어제 한 중견기업 HR팀장에게 전화가 왔다. “직원이 ChatGPT에 인사평가 원문을 통째로 붙여넣은 것 같은데, 이거 징계 사유가 되나요?” 질문 자체보다 흥미로웠던 건 그 팀장의 목소리에 묻어 있던 당혹감이다. AI 도구를 도입하라는 지시는 위에서 내려오는데, 그 도구가 만드는 구멍은 아래에서 터진다.
한 줄 요약: 직원의 77%가 AI 도구에 사내 데이터를 붙여넣고 있고, HR은 이 ‘Shadow AI’ 리스크를 정책·도구·교육 세 축으로 동시에 막아야 한다.
Shadow AI라는 이름의 유령 — 숫자가 말하는 현실
Shadow IT는 HR에 익숙한 개념이다. 직원이 승인 없이 구글시트, 슬랙 봇, 개인 드롭박스를 쓰는 문제. Shadow AI는 그 확장판이되, 위험 레벨이 다르다. 이유는 단순하다. AI 도구에 넣은 데이터는 ‘학습 재료’가 될 수 있기 때문이다.
Stanford HAI 연구팀이 2026년 발표한 분석에 따르면, 주요 AI 기업들은 사용자 대화 데이터를 모델 훈련에 활용하고 있다. 직원이 사내 메신저 대화, 인사기록, 고객 정보를 AI 챗봇에 입력하면 그 데이터가 외부 서버에 저장되고, 궁극적으로 모델 학습에 쓰일 가능성이 열린다.
77%
직원이 GenAI 도구에 사내 데이터를 붙여넣는 비율
Cyberhaven / 2026
44%
AI 사용 정책이 없거나 유무를 모르는 미국 직장인
SHRM / 2026
40%
2030년까지 Shadow AI 관련 침해를 겪을 기업 비율 예측
Gartner / 2025
솔직히 이건 좀 무섭다. 77%라는 숫자는 ‘일부 부주의한 직원’의 문제가 아니라 조직 전체의 구조적 결함을 보여준다. IT 부서가 가시성을 확보하지 못한 AI 도구가 60% 이상이라는 조사도 있다. HR이 채용 시스템에 AI를 도입하느라 바쁜 사이, 직원들은 이미 자기만의 AI를 회사 데이터와 함께 쓰고 있었다.
한국 사업장에서 Shadow AI가 특히 위험한 이유
2026년은 한국 AI 거버넌스의 전환점이다. 두 개의 큰 법이 동시에 움직인다.
AI 기본법(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법)이 2026년 1월 22일 시행됐다. 채용, 평가, 인사이동처럼 ‘고위험 AI’ 영역에서는 인간 개입, 위험평가, 문서화 의무가 부과된다. 동시에 개인정보보호법 개정안(법률 제21445호)이 9월 11일 시행을 앞두고 있다. 중대·반복 위반 시 과징금 상한이 매출의 10%로 올라가고, 개인정보 보호책임자(DPO) 지정에 이사회 의결 의무가 붙는다.
문제는 이 두 법이 만드는 교차 지점이다. 직원이 비승인 AI 도구에 동료의 인사평가 데이터를 넣으면 어떻게 될까?
개인정보보호법상 개인정보의 제3자 제공에 해당할 수 있다. AI 기본법상 고위험 AI 활용의 문서화·통제 의무 위반이 된다. 근로기준법상 인사기록 관리 의무에도 저촉된다. 그리고 이 모든 게 HR팀이 모르는 사이에 일어난다.
사례 — 글로벌 기업 고객센터한 글로벌 기업의 고객센터 직원이 해외 고객 문의를 번역하려고 생성형 AI에 원문을 입력했다. 그 안에는 은행명, 계좌번호, 고객 실명이 포함돼 있었다. 결과적으로 금융정보 유출 사고로 이어졌고, 기업은 사후 대응에 수개월을 소비했다. 한국에서 같은 일이 벌어지면 9월 11일 이후 과징금 스케일이 완전히 달라진다.
개인적으로는 여기가 핵심이다. Shadow AI의 위험은 ‘해킹’이 아니라 ‘선의의 사용’에서 온다. 직원은 업무를 더 잘하려고 AI를 쓴다. 번역, 요약, 초안 작성. 악의가 전혀 없다. 그래서 방화벽으로 막는 접근이 아니라 정책·교육·도구 세 축이 동시에 필요하다.
HR이 지금 당장 점검해야 할 세 가지 축
축 1: 정책 — ‘쓰지 마라’가 아니라 ‘이렇게 써라’
SHRM의 2026년 Shadow AI 가이던스가 강조하는 첫 번째 원칙은 금지가 아닌 채널링이다. 무조건 사용 금지는 Shadow AI를 더 깊은 그림자로 밀어넣을 뿐이다.
효과적인 AI 사용 정책(AUP)은 세 가지를 명시해야 한다. 승인된 도구 목록(Workday AI, Microsoft Copilot 등 사내 라이선스), 절대 입력 금지 데이터 유형(인사평가 원문, 급여 데이터, 고객 PII), 그리고 위반 시 프로세스(징계가 아닌 보고·개선 트랙).
축 2: 도구 — 엔터프라이즈급 AI를 먼저 깔아라
직원이 개인 ChatGPT에 데이터를 넣는 근본 원인은 간단하다. 회사가 쓸 만한 도구를 안 줬기 때문이다. LexisNexis 2026년 보고서에 따르면 AI 교육을 받은 직원의 74%가 비승인 도구를 사용한다. 교육은 했는데 도구를 안 줬으니 당연한 결과다.
Microsoft Copilot for M365, Google Gemini for Workspace, Notion AI Team 같은 엔터프라이즈 AI는 데이터를 외부 모델 학습에 쓰지 않겠다는 계약 조건을 기본으로 제공한다. 비용이 사용자당 월 3~4만원 수준이다. Shadow AI로 인한 데이터 유출 사고 한 건의 비용과 비교하면 논쟁의 여지가 없다.
축 3: 교육 — 한 번이 아니라 반복, 그리고 실전형
연 1회 개인정보보호 교육에 AI 한 슬라이드 추가하는 건 의미 없다. 분기별 시뮬레이션이 필요하다. “이 이메일을 AI로 요약하려는데, 어떤 정보를 먼저 삭제해야 하는가?” 같은 실전 퀴즈. Cornerstone OnDemand의 2026 BYOAI 가이드는 이런 마이크로러닝 방식이 정책 인지도를 3.2배 높인다고 보고한다.
💡 AI·도구로 측정/자동화 가능한 부분
- DLP(Data Loss Prevention) + AI 트래픽 모니터링: Microsoft Purview, Nightfall AI 등으로 AI 도구행 데이터 흐름을 실시간 감지. 민감 데이터가 외부 AI로 나가면 자동 차단 또는 알림
- Shadow AI 인벤토리 자동 스캔: Zylo, Productiv 같은 SaaS 관리 도구가 직원 브라우저·네트워크에서 비승인 AI 도구 사용을 탐지하고 대시보드에 표시
- AI AUP 동의 자동화: 입사 온보딩 시 AI 사용정책 전자서명을 Workday/BambooHR 워크플로에 내장. 정책 업데이트 시 자동 재동의 요청
- 익명 리스크 리포팅 봇: Slack/Teams에 AI 데이터 유출 의심 사례를 익명 보고하는 챗봇 배포. HR이 월간 트렌드를 대시보드로 추적
- AI 사용 로그 분석: 엔터프라이즈 AI 도구의 프롬프트 로그에서 민감 키워드(주민번호, 급여, 평가등급 등)를 NLP로 스캔하고 위험 점수를 부여
9월 11일 전에 끝내야 할 체크리스트
개인정보보호법 개정안 시행일이 코앞이다. HR팀이 지금 움직여야 할 아이템을 정리한다.
AI 사용 현황 파악: IT팀과 합동으로 사내 AI 도구 인벤토리를 작성한다. 공식 도구와 비공식 도구를 구분하고, 각 도구에 입력되는 데이터 유형을 분류한다.
AI 사용정책(AUP) 수립 또는 개정: 승인 도구 목록, 금지 데이터 유형, 위반 시 절차를 명문화한다. 취업규칙에 AI 관련 조항을 추가하는 것도 검토 대상이다.
개인정보 보호책임자(DPO) 체계 정비: 개정법은 DPO 지정에 이사회 의결을 요구한다. 형식적 지정이 아닌 실질적 권한과 예산 배분이 필요하다.
교육 프로그램 재설계: AI 시대의 개인정보보호 교육은 기존 연 1회 의무교육과 별개로 분기별 실전형 세션이 필요하다.
인시던트 대응 매뉴얼: AI를 통한 데이터 유출이 발생했을 때의 보고 체계, 피해 범위 산정, 당국 신고 프로세스를 사전에 문서화한다.
💡 실무 시사점: Shadow AI는 IT 문제가 아니라 HR 문제다. 직원이 AI를 ‘몰래’ 쓰는 이유는 회사가 ‘공식적으로’ 쓸 수 있는 환경을 안 만들었기 때문이다. 9월 11일 개인정보보호법 개정안 시행 전에 정책·도구·교육 세 축을 동시에 세우지 않으면, 과징금 매출 10% 시대에 가장 먼저 터지는 리스크가 될 수 있다.
#ShadowAI#개인정보보호#AI거버넌스#HR데이터#AI기본법
참고 링크
- Stanford HAI, “Be Careful What You Tell Your AI Chatbot” (2026)
- SHRM, “Shadow AI Is on the Rise: Why It Matters to HR” (2026)
- Gartner, “40% of AI Data Breaches Will Arise from Cross-Border GenAI Misuse by 2027” (2025)
- LayerX Security, “State of AI Usage Report 2026” (2026)
- Cornerstone OnDemand, “BYOAI and Shadow AI in HR” (2026)
- 한국IT산업뉴스, “2026년 고용법 대전환: AI 알고리즘 규제 강화” (2026)
- datalaw.kr, “2026년 개정 개인정보 보호법 — 9월 11일까지 무엇을 해야 하나” (2026)
작성: 서재홍 | NODE