사내 규정은 있는데 통제는 없다
"생성형 AI에 회사 자료를 입력하지 마십시오." 대부분의 기업이 이미 이런 공지를 내보냈습니다. 그러나 현장은 다릅니다. 최근 보안 업계 조사에서는 회사 기기로 생성형 AI에 접속하는 사용자 중 개인 계정 사용 비중이 기업용 계정을 넘어선다는 결과가 반복적으로 보고되고 있습니다. 개인 계정으로 접속하는 순간 기업의 SSO, 감사 로그, 데이터 보존 정책은 모두 무력화됩니다.
더 주목할 점은 이 행위의 성격입니다. 악의적인 정보 유출이 아니라 "빨리 끝내려는" 선의의 직원이 대부분입니다. 비악의적 내부자 행위 유형 중 섀도우 AI가 상위권으로 급부상한 이유가 여기에 있습니다. 정책 문서는 존재하지만 기술적 강제 수단이 없는 상태, 즉 거버넌스 갭이 지금 대부분 기업의 실제 모습입니다.
무엇이 새어 나가는가
외부 모델에 투입되는 데이터를 분류해 보면 순위가 뚜렷합니다.
주요 데이터 유출 비용 조사에서는 섀도우 AI 노출 수준이 높은 조직의 사고 비용이 그렇지 않은 조직보다 수십만 달러 단위로 높게 나타났습니다. 탐지와 대응에 걸리는 시간이 길어지는 것이 비용 격차의 핵심 원인입니다.
금지가 실패하는 이유
차단 정책을 도입한 기업에서도 AI 사용량은 줄지 않았습니다. 줄어든 것은 가시성뿐이었습니다.
관리된 허용(Governed Enablement) 설계
해법은 금지가 아니라 더 편한 승인 경로를 만드는 것입니다.
90일 실행 로드맵
1~30일 — 실태 파악: 네트워크 로그와 SaaS 관리 콘솔에서 실제 접속 도메인, 계정 유형, 트래픽 규모를 집계합니다. 이 단계에서는 제재하지 않는다는 점을 명확히 알려야 정확한 데이터가 모입니다.
31~60일 — 승인 채널 구축: 사내 LLM 게이트웨이를 열고 부서별 활용 가이드를 배포합니다. 개발팀은 코드 리뷰, 영업팀은 제안서 초안처럼 실제 업무 시나리오를 기준으로 작성해야 채택률이 올라갑니다.
61~90일 — 운영 체계화: 감사 로그 보존 정책, 이상 사용 탐지 룰, 분기 단위 정책 리뷰 주기를 확정합니다.
POLYGLOTSOFT의 접근
POLYGLOTSOFT는 사내 전용 LLM 게이트웨이와 사내 문서 기반 RAG 환경을 함께 설계합니다. 기존 SSO 및 권한 체계와 연동하여 사용자가 열람 권한을 가진 문서만 검색되도록 제한하고, 규제 산업 고객을 위해 온프레미스와 프라이빗 클라우드 배포 옵션을 제공합니다. 모델과 도구의 교체 주기가 빠른 영역인 만큼, 구독형 개발로 구축 이후의 지속적인 운영과 개선까지 함께 진행합니다. 사내 AI 사용 실태 진단과 게이트웨이 도입을 검토하고 계시다면 언제든 문의해 주시기 바랍니다.