AI 전환, 도구가 아니라 원칙에서 시작합니다

회사가 승인한 적 없는 AI 도구가 사내에서 발견되는 순간은, 어두운 계단에서 발을 헛디딜 때처럼 아찔합니다. 바이브코딩으로 누구나 몇 시간 만에 업무 도구를 만들 수 있게 되면서 이런 순간이 점점 잦아지고 있습니다. AI 도입을 확대하라는 압박은 어느 때보다 커졌는데, 정작 회사의 기술 리더는 자신이 보지도 통제하지도 못하는 결과까지 책임져야 하는 처지에 놓였습니다.

최근 해외에서 이 문제를 정면으로 들여다본 조사가 진행됐습니다. 다양한 규모의 기업에서 일하는 CTO, CIO, CISO 등 기술과 보안을 책임지는 리더 307명에게, AI 기반 개발을 어떻게 관리하고 보호하는지 물은 것입니다. 결과는 한 문장으로 요약됩니다. 바이브코딩이 퍼지는 속도를 가시성과 거버넌스가 따라가지 못하고 있습니다.

AI가 만든 사내 도구 때문에 운영 환경에서 사고가 얼마나 자주 발생했는지 묻자, 응답자의 절반이 넘는 51%가 “아직 발견된 것은 없지만 확실히 말할 수는 없다”고 답했습니다. 5곳 중 1곳은 실제로 사고를 겪었습니다. 불확실성은 곧 불안으로 이어져, 93%가 운영 환경에서 돌아가는 바이브코딩 도구를 걱정하고 있었습니다.

이 글에서는 조사 결과를 바탕으로 기술 리더들이 바이브코딩 시대의 거버넌스를 어떻게 바라보는지, 무엇이 위험하고 무엇이 효과가 있으며 앞으로 무엇이 달라져야 하는지 살펴봅니다.

기술 리더의 93%가 바이브코딩을 우려합니다

바이브코딩은 이제 주류가 됐고, 기존 소프트웨어 개발 방식에 기회와 위협을 동시에 만들고 있습니다. 프롬프트만으로 기존 SaaS 도구를 통째로 대체할 수 있다는 전망까지 나올 정도였습니다.

하지만 기술 리더들 사이에서 초기의 열기는 짜게 식은 듯합니다. 조사에 참여한 리더의 93%는 운영 환경에서 돌아가는 바이브코딩 사내 도구를 어느 정도 이상 걱정했고, 38%는 현재 가장 큰 운영 위험 중 하나로 꼽았습니다. 작성 방식과 관계없이 AI가 생성한 코드까지 포괄하는 거버넌스를 갖췄다는 응답은 4%에 그쳤습니다.

바이브코딩은 전통적인 소프트웨어 개발 절차를 거치지 않고, AI에 프롬프트를 입력해 작동하는 앱과 워크플로를 만드는 방식을 가리킵니다. 이제는 기술자뿐 아니라 코딩을 배운 적 없는 실무자도 소프트웨어를 만듭니다. 그런데 이들이 건너뛰는 것은 코드 작성만이 아닙니다. 필요한지조차 몰랐을 검토와 테스트 단계도 함께 생략됩니다. 이런 수요에 맞춰 등장한 바이브코딩 도구 상당수에는 거버넌스 장치가 갖춰져 있지 않습니다.

바이브코딩 도구는 아이디어를 자연어로 빠르게 프로토타입으로 구현하도록 설계됐습니다. 소프트웨어와 엔지니어링 비용을 줄이려는 기업에는 분명 큰 이점입니다. 그러나 보안 계층이 얕아, 실제 업무 데이터가 연결되는 순간 위험도 실제가 됩니다. 안전하게 운영 환경에 배포하고, 이후 앱을 보호하며 유지하고 관리하는 일은 도구가 대신해 주지 않습니다.

바이브코딩이 퍼지는 속도를 가시성이 따라가지 못합니다

IT 부서의 감독 밖에서 쓰이는 소프트웨어를 가리키던 단어가 있습니다. 바로 "Shadow IT"입니다. 이 말이 이제는 바이브코딩으로 만들었지만 IT 부서의 모니터링에 잡히지 않는 도구를 가리킵니다. 이에 따라 보안 위협은 이전보다 훨씬 커졌습니다.

자사 운영 환경에서 무엇이 실행되는지 완전히 파악하고 있다고 강하게 확신한 리더는 5%뿐이었습니다. 43%는 확신하지 못한다고 답했습니다. 이런 불안은 AI로 만든 도구가 빠르게 퍼지는데, 그 도구가 회사 데이터와 어떻게 상호작용하는지 알기 어렵다는 데서 나옵니다.

한 대기업 CISO는 이렇게 말했습니다. “도구는 몇 시간, 때로는 몇 분 만에 만들어집니다. 만든 사람에게는 그것이 ‘시스템’처럼 보이지도 않습니다. 데이터는 프롬프트나 API 호출, 누군가 밤 10시에 급히 붙여 만든 스크립트를 거쳐 이동합니다. 작동하면 바로 배포하지만, 어디에도 기록하지 않습니다.”

가시성 부족은 거버넌스뿐 아니라 생산성에도 부담을 줍니다. 감당할 수 있는 수준을 넘어서면 경영진이 상황을 파악하기는 더 어려워지고, 무언가 만들어져 쓰이고 있다는 사실을 알아차렸을 때는 대개 이미 늦은 뒤입니다. 무엇이 실행되는지 대략 알지만, 사각지대가 남아 있다는 것입니다.

강력한 거버넌스를 갖췄다는 응답은 8%뿐입니다

가시성이 부족하면 기존의 사내 도구 관리 체계에도 실제 위험이 생깁니다. 그 결과 강력한 거버넌스는 드문 사례가 됐습니다.

자사의 사내 도구 관리 상태를 묻자 40%는 대체로 작동하지만 유지하는 데 상당한 수작업이 필요하다고 답했습니다. 37%는 팀마다 편차가 커서, 일부는 절차를 따르지만 다른 팀은 감독 없이 운영된다고 했습니다. 중앙 통제를 갖추면서도 개발자를 크게 방해하지 않는 강력한 거버넌스를 마련했다는 응답은 8%에 불과했습니다. 10%는 문제를 미리 막기보다 터질 때마다 대응한다고 답했습니다.

기업 규모와 관계없이 도구가 만들어지는 속도를 거버넌스가 따라가지 못했습니다. 특히 직원 200–999명의 중견기업은 공식 체계가 전혀 없다는 비율이 19%로, 직원 1,000명 이상 대기업(8%)이나 50–199명 기업(10%)보다 높았습니다.

여기서 말하는 거버넌스란 무엇일까요?

거버넌스는 누가 개발할 수 있는지, 어떤 데이터에 접근할 수 있는지, 완성된 도구가 어디서 실행되는지, 배포 전에 누가 검토하는지, 이후 어떻게 모니터링하는지를 모두 포괄합니다. 도구가 사업 목표에 맞게 쓰이도록 하는 일도 거버넌스의 몫입니다. 전통적으로는 사내 IT 부서가 이 관문 역할을 맡아, 보안과 이해관계자, 사업 요건을 기준으로 도구를 평가하고 필요가 달라지면 조정해 왔습니다. 여기에 직접 도구를 만들려는 새로운 개발자까지 밀려들면, 기존 방식만으로는 감당하기 어렵습니다.

AI 활용을 요구하는 현업의 압박이 거버넌스를 앞지릅니다

그렇다면 결재 단계를 늘리고, 검토를 통과하기 전에는 아무것도 만들지 못하게 막으면 될까요? 현실에서는 통하지 않습니다. AI 활용을 허용하라는 현업의 압박이 거버넌스보다 빠르게 커지고 있기 때문입니다.

응답자의 31%는 AI 기반 개발을 허용하라는 압박이 크게 늘었고, 현업 부서가 승인 절차를 거의 받아들이지 않는다고 답했습니다. 59%는 압박이 늘었지만 아직 감당할 만하다고 했습니다. 요청이 줄었다는 응답은 2%뿐이었습니다.

압박은 위와 아래에서 동시에 들어옵니다. 현장에서는 엔지니어링 조직을 기다리는 대신 소프트웨어로 직접 문제를 해결하려는 실무자가 빠르게 늘고 있습니다. 코드를 한 줄도 써 본 적 없는 이 새로운 개발자들은 의욕적이지만, 거버넌스 제약에 부딪히면 이를 우회하기도 합니다. 한편 최고경영진은 AI 성과를 실현해야 한다는 압박에 시달립니다.

이점은 눈에 보이고, 위험은 보이지 않습니다

응답자 스스로 긍정적인 효과를 인정하는 상황에서는 AI에 제약을 두자고 주장하기가 더 어렵습니다. 리더의 58%는 AI 코딩 도구가 엔지니어링 팀의 생산성에 전반적으로 순효과를 줬다고 답했습니다. 순손실이 있었다는 응답은 3%뿐이었습니다.

생산성 향상은 실제입니다. 더 많은 코드가 만들어지고 있기 때문입니다. 다만 상당수는 그 대가를 리뷰 단계에서 치릅니다. AI 도구 도입 후 코드 리뷰 시간이 어떻게 달라졌는지 묻자 37%는 줄었다고 답했지만, 34%는 오히려 늘었다고 답했습니다.

직책에 따라 체감도 갈렸습니다. 리뷰 시간이 늘었다는 응답은 CTO가 45%로 CIO(30%), CISO(28%)보다 높았습니다. 반면 AI 코딩 도구가 전반적으로 순효과를 냈다는 응답은 CTO가 71%, CISO가 47%로 24%포인트 차이가 났습니다. 만드는 쪽은 이점을 보고, 지키는 쪽은 대가를 치릅니다.

눈에 보이는 성과는 아직 현실이 되지 않은 위협을 상상하기 어렵게 만듭니다. CEO는 엔지니어링 팀이 더 많은 코드를 만들고 더 많은 제품을 배포하는 모습을 봅니다. 반면 안전하지 않은 데이터에서 비롯되는 위협은 실제 사고가 나기 전까지 추상적으로만 느껴집니다. 그래서 파악되지 않은 "Shadow AI" 도구는 긴급한 위험이 아니라, 서서히 커지는 유지관리 문제 정도로 취급됩니다. AI에 지나치게 보수적으로 접근하면 사업 자체가 위험해진다는 판단까지 더해지면, 기존 거버넌스를 우회하기는 더 쉬워집니다.

그러나 기술 리더들은 위험이 실제라는 사실을 알고 있습니다.

5곳 중 1곳은 사고를 겪었고, 절반은 확신하지 못합니다

AI로 만든 도구를 파악하지 못한다고 해서 문제가 비껴가는 것은 아닙니다. 지난 12개월 동안 AI가 만든 사내 도구 때문에 적어도 한 번 운영 환경에서 사고를 겪은 조직은 22%였습니다. 반복되는 문제가 됐다는 응답도 3% 있었습니다.

더 큰 문제는 불확실성입니다. 51%는 사고를 겪었는지 묻는 질문에 “내가 아는 한 없지만 확실히 말할 수는 없다”고 답했습니다. 사고가 없었다고 확인해 줄 모니터링 체계를 갖춘 곳은 19%뿐이었습니다.

우려는 앞으로 더 커질 것입니다. 바이브코딩 도구로 만들어진 자산이 인터넷에 그대로 노출된 사례가 보안 업계에서 잇따라 보고되고 있기 때문입니다. 취약점이 알려질수록, 사고가 없었다고 믿어 온 조직이 뒤늦게 사고를 발견하는 일도 늘어날 것입니다.

바이브코딩 도구는 기본적으로 개인이 눈앞의 문제를 해결하도록 만들어졌습니다. 기업과 보안을 우선해 설계되지 않았고, 대체로 앱 단위 권한에 의존합니다. 경험이 적은 개발자는 이를 올바르게 설정하지 못하기 십상입니다.

누구나 만들 수 있으면 책임자가 불분명해집니다

AI로 만든 도구가 통제를 벗어나면 누가 책임져야 할까요? 응답자의 32%는 엔지니어링 리더나 CTO가 사고 책임을 진다고 답했습니다. 23%는 도구를 만든 팀이나 개인에게 책임이 있다고 했습니다. 34%는 상황에 따라 다르다고 답했고, 10%는 아직 정하지 않았다고 했습니다. 합치면 리더의 44%가 기본 책임자를 명확히 정하지 않았거나 결정하지 못한 셈입니다.

일부 기업은 더 많은 전문가에게 AI 활용 권한을 주면서 책임도 의도적으로 분산합니다. 이런 사안별 책임 방식은 가끔 발생하는 일회성 Shadow IT 프로젝트에는 통했을 수 있습니다. 그러나 바이브코딩 도구가 폭발적으로 늘어나면, 책임 체계 역시 가시성이나 보안과 마찬가지로 확산 속도를 따라가지 못합니다. 모호한 체계는 규모가 커질수록 작동하지 않습니다. 앞서 한 CISO가 말한 “어디에도 기록되지 않는” 도구는, 사고가 나기 전까지 누구의 책임도 아닌 채로 남습니다.

한 기술 임원은 이렇게 말했습니다. “누구나 오후 한나절이면 도구를 배포할 수 있지만, 이를 유지하겠다고 나서는 사람은 없습니다. AI의 실패는 조용합니다. 확신에 찬 결과가 눈에 띄지 않게 틀리기 때문에, 무언가 고장 나기 전까지는 문제가 보이지 않습니다.”

결국 기술 리더는 난처한 자리에 서게 됩니다. AI 도입을 가속해야 하는 동시에, 그 결과로 일어나는 모든 문제에 책임을 져야 합니다. 최고경영진 역시 대규모 보안 실패의 최종 책임이 결국 자신들에게 돌아온다는 사실을 알고 있습니다.

최우선 과제는 속도가 아니라 보안입니다

사내 도구 개발을 관리할 때 가장 중요한 항목 세 가지를 고르게 하자, 91%가 보안과 데이터 접근 통제를 선택했습니다. 조사 전체에서 가장 폭넓은 공감을 얻은 우선순위였습니다. 도구의 유지관리 가능성이 45%, 배포 결과물의 품질과 신뢰성이 42%로 뒤를 이었습니다.

반대쪽 끝도 눈여겨볼 만합니다. AI 활용을 늘리라는 압박이 커지는 상황인데도, 개발 속도를 높이기 위한 병목 제거를 고른 응답은 5%로 전체 항목 중 가장 낮았습니다. 리더들이 원하는 것은 더 빠른 개발이 아니라 통제라는 뜻입니다. 3명 중 1명(33%)이 개발과 배포 권한을 최우선 과제로 꼽았다는 사실도, ‘누구나 만들 수 있다’는 흐름에 제동을 걸고 싶어 한다는 신호입니다.

직책에 따라 강조점은 달랐습니다. CTO는 결과물의 품질과 신뢰성을, CISO는 접근 통제와 관측 가능성을 더 중시했습니다. 여기서 경영진의 목표가 서로 어긋날 위험이 드러납니다. CEO에게는 아직, AI를 활용하지 않을 위험이 잠재적 보안 위험보다 더 크게 보이기 때문입니다.

리더의 55%는 전사 차원의 거버넌스를 원합니다

리더들은 어디서 답을 찾고 있을까요? AI 도구가 사내 소프트웨어를 만들 때 보안과 접근 통제의 주된 책임을 어디에 둬야 하는지 묻자, 55%는 앱을 어떻게 만들었든 그 아래에서 일괄 적용되는 전사 차원의 기반이 맡아야 한다고 답했습니다. 쉽게 말해, 규칙을 앱마다 심는 것이 아니라 모든 앱이 딛고 서는 바닥에 심는 것입니다. 26%는 개발자가 교육받는 정책 문서에 담아야 한다고 했고, 생성된 앱마다 만든 사람이 직접 설정해야 한다는 응답은 7%뿐이었습니다.

과반의 리더가 AI 개발 시대에 맞춰 거버넌스의 형태도 달라져야 한다고 보는 것입니다. 파악되지 않은 앱이 수십 개씩 생기는 상황에서, 앱 하나하나의 권한 설정에 기대는 방식은 이미 충분하지 않습니다.

물론 해법이 한 가지일 수는 없습니다. 앞으로의 AI 거버넌스에는 여러 방어층을 겹치는 ‘스위스 치즈’ 방식이 필요합니다. 표준화된 사내 정책과 교육을 마련하고, 그 정책을 조직 전체에 일괄 적용하는 장치를 함께 두는 것입니다. 다만 순서는 분명합니다. 전사 차원에서 앱을 먼저 보호해야, 보이지 않는 앱 때문에 리더들이 안고 있는 불안부터 줄일 수 있습니다.

효과적인 AI 거버넌스는 전사 차원에서 시작됩니다

조사에 참여한 리더들은 자신이 볼 수 없는 위험까지 책임지고 있다는 사실을 알고 있습니다. 95%는 운영 환경에서 실행되는 모든 것을 완전히 파악하지는 못한다고 인정했고, 92%는 자사의 거버넌스가 강력하지 않다고 답했으며, 93%는 바이브코딩 사내 도구를 우려했습니다.

변화의 방향에도 다수가 동의했습니다. 보안과 접근 통제는 개별 앱이 아니라 전사 차원에 있어야 합니다. 개발자가 따를 수도, 따르지 않을 수도 있는 정책 문서에만 맡기거나, 어쩌다 도구를 만들게 된 실무자의 손에 맡겨서는 안 됩니다.

거버넌스를 높이는 일이 개발자와 실무자의 희생을 전제해서도 안 됩니다. AI 활용을 요구하는 압박은 너무 강하고, 생산성 향상도 분명하기 때문입니다. 대신 제약을 하나의 관리 지점에 모아야 합니다. 적절한 권한으로 실제 데이터에 연결하고, 다른 시스템과 같은 표준화된 사내 정책으로 보호하며, 위험을 책임지는 사람이 전체 상황을 볼 수 있게 해야 합니다. 그렇게 갖춰 두면, 승인한 적 없는 도구가 발견되는 순간에도 발을 헛디딜 일이 없습니다. 계단에 불이 켜져 있기 때문입니다.

조사 방법

이 글은 2026년 5월 해외에서 CTO, CIO, CISO 등 기술과 보안을 책임지는 리더 307명을 대상으로 진행된 설문조사 결과를 바탕으로 합니다. 응답자는 CISO 43%, CTO 35%, CIO 22%로 구성됐습니다. 기업 규모별로는 직원 1,000명 이상 대기업이 43%, 200–999명 중견기업이 28%, 50–199명 기업이 29%였습니다. SaaS와 소프트웨어, IT 서비스, 금융, 제조, 의료, 전문 서비스 업종이 포함됐으며, 직책과 규모에 따른 교차 분석 결과는 방향성을 보여주는 참고 자료로 이해해야 합니다.

AI 거버넌스 전문 팀, 다빈치에 문의하세요

다빈치는 대기업, 스타트업, 공공기관 AI 거버넌스 구축 경험을 고루 갖춘 탑티어 인프라 엔지니어 조직입니다. AI 도입을 고민하고 계신 기업 담당자들께서는 고민을 다빈치에 편하게 공유해주세요. 상담은 무료입니다.