답변게시됨19 소스
직원들의 AI 사용 속도, 기업 통제를 앞지르다
싱가포르 DevSecOps 관계자 10명 중 6명은 거버넌스와 정책 집행을 가장 큰 시간 부담으로 꼽았고, 41%는 AI 생성 코드 검토에 많은 자원이 든다고 답했습니다. JFrog 조사에서 싱가포르 조직의 18%는 승인되지 않은 AI 도구 사용을 금지하는 정책은 있지만, 위반을 감지할 방법은 없는 것으로 나타났습니다.
게시자GPT-6 Luna로 편집GPT Image 2로 이미지 생성
연구 답변
주요 시사점
- 싱가포르 DevSecOps 관계자 10명 중 6명은 거버넌스와 정책 집행을 가장 큰 시간 부담으로 꼽았고, 41%는 AI 생성 코드 검토에 많은 자원이 든다고 답했습니다.
- JFrog 조사에서 싱가포르 조직의 18%는 승인되지 않은 AI 도구 사용을 금지하는 정책은 있지만, 위반을 감지할 방법은 없는 것으로 나타났습니다.
- 대응의 핵심은 소스 코드뿐 아니라 AI 모델과 외부 구성요소까지 파악하고, 실제로 집행할 수 있는 통제를 연결하는 것입니다.
AI 프롬프트
openai.comCreate a landscape editorial hero image for this Studio Global article: How is employee adoption of shadow AI outpacing governance controls in Singapore companies, and what do JFrog’s Sunny Rao and Splunk’s Chris. Article summary: Employee use of unapproved AI is moving faster than Singapore companies can discover it, review its outputs and enforce internal rules, creating a gap between written governance and operational control. The reported cons. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
직원들이 업무에 AI 도구를 도입하는 속도가 기업의 보안·IT 부서가 사용 현황을 파악하고 내부 규정을 적용하는 속도보다 빠를 수 있습니다. 싱가포르 관련 조사 결과는 정책을 마련하는 것과 소프트웨어 개발 현장에서 이를 실제로 집행하는 것 사이에 간극이 있음을 보여줍니다. 3
5
6
규정은 있는데, 실제 사용은 보이지 않는다
‘섀도 AI’는 조직의 승인이나 감독 없이 업무에 쓰이는 AI 도구를 뜻합니다. 직원들이 일을 더 빨리 처리하려고 이런 도구를 사용할 수 있지만, 보안·IT 부서가 사용 위치와 공유되는 정보까지 파악하지 못하면 관리의 빈틈이 생깁니다. 14
정책을 문서로 갖췄다고 해서 직원들이 이를 따르는지, 승인되지 않은 도구 사용을 찾아낼 수 있는 것은 아닙니다. JFrog 조사에 따르면 싱가포르 조직의 18%는 승인되지 않은 AI 도구 사용을 금지하는 정책이 있지만, 위반 여부를 감지할 장치는 없다고 답했습니다. 3
빨라지는 개발, 커지는 검토 부담
오늘날 애플리케이션은 조직이 직접 작성한 코드만으로 만들어지지 않습니다. 오픈소스 패키지와 클라우드 서비스, AI 생성 코드와 모델, 외부 업체의 도구 등이 함께 쓰일 수 있습니다. 구성요소가 늘어날수록 기업이 추적하고 점검해야 할 대상도 넓어집니다. 5
JFrog 조사에서 싱가포르 DevSecOps 관계자의 60%는 거버넌스와 정책 집행을 가장 큰 시간 부담으로 꼽았습니다. DevSecOps는 개발·보안·운영을 함께 고려하는 업무 방식입니다. 응답자의 41%는 AI 생성 코드를 검토하는 데도 많은 자원이 든다고 답했습니다. 5 이는 조사에 참여한 관계자들이 겪는 부담을 보여주는 수치이며, 모든 기업의 위험 수준이 같다는 뜻은 아닙니다.
감사 대응을 위한 자료 준비에도 시간이 걸리는 것으로 나타났습니다. 싱가포르 조사 결과를 전한 별도 보도에 따르면 응답자의 54%는 애플리케이션 하나에 대한 규정 준수 증빙을 마련하는 데 최소 일주일이 필요하다고 답했습니다. 7 애플리케이션 담당자가 누구인지 아는 것과 구성요소 및 준수 현황을 신속하게 입증하는 것은 별개의 문제입니다.
코드 검토를 넘어 데이터와 의존성까지
승인되지 않은 AI 도구가 보안 관리 범위 밖에 있으면, 직원이 소스 코드나 고객 정보 등 민감한 내용을 입력해 조직의 통제 밖으로 옮길 위험이 있습니다. 보안 관련 안내 자료도 섀도 AI가 민감한 데이터를 조직의 통제 범위 밖으로 이동시킬 수 있다고 지적합니다. 23
24
AI가 생성한 코드와 결과물 역시 실제 업무에 적용하기 전에 검토해야 합니다. 싱가포르 조사에서는 그 검토에 상당한 자원이 들 수 있다는 점이 확인됐지만, 제공된 자료만으로는 오류가 고객이나 핵심 시스템에 얼마나 자주 영향을 미치는지 알 수 없습니다. 5
사용 금지 규정만으로는 기업이 파악하지 못하는 도구의 사용까지 막을 수 있다고 보기 어렵습니다. 조사 결과가 보여주듯 운영상 필요한 것은 금지 항목을 문서로 적는 데 그치지 않고, AI 사용을 찾아내 규칙을 실제로 적용할 수 있는 체계를 갖추는 일입니다. 3
소스 코드에서 소프트웨어 공급망 전체로
JFrog의 써니 라오는 현대 애플리케이션이 내부 코드와 오픈소스 패키지, 클라우드 서비스, AI 생성 코드·모델, 외부 업체 도구가 결합된 형태라고 설명했습니다. 이런 관점에서는 보안 점검의 범위도 소스 코드에만 머물지 않고 애플리케이션에 들어가는 구성요소 전반으로 넓어집니다. 5
Splunk의 크리스틴 로는 AI를 확대하려는 조직이 규정 준수와 데이터 거버넌스 요건뿐 아니라 계속되는 변화에 따른 운영 부담에도 대응해야 한다고 짚었습니다. 4 두 관점은 AI 감독이 개발자의 코드 검토만으로 해결되는 문제가 아니라, 시스템이 바뀌는 동안 데이터와 의존성을 관리하는 과제이기도 하다는 점을 보여줍니다.
기업이 우선 살펴볼 대응책
가시성을 실제 통제와 연결하는 것이 출발점입니다.
- 애플리케이션 구성요소를 추적합니다. 내부 코드뿐 아니라 AI 모델, 패키지 등 소프트웨어 구성요소도 관리 대상에 포함합니다.
5
8
- 정책 위반을 찾아낼 수 있게 합니다. 승인되지 않은 도구 사용을 감지할 장치가 없다는 18%의 조사 결과는 규정과 탐지 수단을 함께 갖춰야 함을 보여줍니다.
3
- 준수 증빙을 쉽게 확인할 수 있도록 합니다. 감사 자료 준비에 걸리는 시간이 길다는 조사 결과를 고려하면, 애플리케이션 담당자를 기록하는 것만으로는 부족할 수 있습니다. 구성요소와 관리 현황을 확인할 수 있어야 합니다.
7
- AI 생성 결과도 기존 보안 검토 절차에 포함합니다. 생성 속도가 빨라졌다고 해서 안전한 배포까지 자동으로 빨라지는 것은 아닙니다. AI 생성 코드도 평가가 필요한 구성요소로 다뤄야 합니다.
JFrog는 모델과 패키지, 플러그인, AI 생성 결과물을 하나의 기준 시스템에서 관리하는 방안을 제안합니다. 8 어떤 도구를 선택하든 핵심은 같습니다. 소프트웨어와 AI 공급망 전반에서 파악한 정보를 실제로 집행 가능한 통제와 연결해야 합니다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
사람들은 또한 묻습니다.
"직원들의 AI 사용 속도, 기업 통제를 앞지르다"에 대한 짧은 대답은 무엇입니까?
싱가포르 DevSecOps 관계자 10명 중 6명은 거버넌스와 정책 집행을 가장 큰 시간 부담으로 꼽았고, 41%는 AI 생성 코드 검토에 많은 자원이 든다고 답했습니다.
먼저 검증할 핵심 포인트는 무엇인가요?
싱가포르 DevSecOps 관계자 10명 중 6명은 거버넌스와 정책 집행을 가장 큰 시간 부담으로 꼽았고, 41%는 AI 생성 코드 검토에 많은 자원이 든다고 답했습니다. JFrog 조사에서 싱가포르 조직의 18%는 승인되지 않은 AI 도구 사용을 금지하는 정책은 있지만, 위반을 감지할 방법은 없는 것으로 나타났습니다.
실무에서는 다음으로 무엇을 해야 합니까?
대응의 핵심은 소스 코드뿐 아니라 AI 모델과 외부 구성요소까지 파악하고, 실제로 집행할 수 있는 통제를 연결하는 것입니다.
출처
frontier-enterprise.comSingapore's innovation faces a new risk: Shadow AI