웹 기반 AI를 통한 전송은 감시망에서 빠질 수도 있습니다. 사용 흔적이 분산된다는 특성 때문에 사고를 예방하는 일뿐 아니라 사후 대응까지 복잡해집니다.
평범한 앱 사용도 회사 밖 전송이 될 수 있다
문장 교정 앱이나 회의 요약 서비스처럼 가볍게 사용하는 도구도 입력 정보를 외부 서버로 보낼 수 있습니다. 직원 입장에서는 간단한 보조 기능처럼 보여도 기업 관점에서는 업무 데이터가 제삼자의 시스템에서 처리되는 행위입니다. 서비스 약관과 저장 기간, 학습 활용 여부를 살피지 않았다면 삭제 요청이나 유출 경로 확인도 쉽지 않습니다. 개인 계정으로 이용하면 회사가 접근 권한을 회수하거나 사용 기록을 점검하기도 더욱 어려워집니다.
금융회사가 작은 입력 실수에도 민감한 이유
자산운용사는 고객의 개인 정보와 투자 내역, 운용 전략처럼 공개되지 않은 자료를 폭넓게 취급합니다. 이런 정보가 노출되면 금전적 피해만 생기는 것이 아니라 금융기관의 핵심 자산인 신뢰가 크게 흔들릴 수 있습니다. 사고 조사와 고객 통지, 시스템 개선에 상당한 비용이 들어가며 관련 규정 위반에 따른 책임도 뒤따를 수 있습니다. 금융권이 생성형 AI 활용을 무조건 빠르게 확대하기보다 통제 가능한 환경을 먼저 마련하려는 이유가 여기에 있습니다.
같은 AI라도 관리 방식에 따라 결과가 달라진다
일반적인 외부 AI와 기업이 승인한 사내 AI의 차이는 단순히 접속 주소에 있지 않습니다. 사내 환경에서는 사용자 권한과 입력 가능한 정보의 범위, 이용 기록 보관 방식 등을 조직의 정책에 맞게 설계할 수 있습니다. 반면 승인되지 않은 서비스는 회사가 데이터 처리 과정과 보존 조건을 직접 통제하기 어렵습니다. 급여 자료나 평가 문서를 입력했다면 본인의 정보뿐 아니라 동료의 민감한 내용까지 함께 노출될 수 있으므로 도구 선택이 곧 보안 판단이 됩니다.
삼성자산운용이 선택한 통제 가능한 업무 환경
삼성자산운용이 추진하는 방향의 핵심은 직원이 안전하게 AI를 이용할 수 있는 사내 전용 기반을 마련하는 데 있습니다. 승인된 환경 안에서 업무를 처리하도록 유도하면 자료가 무단으로 외부에 전달되는 위험을 낮출 수 있습니다. 여기에 실시간 모니터링을 적용하면 비정상적인 접근이나 정책에 어긋나는 사용을 비교적 빠르게 발견할 수 있습니다. 기술적인 차단과 이용 기록 관리를 함께 운영해야 실제 업무 과정에서 생기는 빈틈까지 줄일 수 있습니다.
금지보다 안전한 대안을 제공해야 한다
기업이 AI 사용을 무조건 막기만 하면 직원은 업무 효율을 위해 통제 밖의 서비스를 계속 찾을 가능성이 있습니다. 따라서 보안 수준을 충족하는 공식 도구를 제공하고 어떤 자료까지 활용할 수 있는지 구체적으로 안내하는 접근이 필요합니다. 부서마다 다루는 정보의 민감도가 다르므로 동일한 제한을 일괄 적용하기보다 업무 특성에 맞춰 권한을 나누는 편이 현실적입니다. 교육과 승인 절차까지 갖춰야 보안 체계가 현장에서 번거로운 규칙이 아닌 실용적인 기준으로 작동합니다.
직원의 보안 습관이 자신의 정보도 지킨다
사내 자료에는 회사의 영업 정보만 들어 있는 것이 아닙니다. 급여와 성과 평가, 주민등록 정보, 연락처처럼 직원 개인에게 직접 영향을 주는 내용도 여러 시스템과 문서에 흩어져 있습니다. 누군가 업무 편의를 위해 이런 파일을 외부 AI에 올리면 다른 구성원의 정보까지 본인 의사와 무관하게 노출될 수 있습니다. 보안 수칙을 지키는 일은 조직의 손실을 막는 동시에 자신의 경력과 경제적 안전을 보호하는 행동입니다.
업무 시작 전 확인할 세 가지 기준
AI 서비스를 열기 전에는 먼저 회사가 공식적으로 승인한 도구인지 확인해야 합니다. 허용된 서비스라도 고객 정보와 계약 조건, 비공개 실적처럼 민감한 자료를 그대로 입력해도 된다는 뜻은 아니므로 데이터 등급별 기준을 살펴야 합니다. 사내 보안 규정에서 허용 범위와 금지 사례를 다시 읽고 판단이 어려우면 담당 부서에 문의하는 편이 안전합니다. 문서의 이름을 지웠더라도 본문 내용을 조합해 개인이나 기업을 알아볼 수 있다면 익명 정보로 단정해서는 안 됩니다.
동료와 기준을 공유해야 빈틈이 줄어든다
정보 보안은 일부 담당자만 조심한다고 완성되지 않습니다. 한 명이라도 승인되지 않은 서비스를 사용하면 공동 프로젝트의 자료와 여러 사람의 개인 정보가 함께 영향을 받을 수 있습니다. 팀 회의에서 허용된 AI 목록과 입력 금지 항목을 정기적으로 공유하면 무심코 발생하는 실수를 줄이는 데 효과적입니다. 새로운 도구를 발견했을 때 개인 판단으로 바로 도입하기보다 검토 절차를 거치는 문화가 자리 잡아야 조직 전체의 방어선이 단단해집니다.
정리하면
섀도우 AI 문제는 생성형 AI 자체가 위험해서 생기는 것이 아니라 회사의 통제 없이 민감한 정보가 처리되는 데서 시작됩니다. 삼성자산운용의 사내 전용 인프라 구축은 활용을 포기하지 않으면서 데이터 이동 경로를 관리하려는 대응으로 볼 수 있습니다. 기업은 안전한 도구와 명확한 지침을 제공하고 직원은 승인 여부와 입력 자료의 민감도를 매번 확인해야 합니다. 빠른 업무 처리보다 먼저 지켜야 할 기준이 무엇인지 조직 구성원 모두가 이해할 때 AI의 효율성과 정보 보호를 함께 확보할 수 있습니다.
카드뉴스 전체 보기
아래 카드뉴스 이미지로 전체 내용을 한눈에 확인할 수 있습니다.
