직원 10명 중 8명이 몰래 AI를 쓴다 — 섀도 AI 시대, HR은 통제 대신 무엇을 설계해야 하나

작년 말, 한 중견기업 인사팀장이 이런 말을 했다. “우리 회사는 ChatGPT 접속을 차단했어요. 보안 이슈 때문에.” 그런데 같은 회사 직원들에게 물었더니, 열 명 중 일곱이 개인 노트북이나 스마트폰으로 AI를 이미 쓰고 있었다. 채용 공고 초안부터 성과 리뷰 코멘트까지. 차단한 건 접속이지, 사용이 아니었다.

이 현상에 이름이 붙었다. 섀도 AI(Shadow AI). IT가 모르는, 정책이 닿지 않는 곳에서 직원들이 자기 판단으로 AI를 쓰는 것. 그리고 이건 일부 얼리어답터의 행동이 아니다.

한 줄 요약: 공식 AI 정책이 없는 기업의 직원이 더 활발하게 AI를 쓰고 있으며, HR이 이를 통제가 아닌 ‘수요의 신호’로 읽어야 업무 혁신과 리스크 관리를 동시에 잡을 수 있다.

보안 PC 앞에 개인 노트북을 펼쳐놓는 직원들

솔직히 이건 좀 놀라운 숫자다. JumpCloud의 2026 보고서에 따르면, 사무직 근로자 10명 중 8명이 IT 부서의 승인 없이 공개 AI 도구를 사용하고 있다. 그런데 정작 AI 사용 지침을 업데이트한 기업은 전체의 15%에 불과하다.

한국도 다르지 않다. 생성형 AI 도입률은 61%에 달하지만, 조직적 내재화 수준은 6.7%에 그친다는 조사 결과가 있다. 도입은 했는데 체계는 없다는 뜻이다. 그 틈새에서 섀도 AI가 자란다.

BBVA 은행 사례가 흥미롭다. 보안 업무용 PC 앞에 앉은 직원이 옆에 개인 노트북을 펼쳐놓고 ChatGPT를 돌린다. 회사가 AI를 막았으니까, 본인 장비로 쓰는 것이다. 이 장면을 위협으로 볼 것인가, 수요의 신호로 볼 것인가. DBR 분석에 따르면, BBVA는 후자를 선택했다. 그리고 그 판단이 결국 맞았다.

HR 부서가 섀도 AI의 ‘최대 사용처’라는 아이러니

개인적으로는 여기가 핵심이다. Cornerstone OnDemand 조사에 따르면, HR 전문가의 80% 이상이 이미 개인용 AI 도구를 일상 업무에 쓰고 있다. 그중 유료 구독을 쓰는 사람은 14%에 불과하고, 회사가 비용을 대는 경우는 20% 정도다. 나머지는 무료 플랫폼이다.

무엇에 쓰나? 채용 공고 작성. 면접 질문 설계. 성과 리뷰 요약. 취업규칙 문구 검토. 징계 사유서 초안. 전부 민감 데이터가 오가는 작업이다.

여기서 진짜 무서운 건 ‘추론 위협(Inference Threat)’이다. 직원이 AI에 직접 기밀을 입력하지 않아도, 검색하는 주제의 패턴만으로 채용 계획이나 구조조정 방향이 노출될 수 있다. “N 부서 인력 축소 시 퇴직금 계산”을 ChatGPT에 물어보는 순간, 그 질문 자체가 정보다.

통제가 실패하는 구조적 이유

AI 사용을 금지하면 어떻게 될까. 답은 이미 나와 있다. 사용이 지하로 내려갈 뿐이다.

조직의 60%가 직원의 공개 생성형 AI 사용으로 인한 데이터 노출 사고를 경험했다. AI 관련 보안 사고는 식별에 26.2% 더 오래 걸리고, 봉쇄에도 20.2% 더 긴 시간이 소요된다. 사고당 평균 비용은 일반 보안 사고보다 67만 달러(약 9.3억 원)가 더 높다.

그런데 역설적으로, 회사가 공식 AI 도구를 제공하면 비인가 사용이 89% 줄어든다. 이건 “쓰지 마”가 아니라 “이걸로 써”가 작동한다는 뜻이다.

한국 기업에 대입하면 상황이 더 복잡하다. 개인정보보호법, 산업기술유출방지법, 그리고 근로기준법상 근로자 감시 제한이 겹친다. AI 사용 로그를 모니터링하는 것 자체가 근로자 개인정보 침해가 될 수 있다. 통제와 방임 사이에서 HR이 설계해야 할 건 제3의 경로다.

flowchart TD
    A[직원의 AI 수요 발생] -->|정책 부재| B[개인 도구로 비공식 사용]
    A -->|사용 금지| C[지하 경제화 + 보안 리스크]
    A -->|공식 도구 제공 + 가이드라인| D[가시성 확보 + 생산성 향상]
    B --> E[데이터 유출 / 추론 위협]
    C --> E
    D --> F[비인가 사용 89% 감소]

💡 AI·도구로 측정/자동화 가능한 부분

• SaaS 사용량 모니터링: Productiv, Zylo 같은 SaaS 관리 플랫폼으로 조직 내 비인가 AI 도구 사용 현황을 파악. 5배 이상 중복 구독이 발생하는 조직에서 연간 수천만 원 절감 가능
• DLP(Data Loss Prevention) 연동: 기존 DLP 시스템에 생성형 AI 엔드포인트를 추가 등록해, 민감 데이터가 외부 AI 모델로 나가는 경로를 실시간 탐지
• AI 사용 대시보드: Workday, SAP SuccessFactors 등 HR 플랫폼의 임베디드 AI 기능 사용률을 KPI로 추적. 현재 임베디드 HR AI 사용률은 3%에 불과 — 기존 시스템에 이미 있는 기능부터 활성화하는 것이 우선
• AI 거버넌스 체크리스트 자동화: Notion AI나 Confluence 템플릿으로 부서별 AI 사용 신청·승인·감사 워크플로우를 구축. 2026년 컴플라이언스 감사의 25%가 AI 거버넌스를 점검할 전망
• AI 리터러시 측정: 직원 AI 교육 이수율과 섀도 AI 사용률의 상관관계를 People Analytics로 추적. 공식 교육을 받은 직원이 32%에 불과한 현재, 교육 투자의 ROI를 수치로 보여줄 수 있는 영역

아쉽다. 대부분의 한국 기업은 아직 “AI를 쓸까 말까”를 고민하는 단계에 머물러 있다. 하지만 직원들은 이미 쓰고 있다. 질문은 “허용할 것인가”가 아니라 “어떻게 가시화할 것인가”로 바뀌었다. HR이 이 전환을 주도하지 않으면, IT 부서가 보안 프레임으로 먼저 잠글 것이다. 그때 생산성 혁신의 기회도 같이 잠긴다.

섀도 AI는 위협이 아니다. 조직이 놓치고 있는 수요의 가장 솔직한 신호다. 실무자가 할 일은 그 신호를 읽고, 물길을 만들어주는 것이다.

💡 실무 시사점: AI 사용 금지 정책은 사용을 줄이지 않고, 가시성만 없앤다. HR은 IT와 공동으로 ‘허용 도구 목록 + 사용 가이드라인 + 모니터링 대시보드’ 3종 세트를 설계해야 한다. 시작점은 현재 직원들이 뭘 쓰고 있는지 파악하는 것이다.

#섀도AI #HR테크 #AI거버넌스 #데이터보안 #조직혁신

참고 링크

• JumpCloud, “11 Stats About Shadow AI in 2026” (2026)
• Cornerstone OnDemand, “BYOAI and Shadow AI in HR” (2026)
• DBR/HBR Korea, “유럽 은행에서 배우는 AI 성공 조건” (2026)
• Red Team Partner, “Shadow AI: 67% of Employees Use AI Tools at Work” (2026)
• CIO Korea, “통제할수록 늘어난다···섀도우 AI 확산의 근본적 원인” (2026)

작성: 서재홍 | NODE