삼성 ChatGPT 유출 사태부터 역대 최대 계약까지, 기업 AI 몰래 쓰는 시대는 끝났나
2023년, 삼성 반도체 부서 직원이 ChatGPT에 반도체 장비 소스코드를 그대로 붙여넣었어요. 단 20일 만에 세 건의 유출 사고가 터졌고, 삼성은 즉시 전사 AI 사용을 금지했죠. 그리고 3년 후, 삼성은 오히려 OpenAI 역대 최대 규모 기업 계약을 체결했어요. 이 반전이 우리에게 던지는 질문은 하나예요. 기업들이 AI를 몰래 쓰는 게 괜찮은가, 아니면 애초에 ‘몰래 쓰는’ 시대는 끝난 건가?
핵심 요약
- 삼성은 2023년 직원이 ChatGPT에 반도체 소스코드를 업로드한 사건으로 전사 AI를 금지했다가, 2026년 6월 OpenAI 역대 최대 기업 계약을 체결하며 정반대 방향으로 돌아섰어요.
- OpenAI Codex 한국 주간 사용자는 2026년 2월 대비 800% 증가했으며, 이 중 상당수가 삼성의 공식 도입 전에 이미 업무에 쓰고 있었던 셈이에요.
- 전 세계 Codex 주간 사용자 500만 명 중 20%는 비개발자이며, 이들의 증가 속도는 개발자보다 세 배 빨라요. AI가 코딩 도구가 아닌 사무직 업무 도구로 전환되고 있다는 신호예요.
- ‘몰래 쓰는 AI’를 막는 것보다 ‘안전하게 쓰는 구조’를 만드는 게 현실적인 답이라는 걸, 삼성의 사례가 증명하고 있어요.
3년 전 무슨 일이 있었나: 삼성 유출 사건의 전말
2023년 3월, 삼성전자 반도체 사업부는 ChatGPT를 제한적으로 허용했어요. 테스트 성격이었죠. 그런데 20일도 안 돼서 세 건의 사고가 연달아 터졌어요.
첫째, 직원이 반도체 장비 소스코드를 디버깅 목적으로 ChatGPT에 입력했어요. 둘째, 또 다른 직원이 불량 감지 코드를 붙여넣었고요. 셋째, 회의 녹음 파일을 통째로 올려서 회의록을 만들게 했어요.
세 건 모두 공통점이 있어요. 직원들이 악의적이지 않았다는 거예요. 그냥 편하게 쓰다 보니 일어난 일이었죠. 한국경제 보도에 따르면, 삼성은 즉시 입력 용량을 제한하고 두 달 후 전사 생성형 AI 사용을 금지했어요.
그런데 이게 삼성만의 문제가 아니었어요. 고객센터 ChatGPT 프롬프트 유출 같은 사례는 대기업부터 중소기업까지 전방위로 퍼진 현상이었거든요. 고객 개인정보가 포함된 상담 내용, 내부 프로세스가 담긴 프롬프트가 외부 AI 서버로 흘러나가는 건 어느 기업이든 일어날 수 있는 일이었어요.
당시 기업들의 선택지는 두 가지였어요. 막거나, 모른 척하거나.
데이터가 보여주는 현실: 막는다고 안 쓰는 게 아니에요
삼성이 AI를 막아놓은 3년 동안 직원들은 정말 안 썼을까요? 데이터는 다른 이야기를 해요.
OpenAI Codex 리포트에 따르면 한국에서 Codex 주간 사용자 수는 2026년 2월 대비 800% 증가했어요. 여기서 중요한 건 삼성의 공식 계약 발표가 2026년 6월이라는 점이에요. 공식 허가 전에 이미 상당수가 쓰고 있었다는 거죠.
기업이 금지해도, 직원들은 개인 계정으로 써요. 회사 망이 아닌 핸드폰 데이터로, 집에서, 혹은 카페에서. 그러면 오히려 기업 입장에서는 더 위험해요. 공식 채널이 없으니 어디서 무슨 데이터가 나가는지 파악조차 못하는 거예요.
Codex 전 세계 주간 사용자는 500만 명을 넘었어요. 이 중 20%가 비개발자인데, 이들의 증가 속도가 개발자보다 세 배 빨라요. 주요 용도는 데이터 분석, 리서치, 보고서 작성이고요. 코딩 도구로 시작한 Codex가 사무직 업무 도구로 전환되는 중이에요. 기획팀, 영업팀, 운영팀 모두 이미 쓰고 있다는 뜻이죠.
기업의 선택지 비교: 금지 vs. 통제된 허용
그럼 기업은 어떤 방향을 선택해야 할까요? 삼성의 3년이 좋은 비교 실험이 돼줬어요.
| 항목 | 금지 정책 (2023~2025) | 통제된 허용 (2026~) |
|---|---|---|
| 데이터 가시성 | 사실상 0 (개인 계정 사용 추적 불가) | 기업 환경에서 로그 추적 가능 |
| 보안 위험 | 높음 (개인 계정 → 외부 서버로 데이터 이전) | 낮음 (Enterprise 계약 → 데이터 학습 미사용) |
| 생산성 영향 | 직원이 우회하며 비공식 사용 | 공식 워크플로우에 통합 |
| 규정 준수 | 어려움 (누가 뭘 쓰는지 모름) | 가능 (사용 정책 + 보안 교육 연계) |
| 비용 | 라이선스 비용 없음, 보안 사고 비용은 있음 | 라이선스 비용 있음, 리스크 비용 감소 |
삼성이 선택한 답은 이중 트랙 구조였어요. 외부 AI(ChatGPT, Gemini, Claude)는 일반 업무용으로 허용하되, 민감한 내부 데이터는 자체 개발한 Samsung Gauss만 쓰게 하는 거예요. CIO 코리아 보도에 따르면 이 체계 도입 전에 2,500명 이상의 직원을 대상으로 파일럿 테스트를 진행했어요.
그리고 사용 전 내부 보안 교육 이수를 의무화했어요. 단순 금지에서 구조적 통제로 방향을 완전히 바꾼 거예요.
지금 기업들이 실제로 해야 할 것들
시나리오 1: 직원이 개인 ChatGPT로 고객 상담 내용을 정리하는 경우
가장 빈번하고 가장 위험한 패턴이에요. 개인 계정으로 올린 데이터는 OpenAI의 학습 데이터로 쓰일 수 있고, 기업은 이걸 알 방법이 없어요. 권장 조치는 ChatGPT Enterprise 계약으로 전환하는 거예요. Enterprise 버전은 입력 데이터를 모델 학습에 쓰지 않고, 관리자 대시보드에서 사용 현황도 추적할 수 있거든요.
시나리오 2: 개발팀이 내부 코드베이스를 AI에 노출하는 경우
삼성이 2023년에 정확히 겪은 상황이에요. 이 경우 외부 AI 대신 로컬에서 돌아가는 오픈소스 LLM(예: Ollama 기반 모델)을 도입하거나, 코드 입력 시 민감 정보를 자동 마스킹하는 도구를 추가하는 게 현실적이에요.
시나리오 3: 임원들이 AI 도구를 전혀 쓰지 않는 경우
CIO 코리아에 따르면 삼성은 계열사 사장단 약 50명을 대상으로 ‘AX 부트캠프’를 운영했어요. 2026년 8월까지 약 2,300명의 임원이 2박 3일 AI 교육을 이수해요. 전제는 단순해요. “CEO의 AI 이해도가 AX 성패를 좌우한다.” 경영진이 모르면 조직 전체가 멈추거든요.
지금 주시해야 할 신호:
- 개인정보보호위원회의 기업 AI 사용 가이드라인 업데이트 여부
- ChatGPT Enterprise 도입 없이 팀 단위로 무허가 사용하는 중소기업 증가세
- MCP(Model Context Protocol)를 통한 새로운 형태의 데이터 노출 경로 등장 — GTT Korea 보도는 이미 MCP 통한 정보 유출을 보안 경고로 다루기 시작했어요.
앞으로 6개월, 어떤 변화가 올까요
- 삼성이 ChatGPT + Gemini + Claude 세 개를 동시에 도입한 건 단순 실험이 아니에요. 벤더 락인을 피하기 위한 다중 AI 전략이 기업 표준이 될 가능성이 높아요.
- 전 세계 Codex 주간 사용자 500만 명이 계속 늘어나는 흐름대로라면, 2027년 상반기 안에 비개발자 사용자가 개발자 수를 추월할 거예요.
- 삼성이 2026년 말까지 전 직원 AI 교육 완료를 목표로 잡은 것처럼, 기업들 사이에서 AI 리터러시가 직무 필수 역량으로 자리잡는 속도가 빨라질 거예요.
자, 결론은 이미 나와 있어요. 몰래 쓰는 걸 막을 수 없다면, 안전하게 쓸 구조를 만드는 게 맞아요. 삼성이 3년에 걸쳐 낸 결론이기도 하고요.
지금 당신 회사에서는 직원들이 어떤 AI를 쓰고 있는지 알고 있나요? 모른다면, 이미 어딘가에서 데이터가 나가고 있을 가능성이 높아요.
참고자료
Photo by Steve A Johnson on Unsplash
