섀도 AI는 쉬운 문제였다: 진짜 위험은 승인된 소프트웨어 속 숨은 에이전트다

2년 전, 섀도 AI는 직원들이 고객 데이터를 ChatGPT에 붙여 넣는 것을 뜻했다. 대응은 대체로 감당할 수 있었다. 사용 중인 도구를 찾아 적절한 것은 승인하고, 부적절한 것은 차단하며, 직원들을 교육하면 됐다. 대부분의 조직은 이런 대응 절차를 실행하는 도중에 있다. 61%는 이미 자사 환경에서 섀도 AI를 경험했지만, 이 절차는 대체로 효과가 있다.

그러나 이런 설명만으로는 이제 문제를 제대로 짚을 수 없다. 섀도 AI는 행동의 문제를 넘어 아키텍처의 문제로 바뀌었다. 공급업체가 내장한 AI 에이전트와 직원이 직접 연결한 AI 에이전트가 승인된 시스템 안에서 물려받은 인증 정보로 작동한다. 기존 거버넌스는 이런 환경을 따라가지 못하며, 아이덴티티가 유일한 실질적 통제 지점이 된다.

놓치고 있는 두 가지 그림자

2026년에 주목할 질문은 직원이 어떤 AI 도구를 열었느냐가 아니다. 승인된 공급업체가 지난 분기 제품 업데이트에 어떤 AI 에이전트를 조용히 포함했고, 그 에이전트가 자신을 설치한 사람에게서 어떤 권한을 물려받았느냐가 중요하다.

섀도 AI는 한때 행동의 문제였다. 눈으로 확인하고, 이름을 붙이고, 대응 정책을 만들 수 있었다. 지금 확산되는 형태는 구조적이다. 이미 승인한 소프트웨어를 통해 들어오고, 이미 발급한 인증 정보로 움직이며, 이미 감사한 워크플로에서 작동한다. 그림자는 더 이상 행동이 아니라 아키텍처에 숨어 있다. 직원들도 여전히 관여하지만, AI를 사용하는 데서 직접 배포하는 쪽으로 역할이 바뀌었다. 쉽게 연결하도록 설계된 인터페이스로 자신이 이미 접근할 수 있는 시스템에 에이전트를 연결한다. 첫 번째 행동을 전제로 만든 정책은 두 번째 행동까지 포괄하지 못한다.

그래서 “금지하자”는 말은 애초에 논쟁의 핵심이 아니었다. 기업용 도구를 승인하고 직원들을 통제되는 대안으로 유도해 섀도 AI에 선제적으로 대응한 CISO들은 그 국면에서는 승리했다. 그러나 다음 국면은 이미 시작됐고, 경로도 하나가 아니라 둘이었다. 첫 번째는 승인된 공급업체가 이미 운영 중인 제품에 추가하는 기능이다. 내장 모델, 에이전트 모드, 새로운 연동 기능이 아무도 읽지 않은 릴리스 노트와 함께 들어온다. 두 번째는 직원들이 직접 만드는 연결이다. 노코드 자동화로 CRM에 연결한 LLM, 데이터 웨어하우스 API 키를 받은 Custom GPT, 데스크톱 어시스턴트와 운영 시스템 사이의 MCP 연결이 여기에 해당한다. 둘 다 같은 결과를 낳는다. 에이전트가 승인된 인증 정보로 승인된 시스템에서 움직이지만, 해당 워크플로는 이런 에이전트를 발견하기 위한 검토를 한 번도 받지 않았다. 조달 부서는 첫 번째 경로를 파악하면서도 두 번째는 완전히 놓칠 수 있다.

첫 국면에서의 성과가 실제로는 고르지 않았다는 점도 솔직하게 인정해야 한다. 조직 10곳 중 9곳이 AI 관련 IT 예산 증액을 계획하고 있으며, 많은 조직이 향후 6~24개월 동안 IT 운영 전반으로 활용 범위를 더 넓히려 한다. 지출은 지능형 기능으로 몰리고, 통제 장치는 조금씩 뒤를 따라간다. 이런 불균형 자체가 문제이지 부수 효과가 아니다.

보안 경계는 언제나 인간의 행동을 둘러싸고 있었다

첫 번째 물결에 통했던 사고방식은 이번 물결에는 통하지 않는다. 직원의 행동으로서의 섀도 AI는 보안팀이 영향을 줄 수 있는 선택을 사람이 과정 안에서 한다고 전제했다. 공급업체의 아키텍처로서의 섀도 AI는 그 선택 자체를 없앤다. 이메일 초안을 쓴 모델, 회의 일정을 잡은 에이전트, 문서를 요약해 다음 사람에게 넘긴 어시스턴트가 그렇다. 어느 경우도 사용하라는 지시를 받은 소프트웨어를 계속 쓰는 것 외에 다른 행동을 직원에게 요구하지 않았다.

솔직히 말해 대부분의 보안 프로그램이 아직 지키는 경계는 인간의 행동을 둘러싼 경계였다. 직원이 도구를 열고, 접근을 허용하고, 보안팀이 관찰하고 영향을 줄 수 있는 결정을 내렸다. 그 경계가 두 방향에서 동시에 무너지고 있다. 위에서는 공급업체가 어떤 검토 절차도 따라잡지 못할 속도로 승인된 제품에 에이전트를 넣는다. 아래에서는 직원이 사용자에서 통합자로 역할을 바꾸고, 셀프서비스용으로 만들어져 거버넌스를 위한 계측·감시 기능을 갖추지 않은 인터페이스를 통해 에이전트를 시스템에 연결한다. 대체 경계는 아이덴티티가 무엇을 하는지에 맞춰 구축해야 한다. 그 아이덴티티가 인간인지, 누가 배포했는지와 무관하게 통제하려면 대부분의 조직에 아직 없는 통합 통제 체계가 필요하다.

행동을 확인할 수 있는 마지막 지점

아이덴티티는 적절한 통제 지점이지만, 문제를 바라보는 관점은 달라져야 한다. 기존의 “아이덴티티가 새로운 경계다”라는 설명은 사용자, 기기, SaaS가 어디에나 있다는 사실에 근거했다. 이는 10년 전에도 맞았고, 이제는 기본 전제다. 2026년에 중요한 의미는 다르다. 아이덴티티는 AI가 실제로 무엇을 하는지 확인할 수 있는 유일하게 남은 지점이다. AI가 행동을 시작할 때는 도구의 경계를 이미 넘었기 때문이다. 에이전트는 누군가의 인증 정보로 움직인다. 누구의 것인지, 권한 범위는 어디까지인지, 어떤 데이터를 대상으로 하는지, 누구의 승인을 받았는지를 물어야 한다. 이 질문들만이 유용한 감사 추적 기록을 만든다. 도구 단위의 거버넌스는 답할 수 없다. 도구가 더 이상 분석 단위가 아니기 때문이다.

IT 리더의 거의 90%는 통합이 AI를 안전하게 도입하고 활용을 확장하는 역량에 직접 영향을 준다고 이미 인식한다. 더 어려운 질문은 통제 계층에서 통합이 실제로 무엇을 뜻하느냐다. 단순히 대시보드 수를 줄이는 것으로는 부족하다. 인간, 서비스 계정, 에이전트, 내장 모델을 막론하고 모든 주체에게 같은 방식으로 접근 환경을 제공하고, 권한 범위를 정하고, 감시하고, 사용을 종료하는 단일 아이덴티티 체계를 뜻한다. 그에 못 미치면 거버넌스를 일원화한 듯 보일 뿐, 실제 통제의 집행은 조각나 있게 된다.

공급업체 검토에는 유효기간이 있다

안타깝게도 공급업체 검토가 유효한 기간은 한정돼 있다. 이는 보안 프로그램의 구성에 불편한 문제를 제기한다. 대부분의 AI 거버넌스 위원회는 도구 검토를 중심으로 구성된다. 공급업체를 평가한 뒤 등록부에 넣기 위해 승인하거나 거부한다. 이 과정은 승인 당시 도구의 행동이 운영 환경에서도 같을 것이라고 전제한다. AI가 내장된 소프트웨어에서는 승인 문서의 잉크가 마르기도 전에 그 전제가 무너진다. 공급업체가 새 모델, 새 에이전트 모드, 새 연동 기능을 내놓으면 6개월 전에 승인된 거버넌스 검토는 더 이상 존재하지 않는 제품을 설명하게 된다.

도구에서 아이덴티티로

끝까지 기능할 프로그램은 거버넌스의 초점을 도구에서 아이덴티티로 옮긴다. 어떤 주체가 수행하든 여러분의 데이터에 대한 모든 행동을 소유자, 권한 범위, 유효 수명이 명확한 아이덴티티로 추적할 수 있어야 한다. 인간인지 비인간인지, 직원인지 에이전트인지, 승인된 도구인지 내장 모드인지와 상관없이 질문은 같다. 누구 또는 무엇이며, 어떤 행동을 허용받았고, 그 권한이 언제 끝나야 하는지 어떻게 아는가? 답할 수 있는 프로그램은 도구 승인 경쟁에서 이길 필요가 없다. 답하지 못하는 프로그램은 어떤 검토 절차보다 빠르게 기능을 내놓는 공급업체와 직원들의 뒤를 쫓게 된다.

섀도 AI라는 범주가 사라지는 것은 아니다. 특히 에이전트가 일하는 새로운 시대에는 이미 72%의 조직이 AI 에이전트를 운영 환경에 배치했다. 다만 섀도 AI는 더 큰 문제에서 차지하는 비중이 작아지고 있다. 다음 예산 주기를 도구 발견과 승인 정책에 쓰는 조직은 2024년의 문제를 2026년의 일정에 맞춰 풀고 있다. 반면 인간, 에이전트, 그 사이의 복잡한 연속체를 위한 아이덴티티 계층의 계측·감시 기능에 투자하는 조직은 실제로 마주하게 될 문제를 해결한다.

섀도 AI의 첫 번째 물결은 직원의 호기심을 앞질러 갈 수 없다는 사실을 보안팀에 가르쳤다. 두 번째 물결은 공급업체의 속도와 직원의 창의성도 앞질러 갈 수 없다는 사실을 가르칠 것이다. 두 교훈은 같은 결론으로 이어진다. 거버넌스의 단위는 애초에 도구가 될 것이 아니었다. 그 도구를 통해 행동하는 아이덴티티가 될 것이었다.