IT 팀을 위한 가이드

섀도 AI 앱: 직원이 AI로 만든 툴, IT 팀이 할 수 있는 일

바로 답하면

이런 앱은 이미 있다고 생각하세요. 탓하지 말고 찾아낸 다음, 만드는 사람에게 승인된 배포 장소를 하나 주세요. 회사 로그인 뒤에 있고, 모든 앱에 담당자가 정해진 곳이에요. 나머지는 한 페이지짜리 정책이면 충분해요.

AI 툴을 금지해도 잘 통하지 않아요. 앱이 보이지 않는 곳으로 옮겨 갈 뿐이에요. 이 페이지에서는 섀도 AI가 무엇인지, AI로 만든 사내 앱의 실제 위험, 이미 있는 앱을 찾는 방법, 그대로 복사해 쓰는 정책을 다뤄요.

마지막 업데이트 TeamOnly가 썼어요. 만드는 사람이 배포할 수 있는 곳 중 하나를 저희가 만들고 있어서, 관련된 부분에서는 그렇다고 밝혀요.

01용어 정리

섀도 AI란?

자주 헷갈리는 세 가지 말이에요. 같은 습관을 단계별로 부르는 이름이에요.

섀도 IT
IT 팀이 모르거나 승인하지 않은 상태로 업무에 쓰이는 소프트웨어와 서비스. 개인 파일 공유 계정, 누군가의 카드로 결제한 프로젝트 툴 같은 것들이에요.
섀도 AI
같은 일이 AI 툴로 일어나는 것. 직원이 IT 팀이 검토하지 않은 채팅 어시스턴트나 AI 기능에 회사 데이터를 붙여 넣어요.
섀도 AI 앱
새로 생긴 단계예요. 직원이 Claude Code, Cursor, Lovable, Replit, Bolt, v0로 동작하는 앱을 만들어 게시하고, 동료에게 링크를 보내요. 앱에는 회사 데이터가 있고, 계속 돌아가요.

세 번째가 다른 이유는 계속 남기 때문이에요. 채팅은 1분이면 끝나요. 앱에는 사용자와 데이터가 있고, 링크는 계속 열려요. 만든 사람의 개인 계정에 있는 경우도 많아요.

2026년 10월 25일 확인. 출처: Retool AI Governance Report 2026 (업체 조사, 2026년 6월), The Hacker News의 Red Access 조사 요약 (기고문, 2026년 5월).

02실제 위험

AI로 만든 사내 앱, 무엇이 잘못될 수 있나요?

문제가 코드 자체에 있는 경우는 드물어요. 대개는 앱이 어디에 있고, 누가 열 수 있느냐가 문제예요.

  • 회사 데이터가 담긴 공개 링크

    많은 앱 빌더가 비공개 옵션에 돈을 내거나 그 옵션을 찾지 않으면 누구나 볼 수 있게 게시해요. 아무에게도 알려 주지 않은 링크도 결국 공유되고, 검색 엔진에 올라가기도 해요.

  • 공유 비밀번호

    앱 전체에 건 비밀번호는 채팅방과 이메일로 돌아다녀요. 앱은 누가 무엇을 했는지 구분하지 못하고, 퇴사한 사람도 비밀번호를 계속 알고 있어요.

  • 개인 계정에 있는 앱

    앱은 만든 사람이 가입한 플랫폼에서, 그 사람의 카드로 결제되고, 그 사람의 로그인으로 돌아가요. 회사에는 관리자 권한이 없고, 앱이 있는지조차 모를 수 있어요.

  • 퇴사하면 담당자가 사라져요

    만든 사람이 퇴사하면 앱은 아무도 책임지지 않은 채 계속 돌아가거나, 그 사람의 카드가 해지될 때 멈춰요. 어느 쪽이든 그 앱에 기대던 팀이 가장 늦게 알게 돼요.

  • 무엇이 있는지 목록이 없어요

    모르는 앱은 검토도, 수정도, 정리도 할 수 없어요. 목록이 없으면 위의 위험은 하나도 보이지 않아요.

  • 코드 속 시크릿, 열려 있는 데이터베이스

    AI 툴은 가끔 브라우저에서 실행되는 코드에 API 키를 적어 넣어요. 그러면 앱을 연 사람은 누구나 읽을 수 있어요. 행 수준 보안이 꺼진 호스팅 데이터베이스는 앱을 거치지 않고도 읽힐 수 있어요.

03단계별로

이미 있는 앱은 어떻게 찾나요?

하나의 툴로 전부 찾을 수는 없어요. 아래 단계를 함께 쓰면 오후 한나절이면 대부분 찾을 수 있어요.

  1. 탓하지 말고 물어보기

    짧은 메시지 하나를 보내세요. “AI로 만든 툴을 동료들이 쓰고 있다면 알려 주세요. 아무것도 끄지 않아요. 안전하게 계속 쓸 수 있도록 돕고 싶을 뿐이에요.” 만드는 사람들은 보통 누군가 물어봐 줘서 반가워해요.

  2. 경비 보고서와 카드 명세서 확인하기

    Lovable, Replit, Bolt, Vercel, Netlify, Supabase, Cursor, Claude 구독을 찾아보세요. 경비 보고서에 앱 빌더 플랫폼이 있다면, 보통 어딘가에 앱이 있어요.

  3. 회사 계정으로 무엇에 로그인했는지 확인하기

    Google Workspace와 Microsoft Entra는 모두 직원이 회사 계정으로 연결한 외부 앱 목록을 보여 주고, 로그인 기록으로 어떤 것을 쓰는지도 알 수 있어요. 직원이 “Google로 로그인”이나 Microsoft로 가입한 앱 빌더 플랫폼이 거기에 나타나요.

  4. 앱 주소 찾기

    DNS나 웹 프록시 기록, 사내 채팅에서 *.lovable.app, *.replit.app, *.vercel.app, *.netlify.app, *.pages.dev 같은 주소를 검색하세요. 채팅에 올라온 링크가 실제로 쓰이는 앱을 찾는 가장 빠른 방법인 경우가 많아요.

  5. 브라우저와 기기 목록이 있다면 확인하기

    브라우저나 노트북을 관리하고 있다면, 목록에 AI 확장 프로그램과 설치된 Cursor, Claude 같은 앱이 보여요. 이걸로는 누가 만들고 있는지는 알지만 무엇을 만들었는지는 모르니, 이어서 직접 물어보세요.

  6. 적어 두기

    앱마다 한 줄씩: 이름, 담당자, 호스팅 위치, 들어 있는 데이터, 쓰는 사람. 이 시트가 첫 번째 앱 목록이 되고, 어떤 앱부터 옮길지도 알려 줘요.

04복사해서 쓰기

바로 도입할 수 있는 바이브 코딩 정책

사람들이 끝까지 읽을 만큼 짧아요. [대괄호] 안을 바꿔서 보내세요.

정책: AI로 만드는 툴

  1. 적용 범위. AI의 도움(Claude Code, Cursor, Lovable, Replit, Bolt, v0 등)으로 만든 앱, 스크립트, 툴 중에서 만든 사람이 아닌 다른 사람도 쓰는 모든 것.
  2. 만드는 것은 자유예요. 누구나 자기 업무를 위한 툴을 만들 수 있어요. 아이디어를 시도하는 데 허락은 필요 없어요.
  3. 앱을 두는 곳. 동료가 쓰는 앱은 [우리가 승인한 호스팅]에 배포해요. 개인 계정이나 공개 호스팅에는 두지 않아요.
  4. 로그인이 먼저. 모든 앱은 화면이나 데이터를 보여 주기 전에 회사 계정으로 로그인하도록 해요. 공유 비밀번호도, 공개 링크도 쓰지 않아요.
  5. 데이터. 사내 업무 데이터는 괜찮아요. 고객 개인 정보, 카드 결제 데이터, 건강 데이터, 다른 시스템의 비밀번호는 먼저 IT 팀과 확인해요. 회사 데이터는 절대 개인 계정에 있는 앱에 넣지 않아요.
  6. 키와 비밀번호. API 키와 비밀번호는 호스팅의 시크릿 설정에 넣어요. 코드에도, 채팅에도 절대 적지 않아요.
  7. 모든 앱에는 담당자가 있어요. 담당자는 앱이 잘 돌아가게 관리하고, 누가 열 수 있는지 정해요. 회사 전체이거나, 이름을 정한 사람 목록이에요.
  8. 누군가 퇴사할 때. 퇴사하거나 역할이 바뀌기 전에, 그 사람의 앱은 새 담당자에게 넘겨요. 아무도 맡지 않는 앱은 꺼요.
  9. 탓하지 않고 알리기. 회사 데이터가 있는데 누구나 열 수 있는 앱을 발견하면 [IT 담당 연락처]에 알려 주세요. 알렸다고 곤란해지는 사람은 없어요.
  10. 점검. IT 팀은 [분기]마다 앱 목록을 점검해요. [90일] 동안 아무도 쓰지 않은 앱은 담당자에게 물어본 뒤 삭제할 수 있어요.

일반 텍스트가 필요하세요? 이 페이지의 Markdown 버전에 바로 붙여 넣을 수 있는 정책이 있어요(영어).

그냥 금지하면 안 되나요?

이런 툴은 실제 문제를 해결하니까 만들어져요. 금지해도 문제는 사라지지 않고, 툴이 개인 계정으로 옮겨 갈 뿐이에요. 승인된 배포 장소를 하나 주면 같은 툴이 회사 로그인 뒤에, 읽을 수 있는 목록 안에 들어와요.

05승인된 장소

만드는 사람에게 안전한 배포 장소를

정책은 승인된 호스팅이 어려운 부분을 맡아서, 만드는 사람이 실수할 수 없을 때 제대로 작동해요. TeamOnly는 이런 일을 해요.

앱 코드가 실행되기 전에 로그인
모든 앱으로 가는 모든 요청을 먼저 확인해요. 로그인하지 않은 사람은 앱에 닿지 못해요. 앱을 공개로 바꾸는 설정은 없어요.
회사 계정만
동료는 회사 Google, 회사 Microsoft, 또는 회사 이메일로 받은 코드로 로그인해요. 회사 도메인만 들어올 수 있고, 개인 계정은 거부돼요.
모든 앱이 목록에
대시보드에서 회사의 모든 앱, 담당자, 열 수 있는 사람, 모든 배포를 볼 수 있어요. 접근 권한은 회사 전체이거나, 이름을 정한 목록이에요.
퇴사할 때 새 담당자에게
관리자는 대시보드에서 앱을 새 담당자에게 넘길 수 있어요. 회사 계정을 끄면 새 로그인이 멈춰요. 앱 로그인이 유지되는 시간은 관리자가 8시간부터 30일까지 정해요.
모든 곳에서 로그아웃
관리자는 제작자를 모든 터미널과 대시보드에서 한 번에 로그아웃시킬 수 있어요.
앱끼리 격리
앱마다 자기 데이터베이스, 파일 저장소, 시크릿이 있고, 세션 쿠키는 그 앱의 주소로만 한정돼요. 키는 npx teamonly secrets set으로 코드 밖에 설정해요.

Builder는 월 $19로 제작자 1명, 앱 3개예요. Team은 월 $249로 앱과 제작자 모두 무제한이에요. 앱을 쓰기만 하는 사람은 무료예요. 요금.

하지 않는 일: TeamOnly는 React 프런트엔드와 JavaScript 또는 TypeScript API로 된 사내 웹 앱을 호스팅해요. 공개 웹사이트나 Python 앱은 호스팅하지 않고, 지금은 SOC 2나 ISO 인증이 없어요. 보안 자세히 보기.

06FAQ

자주 묻는 질문

모든 질문과 답변

섀도 AI란 무엇인가요?

섀도 AI는 직원이 IT 팀이 모르거나 승인하지 않은 AI 툴을 업무에 쓰는 것을 말해요. 회사 데이터가 들어가는 경우가 많아요. 채팅 어시스턴트에서 시작됐지만, 지금은 직원이 AI로 만들어 동료와 공유하는 실제로 동작하는 앱도 포함돼요.

섀도 IT와 섀도 AI는 어떻게 다른가요?

섀도 IT는 개인 파일 공유 계정이나 개인 카드로 결제한 프로젝트 툴처럼, IT 팀이 모르는 상태에서 업무에 쓰이는 모든 소프트웨어나 서비스예요. 섀도 AI는 같은 일이 AI 툴로 일어나는 거예요. 섀도 AI 앱은 한 걸음 더 나아가요. 직원이 툴을 쓰기만 하는 게 아니라 직접 만들었고, 거기에 회사 데이터가 들어 있어요.

바이브 코딩을 금지해야 할까요?

금지해도 필요 자체는 사라지지 않아요. 이런 툴은 실제 문제를 해결하니까 만들어지는 거라서, 금지하면 보이지 않는 개인 계정으로 옮겨 갈 뿐이에요. 대부분의 회사에서는 짧은 정책과 승인된 배포 장소 하나가 더 잘 통해요.

직원들이 이미 AI로 만든 앱은 어떻게 찾나요?

먼저 탓하지 말고 물어보세요. 그다음 경비 보고서에서 Lovable, Replit, Vercel 같은 구독을, Google Workspace나 Microsoft Entra에서 직원이 회사 계정으로 연결한 외부 앱 목록을, DNS나 채팅 기록에서 *.lovable.app이나 *.vercel.app 같은 주소를 확인하세요.

바이브 코딩 정책에는 무엇이 들어가야 하나요?

무엇을 만들어도 되는지, 앱을 어디에 배포해야 하는지, 모든 앱에 회사 로그인이 필요하다는 것, 어떤 데이터를 써도 되는지, API 키와 비밀번호를 어디에 두는지, 각 앱의 담당자는 누구인지, 담당자가 퇴사하면 어떻게 하는지예요. 이 페이지의 정책은 한 페이지에 들어가고, 그대로 복사해 쓸 수 있어요.

AI로 만든 앱은 보안 위험인가요?

사내 툴이라면 더 큰 위험은 보통 코드가 아니라 앱이 어디에 있느냐예요. 공개 링크, 공유 비밀번호, 개인 계정, 코드에 적힌 키, 만든 사람이 퇴사한 뒤 아무도 책임지지 않는 상황이요. 모두 앱을 배포하는 곳에서 해결할 수 있어요.

얼리 액세스

만드는 사람에게 승인된 배포 장소를 하나 주세요.

모든 요금제를 지금 구독할 수 있고, 만드는 사람은 카드 없이 14일 동안 무료로 써 볼 수 있어요. 회사 준비는 바로 끝나고, 만드는 사람은 그날 바로 배포할 수 있어요.

14일 무료 체험하기아니면 지금 구독하기

무료 체험에는 카드가 필요 없어요. 그 뒤로 월 $19부터, 언제든 해지할 수 있어요.

아직 준비가 안 됐나요? 소식 받기

회사 이메일을 써 주세요. 메일은 가끔, 보낼 만한 소식이 있을 때만 보내요.

질문은 hello@teamonly.dev로 보내 주세요. 사람이 직접 답해요.