숨겨진 인공지능: 단순한 보안 문제가 아니라 EU 법률상의 법적 문제이기도 하다

올해 조직이 직면할 수 있는 가장 심각한 인공지능 관련 사이버 보안 사고는 정교한 신모델을 사용하는 외부 공격자 로부터 시작될 가능성은 낮습니다. 오히려 직원이 업무 편의를 위해 고객 계약서, 재무 예측 자료, 인사 기록 등을 인공지능 도구에 입력하는 행위에서 시작될 가능성이 높습니다. 왜 그렇게 해야 하는지 아무도 설명해주지 않았을 수도 있습니다.

섀도우 AI는 점점 심각해지는 문제이며, 저희 연구에 따르면 대기업 직원의 거의 절반이 IT 부서의 승인이나 관리를 받지 않은 AI 도구에 민감한 기업 데이터를 정기적으로 입력하고 있는 것으로 나타났습니다.

더욱 심각한 것은 회사에서 승인한 도구를 사용할 수 있음에도 불구하고 직원 85%가 이러한 행동을 계속한다는 점입니다. 이는 최고 경영진까지 이어지는 거버넌스 실패를 시사합니다. 은밀한 AI를 이용하면 민감한 데이터가 대부분의 보안 시스템이 차단하도록 설계되지 않은 경로를 통해 소리 없이 유출될 수 있습니다.

통제되지 않은 데이터 흐름으로 인한 보안 위험 외에도, EU 인공지능법의 도입으로 조직들은 이제 인공지능 사용 관리에 대한 구체적인 법적 요건을 충족해야 합니다. 인공지능의 배포, 관리 및 모니터링 방식에 대한 포괄적인 거버넌스를 시행하는 것은 중요한 규제 및 보안 필수 요소가 되었습니다.

EU의 AI 관련 법률은 왜 이 문제를 이사회 차원의 사안으로 다루는 걸까요?

섀도우 AI는 심각한 보안 위협을 초래하며, IBM의 2026년 데이터 침해 비용 보고서에 따르면 작년 침해 사고의 43%가 무단 도구에 의해 발생한 것으로 추산됩니다. 이제 EU AI 법안은 이러한 위험에 상당한 규제 요건을 추가합니다.

법적 의무는 단계적으로 시행되어 왔으며, 가장 최근에는 인공지능의 공공 사용자로 분류되는 조직들이 2026년 8월 2일부터 재고 관리, 데이터 거버넌스, 감사 기록 ​​및 투명성과 관련된 새로운 요건을 준수해야 하게 되었습니다.

다른 시한들도 연기되었으며, 채용, 신용 평가, 생체 인식 평가 등 고위험 인공지능 사용과 관련된 규제는 2027년 12월 2일부터 시행될 예정입니다. 규제 대상 제품에 내장된 인공지능은 2028년 8월 2일부터 규제 대상이 됩니다.

직원들이 인공지능 시스템을 사용하는 모든 조직은 해당 시스템이 공식적으로 승인되었는지 여부와 관계없이 배포자로서 규정 준수 의무를 부담하게 됩니다.

인공지능을 사용하는 모든 조직은 제4조에 따른 AI 활용 능력 의무가 2025년 2월부터 발효되었음을 인지해야 합니다. 즉, 조직은 직원들이 AI를 안전하고 합법적으로 사용하는 방법을 숙지하도록 할 책임이 있습니다.

고위험 인공지능 사용에 대한 규칙은 겉으로 보이는 것에만 국한되지 않고, 직원이 이력서 검토, 신용도 평가 또는 성과 평가와 같은 업무에 승인되지 않은 소비자 도구(예: AI 애플리케이션 )를 사용하는 것과 같은 더 광범위한 운영을 포함할 것입니다.

이는 IT 부서가 배포했는지조차 몰랐던 시스템에 대해 법률상 완전한 제어 권한을 발동시킬 수 있는 일반적인 작업입니다.

고위험 위반 시 최대 15만 유로 또는 전 세계 연간 매출의 3%에 달하는 벌금이 부과될 수 있기 때문에 많은 조직들이 생각보다 더 큰 위험을 감수하고 있습니다.

현재 사용 중인 보안 시스템이 이를 감지하지 못하는 이유는 무엇입니까?

은밀한 인공지능 의 문제점 은 기존 보안 계층 ​​사이의 사각지대를 악용하여 대부분의 도구가 막도록 설계되지 않은 틈새를 파고든다는 점입니다.

예를 들어, CASB 솔루션과 보안 웹 게이트웨이는 HTTPS를 통해 합법적인 LLM 도메인으로 유입되는 대화형 데이터를 해독할 수 없습니다. 네트워크 관점에서 볼 때, 전체 고객 데이터베이스가 저장된 라우터는 다른 암호화된 웹 세션과 구별할 수 없습니다. 더욱이, 브라우저 확장 프로그램은 관리되는 엔드포인트로 제한되며 개인 기기 나 합법적인 SaaS 애플리케이션에 내장된 AI를 인식하지 못합니다.

마찬가지로 API 게이트웨이는 일반적으로 승인된 기업 배포 환경을 중심으로 구축되므로, 조직에서 이미 승인한 AI 활동만 기록하고 가장 큰 위험을 초래하는 소비자용 AI 도구는 무시합니다.

이러한 사각지대는 서로 겹쳐지면서, 세 가지 계층을 모두 관리하는 조직이라 할지라도 자산의 상당 부분에 걸쳐 AI 활동에 대한 완전한 가시성을 확보하지 못할 수 있으며, 법적으로 요구되는 상호 작용 로그나 정책 시행 증거를 생성할 수단이 없을 ​​수도 있습니다.

효과적인 인공지능을 발견한다는 것은 어떤 모습일까요?

AI 데이터 흐름은 일반적으로 악의적인 의도 없이 업무를 수행하는 직원들에 의해 제어됩니다. 하지만 이는 마치 외부 위협이 몰래 데이터에 접근하는 것을 막는 것과 매우 유사합니다.

탐지 논리는 이러한 현실에 부합해야 합니다. 진정한 엔드포인트 탐지는 민감한 데이터가 외부 AI 시스템에 도달하기 전에 이동 지점에서 데이터를 차단하고, 관리형 및 비관리형 브라우저, 개인 기기, SaaS 도구에 내장된 AI 기능 전반에 걸쳐 라우터 수준에서 정책을 적용합니다 . 이는 활동이 발생하는 지점에서 작동하며, 나중에 탐지하려고 시도하는 방식이 아닙니다.

벌금의 규모를 고려할 때, 규정 준수를 입증하는 능력은 보안 침해를 예방하는 것만큼이나 중요합니다.

승인되지 않은 도구를 포함한 모든 자산에 대한 지속적인 탐지를 통해 조직은 법률에서 요구하는 AI 시스템 목록을 확보할 수 있습니다.

누가 무엇을 언제 사용했는지, 어떤 데이터가 관련되었는지 등을 보여주는 상세한 상호작용 로그는 제12조 및 제13조의 문서화 요건을 충족하므로, 팀이 활동 발생 후 이를 재구성하기 위해 허둥지둥 노력할 필요가 없습니다. 또한 이러한 로그는 AI 지식의 공백을 정확하게 파악하여 제4조 준수를 단순히 주장하는 것이 아니라 입증할 수 있도록 합니다.

규정 준수를 위한 실질적인 단계

EU AI 법률을 준수하고자 하는 보안 및 규정 준수 팀은 따라야 할 명확한 경로를 찾을 수 있습니다.

첫 단계는 모든 AI 자산에 대한 포괄적인 지도를 만드는 것입니다. 공개 대상에는 IT 부서에서 승인한 도구뿐만 아니라 관리되지 않는 엔드포인트, 회사 네트워크에 연결된 개인 기기, 그리고 서비스형 소프트웨어(SaaS) 솔루션에 내장된 AI까지 포함되어야 합니다.

데이터 거버넌스는 엣지 영역으로 이동해야 합니다. 승인되지 않은 도구와 민감한 데이터를 공유하는 것을 금지하는 정책은 기술적 통제가 아니며, 이러한 정책이 네트워크 엣지에서 시행될 때쯤이면 데이터는 이미 네트워크를 벗어난 후입니다.

외부 AI 시스템과 공유된 정보는 프롬프트 로그에 저장되거나, 모델 학습 데이터에 통합되거나, 조직이 접근 권한이 없는 관할 지역의 서버에 저장될 수 있다는 점을 명심해야 합니다. 데이터가 이러한 경계를 넘어서는 순간, 조직은 데이터에 대한 완전한 통제권을 잃게 되며, 어떠한 정책 문서로도 이를 복구할 수 없습니다. 이는 AI를 이용한 사이버 공격의 위험을 증가시킵니다.

제12조는 규제 기관의 요청 시 제출할 수 있는 상호 작용 기록을 요구하므로, 조직은 보안 활동과 절차 모두에 대해 지속적이고 자동화된 감사를 수행해야 합니다.

마지막으로, 사용자 인식 개선을 목표로 하는 AI 활용 능력 프로그램은 일반적인 교육 프로그램보다는 행동 데이터를 기반으로 해야 합니다. 최고위 경영진을 비롯한 모든 곳에서 발생하는 거버넌스 실패를 드러내는 활동 기록은 문제에 대한 진단과 규제 당국이 요구하는 증거를 모두 제공합니다.