기업 AI 도입 속도에 보안 거버넌스 역량은 뒤처져
- •기업들이 현재 보유한 거버넌스 체계보다 빠른 속도로 AI를 도입하면서 관리 및 통제에 어려움을 겪고 있다.
- •가트너(Gartner) 조사 결과, 조직의 69%가 직원들이 승인되지 않은 공공 생성형 AI 도구를 사용하는 것으로 의심하고 있다.
- •분석가들은 2030년까지 기업의 40% 이상이 승인되지 않은 Shadow AI와 관련된 보안 사고를 경험할 것으로 전망했다.
기업들이 내부 거버넌스 체계가 수용할 수 있는 속도보다 빠르게 AI를 도입하면서, 최고정보책임자(CIO)에게 심각한 보안 및 규정 준수 공백이 발생하고 있다. AI 기능이 엔터프라이즈 소프트웨어에 직접 통합되고 모델 제공업체를 통해 업데이트가 빠르게 전달되면서, 기존의 정적인 감사 방식은 효용성을 잃고 있다. 가트너(Gartner)는 현재 조사 대상 조직의 69%가 직원들이 승인되지 않은 공공 생성형 AI 도구를 사용하고 있다고 의심하거나 증거를 확보한 상태라고 보고했다. 또한 가트너는 2030년까지 기업의 40% 이상이 허가받지 않은 Shadow AI와 직접적으로 연관된 보안 또는 규정 준수 사고에 직면할 것이라고 예측했다.
개인용 에이전트 시스템(AI agentic systems)의 부상은 보안 환경을 더욱 복잡하게 만들고 있다. 이러한 도구는 종종 IT 팀의 관리 범위를 벗어나 운영되며 표준화된 식별 및 액세스 관리 프로토콜을 우회할 가능성이 있다. 전문가들은 업무 사용자가 비인가 에이전트를 활용할 경우, 해당 도구가 작업을 수행하기 위해 내부 기능을 자율적으로 생성하거나 수정할 수 있으며, 이는 데이터 유출이나 민감한 코드 변경 위험을 높인다고 지적한다. 이러한 위협을 완화하기 위해 분석가들은 CIO들이 소비자 중심의 에이전트 도구를 시스템 접근이 제한된 고도로 통제된 샌드박스(sandbox) 환경 내에서 격리할 것을 권장한다.
감독권을 회복하기 위해 업계 리더들은 주기적인 감사에서 벗어나 지속적인 발견과 평가 전략으로 전환해야 한다고 강조한다. CIO들은 다양한 AI 도구와 애플리케이션 전반에 걸쳐 거버넌스를 강화하기 위해 운영 보안, 트래픽 라우팅, 프롬프트 수준의 필터링을 관리하는 인프라 계층인 컨트롤 플레인(control plane)을 도입해야 한다. 이러한 접근 방식을 통해 조직은 런타임 환경에서 실시간으로 성능을 추적하는 관측성 도구(observability tools)를 활용하여 AI 동작을 모니터링할 수 있다. 아울러 전문가들은 소프트웨어 공급업체가 위험을 어떻게 처리하고 다른 시스템과 상호 작용하는지 명확히 질문하며 공급업체와의 관계를 재정립해야 한다고 제언한다. 이러한 거버넌스 조치를 AI 전략의 핵심 요소로 구축하는 것은 필수적이며, 에이전트가 광범위하게 배포된 후 조치를 취할 경우 기술적·규제적 부채를 통제하기 어려워질 가능성이 크기 때문이다.