서핑베어
홈 › 블로그 › 섀도 AI 파악
섀도 AI 파악하기 — 승인되지 않은 AI 사용을 찾는 방법
섀도 AI는 직원의 잘못이라기보다 승인 절차가 느리다는 신호입니다. 그래서 대응도 처벌이 아니라 절차 개선에서 시작해야 효과가 있습니다.
파악 방법 대응 순서 금지의 한계
결론부터
섀도 AI의 위험은 도구 자체가 아니라 조건입니다. 개인 계정은 데이터 학습 사용이 기본값인 경우가 많고, 감사 로그가 없고, 퇴사 시 회수도 안 됩니다.
그런데 금지만으로는 사라지지 않습니다. 업무에 필요해서 쓰는 것이므로, 승인된 대안이 없으면 더 숨겨질 뿐입니다. 파악 → 대안 제공 → 규정의 순서가 맞습니다.
파악 방법 — 완전하지는 않지만 대부분 잡힌다
실제 위험은 무엇인가
| 위험 | 왜 문제인가 |
|---|---|
| 데이터 학습 사용 | 개인 요금제는 기본값이 학습 사용인 경우가 많습니다 |
| 감사 로그 부재 | 사고 시 무엇이 입력됐는지 확인할 수 없습니다 |
| 계정 회수 불가 | 퇴사자 계정에 사내 데이터가 남습니다 |
| 데이터 반출 불가 | 개인 계정에 축적된 작업물을 회사가 가져올 수 없습니다 |
| 조건 미확인 | 저장 위치와 보존 기간을 아무도 확인하지 않았습니다 |
대응 순서
먼저 회사 계정을 제공합니다. 가장 많이 쓰이는 도구부터 조직 요금제로 계약하면 섀도 사용이 크게 줄어듭니다. 금지 공지보다 이것이 훨씬 효과가 큽니다.
그다음 요청 경로를 만듭니다. 새 도구가 필요할 때 어디에 요청하는지, 얼마 안에 답을 받는지. 답이 2주 걸리면 직원들은 요청하지 않습니다. 경량 승인 절차가 핵심입니다.
마지막이 규정입니다. 데이터 등급과 금지 행위를 명시하고, 위반 시 신고 경로를 함께 적습니다. 처벌 조항만 있는 규정은 신고율을 떨어뜨리고, 신고되지 않은 사고가 가장 비쌉니다.
자주 묻는 질문
차단하면 되지 않습니까?
사내망 차단은 개인 기기와 모바일 사용으로 옮겨갑니다. 그러면 파악 자체가 불가능해집니다. 차단은 승인된 대안을 제공한 뒤의 보조 수단이어야 합니다.
설문에 솔직하게 답하겠습니까?
목적이 처벌이 아니라는 것이 믿기면 응답합니다. 익명으로 받고, 설문 결과로 실제 도구를 승인해 주면 다음 설문의 응답률이 올라갑니다.
이미 사내 데이터가 개인 계정에 들어갔습니다.
해당 도구의 삭제 요청 절차와 보존 기간을 확인하고, 영향 범위를 문서로 정리하세요. 개인정보가 포함됐다면 통지 의무 검토가 필요합니다. 그다음이 절차 정비입니다.
어느 정도까지 허용하는 것이 현실적입니까?
데이터 등급으로 나누는 것이 현실적입니다. 공개 정보는 폭넓게 허용하고, 사내·기밀·개인정보는 승인된 회사 계정으로 제한하는 구성이 대개 작동합니다.
조직 준비도
어느 축이 문제인지 확인하세요
AX 준비도 진단은 조직 축에서 규정, 담당자, 절차 상태를 함께 점수화합니다. 섀도 AI가 규정 문제인지 절차 문제인지 드러납니다.