메가존클라우드, 포털26과 손잡고 섀도우 AI 관리…기업이 확인할 것

AI를 활용하여 생성한 이미지입니다.

회사에서 생성형 AI를 쓰는 사람이 늘수록 보안팀이 모르는 사용도 함께 늘어날 수 있어요. 메가존클라우드는 9월 28일 미국 포털26(Portal26)과 전략적 리셀러 계약을 맺고, 기업이 승인하지 않은 AI 사용까지 찾고 관리하는 플랫폼을 국내에 공급한다고 밝혔어요.[1][2]

이 발표의 핵심은 새로운 챗봇을 내놓았다는 데 있지 않아요. 직원이 업무 중 어떤 AI 서비스를 쓰는지, 입력창에 민감정보가 들어갔는지, 부서별 사용량과 비용이 얼마나 되는지를 한 번에 살피는 관리 도구에 가까워요.

무슨 제품을 국내에 공급하나

양사가 공급하는 제품은 포털26의 ‘AI 어답션 매니지먼트 플랫폼’이에요. 메가존클라우드는 국내 단독 리셀러로서 기술 지원과 고객 환경에 맞춘 보안·거버넌스 체계 설계를 맡고, 포털26은 플랫폼과 관련 기술을 제공해요.[1]

플랫폼은 사내 개발환경뿐 아니라 직원이 웹에서 따로 사용하는 생성형 AI도 파악하도록 설계됐어요. 회사가 공식 승인하지 않은 서비스를 업무에 쓰는 ‘섀도우 AI’를 네트워크와 브라우저 단계에서 탐지·분석하는 방식이에요.[1][2]

섀도우 AI가 왜 문제가 될까

생성형 AI는 별도 도입 절차 없이 브라우저에서 바로 쓸 수 있어요. 직원 입장에서는 업무를 빨리 처리하려는 행동일 수 있지만, 회사 입장에서는 입력한 문서가 어디로 전송되는지, 그 서비스가 어떤 보안 약관을 적용하는지 알기 어려워져요. 같은 업무를 여러 팀이 각자 유료 서비스로 처리하면 비용도 흩어질 수 있고요.

포털26 플랫폼은 프롬프트 단위에서 민감정보를 찾아 가리거나 입력을 차단하고, 사용 기록을 감사 추적 형태로 보관한다고 설명해요.[1][2] 다만 이 기능이 자동으로 모든 비밀정보를 알아내거나 위험을 완전히 없애준다는 뜻은 아니에요. 회사가 민감정보의 범위와 예외 업무를 먼저 정해야 실제 정책이 작동해요.

기업용 AI 관리가 단순 차단과 다른 점

기업이 AI를 전부 막으면 통제는 쉬워 보여도 현장에서는 개인 서비스로 우회할 가능성이 있어요. 이번 플랫폼은 어떤 도구가 이미 쓰이고 있는지부터 확인한 뒤, 위험한 입력과 비용을 관리하는 접근을 내세워요.[1] 업무에 필요한 도구는 허용하되, 데이터 종류와 사용 목적에 따라 조건을 다르게 두는 방식이에요.

메가존클라우드는 설치에 약 30분이 걸린다고 설명했어요.[1][2] 실제 시간은 네트워크 구조, 브라우저 적용 범위, 기존 보안 솔루션과의 연동 여부에 따라 달라질 수 있어요. 짧은 설치 시간만 보고 전체 거버넌스가 바로 완성된다고 생각하면 안 돼요.

국내 기업이 먼저 정할 세 가지

1. 사내 문서·개인정보·소스코드처럼 AI 입력을 제한할 데이터 종류를 분류해요.
2. 업무에 허용할 AI 서비스와 검토가 필요한 서비스를 나누고 담당 부서를 정해요.
3. 팀별 사용량과 비용을 누가 보고 어떤 기준으로 조정할지 정해요.
4. 차단보다 교육이 필요한 사례를 따로 기록해 직원이 정책을 이해하도록 안내해요.

이 순서를 정하지 않은 채 감시 도구부터 도입하면 경고는 많이 쌓이지만 실제 대응은 늦어질 수 있어요. 반대로 사용 현황과 정책을 함께 운영하면 AI를 일괄 차단하지 않고도 위험한 입력과 불필요한 비용을 줄일 여지가 생겨요.

이번 발표에서 아직 확인되지 않은 부분

공개된 발표만으로는 국내 고객의 구체적인 요금, 지원 브라우저 목록, 한국어 탐지 범위, 데이터가 처리·보관되는 위치까지 확인하기 어려워요. 도입을 검토하는 기업은 계약 전에 탐지 기준, 예외 처리, 로그 보관, 관리자 권한, 기존 보안 도구와의 연동 방식을 확인해야 해요.

이번 소식은 기업용 AI가 확산되면서 보안의 질문도 ‘AI를 쓸까 말까’에서 ‘누가 어떤 데이터를 어떤 서비스에 넣는가’로 옮겨가고 있다는 사례예요. 개인 사용자에게는 회사 자료를 외부 AI에 그대로 붙여 넣지 않는 기본 원칙이 여전히 가장 중요해요.

보안팀과 현업이 함께 봐야 하는 이유

섀도우 AI를 찾는 기능은 보안팀만 쓰는 감시 도구가 아니에요. 현업이 어떤 업무에서 어떤 모델을 선택하는지 알아야 회사가 공식 도구를 정할 수 있어요. 예를 들어 번역이나 회의 요약처럼 위험이 낮은 작업과 고객정보·소스코드를 다루는 작업은 같은 규칙으로 관리하기 어렵죠. 정책이 지나치게 넓으면 직원은 우회하고, 지나치게 느슨하면 사고가 난 뒤에야 사용 흔적을 찾게 돼요.

또한 로그를 많이 모으는 것 자체가 안전을 보장하지는 않아요. 프롬프트 기록에는 업무 내용과 개인정보가 들어갈 수 있으므로 관리자 권한, 열람 사유, 보관 기간을 함께 정해야 해요. 직원에게 무엇을 기록하고 어떤 경우에 차단하는지 설명해야 내부 반발도 줄일 수 있어요.

도입 효과는 무엇으로 측정할까

도입 뒤에는 차단 건수보다 위험한 입력이 줄었는지, 승인된 도구로 사용이 모였는지, 부서별 비용이 예측 가능해졌는지를 봐야 해요. 경고를 많이 띄우는 솔루션이 반드시 좋은 솔루션은 아니에요. 오탐이 많으면 현업이 경고를 무시할 수 있으니, 실제 사고 사례와 업무 불편을 같이 기록하는 편이 낫습니다.

메가존클라우드와 포털26의 이번 협력은 국내 기업이 AI를 도입할 때 보안·비용·사용 현황을 따로 관리하지 않고 한 정책 안에서 보려는 흐름을 보여줘요.[1][2] 다만 어떤 기업에 적합한지는 조직 규모와 기존 보안 체계, 사용하는 AI 서비스에 따라 달라요.

출처

• ZDNet Korea, 메가존클라우드·포털26 전략적 리셀러 협력
• 디지털데일리, 포털26 솔루션 국내 공급