기업용 AI 보안 제품 출시, 도입보다 운영 책임을 먼저 정할 때

제품 선택이 곧 운영 체계는 아니다

최근 보도에 따르면 폴라리스오피스는 생성형 AI 보안 제품을 출시하며 기업 시장 공략에 나섰고, 제논도 AI 보안 솔루션 ‘젠가드’를 출시하며 기업용 보안 시장을 확대하고 있다. 두 소식을 함께 보면 기업의 AI 활용을 뒷받침하는 보안 제품이 사업 영역으로 다뤄지고 있음을 알 수 있다. 다만 출시 소식만으로 개별 제품의 성능이나 적용 범위를 판단하기는 어렵다.

이번 흐름에서 주목할 대목은 기업이 보안 도구를 구매한 뒤 누가 무엇을 책임질지다. 일반적으로 보안 제품은 설정된 정책과 연결된 업무 환경 안에서 작동한다. 따라서 제품 도입을 책임의 이전으로 받아들이면 실제 운영에 빈틈이 생길 수 있다는 분석이 가능하다. 구매 부서, 보안 담당자, 현업 부서가 각자의 결정을 어디까지 맡는지 정하는 일이 도입 검토에 포함돼야 한다.

예를 들어 직원이 고객 상담 내용을 AI로 요약하는 업무를 생각해 보자. 어떤 정보까지 사용할 수 있는지는 업무 목적과 사내 기준을 함께 살펴야 정할 수 있다. 보안 담당자는 기술적 설정을 맡더라도 고객 정보의 업무상 필요성까지 혼자 판단하기 어렵다. 기업은 제품 비교에 앞서 사용하는 사람, 사용 목적, 허용하는 자료를 적고 각 항목을 승인할 책임자를 정해 두는 편이 유용하다.

예외 승인과 기록 관리가 실제 업무를 좌우한다

운영 단계에서는 정상적인 업무가 보안 정책에 걸리는 상황도 예상할 수 있다. 이때 예외를 요청할 통로가 없거나 결정이 오래 걸리면 직원이 개인 계정 등 다른 수단을 찾을 가능성이 있다. 이는 특정 제품의 문제라기보다 조직의 절차와 관련된 위험이라는 분석이다. 예외 신청에 필요한 설명, 승인 담당자, 허용 기간을 미리 정하면 업무 편의와 관리 책임을 함께 살피기 쉽다.

보안 기록도 많이 남긴다는 이유만으로 좋은 운영이라고 보기는 어렵다. 일반적으로 입력 내용이나 처리 결과가 기록에 포함되면 그 기록 자체에 민감한 정보가 담길 수 있기 때문이다. 기업은 어떤 기록을 왜 보관하는지, 누가 열람하는지, 언제 삭제하는지 확인할 필요가 있다. 사고 조사에 필요한 자료와 직원의 업무 내용을 상시 들여다보는 범위는 목적에 맞게 구체적으로 정해야 한다.

직원에게는 보안 도구의 존재보다 이용 기준을 이해할 수 있는 안내가 실질적인 도움이 된다. 사용 가능한 AI 서비스와 자료의 범위, 예외 신청 방법, 실수로 정보를 입력했을 때 연락할 곳을 쉽게 찾을 수 있어야 한다. 개인도 회사가 제공한 도구라는 이유만으로 모든 자료를 넣어도 된다고 추정하기보다 업무 지침을 확인하는 편이 좋다. 기준이 모호하다면 담당 부서에 판단을 요청할 수 있어야 한다.

계약이 끝날 때까지 따져야 할 구매 기준

구매 검토에서는 시연 화면과 기능 목록에 더해 운영 중 필요한 지원을 확인할 만하다. 사내 AI 사용 기준이 바뀌었을 때 누가 설정을 수정하는지, 장애가 나면 업무를 어떻게 이어갈지 공급사와 논의하는 방식이다. 이러한 질문은 제품의 우열을 미리 가르는 기준이라기보다 기업의 운영 여건과 맞는지 알아보는 도구다. 전담 인력이 적은 기업일수록 실제로 수행할 수 있는 관리 범위를 먼저 계산해야 한다.

계약 종료나 제품 교체도 처음부터 검토할 필요가 있다. 기업은 기존 정책과 기록을 어떤 형태로 넘겨받을 수 있는지, 서비스에 남은 자료는 어떤 절차로 삭제되는지 확인할 수 있다. 이는 두 회사 제품의 계약 조건에 대한 평가가 아니라 일반적인 구매 점검 사항이다. 도입 당시의 편리함에만 집중하면 나중에 이전 비용과 관리 부담을 예상하기 어려울 수 있다는 점을 고려해야 한다.

전망하자면 기업용 AI 보안 시장의 경쟁에서는 기능뿐 아니라 고객이 지속해서 운영할 수 있도록 돕는 지원도 중요해질 수 있다. 기업이 지금 만들 수 있는 출발점은 거창한 체계보다 간단한 책임표다. 업무별 승인자, 예외 처리 담당자, 기록 열람 권한자, 계약 종료 담당자를 적어 보자. 빈칸이 남는다면 제품 구매 과정에서 그 역할을 정하고 필요한 지원을 확인할 구체적인 과제가 생긴다.