누구나 개발하는 시대, 남은 과제는 안전입니다

2000년대 초 구글의 고객 데이터는 시중의 어떤 CRM도 감당하기 어려울 만큼 많았습니다. 따라서 구글은 자체 CRM을 구축했고 이 시스템은 오랫동안 제 역할을 했습니다.

이전까지 대부분의 기업은 구글 같은 규모의 데이터 문제를 겪지도 않을 뿐더러, 개발 리소스도 적었기 때문에 '구글처럼 모든 것을 직접 만들지 말라'는 조언이 보편적이었습니다.

그런데 AI의 등장으로 소프트웨어 구축 비용이 크게 낮아졌습니다. 지금은 아주 많은 회사들이 빠르게 코드를 작성하고 배포하고 있지요.

이제 ‘직접 구축할 것인가, 구매할 것인가’라는 선택지는 무의미해졌습니다. ‘AI와 함께 구축한다’는 선택지만 남은 셈입니다.

그런데 문제가 있습니다. 맞춤형 소프트웨어 개발의 문턱이 낮아진 대신, 과거에는 숙련된 엔지니어나 다뤄야 했던 문제를 바이브코더들이 마주하게 된 것입니다.

병목이 개발에서 인프라로 이동했습니다

기업용 소프트웨어의 역사에서 ‘직접 구축’은 늘 비싼 선택지였습니다. SaaS 도구를 구매하는 편이 더 빠르고 저렴했으며, 대부분은 비용과 속도의 차이가 워낙 커서 고민할 필요조차 없었습니다.

이제 그 격차가 크게 줄었습니다. 과거에는 맞춤형 소프트웨어를 만들기 어려웠던 팀도 필요한 도구를 직접 구축할 수 있으며, 개발 속도는 믿기 어려울 정도로 빨라졌습니다.

이런 변화, 즉 직원들이 IT 부서의 관리를 벗어나 소프트웨어를 개발하는 현상을 무조건 거버넌스 실패로만 볼 수는 없습니다. 일부러 규정을 어기려는 것이 아니라, SaaS를 알아보느니 빠르게 직접 개발하겠다는 좋은 의도인 경우가 대부분이죠. 반면 전통적인 소프트웨어 도입 절차는 업무 속도를 늦춥니다.

구글에서 자체 시스템을 만들던 당시, 구글은 지금 기준으로 보더라도 매우 뛰어난 거버넌스를 갖추고 있었습니다. 구글 사내 버전의 GitHub인 Perforce, 구글 사내 버전의 AWS인 Borg, 이 모든 것을 통제하는 조직과 절차를 갖추고 있었지요. 따라서 내부에서 직접 만든 소프트웨어가 문제를 일으키더라도 그 범위와 책임 소재가 분명했습니다.

문제는 이런 수준의 인프라나 거버넌스가 구글 같은 기업을 제외하면 보급되어 있지 않다는 것입니다. AI의 발전으로 기업의 사내 앱 개발 속도는 늘었지만, 엔지니어링 인프라까지 함께 확산된 것은 아니라는 것이지요. 강력한 버전 관리, 접근 제어, 감사 로그, 조직의 책임 체계는 앱 개발과 별도로 마련해야만 합니다. 개발 역량이 생겼다고 해서 대규모 개발을 안전하게 운영할 기반까지 저절로 갖춰지는 것은 아닙니다.

이제 희소한 것은 코드가 아니라 체계입니다

오늘날 이전보다 수십, 수백 배의 코드가 생성되고 있습니다. 과거에는 모든 코드가 사람에 의해 직접 작성되었고, 사람의 검토를 거쳤습니다. 그렇다면 앞으로는 AI에 의해 생성되는 이 많은 코드를 어떻게 관리해야 할까요?

기존의 검토 방식은 바이브코딩으로 만들어지는 폭발적인 규모의 코드를 감당하지 못합니다. 따라서 책임 소재도 모호해졌습니다. 과거에는 코드를 작성한 사람과 그 코드를 검수한 사람이 책임을 졌습니다. 이제 코드는 AI가 작성하고 있고, 사람은 그 코드를 검수할 수가 없게 되었습니다. 즉 책임을 부여하는 체계 자체가 완전히 바뀌어야 한다는 뜻입니다.

바이브코딩으로 만들어낸 앱의 배포 파이프라인과 호스팅, 운영 관리를 누가 해야 할까요? 앱을 만든 비개발자 본인이어야 할까요? 조직 내부 IT 책임자여야 할까요? 양쪽 모두 책임을 떠맡기 난감할 것입니다. 최고정보책임자(CIO)의 통제를 거치지 않은 앱에서 보안 취약점이 발견되면 누가 고쳐야 할까요? AI가 생성한 코드의 버그가 고객에게 영향을 주면 누가 책임져야 할까요?

현재 많은 조직은 이 질문에 명확히 답하지 못합니다. 개발 도구가 확산되는 속도를 거버넌스가 따라잡지 못했기 때문입니다.

빠르게 개발하되, 안전하게 배포/운영하는 방법

거버넌스는 반드시 전사 차원에서 정하고, 그 위에서 만들어지는 모든 앱이 공통으로 따르도록 해야 합니다. 전사 차원의 거버넌스에는 다음과 같은 항목이 포함됩니다.

• 모든 앱에 기본 적용되는 전사 차원의 통합 인증(SSO)

• 자동으로 기록되는 감사 로그

• 개발자가 누구인지와 관계없이 앱이 접근할 수 있는 자원을 정하는 데이터 접근 제어

이러한 거버넌스의 목표는 개발자와 사용자가 보안 영향을 일일이 고민하지 않아도 되는 상태입니다. 좀더 쉬운 표현으로 "사내 바이브코더가 마음껏 개발해도 심각한 문제가 발생하지 않는 상태", 즉 안전한 샌드박스 환경입니다. 특히 보안은 각 개발자의 판단에 맡길 일이 아니라 사내 개발 환경 자체가 보장해야 합니다.

이는 본질적으로 구글이 20년 전에 갖췄던 환경과 같습니다. 소스 코드 관리, 내부 클라우드, 접근 제어가 함께 작동했습니다. 기술은 달라졌지만 원칙은 같습니다. 코드를 둘러싼 인프라는 코드 자체만큼 중요합니다.

AI 시대 기업의 혁신 속도는 거버넌스가 좌우합니다

AI 도입, AX 등을 고민할 때, 초기부터 핵심 과제로 AI 거버넌스를 다루는 기업이 현재의 변화를 더 잘 활용할 수 있습니다. 문제가 터진 뒤 값비싼 교훈을 얻기보다 처음부터 의도적으로 이를 구축해야 합니다.

내부 구성원의 창의성을 제대로 살리려면 바이브코딩을 장려하면서도 동시에 거버넌스를 구축해야 합니다. 개발 경력이 없는 실무자들이 보안, DB, 인증 등 민감한 계층을 일일이 고민하지 않아도 되도록 안전장치가 사내에 내장돼야 합니다.