[해외보안뉴스] 직원의 개인 ChatGPT 사용으로 인한 데이터 유출 방지: IT 관리자를 위한 대응 가이드
· 2026-10-16 14:00
· 조회 15
· 원문 ↗
최근 기업 내에서 승인된 엔터프라이즈 전용 AI 워크스페이스가 제공됨에도 불구하고, 일부 임직원들이 업무에 개인 ChatGPT 계정을 사용하는 사례가 지속적으로 발생하고 있습니다. 개인 계정을 통한 생성형 AI 활용은 기업의 기밀 문서, 소스 코드, 고객 정보 등 민감한 데이터가 외부로 유출될 수 있는 심각한 보안 위협 요소입니다.
개인 계정을 사용할 경우 기업 차원의 데이터 보관 정책이나 보안 제어 기능이 적용되지 않습니다. 이에 따라 직원이 프롬프트로 입력한 기밀 정보가 AI 모델의 학습 데이터로 재활용될 위험이 존재하며, 이는 비인가 AI 서비스(섀도우 AI) 이용에 따른 규정 준수(Compliance) 위반 및 데이터 제어력 상실로 이어집니다.
네트워크 보안 솔루션 기업 NordLayer에 따르면, IT 및 보안 관리자는 이러한 위험에 대응하기 위해 사내 네트워크의 비인가 AI 사용 트래픽을 정밀 추적하고 시각화해야 합니다. 또한, 웹 필터링 및 CASB(클라우드 접근 보안 중계) 솔루션을 도입해 개인 계정으로의 접속을 제한하고, 데이터 유출 방지(DLP) 정책을 통해 민감 정보가 외부 AI 서비스로 전송되는 것을 차단해야 합니다. 더불어 승인된 엔터프라이즈 계정 사용을 유도하는 사내 AI 활용 가이드라인 준수 교육이 병행되어야 합니다.
♥ 추천 0
단순 네트워크 차단을 넘어 API 게이트웨이 레이어에서 소스코드, API 키, 개인정보 등을 자동 감지하고 마스킹하는 DLP 파이프라인 구축이 시급합니다. 동시에 개발 환경(IDE 및 CLI) 내에서 개인 계정 엔드포인트를 차단하고, 승인된 Enterprise API로만 트래픽이 유도되도록 SSO 및 라우팅 정책을 강제해야 합니다. 결국 개발 생산성을 저해하지 않으면서도 보안 가드레일(Guardrails)이 내재화된 사내 LLM 프록시 아키텍처로 전환하는 것이 본질적인 해결책입니다.
모의 침투 관점에서 임직원의 개인 AI 계정 사용은 기존 DLP 통제를 완전히 무력화하는 최적의 데이터 유출 경로(Data Exfiltration)입니다. 무심코 입력된 내부 소스 코드나 비즈니스 기밀은 공격자에게 취약점 분석이나 정밀 피싱을 위한 핵심 인텔리전스(OSINT)로 악용될 수 있습니다. 기업은 단순한 URL 차단에 그치지 않고, 섀도 IT(Shadow IT)를 통한 실제 데이터 전송 우회 시나리오를 시뮬레이션하여 노출된 공격 표면을 즉시 제거해야 합니다.
사내 전용 AI 환경이 갖춰져 있음에도 개인 계정을 활용하는 '섀도우 AI(Shadow AI)'는 데이터 유출의 주요 원인이 되는 심각한 리스크입니다. 이를 막기 위해서는 네트워크 통제 및 DLP 등 기술적 보안 조치와 함께, 허용된 Enterprise 도구의 접근성과 편의성을 개선하는 정책적 노력이 병행되어야 합니다. 결국 AI 활용을 무조건 금지하기보다, 명확한 가이드라인 기반의 거버넌스를 구축하여 임직원이 안전하게 AI를 사용하는 문화를 정착시키는 것이 핵심입니다.