Delinea의 2026년 Identity Security Report: The AI Enforcement Gap은 AI가 어떤 데이터에 접근해도 되는지 규정하는 것과, 실제로 허용 범위를 벗어난 접근을 찾아내는 일 사이에 큰 간극이 있다고 짚었다. 싱가포르에서는 IT 리더의 98.9%가 지난 1년 동안 AI 도구나 에이전트가 의도된 범위를 넘어 민감 정보에 접근한 사례가 있었다고 답했다는 보도가 나왔다. 다른 보도는 이 비율을 98.8%로 제시해, 제공된 자료만으로는 차이를 해소하기 어렵다.
2
3
5
조사는 누구를 대상으로 했나
Delinea는 보고서가 IT·보안 리더 2,254명과 비(非)IT 직원 2,250명을 대상으로 한 두 차례의 설문을 바탕으로 했다고 밝혔다. 응답자는 AI를 사용하는 직원 500명 이상 규모의 조직에 속해 있었다. 조사는 8개 시장에서 진행됐지만, 제공된 출처 발췌문에는 전체 시장 명단이 담겨 있지 않다.
1
2
이 수치는 응답자들이 보고한 경험을 집계한 설문 결과다. 모든 기업의 AI 시스템을 독립적으로 감사해 확인한 사고 건수로 해석해서는 안 된다.
정책은 보편적이지만, 탐지는 더딘 편
싱가포르 사례에서 눈에 띄는 건 규정의 존재와 집행 능력의 차이다. 보도에 따르면 싱가포르 조직의 99.6%가 정식 AI 데이터 접근 정책을 갖췄지만, 허용 범위를 벗어난 접근을 실시간으로 탐지할 수 있다고 답한 IT 리더는 14%였다. 글로벌 수치는 19%로 제시됐다. 또 싱가포르 조직의 72%는 위반을 알아채는 데 하루 이상 걸렸다고 답했으며, 이는 조사 대상 시장 중 가장 높은 비율로 보도됐다.
5
전 세계 조사 결과도 정책만으로는 충분하지 않다는 우려를 보여준다. Delinea는 글로벌 IT 리더의 87%가 지난 1년간 AI 도구나 에이전트가 의도된 범위를 넘어 민감 정보에 접근한 적이 있다고 답했다고 밝혔다. 별도 보도에 따르면 글로벌 응답자의 99.7%는 정식 AI 데이터 접근 정책이 있다고 했지만, 설문에 참여한 직원의 76%는 공식 AI 승인 절차를 우회한 적이 있다고 답했다.
1
17
싱가포르 직원 관련 세부 수치는 확인에 한계
싱가포르 직원의 84%가 한 번 이상 승인을 우회했다거나 51%가 이를 항상 또는 자주 한다는 주장, 직원 4명 중 3명이 허용 여부를 확신하지 못하면서도 민감 정보에 AI를 쓰라는 압박을 느꼈다는 수치는 제공된 출처 발췌문으로 확인되지 않는다. 민감한 AI 사용에 특정 개인의 승인을 요구하는 조직 비율이나, 접근 기록을 승인한 사람과 항상 연결할 수 있다는 응답 비율도 마찬가지다.
따라서 현재 확인 가능한 핵심은 분명하되, 일부 세부 수치에는 유보가 필요하다. 싱가포르에서 AI의 범위 밖 데이터 접근이 잦았다는 조사 결과가 보도됐고, 정식 정책을 둔 조직에서도 위반을 실시간으로 찾아내는 능력은 제한적이었다. 다만 접근 발생률은 보도마다 98.8%와 98.9%로 차이가 있으며, 직원 행동과 책임 추적에 관한 일부 현지 수치는 확인된 사실로 단정하기 어렵다.
2
3
5