사내에서 몰래 쓰는 AI 도구가 리스크가 되는 순간

요즘 회사에서 AI를 전혀 쓰지 않는 곳은 오히려 드뭅니다.

문제는 회사가 공식적으로 도입한 AI보다, 직원들이 개인적으로 쓰는 AI 도구가 더 빨리 늘어난다는 점입니다.

보고서 초안을 만들 때, 고객 메일을 다듬을 때, 개발 코드를 설명받을 때, 회의록을 요약할 때, 직원들은 자연스럽게 외부 AI 도구를 씁니다. 생산성만 놓고 보면 나쁜 일은 아닙니다. 오히려 일을 더 빨리 끝내는 데 도움이 됩니다.

그런데 회사가 모르는 상태에서 AI 도구가 쓰이기 시작하면 이야기가 달라집니다. 어떤 도구를 쓰는지, 어떤 데이터를 넣는지, 생성된 결과를 어디에 쓰는지 아무도 모르면 생산성 도구가 아니라 관리되지 않는 리스크가 됩니다.

사내 AI 사용의 가장 큰 문제는 “AI를 쓴다”는 사실 자체가 아니라, 회사가 그 사용을 파악하지 못한다는 점입니다.

계약서와 소스코드가 들어갈 때

예를 들어 직원이 고객사 계약서 일부를 외부 AI 도구에 붙여넣고 요약을 요청했다고 해보겠습니다. 의도는 단순합니다. 긴 문서를 빨리 이해하려는 것입니다. 하지만 그 안에 고객사 정보, 영업비밀, 개인정보, 계약상 비밀유지 대상 정보가 포함되어 있다면 문제가 커집니다.

또 다른 예로, 개발자가 내부 소스코드 일부를 AI 도구에 넣고 오류 원인을 물어볼 수도 있습니다. 이 경우 코드 자체가 회사의 기술 자산일 수 있고, 고객사 프로젝트 코드라면 계약상 제한이 있을 수 있습니다.

나쁜 의도에서 시작되지 않는다

몰래 쓰는 AI 도구는 보통 “나쁜 의도”에서 시작되지 않습니다. 대부분은 일을 빨리하려는 선의에서 시작됩니다.

하지만 컴플라이언스 관점에서는 선의만으로 충분하지 않습니다. 외부 AI 도구에 어떤 정보가 입력되는지, 그 정보가 저장되는지, 학습에 쓰이는지, 회사가 통제할 수 있는지 확인해야 합니다.

특히 개인정보가 들어가는 순간 리스크는 훨씬 커집니다. 고객 이름, 연락처, 상담 내용, 이력서, 진료 정보, 결제 정보, 민원 내용, 녹취록 같은 데이터는 직원 입장에서는 업무 자료일 수 있지만, 회사 입장에서는 보호해야 할 개인정보입니다.

AI 기본법과 연결되는 지점

AI 기본법 관점에서도 사내 AI 사용은 점점 중요해질 가능성이 큽니다. 법은 AI 사업자의 의무를 중심으로 설계되어 있지만, 기업이 실제로 어떤 AI를 쓰는지 파악하지 못하면 고영향 AI 여부, 투명성 고지, 위험관리, 증빙 문서 관리도 제대로 시작하기 어렵습니다.

AI 기본법 대응의 첫 단계는 거창한 법률 검토가 아니라 “우리 회사가 어떤 AI를 쓰고 있는지 아는 것”입니다.

리스크가 되는 여섯 가지 순간

사내에서 몰래 쓰는 AI 도구가 리스크가 되는 대표적인 순간은 몇 가지가 있습니다.

첫째, 고객 자료를 외부 AI에 붙여넣을 때입니다. 고객사 제안서, 계약서, 회의록, 보안 질문지, 내부 요구사항 문서에는 민감한 정보가 들어갈 수 있습니다. 직원은 단순 요약이라고 생각해도, 회사는 고객사 자료를 외부 서비스에 입력한 셈이 됩니다.

둘째, 개인정보가 포함된 데이터를 AI에 입력할 때입니다. 고객 상담 내용, 지원자 이력서, 직원 평가 자료, 환자 정보, 학생 정보는 모두 주의가 필요합니다. 특히 이름을 지웠다고 해서 항상 안전한 것도 아닙니다. 다른 정보와 결합하면 특정 개인을 알아볼 수 있는 경우가 있기 때문입니다.

셋째, AI가 만든 결과를 검토 없이 고객에게 전달할 때입니다. AI 답변은 그럴듯해 보이지만 틀릴 수 있습니다. 출처가 불명확하거나, 없는 내용을 만들어내거나, 법률, 의료, 금융처럼 민감한 영역에서 부정확한 판단을 제시할 수 있습니다.

넷째, 회사에 AI 사용 기록이 남지 않을 때입니다. 누가 어떤 도구를 썼는지, 어떤 데이터를 입력했는지, 어떤 결과를 업무에 반영했는지 기록이 없으면 나중에 문제가 생겨도 설명하기 어렵습니다.

다섯째, 승인된 도구 목록이 없을 때입니다. 어떤 AI 도구는 기업용 보안 설정이 있고, 어떤 도구는 개인 계정 중심으로 쓰입니다. 회사가 허용한 도구와 금지한 도구를 구분하지 않으면 직원마다 각자 판단하게 됩니다.

여섯째, 고객사가 AI 사용 여부를 물어보기 시작할 때입니다. 특히 B2B SaaS, SI, 컨설팅, 헬스케어, 금융, HR, 교육 분야에서는 고객사가 “업무에 AI를 쓰는가”, “고객 데이터를 AI에 입력하는가”, “AI 사용 정책이 있는가”를 물어볼 가능성이 커지고 있습니다.

사내 AI 사용은 내부 생산성 문제가 아니라 고객 신뢰와 계약 리스크의 문제가 될 수 있습니다.

금지가 답이 아닌 이유

그렇다고 AI 사용을 무조건 금지하는 것이 답은 아닙니다. 현실적으로 직원들은 이미 AI를 쓰고 있고, 앞으로 더 많이 쓸 것입니다. 금지 문서만 만들어두면 실제 업무는 음지로 들어갈 수 있습니다.

중요한 것은 금지보다 관리입니다. 회사가 승인한 AI 도구 목록을 만들고, 입력하면 안 되는 정보를 정하고, 업무별 사용 가능 범위를 나누고, 중요한 결과는 사람이 검토하도록 해야 합니다.

좋은 AI 사용 정책은 “쓰지 마라”가 아니라 “어떤 조건에서 어떻게 써라”를 알려주는 문서입니다.

사내 정책에 담을 내용

예를 들어 사내 정책에는 이런 내용이 들어갈 수 있습니다. 개인정보를 외부 AI에 입력하지 않는다. 고객사 비공개 자료는 승인 없이 입력하지 않는다. 소스코드나 보안 정보는 허용된 도구에서만 처리한다. AI 결과는 최종 산출물로 바로 사용하지 않고 담당자가 검토한다. AI 사용이 고객 산출물에 영향을 주는 경우 기록을 남긴다.

내부 사용도 AI 자산 목록으로

여기서 AI 기본법 대응과 연결되는 지점이 생깁니다. 회사가 제공하는 제품이나 서비스에 AI를 넣는 경우뿐 아니라, 내부 업무에서 AI를 쓰는 경우도 결국 AI 자산 목록과 연결됩니다.

물론 모든 사내 AI 사용이 곧바로 고영향 AI가 되는 것은 아닙니다. 회의록 요약, 문장 교정, 아이디어 정리처럼 낮은 위험의 사용도 많습니다. 하지만 채용 평가, 고객 심사, 의료, 금융, 교육 관련 판단, 민원 처리, 자동 추천처럼 사람의 권리나 중요한 의사결정에 영향을 줄 수 있는 업무라면 더 신중하게 봐야 합니다.

사내 AI 사용을 관리하려면 먼저 “AI 자산”으로 보이게 만들어야 합니다.

목록은 거창할 필요가 없다

AI 자산이라고 해서 거창할 필요는 없습니다. 어떤 부서가 어떤 AI 도구를 쓰는지, 사용 목적은 무엇인지, 입력 데이터는 무엇인지, 외부 고객에게 영향이 있는지, 승인된 도구인지, 위험 수준은 어느 정도인지 정리하면 됩니다.

이 목록이 있으면 회사는 훨씬 현실적으로 대응할 수 있습니다. 위험이 낮은 사용은 가이드만 두고 허용할 수 있고, 위험이 높은 사용은 사전 승인이나 별도 검토를 요구할 수 있습니다. 고객사나 감사에서 질문이 들어왔을 때도 “우리는 이런 기준으로 AI 사용을 관리하고 있다”고 설명할 수 있습니다.

Kompli는 이런 문제를 “AI를 쓰지 못하게 막는 일”로 보지 않습니다. 오히려 회사 안에서 이미 쓰이고 있는 AI를 보이게 만들고, 위험도에 따라 관리하고, 필요한 증빙을 남기는 일이 앞으로 더 중요해질 것이라고 봅니다.

사고는 갑자기 오지 않는다

사내에서 몰래 쓰는 AI 도구는 어느 날 갑자기 사고를 일으키지 않습니다. 처음에는 작은 편의 기능처럼 들어옵니다. 문서 요약, 메일 작성, 코드 설명, 회의록 정리처럼 자연스럽게 자리 잡습니다. 그러다 고객 데이터, 개인정보, 의사결정, 외부 산출물과 연결되는 순간 회사 리스크가 됩니다.

AI 리스크는 AI를 많이 써서 생기는 것이 아니라, 어디에 쓰는지 모르는 상태에서 커집니다.

지금 회사가 해야 할 일

지금 회사에서 해야 할 일은 직원들을 의심하는 것이 아닙니다. 먼저 현실을 인정해야 합니다. 직원들은 이미 AI를 쓰고 있습니다. 그렇다면 회사는 “누가 몰래 쓰고 있나”를 찾기보다 “안전하게 쓰려면 무엇을 정해야 하나”를 고민해야 합니다.

정리하면

정리하면, 사내 AI 도구 사용은 생산성을 높일 수 있는 좋은 기회입니다. 하지만 승인된 도구 목록, 입력 금지 정보, 사용 기록, 결과 검토 절차, AI 자산 관리가 없다면 리스크가 됩니다.