한국영업비밀보호협회는 생성형 AI를 쓰는 기업이 자신의 기술과 정보를 지킬 수 있도록 「10대 가이드라인」을 순차 공개하고 있습니다. 이번 편은 처음으로 ‘Shadow AI’, 즉 회사가 알지 못하는 사이에 쓰이고 있는 AI 도구에 관하여 정면으로 다룹니다. 아울러 점검이 직원 감시로 미끄러지지 않으려면 무엇을 지켜야 하는지도 함께 정리했습니다.
1. Shadow AI의 문제 ― 금지된 도구가 아닌 ‘보이지 않는’ 도구
Shadow AI는 회사의 승인 없이 임직원이 개인 비용이나 무료 버전으로 AI 서비스를 쓰는 것을 말합니다. 규모를 짐작할 만한 조사가 최근에 나왔습니다.
삼성SDS가 국내 기업·공공기관 재직자 1,750명을 대상으로 2026년 5월에 실시한 조사에 따르면, 응답자가 쓰고 있다고 답한 AI 도구를 브랜드 단위로 통합해 집계했을 때(총 8,744건) 회사 승인 없이 개인이 비용을 부담해 쓰는 경우가 38%로 가장 큰 비중을 차지했습니다. 회사가 엔터프라이즈 버전을 정식 계약해 제공하는 경우(24%)보다 높았습니다.
Shadow AI가 다른 규정 위반과 다른 점은 세 가지입니다.
첫째, 회사 시스템에 흔적이 남지 않습니다. 개인 계정, 개인 기기, 개인 결제로 이루어지기 때문에, 회사가 보유한 로그에 기록이 안 남는 게 당연합니다.
둘째, 외부 AI에 회사의 정보가 입력된 순간 되돌릴 수 없습니다.
셋째, 행위자가 악의적이지 않습니다. 회사 직원은 일을 더 빨리 하려고 했을 뿐입니다. 이런 상황에서 적발과 징계 중심으로 대응하면, 다음부터는 더 깊이 숨을 뿐 사용이 줄지 않습니다. 점검의 목표를 “적발”이 아니라 “보이게 만들기”로 잡아야 하는 이유입니다.
한 가지 덧붙이면, Shadow AI의 상당 부분은 회사 책임입니다. 승인된 도구가 업무에 쓸 만하지 않으면 직원은 다른 길을 찾기 마련입니다.
2. 법적·기술적 쟁점
가. 근로자 사용 AI 점검의 법적 근거 ― 동의에만 기대기 어려운 구조
직원이 어떤 AI를 사용하고 있는지를 확인하는 과정에서, 회사는 어떤 형태로든 그 직원의 개인정보를 처리하게 됩니다. 누가 언제 어떤 사이트에 접속했는지, 어떤 프로그램을 설치했는지, 어떤 파일을 어디로 옮겼는지는 모두 특정 개인과 결합되는 정보입니다.
「개인정보 보호법」 제15조 제1항은 개인정보를 수집·이용할 수 있는 경우를 일곱 가지로 정하고 있습니다. 실무에서 문제가 되는 것은 제1호(동의)와 제6호입니다.
제1호(동의)는 겉보기엔 가장 깔끔하지만, 근로관계에서는 한계가 있습니다. 사용자와 근로자 사이에는 사실상의 우열이 있어, 입사 서류 뭉치에 끼워 받은 포괄적 동의가 자유로운 의사에 따른 것인지 다툼이 생길 수 있기 때문입니다. 따라서 동의를 받아 두되, 동의에만 의존하는 설계는 권하지 않습니다.
제6호는 “개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우”를 들면서, “이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다”는 제한을 붙이고 있습니다.
여기서 결론이 나옵니다. 근로자 사용 AI 점검의 적법성은 “보려는 목적에 필요한 최소한도임을 어떻게 증명할거냐”로 결정됩니다. 수집 항목을 좁히고, 보관기간을 정하고, 열람 권한을 제한하고, 그 판단 과정을 문서로 남긴 회사와 그렇지 않은 회사는 전혀 다른 평가를 받습니다.
그리고 짚을 점이 하나 더 있습니다. 제15조 제1항 제6호로는 아예 갈 수 없는 영역이 따로 있습니다. 동법 제23조 제1항은 “사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보”를 민감정보로 정하고 원칙적으로 처리를 금지하면서, 예외로 ① 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우, ② 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 둘만 들고 있습니다. 제15조 제1항 제6호는 여기에 들어 있지 않습니다.
나. 목적 외 이용
회사가 보안 목적으로 수집해 둔 접속 로그나 반출 기록을 나중에 특정 직원의 징계 근거로 쓰는 경우가 있습니다. 「개인정보 보호법」 제18조 제1항은 “개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 (…) 제3자에게 제공하여서는 아니 된다”고 정하고 있습니다.
문제는 수집 당시에 이용 목적을 어떻게 고지했는가에 따라 갈립니다. “정보보안 및 영업비밀 보호를 위한 모니터링, 규정 위반 확인 및 그에 따른 조치”라고 적어 두었다면 징계 활용은 당초 목적 범위 안에 있다고 볼 여지가 큽니다. 하지만 “시스템 장애 대응 및 보안사고 분석”이라고만 적어 두었다면 다툼이 생깁니다.
한편 제18조 제2항은 목적 외 이용이 허용되는 경우를 열거하면서, “정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는”이라는 상위 제한을 두고, 제1호로 “정보주체로부터 별도의 동의를 받은 경우”를 들고 있습니다. 징계 국면에서 당사자에게 별도 동의를 받는 것은 현실적이지 않습니다.
여기서 반드시 확인해야 할 단서가 하나 더 있습니다. 같은 항 단서는 “제5호부터 제9호까지에 따른 경우는 공공기관의 경우로 한정한다”고 규정하고 있습니다. 그중 제7호가 “범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우”입니다. 즉 민간기업은 이 조항을 근거로 삼을 수 없습니다. 영업비밀 유출 사건에서 수사기관에 접속 로그를 임의제출하면서 이 조항에 기대는 경우를 실무에서 자주 보는데, 근거가 되지 못합니다. 이 대목은 형사절차와 연관되므로 특히 주의하시기 바랍니다.
한편 제15조 제3항은 “당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다”고 하여 별도의 길을 열어 두고 있습니다. 따라서 수집 시점의 목적 기재가 사후의 활용 범위를 전부 결정하는 것은 아닙니다. 다만 그 ‘합리적 관련성’을 입증할 부담이 회사에 있으므로, 처음부터 적어 두는 편이 압도적으로 유리하다는 결론은 달라지지 않습니다.
다. 점검 기록이 비밀관리성의 증거가 되는 구조
⑧화에서 인용한 대법원 2024. 11. 14. 선고 2021다289399 판결은, 원고가 문제된 기술정보에 대해 다운로드 이력을 관리하고 접근자를 통제하였으며 소속 임직원을 대상으로 비밀유지서약서를 징구하고 다른 거래업체와 비밀유지계약을 체결한 사실을 인정한 뒤, 그 정보가 “원고가 합리적인 노력에 의해 비밀로 유지하여 온 것”이므로 원고의 영업비밀에 해당한다고 보았습니다. 규정을 만들었다는 사실이 아니라 그 규정이 운영된 흔적이 평가된 것입니다.
더 눈여겨볼 것은 반대편입니다. 같은 판결은 피고에 대해, “제출된 자료만으로는” 피고가 단지 거래업체와 비밀유지계약을 체결하였다는 사정을 알 수 있을 뿐 더 나아가 합리적인 노력에 의해 비밀로 유지하였다고 보기 어렵다고 하여 피고 측 정보의 영업비밀성을 부정했습니다. 계약서 한 장으로는 부족하고 운영된 흔적이 있어야 한다는 것을, 같은 판결이 양쪽에서 보여 준 셈입니다.
점검도 마찬가지입니다. 정기 점검을 몇 차례 했고, 무엇을 확인했고, 무엇이 나왔고, 어떻게 조치했는지의 기록은 그 자체로 “이 회사는 이 정보를 비밀로 관리해 왔다”는 주장의 자료가 됩니다. 점검은 비용이지만 동시에 자산을 쌓는 일입니다. 점검 기록이 없는 회사는 규정이 아무리 훌륭해도 그것이 종이에만 있었는지 실제로 돌아갔는지를 보여 줄 방법이 없습니다.
3. 기업은 무엇을 갖춰야 하는가 ― 점검의 3계층
한 가지 방법으로 Shadow AI를 다 찾을 수는 없습니다. 성격이 다른 세 층을 겹쳐 놓아야 합니다.
1층. 구조적 탐지 ― 회사 자산의 범위 안에서
회사가 소유하거나 운영하는 자산에서 확인할 수 있는 것들입니다.
– 회사 네트워크에서 외부 AI 서비스 도메인으로의 접속 기록
– 회사 지급 단말의 설치 프로그램·브라우저 확장 목록
– 법인카드 결제내역 중 AI 서비스 구독
– 사내 시스템에서의 대량 복사·다운로드 패턴
다만 이 층의 한계를 분명히 아셔야 합니다. 개인 휴대전화로 사내망을 거치지 않고 접속하면 잡히지 않습니다. 사내 PC 화면을 개인 휴대전화로 찍어 옮기는 경로도 남지 않습니다.
2층. 정기 점검 ― 사람에게 묻는 절차
1층이 닿지 못하는 곳은 물어보는 수밖에 없습니다.
– 반기 1회 부서 단위 AI 사용 현황 확인: 어떤 도구를, 어떤 업무에, 어떤 자료로 쓰고 있는지를 부서장이 정리해 제출
– 분기 1회 표본 점검: 전수가 아니라 부서를 돌아가며 선정. 전수 점검은 비용도 크고 감시 성격이 강해집니다
– 연 1회 익명 설문: 개인 식별 없이 실태만 파악. 이 설문은 조치 목적이 아니라 현황 파악 목적임을 분명히 알려야 응답률이 잘 나옵니다
2층의 핵심은 “쓰고 있다고 말해도 불이익이 없다”는 점을 실제로 지키는 것입니다. 여기서 신고한 내용으로 징계한 사례가 한 번이라도 생기면 다음 점검부터는 아무도 사실대로 Shadow AI 사용 실태를 말하지 않습니다.
개인을 특정하지 않고 도구와 업무 유형만 집계하도록 서식을 만드는 것도 방법입니다.
3층. 상시 신고·상담 채널 ― 이 층이 실제로 제일 중요
– 도구 승인 요청 창구: Shadow AI의 가장 효과적인 대책은 AI 사용 승인 절차를 빠르게 만드는 것입니다. 너무 오래 걸리면 직원은 기다리지 않습니다
– 자진신고 창구: 자진신고에 대한 조치 감경을 규정에 명시해 두어야 작동합니다
– 사고 신고 창구: 실수로 민감한 자료를 입력한 경우에 신고하는 창구입니다
4. 무엇을 기록과 증거로 남겨야 하는가?
점검을 통해 남길 기록은 크게 세 덩어리입니다.
첫째, 점검 체계 자체에 관한 기록
– 점검 근거 문서(규정·취업규칙 조항 번호와 개정 이력, 근로기준법 제94조에 따른 의견청취 또는 동의 절차의 증빙)
– 수집 항목·보관기간·열람권한자를 정한 문서와 그렇게 정한 이유
– 직원에게 고지한 내용과 고지 시점·방법
둘째, 각 점검 회차에 관한 기록
– 실시 일자, 대상 범위, 방법
– 확인된 사항과 확인되지 않은 사항. “이번 점검으로는 확인할 수 없었던 영역”을 함께 적는 것이 중요합니다. 나중에 “왜 몰랐느냐”는 질문에 답할 수 있는 유일한 자료입니다
– 조치 내용과 후속 확인
셋째, 위반 처리에 관한 기록
– 사실 확인 경위와 근거 자료
– 소명기회 부여 사실(일시·방법·대상자 회신 여부)
– 적용한 조치 기준과 결정된 조치, 그리고 기준과 다르게 정했다면 그 이유
– 유사 사안의 과거 처리 이력과의 비교
5. 실무에서 자주 나오는 질문
Q1. 직원 PC의 설치 프로그램 목록을 회사가 확인해도 됩니까?
회사가 지급한 기기라면 확인해도 괜찮을 여지가 큽니다. 다만 “회사 기기이므로 무엇이든 볼 수 있다”는 전제는 성립하지 않습니다. 확인의 근거(개인정보 보호법 제15조 제1항 중 어느 호에 기대는지), 범위(설치 목록만인지 사용 내역까지인지), 사전 고지, 기록 보관기간을 미리 정해 두었는지에 따라 평가가 달라집니다. 설치 프로그램 목록은 업무 관련성이 비교적 뚜렷해 범위를 좁히기 쉬운 편이고, 브라우저 방문 이력 전체나 문서 내용 열람으로 갈수록 판단이 까다로워집니다. 확인 여부보다 범위 설계가 실질입니다.
Q2. 익명 설문에서 위반 사실이 확인되면 조치해야 합니까?
익명 설문은 실태 파악 수단이지 적발 수단이 아닙니다. 익명을 전제로 받은 응답에서 개인을 역추적해 조치하면, 그 순간 회사는 이후의 모든 점검 수단을 잃습니다. 신뢰의 문제만도 아닙니다. 익명 수집을 고지해 놓고 재식별해 조치에 쓰는 것은 앞에서 본 목적 외 이용(제18조 제1항)의 문제로 곧장 이어집니다. 개별 조치가 필요한 사안은 별도의 정식 절차로, 별도의 근거 자료를 통해 진행해야 합니다.
Q3. 위반이 확인되었는데 그 직원이 회사의 핵심 인력입니다. 조치를 낮춰도 됩니까?
기준표에 적힌 사유에 해당한다면 낮출 수 있습니다. 다만 ‘핵심 인력이라서’는 그 사유가 될 수 없습니다. 업무상 중요도를 감경요소로 넣는 순간, 그 기준 자체가 “특정인을 위한 방편”으로 평가될 위험이 생깁니다.
더 조심하셔야 할 것은 반대 방향입니다. 앞서 본 대법원 2011다41420 판결에서, 한 근로자가 비슷한 정도로 가담하고도 정직에 그쳤다는 사정은 같은 사안에서 해임된 다른 근로자들의 징계를 무효로 보는 판단의 근거 가운데 하나로 쓰였습니다. 한 사람을 봐주면 그 사람이 아니라 중징계를 받은 다른 사람의 처분이 흔들립니다.
그러므로 감경은 기준표에 미리 적힌 사유(자진신고, 유출 규모, 반복 여부, 업무상 불가피성)로만, 그리고 같은 사유에 해당하는 모든 사람에게 같은 폭으로 적용하세요.
