가이드라인 없는 회사에서, 직원들은 이미 AI를 쓰고 있다
회사가 AI 정책을 정하지 않았다고 해서, 직원들도 AI를 안 쓰는 건 아닙니다. 78%가 미승인 AI를 이미 쓰고 있다는 조사가 말하는 건, '결정을 미룬 대가'입니다.
"우리 회사는 아직 AI 가이드라인이 없어요." 이 말을 하는 담당자는 대개 이렇게 덧붙입니다. "그래서 아직 AI를 안 쓰고 있어요." 이 두 번째 문장은, 안타깝지만 거의 항상 틀립니다.
이미 쓰고 있다, 몰래
WalkMe와 SAP가 2025년 진행한 조사에 따르면, 회사가 공식적으로 승인하지 않은 AI 도구를 이미 업무에 쓰고 있는 직장인이 **78%**에 달했습니다. LayerX와 KPMG의 후속 조사는 더 구체적인 숫자를 보여줍니다. 그중 **77%**는 사내 문서나 고객 정보 같은 민감 데이터를 그 도구에 그대로 입력한 적이 있다고 답했고, **82%**는 회사 계정이 아닌 개인 계정으로 AI를 우회해서 씁니다. 정책이 없는 게 아니라, 정책이 없는 자리를 직원 각자의 판단이 채우고 있는 겁니다.
회사 미승인 AI 도구를 이미 업무에 쓰고 있는 직장인의 비율. 77%는 민감 데이터를 입력한 경험이 있고, 82%는 개인 계정으로 우회해서 씁니다. — WalkMe×SAP(2025), LayerX, KPMG
세 자리에서 보이는 세 가지 풍경
같은 현상인데, 어느 자리에서 보느냐에 따라 완전히 다른 위기로 보입니다.
아래 인터뷰는 실제 조직 상담 과정에서 반복적으로 마주친 관점들을 재구성한 가상 대화입니다.
신OO · 정보보안팀
"유출 경로를 찾을 수가 없어요"
"사내망 로그는 다 보는데, 직원 개인폰으로 접속한 AI 서비스는 저희 시야 밖이에요. 문제가 터져도 언제 무슨 정보가 어디로 나갔는지 재구성할 방법이 없습니다."
윤OO · 영업지원 실무자
"쓰지 말라는 말도 없었는데요"
"제안서 초안 잡을 때 편하니까 썼죠. 회사에서 되는지 안 되는지 알려준 적이 없어서, 안 되는 줄도 몰랐어요. 막상 문제 됐다니까 저만 억울해요."
한OO · 인사팀장
"저희도 얼마 전에야 알았어요"
"경영진 보고 자료를 준비하다가, 실무진 대부분이 이미 각자 방식으로 AI를 쓰고 있다는 걸 처음 알았습니다. 저희가 '검토 중'이라며 미루는 사이에, 현장은 이미 저만치 가 있었더라고요."
보안팀은 통제력을 잃었다고 느끼고, 실무자는 억울해하고, 경영진은 뒤늦게 놀랍니다. 세 반응 모두 같은 원인에서 나옵니다 — 아무도 기준을 정하지 않았다는 것.
FLOW의 시각 — 정책 부재는 중립이 아니라 최악의 선택
"금지할 것인가, 방치할 것인가"는 질문 자체가 잘못됐습니다. 금지는 현실을 못 따라가고(직원들은 이미 쓰고 있으니까요), 방치는 위 세 사람의 불안을 그대로 방치하는 것과 같습니다. 정책을 정하지 않는 것도 하나의 결정이고, 이 조사가 보여주는 건 그 결정의 청구서가 이미 도착했다는 사실입니다.
제가 조직에 제안하는 순서는 늘 같습니다. 먼저 가이드라인 — 무엇을 입력해도 되고 무엇은 절대 안 되는지, 한 페이지로 명확하게. 다음은 승인 도구 — 개인 계정으로 우회할 필요가 없도록, 회사가 검증한 도구를 실제로 편하게 쓸 수 있게 제공. 마지막이 교육인데, 이건 규칙 암기가 아니라 "왜 이 선이 그어졌는지"에 대한 리터러시입니다. 이 세 가지가 순서대로, 동시에 있어야 합니다. 가이드라인만 있고 도구가 없으면 직원은 다시 개인 계정으로 돌아가고, 도구만 있고 교육이 없으면 그 도구조차 위험하게 씁니다.
Shadow AI는 직원이 규칙을 어겨서 생기는 문제가 아닙니다. 규칙이 없는 자리를 누군가는 채워야 했고, 가장 가까이 있던 개인 계정이 그 자리를 채운 것뿐입니다. 우리 조직의 AI 사용 기준은 지금, 누가 정하고 있습니까.