한국의 수많은 기업이 AI 사용을 전면 금지하거나 극도로 제한하고 있다. 그러나 그런 기업의 직원들이 개인 스마트폰으로 ChatGPT를 실행해 작업을 하고 있는 경우는 공공연히 많다. 스크린을 사진 찍거나, 받아적어서 AI를 쓰는 것, 즉 그림자AI (Shadow AI)는 1차원적인 금지정책이 만들어내는 씁쓸한 현실이다.
무조건 막는 것은 경쟁력을 잠식하는 무능한 리스크 관리다.
대부분의 경영진은 AI 보안 문제를 이분법으로 접근한다. 허용하거나, 차단하거나. 그러나 회사의 허가 없이 직원들이 모니터링이 불가능한 음지에서 사용하는 등의 통제 불가능한 방식으로 이루어지는 것이 더 위험한 게 아닐까?
즉, 경영진의 당면 과제는 단순히 '보안(Security)'이 아니라 '거버넌스(Governance)'다. AI에 입력해도 되는 정보, 입력해서는 안 되는 정보, 사전 승인 후 입력 가능한 정보를 3단계로 구분하는 것만으로도 조직의 리스크는 현저히 줄어든다. 이 과정은 AI Gateway 등으로 시스템적으로 접근할 수 있다.
대기업처럼 사내 전용 LLM을 구축하지 않더라도, 중견·중소기업 경영진이 이번 주 당장 실행할 수 있는 기준이 있다. 첫째, 'API 연결 방식'으로 사내 시스템을 구축해라. 둘째, 업무별 정보 등급에 대한 기준을 세우고 운영에 AI기반으로 반영한다. 셋째, AI 활용 결과물에 대한 책임에 관해 투명한 원칙을 세우고 필요한 면책도 마련한다.
AI 보안은 IT 부서만의 문제가 아니다. 그것을 정책으로 제도화하고, 조직 문화로 정착시키는 것이 경영진의 책임이다.