가트너, 섀도 AI 데이터 유출 대응 경고

가트너는 최근 보고서에서 기업 승인 없이 개인 계정으로 AI 서비스를 쓰는 ‘섀도 AI’로 데이터가 유출되면 신속히 대응해야 한다고 경고했습니다. 회사 컴퓨터로 ChatGPT에 접속해도 개인 계정을 사용하면 기업 보안 정책이 적용되지 않을 수 있어, 업무용 기기라는 사실만으로 입력한 기밀정보가 보호되지는 않습니다. 화면에서 대화를 삭제하는 일과 서비스 서버에서 데이터가 실제로 삭제되는 일도 별개입니다.

가트너가 인용한 IBM의 2026년 데이터 유출 비용 보고서에 따르면, 2025년 3월부터 2026년 2월까지 전체 데이터 유출 사고 중 섀도 AI 관련 사고는 43%였습니다. 전년보다 두 배 이상 늘었으며, 관련 사고의 평균 피해 비용은 건당 539만 달러였습니다.

대화 기록을 지워도 서버 요청·응답 로그, 안전성 검토 시스템, 임시 저장소와 백업 서버에 정보가 남을 수 있습니다. 가트너가 제시한 일반 사례에서 삭제된 대화 기록과 서버 로그는 약 30일, 안전성 검토 대상 데이터는 2~7년, AI 학습용 수집 데이터는 최대 5년 보관될 수 있습니다. 실제 보관 기간은 서비스와 계정 유형, 데이터 처리 정책에 따라 달라집니다.

이미 모델 학습에 반영된 정보는 원본 파일을 지워도 영향이 남을 수 있습니다. 입력 데이터가 모델의 여러 매개변수에 통계적으로 반영되기 때문이며, 특정 정보를 선택적으로 제거하는 머신 언러닝(학습 정보 제거 기술)도 실용화에 한계가 있다는 평가입니다. 정보 유출을 확인하면 가트너는 AI 학습 활용 설정을 점검하고 추가 입력을 차단하며, 노출된 비밀번호와 인증정보를 변경하라고 권고했습니다. 서비스 제공업체에 데이터 삭제를 요청하고 서버 로그와 백업 데이터의 보관·삭제 여부도 확인해야 합니다.

가트너는 기업이 AI 사용을 단순히 금지하는 데 그치지 말고 직원들이 어떤 서비스를 이용하고 어떤 정보를 입력하는지 파악해 승인된 서비스와 데이터 관리 기준을 마련해야 한다고 밝혔습니다.

가트너는 최근 보고서에서 기업 승인 없이 개인 계정으로 AI 서비스를 쓰는 ‘섀도 AI’로 데이터가 유출되면 신속히 대응해야 한다고 경고했습니다. 회사 컴퓨터로 ChatGPT에 접속해도 개인 계정을 사용하면 기업 보안 정책이 적용되지 않을 수 있어, 업무용 기기라는 사실만으로 입력한 기밀정보가 보호되지는 않습니다. 화면에서 대화를 삭제하는 일과 서비스 서버에서 데이터가 실제로 삭제되는 일도 별개입니다.

가트너가 인용한 IBM의 2026년 데이터 유출 비용 보고서에 따르면, 2025년 3월부터 2026년 2월까지 전체 데이터 유출 사고 중 섀도 AI 관련 사고는 43%였습니다. 전년보다 두 배 이상 늘었으며, 관련 사고의 평균 피해 비용은 건당 539만 달러였습니다.

대화 기록을 지워도 서버 요청·응답 로그, 안전성 검토 시스템, 임시 저장소와 백업 서버에 정보가 남을 수 있습니다. 가트너가 제시한 일반 사례에서 삭제된 대화 기록과 서버 로그는 약 30일, 안전성 검토 대상 데이터는 2~7년, AI 학습용 수집 데이터는 최대 5년 보관될 수 있습니다. 실제 보관 기간은 서비스와 계정 유형, 데이터 처리 정책에 따라 달라집니다.

이미 모델 학습에 반영된 정보는 원본 파일을 지워도 영향이 남을 수 있습니다. 입력 데이터가 모델의 여러 매개변수에 통계적으로 반영되기 때문이며, 특정 정보를 선택적으로 제거하는 머신 언러닝(학습 정보 제거 기술)도 실용화에 한계가 있다는 평가입니다. 정보 유출을 확인하면 가트너는 AI 학습 활용 설정을 점검하고 추가 입력을 차단하며, 노출된 비밀번호와 인증정보를 변경하라고 권고했습니다. 서비스 제공업체에 데이터 삭제를 요청하고 서버 로그와 백업 데이터의 보관·삭제 여부도 확인해야 합니다.

가트너는 기업이 AI 사용을 단순히 금지하는 데 그치지 말고 직원들이 어떤 서비스를 이용하고 어떤 정보를 입력하는지 파악해 승인된 서비스와 데이터 관리 기준을 마련해야 한다고 밝혔습니다.