가트너 “섀도우 AI 확산에 기업 60%가 통제 도구 도입”

기업의 승인 없이 임직원이 생성형 인공지능(AI)과 코딩 도구, AI 에이전트를 사용하는 ‘섀도우 AI(Shadow AI)’가 새로운 기업 보안 사각지대로 떠오르고 있다. 가트너는 2028년 기업의 60%가 별도의 AI 사용 통제·거버넌스 도구를 도입할 것으로 전망했다.

가트너는 최근 발간한 ‘섀도우 AI: AI 사용 통제의 수십억달러 시장 기회’ 보고서에서 기업의 AI 활용 속도를 기존 보안 체계가 따라가지 못하고 있다고 분석했다.

섀도우 AI는 기업의 정보기술(IT) 부서나 보안 조직의 승인과 관리 없이 직원이 AI 서비스를 업무에 사용하는 것을 말한다. 챗GPT(ChatGPT), 깃허브 코파일럿(GitHub Copilot), 클로드(Claude), 커서(Cursor), 퍼플렉시티(Perplexity), 노코드 개발 도구 등이 대표적인 사례다.

가트너가 보고서에서 인용한 버라이즌의 ‘2026 데이터 침해 조사 보고서(DBIR)’에 따르면 기업 기기에서 AI를 정기적으로 사용하는 직원 비율은 1년 만에 15%에서 45%로 늘었다. 기업 기기에서 개인 계정으로 AI에 접속하는 이용자도 67%에 달했다.

반면 가트너가 추산한 별도의 AI 사용 통제 도구를 구축한 기업은 10% 미만이다. AI를 사용하는 속도와 이를 관리하는 체계 사이에 격차가 벌어지고 있다는 의미다.

문제는 직원이 AI에 입력하는 데이터다. 소스코드와 개인정보, 금융정보 등이 승인되지 않은 외부 AI 서비스로 넘어갈 수 있다. 기업의 지식재산이 AI 사업자의 모델 학습 조건에 노출되거나 AI가 만든 잘못된 결과물이 별도 검증 없이 업무에 활용될 가능성도 있다.

AI 에이전트가 확산되면서 관리 대상도 단순한 프롬프트 입력을 넘어선다. 가트너는 기업의 AI 위험을 ▲AI 도구를 직접 사용하는 ‘소비·접근 계층’ ▲모델 컨텍스트 프로토콜(MCP)과 브라우저 확장 프로그램, 애플리케이션 프로그래밍 인터페이스(API) 등이 연결되는 ‘연결·프로토콜 계층’ ▲AI가 만든 코드와 자체 제작 에이전트가 실제로 동작하는 ‘런타임·산출물 계층’으로 구분했다.

특히 아래 계층으로 갈수록 기존 보안 제품이 파악하기 어려운 영역이 늘어난다고 봤다. MCP나 로컬 AI 설치 프로그램을 이용한 데이터 흐름은 기존 네트워크 관제에서 보이지 않을 수 있다. 광범위한 권한을 가진 AI 에이전트는 메모리나 자원 사용 방식이 공격자에게 탈취될 가능성도 있다.

가트너는 이에 따라 ‘AI 사용 통제(AIUC)’가 별도의 보안 기능으로 자리 잡을 것으로 전망했다. AIUC는 기업에서 어떤 AI가 사용되고 있는지를 찾아내고 사용자의 신원과 서비스 종류, 입력 데이터의 민감도 등에 따라 접근과 사용 범위를 통제하는 개념이다.

가트너는 2028년 기업의 60%가 전용 AI 사용 거버넌스 도구를 도입할 것으로 예상했다. 엔드포인트 보안 업체의 90%도 AI 사용 탐지와 통제 기능을 제공할 것으로 전망했다.

다만 모든 AI 사용을 일괄 차단하는 방식은 적절하지 않다고 봤다. 기업이 AI를 기본적으로 허용하면 보안 조직의 가시성이 떨어진다. 반대로 모든 AI 서비스를 차단하면 직원들이 개인 계정이나 관리되지 않는 다른 경로를 찾아 섀도우 AI가 오히려 늘어날 수 있다는 것이다.

가트너는 먼저 조직에서 어떤 AI가 사용되는지 파악한 뒤 위험 수준에 따라 통제해야 한다고 제안했다. 회사 계정으로 인증했는지 개인 이메일을 사용하는지, 기업이 승인한 AI인지, 입력 정보에 개인정보나 고객 데이터·인증정보가 포함됐는지 등을 구분해 정책을 적용하는 방식이다.

AI 사용 탐지에는 네트워크 분석만으로 충분하지 않다고도 지적했다. 엔드포인트 탐지·대응(EDR), 확장 탐지·대응(XDR), 모바일기기관리(MDM), 계정·인증 시스템과 브라우저 보안 등 여러 보안 데이터를 함께 활용해야 한다.

가트너는 AIUC 기능이 2028년까지 엔드포인트 보호와 보안 서비스 엣지(SSE), AI 보안 플랫폼 등에 기본 기능으로 통합될 것으로 내다봤다. AI 자체를 막는 것보다 기업 내부에서 어떤 AI가 어떻게 사용되는지를 확인하고 위험도에 맞춰 통제하는 능력이 기업 AI 보안의 핵심으로 이동할 것이라는 분석이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network