아카마이 “기업 AI 대화 절반은 개인 계정”…AI 활용 역량에 보안이 더해진다

케임브리지에 본사를 둔 아카마이가 기업의 공식 도입 절차보다 빠르게 확산하는 생성형 AI 사용을 새로운 데이터 관리 과제로 지목했다. 직원이 회사의 통제 밖에서 AI를 사용하는 이른바 ‘섀도 AI’가 늘면서, AI 활용 능력뿐 아니라 계정·자료·접근 권한을 안전하게 관리하는 역량도 중요해지고 있다는 분석이다.

아카마이가 8월 5일 공개한 ‘기업 AI 사용 위험 보고서 2026’에 따르면, 조사 기간인 지난 1년 동안 기업 사용자 가운데 약 절반이 AI 도구를 이용했다. 그러나 매주 사용한 비율은 18%였다. ChatGPT는 전체 기업 사용자의 36%가 이용했지만, 전체 AI 대화에서 차지한 비중은 55%를 넘었다.

계정 관리에서는 더 뚜렷한 공백이 나타났다. 기업 내 AI 대화의 약 절반이 회사가 관리하는 계정이 아닌 개인 계정을 통해 이뤄졌고, 전체 대화의 6% 이상에는 민감정보가 포함된 것으로 분석됐다. 개인 계정으로 회사 업무를 처리하면 기업이 정한 데이터 보관·삭제 정책이나 감사 기록이 적용되지 않을 수 있다는 점이 핵심 위험이다.

AI 사용량도 직원 전체에 고르게 분포하지 않았다. 이용자의 절반은 1년 동안 AI 대화가 12건 이하였지만, 상위 5%는 144건 이상을 기록했다. 일반 사용자가 대화 한 건에 통상 1~2개의 지시문을 입력한 것과 달리 상위 5%는 평균 18개를 입력했다. 보안 위험이 모든 직원에게 같은 수준으로 퍼지기보다 AI를 업무 깊숙이 연결한 일부 ‘파워 유저’에게 집중될 수 있음을 보여준다.

다만 이 수치를 미국 전체 직장이나 보스턴 지역 기업에 그대로 적용하기는 어렵다. 보고서는 아카마이가 인수한 브라우저 보안업체 LayerX가 확보한 실제 기업 사용 데이터를 바탕으로 작성됐지만, 공개된 요약 자료에는 표본의 전체 규모와 산업·기업 규모별 구성이 상세히 제시되지 않았다. 정부의 대표 통계가 아닌 보안 공급업체 데이터인 만큼, 각 비율보다는 개인 계정과 확장 프로그램, 연결 도구를 통해 위험이 발생하는 경로를 보여주는 자료로 읽는 편이 적절하다.

아카마이는 지난 7월 2일 LayerX 인수를 완료했다. 앞서 발표된 인수 합의 금액은 약 2억500만 달러였다. 웹사이트와 클라우드 서비스를 보호해 온 아카마이가 브라우저 단계의 AI 사용 통제 기술을 확보한 것은 기업 보안의 중심이 네트워크 보호에서 실제 사용자의 작업 흐름까지 넓어지고 있음을 보여준다.

보고서는 위험의 범위가 챗봇에 텍스트를 입력하는 행위를 넘어 브라우저 확장 프로그램과 자율형 AI 에이전트로 이동하고 있다고 설명한다. 조사 대상 AI 확장 프로그램 가운데 약 75%가 높거나 중대한 수준의 접근 권한을 요구했고, 16.3%에는 알려진 보안 취약점이 포함됐다. 지나치게 넓은 권한을 가진 확장 프로그램은 API 키와 소스코드 같은 정보를 읽을 수 있고, 웹페이지에 숨겨진 악성 지시가 AI 에이전트의 행동에 영향을 주는 ‘프롬프트 인젝션’도 관리 대상이 된다.

보스턴권에서는 이런 문제가 일반 사무자료를 넘어 연구 데이터와 지식재산 관리로 이어진다. 케임브리지와 롱우드 지역의 바이오·의료기관과 대학 연구실, 로보틱스 및 기업용 소프트웨어 회사는 미공개 실험 결과, 환자 관련 정보, 특허 준비 자료, 소스코드를 다룬다. 이러한 내용을 개인 AI 계정에 입력하면 조직이 자료의 저장 위치와 삭제 시점, 재사용 여부를 확인하기 어려워질 수 있다.

그렇다고 AI 사용을 전면 금지하는 정책만으로 실제 업무 흐름을 관리하기도 쉽지 않다. 승인된 기업용 계정과 명확한 데이터 분류 기준을 제공하고, 통합 로그인과 대화 기록, 보관 기간, 입력 자료의 모델 학습 사용 여부를 함께 확인하는 접근이 현실적이다. AI를 자주 사용하는 직원과 민감정보를 다루는 직무에는 일률적인 교육보다 계정 유형과 데이터 이동 경로에 맞춘 관리가 더 중요해질 수 있다.

직무 측면에서는 AI가 보안 인력을 단순히 대체한다기보다 업무 범위를 넓히는 흐름에 가깝다. 조직 내 AI 사용 경로를 파악하는 보안 분석, 계정별 권한을 설계하는 아이덴티티 관리, 민감정보 유출 방지, AI 에이전트의 행동 기록과 결과를 검증하는 역할이 함께 필요해진다. 개발자에게도 코드 생성 속도뿐 아니라 비밀키 관리, 확장 프로그램 권한 검토, 사람의 최종 확인 절차와 감사 가능한 작업 기록을 설명하는 능력이 요구될 가능성이 있다.

유학생과 이직 준비자는 포트폴리오에서 어떤 AI 도구를 사용했는지만 강조하기보다 회사 데이터와 개인 데이터를 어떻게 분리했는지, 사람이 어느 단계에서 결과를 검토했는지, 접근 권한과 로그를 어떻게 관리했는지를 함께 보여줄 수 있다. 사이버보안 분야 가운데 정부·방산 고객을 상대하는 일부 직무에는 시민권이나 보안인가 요건이 붙을 수 있으므로, 취업비자 지원 여부와 별도로 채용 공고의 자격 조건을 초기에 확인할 필요가 있다. 이는 일반적인 취업 정보이며 개인별 비자 판단은 학교 담당 부서나 자격을 갖춘 전문가에게 확인해야 한다.

현직자와 스타트업이 우선 살펴볼 부분은 업무용 AI의 개인 계정 사용 여부, 고객·연구 데이터 입력 기준, 설치된 브라우저 확장 프로그램과 연결 도구의 권한이다. 장기적으로 기업 AI 도입의 기준은 사용량 자체보다 누가 어떤 데이터에 접근해 어떤 행동을 실행했고, 그 과정을 조직이 추적하고 설명할 수 있는지에 맞춰질 가능성이 크다.