직원이 몰래 쓰는 AI, 괜찮을까?

요즘 작은 회사에서 가장 흔한 풍경은 이렇습니다.
회사는 아직 AI 도입을 결정하지 않았는데, 팀원 대부분은 이미 각자의 계정으로 ChatGPT나 Claude, Gemini를 쓰고 있습니다.
견적서를 붙여넣어 요약하고, 고객 문의 메일 초안을 뽑고, 계약서 조항을 물어봅니다.
회사가 승인하지 않은 도구로 회사 데이터가 오가는 상태, 이걸 섀도우 AI(Shadow AI)라고 부릅니다.
금지한다고 사라지지 않고, 방치하면 사고가 납니다.
필요한 건 통제가 아니라 합의된 규칙 한 장입니다.

섀도우 AI는 왜 위험한가요?

가장 큰 위험은 유출 자체보다 어디에 무엇이 들어갔는지 아무도 모른다는 점입니다.
개인 계정으로 넣은 내용은 회사가 조회할 수도, 삭제할 수도, 사고 후 범위를 특정할 수도 없습니다.
두 번째 위험은 품질입니다.
검증 없이 나간 AI 결과물이 그대로 고객에게 전달됩니다.

실제로 자주 생기는 상황은 이런 것들입니다.

• 고객사 명단이 들어간 엑셀을 통째로 붙여넣어 "요약해줘"라고 요청
• 아직 공개하지 않은 신제품 기획서를 개인 계정에 올려 카피 초안 작성
• AI가 지어낸 법령 조항이나 존재하지 않는 사례가 제안서에 그대로 삽입
• 퇴사자가 쓰던 개인 계정 안에, 회사 자산인 프롬프트와 자료가 통째로 남음

세 번째는 계약 문제입니다.
고객사와 맺은 비밀유지계약(NDA)에 "제3자 서비스에 자료를 제공하지 않는다"는 조항이 있다면, 개인 계정 사용은 그 자체로 계약 위반이 될 수 있습니다.

우리 회사가 위험한지 어떻게 확인하나요?

거창한 감사는 필요 없습니다.
팀 미팅에서 5분만 쓰면 대략적인 현황이 나옵니다.
중요한 건 "쓰지 마라"가 아니라 솔직하게 말해도 불이익이 없다는 전제를 먼저 깔아주는 것입니다.

1. 지난 한 달간 업무에 AI를 쓴 사람은?
   (익명으로 손들기)
2. 어떤 도구를 쓰는가?
   회사 계정인가 개인 계정인가?
3. 붙여넣은 자료 중 고객 정보·계약서·미공개 기획이 있었는가?
4. AI가 만든 결과물을 사람이 검토하지 않고 내보낸 적이 있는가?
5. 그 대화 기록에 지금 회사가 접근할 수 있는가?

5번에 "아니오"가 많이 나온다면, 이미 회사 자산의 일부가 회사 밖에 저장되어 있다는 뜻입니다.

A4 한 장짜리 AI 사용 규칙에는 뭘 담나요?

10명 이하 조직이라면 문서 한 장이면 충분합니다.
핵심은 금지 목록보다 '허용 목록'을 명확히 하는 것입니다.
사람들은 안 되는 걸 몰라서가 아니라, 되는 게 뭔지 몰라서 몰래 씁니다.

• 승인 도구: 회사가 결제하는 도구를 1~2개 정해 계정을 지급합니다.
  ChatGPT Team이나 Microsoft 365 Copilot처럼 관리자 기능이 있는 요금제를 쓰면 계정 회수와 데이터 학습 설정을 회사가 통제할 수 있습니다.
• 3단 데이터 등급: 초록(공개 자료·일반 지식 — 자유롭게), 노랑(내부 문서 — 승인 도구에서만), 빨강(고객 개인정보·계약서·인사 자료 — 금지 또는 익명화 후)
• 익명화 규칙: 이름은 A사·B고객, 연락처와 계좌·주민번호는 삭제 후 입력
• 사람 검토 지점: 외부로 나가는 문서(제안서, 고객 메일, 공식 게시물)는 담당자 확인 필수
• 출처 확인 의무: 숫자·법령·인용은 원문 링크로 재확인한 것만 사용
• 공유 계정 금지: 1인 1계정, 퇴사 시 회수

1인 사업자라면 이렇게

혼자 일한다고 예외는 아닙니다.
오히려 대표 개인 계정 하나에 모든 고객 자료가 쌓입니다.
최소한 업무용 계정과 개인용 계정을 분리하고, 고객 자료를 넣을 때는 이름과 연락처를 지우는 습관 두 가지만 지켜도 위험의 상당 부분이 줄어듭니다.
외주 파트너에게 작업을 맡길 때 "우리 자료를 AI에 넣을 경우 익명화 후 사용"이라는 한 줄을 계약서에 넣는 것도 좋습니다.

섀도우 AI는 직원의 잘못이 아니라 회사가 규칙을 만들지 않은 결과입니다.
오늘 30분만 들여 한 장을 쓰고, 다음 달 회의에서 실제로 지켜지는지 한 번 점검해 보세요.
도구를 막는 회사보다 규칙을 주는 회사가 결국 AI를 더 빨리, 더 안전하게 씁니다.