With the end of the year around the corner, I’ve been hearing a common refrain from enterprise IT and transformation leaders: “What budget should I allocate for AI agents in 2026?” The question comes as no surprise. While the rest of their organization might be winding down for the holidays, CIOs are gearing up for one of the most high-stakes planning cycles of the last decade.

AI agents are line items in almost every boardroom agenda. CIOs and CTOs are fielding a barrage of requests from their leadership cohort around “Where are our agents? What outcomes are we expecting? What’s the plan for next year?” According to Forrester, CIOs are set to receive more budget for AI in 2026, but it’s a case of more money, more problems. Next year, IT and tech leaders can expect continued business volatility and intensified pressure to justify every AI dollar is well spent.

As CIOs set their AI budgets, it’s worth taking a reality check: many AI projects are still struggling to make it from pilot to production, or if they do make it to production, they quickly find their use case cannot deliver the ROI they had hoped. That’s why I believe 2026 is a defining budget cycle. The organizations that select the right projects, invest in talent and capabilities and carefully consider the architecture needed to support agents at scale will build sustainable competitive advantages. As for the others? They’ll burn time and money on doomed pilots and incremental tools that offer no real business impact. To make smart bets for a critical year ahead, CIOs must start with understanding how AI agents can deliver real business outcomes instead of just excitement.

What do customers and employees actually want from AI agents? 

The reason AI agents are getting board-level attention is the promise to bridge the gap between human intent and business effect through automation. Over the course of the year, I’ve consulted with hundreds of enterprise leaders seeking to transform their business with AI agents. The ones able to turn those aspirations into transformations all possessed a similar ingredient – they identified the right use cases to start with. Any CIO and any organization can get this part right.

So what do customers and employees actually want from AI agents? Almost every high-impact AI agent project I’ve seen this year boils down to the same simple concept: a user expresses an intention, and an agent takes action on their behalf to deliver an outcome. This is the paradigm that separates agentic AI from chatbots. Agents promise to go beyond just information retrieval or recommendations. That capability is valuable, no doubt, but it’s table stakes in today’s AI world. Customers and employees don’t just want responses or insights; they want assistants that can take tangible actions. They don’t just want AI to help them navigate their supply chain orders across SAP modules; they want to say “order 10 tons of product” and have their agent deliver that outcome end to end.

The majority of successful AI agent projects I’ve seen look just like this. Agents for internal teams focus on meaningful ways to improve productivity by empowering workers to turn complex processes into simple requests. No one, especially anyone under 30, wants to spend time learning how to point-and-click their way through a needlessly complex user interface on a SaaS platform. Forward-thinkers are building their agents to ride a layer above core products to turn intention into outcomes. The ROI in these cases is driven by cost and time savings for the business, at scale.

As agentic capabilities evolve, I’m increasingly seeing this same concept also being applied to AI agents that reinvent the customer experience. Look at the mortgage industry for an example. These lenders report a high drop-off rate in online mortgage applications. The reality is that mortgage applications can be quite complicated. The average applicant is often overwhelmed by financial jargon or documents they may not have readily available. If the user gets confused and steps away, odds are they won’t come back. Now, imagine replacing that with an AI agent that interacts with the core service. It can answer questions, translate complex financial terms into plain terms in real-time, save the session if needed and securely reach out for bank documents. Just a 1-2% increase in completed applications from this represents a material impact on the bottom line. That’s high-impact for the business.

Don’t swing for the fences, just get on base 

As you’re allocating your budget for AI in 2026, here’s my advice: stop chasing moonshots. These vaguely scoped, overgeneralized agent dreams are often expensive, they rarely ship and they burn resources faster than they can create value. Instead, look for opportunities to hit singles and doubles. Keep your eye out for specific, high-value and outcome-driven projects that can deliver wins in months, not years. I’ll walk you through the coaching that I use with enterprise leaders planning AI projects.

Start with this question: What are 10 processes that are repetitive, well-documented and still being manually performed by humans? Score each one on a 1-10 scale across these three dimensions: the impact if you automated it, the risk if the project fails (where 10 is catastrophic) and the complexity to build and deploy it. The winning formula is high impact, low risk and low complexity. That’s your AI sweet spot. Aim your swings there.

One pharmaceutical company used this exact framework and landed on a sleeper hit: agent-based adverse event report processing. That’s not glamorous, but it freed up 40% of the team’s time that went back into actual drug discovery. In sales, I’m seeing teams use agents to create content production pipelines for outbounds, proposals and follow-ups, which helps speed up cycle times and frees reps to focus on closing deals. In financial services, agents are automating tedious back-office processes that are expensive and labor-intensive, cutting costs and reducing turnaround times by days.

Nailing the ROI formula for AI Agents 

So you’ve honed in on the right projects for 2026 AI agents, now comes the hard part: the investment. This is not free; you’ve got to make tough decisions about how to appropriate the budget and how to beef up the teams that will actually go build them. But first, you need to understand something critical about the ROI formula. Return and investment mean widely different things from company to company. 

At the enterprise scale, the value proposition for AI rests much more on increasing the bottom line. Enterprises have many more customers, opportunities for efficiency and additional sources of revenue. So even a one to two percent upside on a critical workflow, such as customer acquisition or cost reduction, can yield a material improvement to the bottom line. The scale at which enterprises operate changes the calculus for what automation flows should look like, due to the impact on their core business.

CIOs across the board must assemble the right team and ensure it is properly budgeted and staffed (I wrote on this topic earlier this year). On top of that, organizations must ensure they’re building AI agents the right way. Your ROI is fundamentally dependent on your ability to scale AI agents across all different teams in your business. Without security, compliance and governance built in from the start, you can’t scale at all. You need to solve for thousands of users, each with their own permissions, and be able to trace every action the agent takes on their behalf. Build these guardrails in from day one, and your agents can become force multipliers. Otherwise, they will drown under token costs to LLMs while the projects never go beyond a prototype.

If 2025 was the introduction to AI agents, then 2026 will be when the winners start to emerge. The companies that break away from the pack won’t be those that talked the loudest about agents or ran the most proof-of-cycle concepts. It will be the ones who shipped them to production and saved time, made money or created new customer experiences that resonate.  The difference won’t be luck; it will come down to those who approach agents with smart design, the right use case selection and informed bets on the teams and technology to bring automation to life. The right plan could change your company’s entire trajectory.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

I have spent most of my career accountable for the parts of technology nobody thinks about until something breaks. Service delivery, back-office workflows, knowledge decay, compliance friction and the invisible handoffs that quietly drain budgets. For years, I invested in automation as the answer to operational drag. We built rules, mapped flows and tried to automate the edge cases. But whenever reality changed, those automations snapped. It took me longer to realize I was automating drift.

Agentic AI changes the equation by introducing autonomy, adaptability and multi-step reasoning based on a deep understanding of context. It can escalate when confidence falls and apply policy dynamically. Over the past two years, I have deployed agentic capabilities across IT operations and talent acquisition. The cost savings were real, but the reduction in operational risk mattered more.

What concerns me most is how quickly interest is outpacing understanding. A recent enterprise AI maturity study found that many organizations are considering adopting agentic AI in the next 12 months, yet far fewer report being deeply familiar with AI technology. There is widening daylight between investment and comprehension, and leaders can feel it.

The hidden economics of back-office drag

Service delivery is accounted for as a cost center, but in practice, it behaves like a risk center. When incidents spike, I burn labor hours and credibility. When change freezes, innovation slows. When knowledge walks out the door, complexity compounds. Research from McKinsey estimates that major incident outages can cost more than $300,000 per hour when accounting for downtime, lost productivity and recovery labor. Outages erode trust as quickly as they drain budgets, and the longer the system stays down, the more stakeholders begin to question leadership’s judgment rather than the failure itself.

Agentic AI gave me ways to address root causes rather than symptoms. It accelerated the pace at which risk surfaced and reduced the dependence on human memory to carry operational knowledge.

IT service automation that actually bends cost curves

The first breakthrough came from reducing low-value, high-volume work. Password resets, access requests, policy clarification and device troubleshooting represented a disproportionate share of tickets. Conversational agents served as the first point of contact, recognizing intent, authenticating users, enforcing policy and triggering workflows. The response someone received at 4 p.m. on a weekday became indistinguishable from the one they received at 2 a.m.

As these agents matured, they evolved beyond conversation. Diagnostic agents pulled logs and compared them to historical incident signatures. Identity agents validated entitlements through policy. Remediation agents performed corrective actions autonomously when confidence thresholds were high enough. The agents could reason, plan and act instead of merely responding.

I also deployed agents that assisted human analysts. They summarized lengthy ticket histories, suggested relevant knowledge articles and drafted follow-up communication. They even generated new content as knowledge articles from closed incidents to expand self-service coverage. This type of coexistence shifted work away from repetition and toward judgment.

In parallel, autonomous agents operated inside infrastructure operations. They validated alerts, correlated telemetry and occasionally took action before anyone knew an issue existed. It was not about removing humans. It was about removing hours of manual investigation that added no value.

These moves consistently reduced incident resolution times. Industry benchmarks already show double-digit percentage decreases in resolution duration when agentic orchestration is applied to major incidents. I saw similar patterns. The improvement compounds because every minute saved in response time reduces the blast radius downstream.

Strengthening compliance and finance through continuous automation

Compliance workflows suffer when human memory carries the load. Before AI, teams stored rules in shared folders and hallway conversations. Today, compliance agents reconcile invoices, validate contract terms and flag anomalies proactively. They create explainable audit trails continuously rather than quarterly. NIST’s AI Risk Management Framework highlights traceability and explainability as foundational principles. Implementing those controls early reduced anxiety across audit teams and replaced after-the-fact cleanup with preventive action. This also reduced risk and elevated compliance reporting.

Finance experienced something similar. Reconciliation agents monitored variances and surfaced unusual patterns. What surprised me most was their reaction. They were not afraid of replacement. They were afraid of errors. When automation reduced manual variance, they became vocal advocates.

Finding use cases through process mapping

One of the most practical methods for identifying where agentic AI can help is process mapping. When I began visualizing workflows end-to-end, bottlenecks became obvious. Process mining tools uncovered rework loops, approval delays and exception handling that never made it onto formal documentation. Seeing work as a series of minor frictions makes it easier to understand where agents can step in.

The most compelling results emerged when agents were orchestrated together. A conversational agent collected symptoms and authenticated the user. A diagnostic agent pulled logs. A knowledge agent suggested resolutions based on pattern similarity. A remediation agent executed the corrective action. An orchestration layer coordinated all of it. That is where the returns accelerate.

Organizations that have leaned into this approach have reported dramatic improvements in self-submitted HR requests, faster employee onboarding and higher satisfaction due to real-time knowledge enrichment. This reinforces a simple truth: removing friction creates participation.

Workflow orchestration reduces cross-function friction

Most operational drag does not come from incidents. It comes from handoffs. Procurement requests that are bounced between finance, IT and security. Access approvals that depend on availability rather than policy. Tickets that accumulate because approvers are out of office or lack clarity. These interactions create delay and noise that nobody can see on a dashboard.

Orchestration agents change that dynamic. They trigger conditional workflows, collect missing information, validate approvals against policy and route requests without human intervention. Approval agents enforce thresholds. Inventory agents check asset life cycle status. Risk agents flag questionable suppliers. Tasks that previously took days now close in hours. And reducing interruptions had the same effect on productivity as adding headcount.

Why I do not build foundation models from scratch

At one point, I considered building a model internally. The idea was tempting. Owning the entire stack felt like a strategic advantage. But foundation models require massive compute, specialized research talent and years of iteration. Instead, I licensed access to best-in-class models and built the agentic layer on top. We used retrieval-augmented generation to feed proprietary documents and policy rules into the model, then layered business logic that governed behavior in context. We designed this with a strong emphasis on data governance, access control and privacy protection to ensure data was handled responsibly and in compliance with regulations.

This hybrid buy-and-enhance approach delivered faster time-to-value, reduced technical risk and allowed us to retain control of proprietary data and logic.

When I would build instead of buy

There are scenarios where owning the full stack makes sense. If AI is central to strategic product differentiation, if data cannot leave owned infrastructure, if regulatory constraints demand full control or if internal AI engineering maturity is high, then building becomes rational rather than romantic. MIT Sloan has explored the productivity paradox of AI, noting that capability without maturity can increase cost rather than reduce it. That matched my experience.

It is also important to recognize that both data and process maturity must be at a high bar before considering custom agentic development. Automating a broken or incomplete process does not eliminate chaos; it multiplies it. Inadequate governance, missing metadata, inconsistent runbooks or contradictory policies will produce unpredictable outcomes at machine speed. AI does not fix drift. It amplifies whatever it touches. When the substrate is clean, autonomy accelerates value. When it is not, it collapses into noise.

Agentic AI in talent acquisition was the unexpected hero

The biggest lift I saw came from HR. Application backlogs caused candidates to drop off. Interview scheduling created friction across time zones. Compensation exceptions slowed approvals. Agentic AI addressed all three. Conversational agents guide candidates through application steps. Scheduling agents reconciled calendars, set up interviews and sent confirmations. Qualification agents screened resumes against policy. Sentiment agents summarized tone and engagement from written and verbal communication, providing summaries of conversations to all parties.

Time-to-fill decreased and candidate satisfaction improved simply by eliminating the waiting. The SHRM Candidate Application Abandonment Study notes that delayed response time is one of the top drivers of candidate abandonment. Agents save time. And when you compress cycle time in recruiting, you increase talent density, which later reduces operational drag across the enterprise.

Cost is shifting from labor to compute

When human workload decreases, inference cost rises. Finance teams are not yet fluent in ROC (return on compute), but this metric will become as common as ROI. Without guardrails, cloud cost drift can quietly consume the savings that automation promised. I track ROC as closely as I track cost per ticket because unmonitored inference is the new runaway labor. Compute cycles do not call in sick or take a vacation and they scale without asking permission.

This is where leaders can get fooled. If compute spend rises faster than human workload declines, autonomy without financial guardrails can turn cloud cost into the new labor balloon — just harder to see, harder to attribute and harder to challenge. The danger is that it hides in budgets where executives are not trained to look. Leaders know how to question headcount, overtime and contractor spend, but they rarely scrutinize the compute charges buried in cloud bills. AI costs grow in technical corners of the budget, where they can expand quietly and avoid the financial scrutiny applied to labor.

In the same way cloud transformed capital expense into operating expense overnight, agentic AI will force us to treat compute as a strategic cost center rather than a utility. If we do not build that discipline now, autonomy will become the most elegant form of overspending we have ever engineered.

What success looks like

In mature environments, I saw fewer escalations, shorter outages, improved hiring velocity and predictable change cycles. Operational friction decreased and innovation increased. Teams felt less interrupted and more trusted. That cultural shift was as valuable as the financial one.

Predictability is the real outcome. When service delivery becomes stable and repeatable, IT stops acting like an internal repair shop and starts behaving like an engine of growth. Reliable delivery creates the headroom to build new products, partner with the business on revenue initiatives and invest in automations that compound value instead of compensating for failure. As the operational noise floor drops, capacity shifts from firefighting to forward motion.

Agentic AI is not just about doing the same work cheaper. It is about creating the conditions where IT can participate in strategy, influence the customer experience and build digital capabilities that generate revenue rather than support it. When systems stop surprising us, we can finally focus on the work that moves the company forward.

Final thought

Agentic AI is not about replacing judgment. It is about protecting it. When machines remove drag, humans spend more time on the decisions that matter. The organizations that treat back-office operations as a resilience discipline, not a cost bucket, will bend cost curves and compress risk where it quietly accumulates.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

‘확장’은 종종 성공으로 오해된다. 이는 무언가 제대로 작동하고 있다는 신호처럼 여겨지기 쉽다. 그러나 실제 현장에서는 성장 압박이 로드맵뿐 아니라 아키텍처, 데이터 레이어, 사고 대응 체계, 고부하 환경에서 움직여야 하는 팀의 운영 역량까지 전반에 영향을 미친다. 초기 단계에서 충분히 괜찮다고 여겼던 서비스 수준 계약(SLA), 서비스 수준 목표(SLO), 지연 시간 예산은 새로운 동시 접속 및 트래픽 패턴이 나타나면 쉽게 무너질 수 있다. 겉으로는 건전해 보이는 지표가 실제로는 취약한 시스템을 가리고 있다가, 특정 기능 하나를 출시하는 순간 전체가 한꺼번에 붕괴하는 상황도 여러 차례 목격했다.

• 지표가 정렬되지 않고 운영 체계가 취약한 상태에서 너무 이른 시점에 규모 확장에 나서는 것은 여전히 제품 실패의 주요 원인으로 꼽힌다.
• 지표는 외부에서 가져온 벤치마크가 아니라, 각 조직의 구체적 맥락 안에서 의미를 가진다.
• DORA, 오류 예산, SLO 등 엔지니어링 준비 지표 역시 제품 성장에 맞춰 진화해야 한다. 그렇지 않으면 고부하 환경에서 실패로 이어질 수 있다.

지난 10여 년 동안 잠재력이 큰 팀이 잘못된 지표에 매달리다 소진되거나, 제품이 준비되지 않은 상태에서 무리하게 확장을 시도하다가 실패하는 사례를 지켜봐 왔다. 실제로 스타트업의 70%는 제품과 플랫폼이 충분히 성숙하지 않은 상태에서 성장을 시도해 결국 실패한다는 조사 결과가 있다. 핵심 과제는 더 빨리 성장하는 법이 아니라 시스템을 붕괴시키지 않고 성장하는 방법을 찾는 것이다. 이를 위해서는 지표, 제품의 성숙도, 엔지니어링 탄력성 전반에서 긴밀한 조율이 필요하다.

가장 먼저 배운 교훈 중 하나는 지표가 ‘트로피’가 아니라 ‘거울’이라는 점이다. 한때 ‘월간 활성 이용자’ 같은 단일 지표에 집착하면서 보기 좋은 그래프는 만들었지만, 사업 자체는 취약해졌다. 당시 확대하고 있었던 것은 가치가 아니라 겉모습이었다. 그래서 지금은 범용 KPI 대신 실제 가치 흐름을 보여주는 4~6개의 제품 특화 지표에 집중한다. 가입 전환율, 고객 획득 비용(CAC), 일일 활성 사용자 대비 월간 사용자(DAU-MAU) 비율, 첫 핵심 행동 수행률, 특정 행동 유지율 등이다. 지표는 성공을 확인하는 용도가 아니라 상황을 이해하게 해주는 도구여야 한다. 찰스 굿하트 교수는 “측정 기준이 목표가 되면 더 이상 좋은 측정 기준이 아니다”라는 법칙을 제시한 바 있다.

지표가 목표가 되기 시작하면 사람들은 실질적 성과가 아닌 숫자를 올리는 데 집중하거나 왜곡된 방식으로 문제를 해결하려 한다. 대표적 사례가 웰스파고(Wells Fargo) 교차판매 스캔들이다. 2010년대 웰스파고 경영진은 ‘고객 1인당 계좌 수’라는 지표에 지나치게 집착하면서 과도한 목표를 설정했고, 결국 직원들은 목표 달성을 위해 수백만 개의 유령 계좌를 개설하기 시작했다. 지표는 겉보기엔 좋아 보였지만, 고객 신뢰는 붕괴됐고 회사는 막대한 벌금을 감당해야 했다. 여기서 얻는 교훈은 단일 지표를 절대적 기준으로 삼아서는 안 된다는 점이다. 제품과 사용자가 실제로 얻는 가치를 균형 있게 반영하는 방식으로 성공을 정의해야 한다.

가드레일로서의 벤치마크

벤치마크는 분명 유용하지만, 기준점일 뿐 절대적 규칙으로 받아들여서는 안 된다. 비정상적으로 낮은 전환율 같은 이상 징후를 파악하는 데 도움이 되지만, 특정 제품의 성공을 어떻게 정의해야 하는지까지 규정하는 도구는 아니다. 과거 필자는 팀의 ‘챕터 2’를 다른 기업의 ‘챕터 10’과 비교하는 실수를 저질렀다. 어떤 SaaS 서비스가 첫날 유지율 50%를 기록했다는 이야기를 보고, 우리는 30%에 불과하다는 이유로 스스로를 과소평가했지만, 해결하려는 문제도, 시장 단계도, 사용자 구성도 완전히 다르다는 사실을 놓쳤다.

이런 비교 방식은 팀이 맞지 않는 경기장에서 뛰는 결과로 이어진다. 모든 제품은 출시 시점, 예산, 팀의 성숙도, 시장의 복잡성 등 서로 다른 맥락 속에 존재한다. 벤치마크가 참고 자료일 수는 있지만 의사결정을 지배해서는 안 된다. 이를 절대적 기준처럼 다루기 시작하면 객관성이 있다는 착각에 빠져 실제 제약 조건을 무시하거나 애초에 팀과 무관한 지표를 쫓게 된다.

현실적으로는 벤치마크를 일종의 일기예보처럼 활용하는 것이 유용하다. 다시 말해 어떤 환경에서 움직이게 될지 예상하게 해주지만, 경로 자체를 결정해주지는 않는다. 실제로 중요한 일은 제품의 가치를 정확하게 반영하는 지표가 무엇인지 파악하고, 그 지표를 중심으로 시스템 전체를 조율하는 것이다.

운영 준비

지표가 아무리 유망해 보여도 엔지니어링 준비 없이 제품을 확장하는 일은 부실한 지반 위에 건물을 올리는 것과 다르지 않다. 성장은 운영 시스템 전반에 부담을 준다. 배포 파이프라인, 관측 도구, 지연 시간 예산, 릴리스 주기 등이 모두 실시간으로 스트레스 테스트를 받는다. 그래서 우리는 배포 빈도, 변경 실패율 같은 DORA 지표를 단순한 엔지니어링 KPI가 아니라 확장 가능성을 가늠하는 초기 지표로 활용한다.

또한 성장 루프의 가속을 고민하기 전에 여러 질문을 던진다. 사고 대응 프로세스는 충분히 견고한가? 오류 예산을 마련해 두고 실제로 준수하고 있는가? 성능 저하가 고객 불편으로 이어지기 전에 충분히 빠르게 감지되고 있는가?

확장은 단순히 사용자를 더 많이 확보하는 문제가 아니다. 신뢰와 안정성을 해치지 않는 것이 핵심이다. 기술 부채가 당장 다음 릴리스를 막지는 않을 수 있지만, 이는 성장 압력이 커지는 순간 빠르게 누적된다. 그런 점에서 인프라와 플랫폼의 건강 상태가 결국 제품 전략의 일부라고 할 수 있다. 성장의 순간이 왔을 때 얼마나 빠르고 안전하게 움직일 수 있는지 결정하기 때문이다.

지표가 확장 과정에서 의미를 잃는 이유는 인프라 문제 때문만이 아니다. 더 큰 원인은 지표를 어떻게 해석하느냐에 있다.

올바른 지표 관리

대규모 성과 검토나 성장 현황을 공유하는 회의를 앞두고 있을 때, 필자가 이끄는 팀은 ‘데이터 위생 점검’을 준비한다. 이는 겉으로 드러나는 작업이 아니지만 반드시 필요한 과정이다. 핵심 이벤트가 올바르게 수집되고 있는지, 명명 규칙이 일관되는지, 퍼널이 실제 사용자 흐름을 정확히 반영하는지 꼼꼼히 확인한다. 이런 습관은 한때 온보딩 지표가 급증했다며 기뻐했다가, 알고 보니 특정 이벤트가 너무 일찍 발생하는 버그 때문이었다는 사실을 뒤늦게 확인한 경험에서 비롯됐다. 이 사건은 잘못된 데이터가 얼마나 큰 비용을 초래하는지 분명하게 보여줬다. 부정확한 데이터는 잘못된 확신으로 이어지며, 이런 확신은 가장 값비싼 오류다.

따라서 지금은 지표를 치명적 소프트웨어 버그를 수정하는 것만큼 중요하게 다룬다. 이는 단순한 개인적 성향이 아니라, 여러 조사 결과로도 확인되는 사실이다. 각종 설문에 따르면 경영진의 약 58%는 핵심 의사결정이 부정확하거나 일관되지 않은 데이터에 기반해 이뤄지는 경우가 많다고 답했다. 다시 말해 절반이 넘는 기업이 불안정한 숫자를 기반으로 의사결정을 내리고 있다. 장기적으로 보면 데이터 품질이 떨어지는 데 따른 비용도 적지 않다. 가트너 보고서는 데이터 품질 저하가 기업에 연간 평균 1,500만 달러의 손실을 초래한다고 밝혔다. 정확한 지표는 단순한 기술적 위생 문제를 넘어, 위험을 관리하는 수단이다. 성과를 자축하기 전에, 측정 체계가 잘못된 신호를 보내고 있지 않은지 반드시 확인해야 한다.

성장의 사각지대인 ‘대리 지표’에 주의할 이유

숫자가 오른다고 해서 항상 성공을 의미하는 것이 아니다. 실제 가치가 정체되거나 오히려 떨어지고 있음에도 불구하고, 겉으로만 성장하는 것처럼 보이게 만드는 지표들이 있다. 이를 ‘대리 지표’ 또는 ‘맹목적 지표’라고 부른다. 이런 지표들은 성공의 착시를 만들지만, 정작 핵심 가치 제안은 제자리인 경우가 많다. 대표적인 예가 앱 다운로드 수다. 다운로드는 폭증하는데 실제 활성 이용자는 정체 상태일 수 있다. 웹사이트 페이지뷰가 높아도, 클릭을 유도하는 마케팅 때문일 뿐 실제 유료 전환율은 낮을 수 있다. 이런 상황에서 숫자가 올라가는 그래프만 보고, 그 의미를 의심하지 않는 상태에 빠지기 쉽다.

착시를 피하기 위해 필자는 지표를 간단한 계층 구조로 정리해 관리한다. 일종의 ‘지표 피라미드’다. 가장 아래층에는 운영 지표가 있다. 이는 직접 통제하거나 영향을 줄 수 있는 숫자들이다. 예를 들어 영업 콜 횟수, 해결된 버그 수, 마케팅 집행 비용 등이 여기에 해당한다. 중간에는 행동 또는 제품 지표가 위치한다. 사용자 행동과 참여도를 보여주는 지표로, 일간 활성 이용자, 체류 시간, 기능 사용률 등이 포함된다. 이는 운영 활동의 결과물이지만, 완전히 통제할 수 있는 수치는 아니다.

피라미드의 최상단에는 결과 지표가 있다. 이는 궁극적 목표, 다시 말해 ‘왜 이 일을 하는가’를 보여주는 수치다. 매출, 고객 유지율, 고객 만족도처럼 실제로 전달된 가치를 반영하는 지표들이 여기에 해당한다. 이 피라미드는 전술적 지표와 전략적 목표를 자연스럽게 연결해 준다. 여러 팀이 활용하는 ‘북극성 지표’와도 유사하다. 최상위에 핵심 지표가 하나 있고, 그 아래 이를 견인하는 주요 지표들이 있으며, 가장 아래에는 의사결정과 문제 해결을 돕는 보다 세밀한 데이터가 위치하는 방식이다. 실제로 많은 제품 관리 가이드 역시 명확성을 위해 이런 지표 피라미드 접근을 권장한다.

이를 기반으로, ‘월간 세션 수’ 같은 지표가 상승하면 “이것은 성과인가, 단순한 출력인가?”라는 질문을 스스로 던진다. 세션이 늘어나는 것이 매출 증가나 유지율 향상처럼 결과 지표와 연관된다면 적극적 신호일 수 있다. 그러나 UI 변경처럼 단순히 앱을 더 자주 열게 만든 요인 때문이라면 이는 대리 지표에 불과하다. 피라미드 구조로 사고하면 하위 지표의 상승이 상위 목표 달성으로 이어지는지, 혹은 단순한 노이즈인지 명확하게 구분할 수 있다. 하단 지표가 올랐다고 해서 상단 지표가 움직인다는 보장은 없다는 점을 항상 상기하게 된다.

‘제품–시장 적합성’의 신화

스타트업 세계에서 제품–시장 적합성(Product Market Fit, PMF)만큼 찬사를 받는 개념도 드물다. 이는 모든 요소가 맞아떨어지는 마법 같은 순간, 즉 사용자가 열광하고 성장세가 폭발하며 마침내 성공했다고 느끼는 시점을 말한다. 하지만 필자는 PMF를 단 한 번의 깨달음처럼 다루는 입장에 점점 회의적이 됐다. 실제로 적합성은 고정된 목표가 아니라 계속 움직인다. 초기 성과가 장기적 적합성을 보장하지도 않는다. 고객의 요구는 변하고, 경쟁자는 대응하며, 어제 맞았던 것이 내일도 맞는다는 보장은 없다. 그래서 PMF를 도달점이 아니라 지속적인 조정 과정으로 바라본다.

따라서 신화적 순간을 쫓기보다 추세와 흐름을 살필 필요가 있다. “PMF를 달성했다”라고 선언하는 대신, 지금도 여전히 실제 사람들의 실제 문제를 제대로 해결하고 있는지, 그리고 다른 대안보다 더 나은 해결책을 제공하고 있는지를 물어야 한다. 오래 살아남는 팀은 적합성을 한 번 찾는 데 그치지 않고 지속적으로 다듬어 나가는 팀이다.

빠르게 돌아가는 제품 개발 사이클에서는 다음 프로젝트로 곧바로 넘어가며 돌아볼 시간을 놓치기 쉽다. 그래서 주요 릴리스나 성장 실험을 마칠 때마다 ‘반성 회의’를 여는 것을 의례로 삼고 있다. 이 자리에서는 크게 3가지 질문을 던진다.

1. 올바른 지표를 측정했는가?
2. 어떤 지표가 실제로 통찰을 줬고, 어떤 지표가 오히려 판단을 흐리게 했는가?
3. 성장 가설 중 무엇이 실제로 틀렸는가?

이 과정을 꾸준히 실천한 팀은 시간이 갈수록 데이터를 다루는 데 훨씬 능숙해졌다. 이때 지표는 점수판이나 압박 도구가 아니라, 앞으로 가야 할 방향을 비춰주는 손전등이 된다.

의식의 중요성

지금까지의 모든 논점을 하나로 묶는 주제는 성장에서 의식의 중요성이다. 북극성 지표, 성장 루프, 바이럴 계수, OKR 같은 프레임워크는 유용한 도구지만, 맥락과 자기 인식을 갖고 사용할 때만 효과가 있다. 그래서 팀에는 “숫자와 맥락(직관, 사용자 조사, 시장 신호)이 서로 다른 메시지를 제시한다면 맥락을 우선하라”라고 지시한다.

성장은 전략이 아니라 결과다. 과거의 스스로에게 조언할 수 있다면, “트렌드라인을 쫓지 말고, 이해를 쫓아라”라고 말하고 싶다. 역설적이게도 사용자와 가치에 대한 이해가 깊어질수록, 성장은 더 자연스럽게 뒤따르고 더 건강하며 지속 가능해진다.
dl-ciokorea@foundryco.com

“Scale” is often mistaken for success — a signal that something works. But in practice, growth stresses not just the roadmap, but the architecture, the data layer, the incident response system and the team’s ability to operate under load. SLAs, SLOs and latency budgets that felt “good enough” at early stages begin to collapse under new concurrency and traffic patterns. I’ve seen healthy metrics mask brittle systems — until one feature launch brings everything crashing down.

• Scaling too early — without aligned metrics and operational resilience — remains a top reason for product failure.
• Metrics are only meaningful when rooted in your specific context, not borrowed benchmarks.
• Engineering readiness (DORA, error budgets, SLOs) must evolve alongside product growth or risk failure under load.

Over the past decade, I’ve watched promising teams burn out chasing vanity metrics and products buckle from premature scale. In fact, 70% of startups fail because they try to grow before the product and platform are truly ready. The real challenge isn’t how to grow faster — it’s how to grow without collapsing the system. That requires alignment across metrics, product maturity and engineering resilience.

One of the earliest lessons I learned: Metrics aren’t trophies — they’re mirrors. Chasing a single number, like monthly active users, once gave us impressive charts but a weak business. We were scaling vanity, not value. Today, instead of generic KPIs, I focus on 4–6 product-specific indicators — signup conversion rate, CAC, DAU-to-MAU ratio, first key action rate, retention in specific action — that reflect how value actually moves through the system. Metrics should guide awareness, not just validate success. As Goodhart’s Law reminds us: Once a measure becomes a target, it stops being a good measure.

People start gaming the number or optimizing for it at the expense of true outcomes. A notorious example was Wells Fargo’s sales scandal — management fixated on a metric (number of accounts per customer) and set such aggressive targets that employees began opening millions of fake accounts just to hit the goal. The metric looked great on paper, but it destroyed customer trust and led to billions in fines. The lesson: Don’t let any single metric become a false idol. Define success in a more balanced way that reflects real value creation for your product and users.

Benchmarks as guardrails

Benchmarks are useful — but only when treated as reference points, not commandments. They help spot when something’s off (say, an unusually low conversion rate), but they’re not meant to define what success should look like for your product. Early on, I made the mistake of comparing our “chapter two” to someone else’s “chapter ten.” I’d see another SaaS boasting 50% Day-1 retention and panic that we were underperforming at 30%, without factoring in that we were solving a different problem, at a different stage, with a different user base.

That’s how teams end up racing in a lane that isn’t theirs. Every product exists in its own context — timing, budget, team maturity, market complexity. Benchmarks can inform, but they should never dictate. Treating them as gospel can create a dangerous illusion of objectivity — leading you to ignore your actual constraints or chase metrics that were never yours to begin with.

In practice, I use benchmarks the way I use weather forecasts: They tell me what kind of conditions to expect, but they don’t determine the route. The real job is understanding which metrics actually reflect value for your product — and then tuning the rest of the system around that.

Operational readiness

No matter how promising the metrics look, scaling a product without engineering readiness is like building on soft ground. Growth puts operational systems under pressure — deployment pipelines, observability tools, latency budgets and release cadences all get stress-tested in real time.  That’s why we treat DORA metrics (like deployment frequency and change failure rate) as early indicators of scaling capacity, not just engineering KPIs.

Before dialing up growth loops, we ask: Are our incident response processes resilient? Do we have error budgets in place, and are they respected? Are performance regressions visible early enough to prevent customer pain?

Scaling isn’t just about acquiring more users — it’s about handling them without breaking trust or stability. Tech debt may not block your next release, but it will compound under pressure. In that sense, infrastructure and platform health are product decisions — because they shape how fast and safely you can move when growth actually arrives.

But metrics don’t just fail at scale because of bad infrastructure — they fail because of how we interpret them.

Metric hygiene

Before any big “results review” meeting or growth update, my team knows I’ll be declaring a data hygiene day. It’s not glamorous, but it’s essential. We verify that key events are tracked correctly, naming is consistent and funnels reflect actual user flows. This habit formed after we celebrated a spike in onboarding — only to later discover it was caused by a faulty event firing too early. That incident taught me the cost of bad data: It creates fake confidence and misleads decision-making. Bad data creates fake confidence – and fake confidence is the most expensive bug of all.

I now treat metric hygiene as seriously as fixing a critical software bug. This isn’t just my eccentricity; it’s borne out by broader evidence. Surveys indicate that 58% of business leaders claim key decisions are often based on inaccurate or inconsistent data. Imagine that – more than half of companies may be betting on wrong numbers, or at least shaky. In the long run, the cost of poor data quality is substantial: A Gartner study reveals that poor data quality costs organizations an average of $15 million annually. Clean metrics are not just technical hygiene — they’re a form of risk management. Before celebrating progress, make sure your measurement system isn’t lying.

Beware of proxy metrics, the ‘blind spots’ of growth

Not every growing number means you’re winning. In fact, some metrics can grow impressively while masking stagnation or decline in actual value. I call these proxy metrics (or sometimes “blind metrics”). They’re the numbers that give an illusion of success while your core value proposition languishes. Classic examples: App downloads can be skyrocketing, but active usage could be flat. Or page views on your site might be high (perhaps due to clickbait marketing) while conversion to paying customers remains low. We often become metric-blind in these cases: We see the graph going up, but don’t question what it really means.

To stay grounded, I organize metrics in a simple hierarchy — a metric pyramid of sorts. At the base are operational metrics (the day-to-day numbers you can directly control or influence: e.g., number of sales calls made, bugs resolved or marketing spend). In the middle are behavioral or product metrics (these show user behavior and engagement: e.g., daily active users, time spent, feature adoption rates — they result from your operations but aren’t solely under your control).

At the top are outcome metrics, which capture the ultimate goals or the “Why” — often things like revenue, customer retention rate or customer satisfaction that reflect delivered value. This pyramid ensures we connect the tactical metrics to strategic outcomes. It’s similar to the North Star framework many teams use, where a single top-level metric is supported by a few key drivers, and beneath those are a plethora of granular metrics. In fact, product management guides suggest using a metrics pyramid for clarity: At the top you have a North Star outcome, in the middle, the metrics tied to actions you’re taking to influence that outcome, and at the bottom, the finer data points that help troubleshoot and inform decisions.

When I see a metric like “monthly sessions” rising, I force myself to ask: Is this an outcome or just an output? More sessions could mean success if it correlates to the outcome (say, higher revenue or better retention), but it could also be a proxy metric — perhaps users are opening the app more frequently because of a UI change, but not actually getting more value. By structuring our thinking in a pyramid, we remind ourselves that an uptick at the bottom doesn’t guarantee movement at the top.

The myth of ‘product-market fit’

In startup lore, few concepts are more celebrated than product-market fit (PMF) — that magical moment when everything clicks: Users love the product, growth surges and you feel like you’ve “made it.” But I’ve grown skeptical of framing PMF as a one-time epiphany. In reality, fit is a moving target — a continuous process, not a milestone. Early traction doesn’t guarantee long-term alignment. Customer needs shift, competitors respond and what fit yesterday might not work tomorrow. That’s why I treat PMF as ongoing calibration, not a finish line.

So instead of chasing a mythical moment, I pay attention to trends and trajectories. Rather than declaring “we have PMF,” I ask: How well are we still solving a real problem for real people — and are we doing it better than alternatives? Teams that endure don’t just find fit once — they continuously refine it.

In fast-paced product cycles, it’s easy to jump from one project to the next without pausing. But I’ve made it a ritual that after every major release or growth experiment, we hold a reflection session. In that session, we ask three questions:

1. Did we measure the right things?
2. Which metrics truly gave us clarity, and which ended up misleading or blinding us?
3. Which of our growth assumptions were proven wrong by reality?

I’ve noticed that teams who embrace this reflective practice become much more data-savvy over time. The metrics then stop being a scorecard or cudgel, and become a flashlight — something that illuminates the path forward.

Final thoughts

If there’s one theme that ties all these lessons together, it’s the importance of consciousness in growth. Frameworks and tactics — North Star metrics, growth loops, viral coefficients, OKRs — all of these are useful tools, but only if wielded with self-awareness and context. I often tell myself and my team: When the numbers say one thing and your context (your intuition, user research, market signals) says another, trust the context.

Growth is an outcome, not a strategy. If I could send advice to my younger self, it would be: Don’t chase the trendline, chase understanding. Ironically, when you truly understand your users and your value, growth tends to follow naturally — and it will be healthier and more sustainable.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

가트너는 전 세계 AI 지출이 올해 1조 5,000억 달러에서 2026년에 2조 달러에 이를 것으로 전망했다. 경영 컨설팅 회사 웨스트 먼로가 대기업 임원 300명 이상을 대상으로 진행한 설문에서도 응답자의 85%가 내년에 IT 예산을 늘릴 계획이라고 답했으며, 이 가운데 상당 부분이 AI에 투입될 예정이라고 밝혔다. 응답 임원의 42%는 AI와 데이터 역량 확장을 기술 투자 최우선 과제로 꼽았고, 91%는 AI가 기술 지출 증가를 유발하고 있다고 답했다. 약 3/4은 AI 도입으로 외부 계약 비용도 늘릴 계획이라고 밝혔다.

웨스트 먼로의 최고 AI 책임자 브렛 그린스타인은 지난 몇 년 동안 많은 기업이 AI가 무엇을 할 수 있는지 파악하기 위한 개념검증 작업을 진행하고 있었지만, 최근 분위기는 달라졌다고 설명했다. 그린스타인은 “이제는 사용례나 개념검증을 이야기하는 경우가 크게 줄고, 1단계 또는 2단계 프로젝트 논의가 많아졌다”고 말했다.

그린스타인은 AI가 무엇을 할 수 있는지 판단하는 일이 이제는 어렵지 않다며, “어떤 과제를 보면 AI로 충분히 해결할 수 있는지 바로 판단할 수 있다”라고 말했다. 하지만 CIO가 원하는 만큼 마음대로 예산을 쓸 수 있다는 의미는 아니라고 덧붙였다.

글로벌 투자·보험사 프린시펄 파이낸셜 그룹의 최고 데이터 및 애널리틱스 책임자 라제시 아로라는 현재 회사의 초점은 측정 가능한 비즈니스 가치를 제공하는 데 맞춰져 있다고 말했다.

프린시펄 파이낸셜 그룹은 확장 가능한 플랫폼과 고가치 사용례를 중심으로 예산을 재배분하고 있으며, 엄격한 ROI 추적과 비용 거버넌스도 도입하고 있다. 아로라는 이제 실험적 파일럿 단계를 넘어섰으며, 확장 가능한 플랫폼뿐 아니라 라이프사이클 관리 도구, 데이터 기반, 운영 AI 역량도 함께 검토하고 있다고 설명했다.

아로라는 “프로세스를 자동화하고 고객 경험을 개선하고, 새로운 역량을 구축하고 리스크 관리 체계를 강화하는 솔루션을 찾고 있다”라며, “모든 비용을 최대한 효율적으로 사용하는 것이 목표다. 예산이 유한한 만큼 우선순위 조정도 불가피하다”라고 강조했다.

예를 들어 프린시펄 파이낸셜 그룹은 가치가 낮은 투자 항목을 중단하고, 고가치 사용례에 집중하고 있다. 계약 관리도 강화하고 조건 재협상도 진행 중이다. 또 자동화 측면에서는 LLM 운영 비용 경보 기능과 주요 사항 버전 관리 기능을 구축해 이상 징후를 식별하고 초과 비용을 방지하고 있다.

LLM은 동일한 입력에 다른 결과를 생성할 수 있고 모델 버전에 따라서도 성능과 비용이 크게 달라질 수 있다. 버전 관리 기능은 소프트웨어 변경뿐 아니라 모델, 데이터, 프롬프트 사용 이력을 추적한다. 아로나는 “결국 비용 통제를 위해 AI를 전략적 관리 대상으로 삼는다는 의미”라고 말했다.

아로라의 경험은 드문 사례가 아니다. 다양한 규모와 업종의 기업이 개념검증 단계를 넘어 본격적인 대규모 도입 단계로 이동하면서 AI 지출 관리라는 새로운 과제에 직면하고 있다. ROI 요구 증가, 레거시 예산의 AI 전환, 기술 부채 관리 등이 대표적인 과제다.

성과 증명에 대한 압박

프린시펄 파이낸셜 그룹은 AI 투자가 가치가 있음을 입증하기 위해 효율성 향상, 리스크 감소, 고객 만족도 개선, 직원 경험 개선을 추적하고 있다. 이는 AI가 창출하는 가치를 전체적으로 파악하는 데도 도움이 된다.

아로라는 “균형 잡힌 포트폴리오를 유지하는 접근 방식을 취하고 있다. 이는 단기 성과로 동력을 얻는 동시에 전략적 우위와 성장을 위한 장기 혁신에 투자한다는 의미이다”라며, “AI 역량이 성숙해지면서 성공 기준을 더욱 명확하게 설정하고 장기적 지속 가능성을 보장하는 일이 중요해졌다”라고 덧붙였다.

규모가 작은 기업의 기술 책임자도 AI 프로젝트의 결과를 입증해야 하는 상황이다. 미국 오스틴과 샌안토니오에 4개 사무소를 보유한 JB굿윈 리얼터스는 800명 규모의 에이전트, 파트너, 직원이 근무하는데, 모두가 AI를 적극적으로 활용하고 있다.

JB굿윈 리얼터스의 부사장 에드워드 툴은 “CEO도 매일 AI를 사용한다. 모든 에이전트도 AI를 활용하고 있고, 추가 지출 승인도 받았다. 하지만 ROI는 직접 증명해야 한다”라고 강조했다. 툴은 “소규모로 지출하고 사용례를 입증하면, 예산을 조금 더 받고 다시 조금 더 지출하는 방식이다”라고 설명했다. 예를 들어 효율성이 개선되었는지 보여주기 위해 기존 방식과 AI 방식 두 가지 프로세스를 병행해 비교하기도 한다.

가트너 애널리스트 멜러니 프리즈는 비용 절감 효과가 있는 AI 프로젝트에 집중하는 것이 성과를 보여주고 동력을 확보하는 좋은 방식이라고 평가했다. 프리즈는 “비용 외에도 장기적 가치로 이어지는 다양한 효과를 얻을 수 있다”고 설명했다. 예를 들어 인프라와 운영에서는 클라우드 비용 관리, IT 서비스 지원, 전반적 직원 생산성이 대표적 성과이다.

프리즈는 “비용 최적화뿐 아니라 혁신, 효율성, 인재 관리 최적화 같은 다양한 가치를 함께 확보할 수 있다”라고 덧붙였다.

투자 우선순위의 변화

아직 명확한 ROI가 없는 실험적 AI 프로젝트 비용을 충당하는 또 하나의 방법은 다른 예산 항목에서 자금을 이전하는 것이다. 툴은 그런 방식을 실제로 사용한다며, “AI 지출을 상쇄하기 위해 다른 비용을 줄인다”라고 말했다.

웨스트 먼로의 브렛 그린스타인은 모든 기업이 AI 중심 또는 AI 네이티브 조직이 되고 싶어 하지만, “회사 생존에 직결되는 경우가 아니라면 추가 예산이 따로 있는 곳은 없다”라고 지적했다. 그래서 레거시 프로젝트 예산을 AI로 전환하는 전략이 널리 쓰인다는 것.

그린스타인은 “기업 내부 우선순위가 이동하고 있다”라고 강조했다. 기업은 기존 투자가 AI 때문에 불필요해졌는지, 또는 AI로 대체 가능한지를 검토하고 있으며, 솔루션 업체에도 비용 절감을 강하게 요구하고 있다.

기술 선도 기업조차 이런 조정이 필요할 수 있다. 포춘 500대 보험회사 한 곳의 수석 기술 임원은 “AI를 위해 완전히 새로운 예산 항목을 만든 것은 아니다. AI 예산 책정 방식은 아직도 조율 중이다”라고 말했다.

해당 기업은 대신 다른 영역에서 자금을 떼어 AI에 투입하고 있다. 이 기술 임원은 “현재 AI는 자체 조달 모델로 운영되고 있다. 레거시 기술에 투입하던 투자를 AI로 이동하는 방식이다”라고 설명했다. 예를 들어 이전에 특정 기술에 연간 100만 달러를 사용하던 비용을 자동화를 통해 90만 달러로 줄였다면, 절감한 10만 달러를 AI에 투입하는 식이다.

일부 기업은 솔루션 업체가 기존 제품에 AI 기능이나 에이전트 기능을 추가하면서 회사가 새로운 AI 기능을 무료로 얻기도 한다. 하지만 어떤 플랫폼은 새 기능에 대해 추가 비용을 청구한다. 이런 구조는 2026~2027년에 새로운 자금 모델로 발전할 가능성이 있으며, 기업의 AI 활용이 성숙해질수록 자금 모델도 함께 진화할 것으로 보인다.

이 기술 임원은 “높은 비즈니스 가치를 창출하거나 효율성을 높이는 역량을 입증하면 변화가 나타날 것이다. 그러면 속도를 높이기 위한 추가 투자로 전환할 것”이라고 말했다.

예상치 못한 상황을 대비한 계획

IT 프로젝트 예산 수립은 원래도 쉽지 않았지만, AI는 여기에 새로운 난제를 더하고 있다. 전례 없는 변화 속도가 대표적인 과제다.

퍼블리시스 사피엥트의 최고 제품 책임자 셸던 몬테이로는 “지금 세우는 어떤 모델도 6개월 뒤에는 유효하지 않다”라고 지적했다. 물론 이런 변화가 항상 나쁜 것만은 아니다. 몬테이로는 지난 2년간 일부 모델의 토큰당 비용이 급격히 떨어진 것을 예로 들었다. 하지만 반대로 더 새롭고 뛰어난 모델이 계속 등장하고, 사용량이 증가하면서 성능도 예측하기 어렵다.

몬테이로는 “전통 소프트웨어 경제학에서는 개발, 엔지니어링, 인프라 같은 선행 비용이 들어가지만, 일단 고정 비용이 확정되면 운영 비용은 비교적 예측 가능하고 관리 가능하다. 하지만 AI는 추론 비용이 변동적이고, 안전성 검증과 컴플라이언스 점검에도 추가 비용이 발생할 수 있다”라고 지적했다. 확장도 선형적이지 않고 기술 자체가 계속 변한다는 점도 문제다.

몬테이로는 “탄력적으로 대응할 수 있어야 한다. 지금은 어떤 기술이 승자나 패자가 될지 판단하기조차 어렵다”라고 강조했다.

AI가 사람, 시스템, 데이터에 요구하는 부담도 예산 수립의 또 다른 난제다. 프린시펄 파이낸셜 그룹의 라제시 아로라는 AI 비용 관리에서 가장 큰 과제가 인재 확보라고 말했다. 아로라는 “기술 역량 격차와 부서 간 의존성 때문에 작업이 지연되고 비용이 증가한다”고 설명했다.

규제 변화도 문제다. 규제가 계속 바뀌는 만큼 거버넌스 체계를 지속적으로 조정해야 한다. 또 기업은 AI에 필요한 데이터와 기반 시스템을 정비하는 데 실제로 얼마만큼의 비용이 드는지 과소평가하는 경우가 많다. 직원 교육 비용도 마찬가지다.

아로라는 “레거시 환경은 복잡성과 비용을 증가시킨다. 이런 초기 비용은 부담이 크지만 장기적 비효율을 막기 위해 필수적이다”라고 설명했다.

또한 AI 기술이 개념검증 단계를 지나 실제 운영 환경으로 이전되면, 기업이 기대한 것과 전혀 다른 결과가 나오는 경우도 많다.

터프츠대학교 공대 대학원 학장 겸 IEEE 펠로우인 카렌 패네타는 “지금은 불확실한 요소가 너무 많다”라고 지적했다. 패네타는 많은 조직이 AI를 사람의 대체재로 생각하지만 현실은 그렇지 않으며, 이전에는 신경 쓰지 않아도 됐던 새로운 문제가 생기기 시작했다고 설명했다.

겉으로 보면 매우 매력적인 선택지처럼 보인다. 지금은 직원 10명이 고객 전화를 받고 있고, AI가 그 10명의 일을 대신할 수 있을 것처럼 느껴진다. 하지만 패네타는 모델을 정상 흐름 기준으로 설계한 경우가 많아 예외 상황을 처리하지 못한다고 지적했다. 이 때문에 고객 불만이 생기거나 시스템이 중단되는 문제가 발생할 수 있고, 보안 측면에서도 이전에는 사람이 감지하던 위험을 놓칠 수도 있다고 설명했다.

패네타는 CIO가 AI로 무엇을, 왜 하려는지 면밀하게 고민해야 한다고 강조했다.

많은 CIO는 이미 비용과 리스크 관리에서 탈피해 데이터 관리와 인사이트 창출 역할로 이동했고, 비즈니스 조직과 더 가까운 위치에 서고 있다. 이제 CIO는 안전하고 비용 효율적인 방식으로 AI를 지원하는 역할로 발전하고 있다.

웨스트 먼로의 브렛 그린스타인은 “AI 도구가 출시되는 즉시 모든 접근을 차단하고 방화벽을 걸어버린 CIO도 있었다. 이는 조직의 AI 도입 자체를 막는 결과를 낳았다”라고 설명했다. 반면 진보적 CIO는 신중하고 체계적으로 접근해 거버넌스를 구축하고, 새로운 AI 중심 엔터프라이즈 아키텍처를 만들고 있다. 그린스타인은 이런 CIO가 미래 기업을 가능하게 만드는 역할을 하게 될 것이라고 강조했다.
dl-ciokorea@foundryco.com

Gartner predicts global AI spending will hit $2 trillion in 2026, up from $1.5 trillion this year. And In a survey of over 300 executives at large companies by management consulting firm West Monroe Partners, 85% said they plan to increase IT budgets next year, with a big chunk going to AI. For 42% of executives, scaling AI and data capabilities is the top priority for technology investment, and 91% said AI is causing their tech spend to increase while nearly three quarters plan to spend more on contractors as a result of AI.

In the previous couple of years, many companies were doing POCs, just figuring out what AI can do, says Bret Greenstein, CAIO at West Monroe. But that’s all changing now. “I see a lot less discussion of use cases and POCs, and more about phase one, phase two projects,” he says.

It’s not as hard to assess whether or not AI can do something anymore, he adds. “I can look at something and say this is highly addressable by AI.” But that doesn’t mean CIOs get carte blanche to spend all they want.

At the Principal Financial Group, a global investment and insurance company, the focus is now on delivering measurable business value, says Rajesh Arora, the company’s chief data and analytics officer.

“We’re reallocating budgets toward scalable platforms and high-impact use cases,” he says. Plus, the firm is implementing rigorous ROI tracking and cost governance. That’s because the firm is moving past experimental pilots, he says. In addition to looking for platforms that can scale, the company is also looking at lifecycle management tools, data foundations, and operational AI capabilities.

“These are solutions that’ll automate processes, enhance customer experience, build new capabilities, and strengthen risk management,” he says. “Our goal is to make every dollar work harder.” And that means some things have to go.

The company is pausing low-impact investments, for example, in favor of high-value use cases. And they’re tightening up their contract governance and renegotiating terms. There’s also automation. “We’re deploying cost-alerting for LLM ops and feature story versioning to flag anomalies and prevent overruns,” he says.

LLMs can produce different results for the same output, and different versions of the model can have very different performance metrics and costs. And feature story versioning tracks software changes, as well as the model, data, and prompts used. So it all comes down to AI becoming a strategic focus to manage costs.

Arora’s experience isn’t unique. Enterprises of all sizes and in all verticals are grappling with their AI spending as they move on from POCs to actual deployment at scale, which often means facing new demands for ROI, shifting money from legacy to AI projects, and struggling to get a handle on technical debt.

The push for proof

To prove its AI investments are worth the dough, Principal tracks efficiency gains, reductions in risk, improved customer satisfaction, and better employee experience. This creates a holistic view of the value that AI creates, says Arora.

“Our approach is to maintain a balanced portfolio,” he says. That means both short-term wins that build momentum, and long-term innovation to drive strategic advantage and growth. “As AI capabilities mature, we must be more intentional about how we define success and ensure long-term sustainability,” he adds.

Tech executives at smaller companies are also having to show results from their AI projects. JBGoodwin Realtors, with four offices in Austin and San Antonio, has 800 agents, partners, and employees, and everyone is all-in on AI, says Edward Tull, the company’s VP of technology and operations.

“The CEO uses it every day,” he says. “All the agents use it, too, and we have approval to spend more.” But he has to show ROI. “I have to prove it,” he adds. “I spend a little, prove the use case, and then I get a little more and spend a little more.” So for example, AI might result in better efficiency so to demonstrate this, he might run two processes in parallel, one the old-fashioned way, and the other with AI.

Focusing on AI projects that result in cost savings is a good way to show results and build momentum, agrees Gartner analyst Melanie Freeze. “We know that can lead to other non-cost considerations and long-term value.” For example, in infrastructure and operations, likely wins include cloud cost management, IT service support, and general employee productivity, she says.

“You can get cost optimization, but also all that other value like innovation, efficiency, optimizing talent management,” she says.

A shift in priorities

Another way to pay for AI projects, especially experimental ones that don’t yet have clear ROI, is to take money from other areas. JBGoodwin’s Tull says he does that. “I’ll get rid of other things we spend on, to offset what I spend on AI,” he says.

Everyone wants to become AI-centric or AI-native, says West Monroe’s Greenstein. “But nobody has extra buckets of money to do this unless it’s existential to their company,” he says. So moving money from legacy projects to AI is a popular strategy.

“It’s a shift of priorities within companies,” he says. “They look at their investments and ask how many are no longer needed because of AI, or how many can be done with AI. Plus, they’re putting pressure on vendors to drive down costs. They’re definitely squeezing existing suppliers.”

Even large, tech-forward companies might have to do this kind of juggling.

“We didn’t create a whole new allocation for AI,” says one senior tech executive at a Fortune 500 insurance company. “We’re still working through the mechanics of budgeting for AI.”

Instead, the firm is carving out funds from other areas.

“AI is in a self-funding model at the moment,” he says. “We’re shifting investment from legacy technologies to AI.” For example, he says, if the company was spending a million dollars on a particular technology and used automation to get it down to $900,000 a year, the $100,000 savings could go toward AI.

And sometimes the company can get new AI for free, he says, as vendors add AI functionality or agentic capabilities to existing products. But other platforms charge extra for the new features. “Some of it is inherent in the solution, though, and doesn’t really change the cost,” he says. That might evolve to new funding in 2026 to 2027, he adds. But as the company’s use of AI continues to mature, the funding model will evolve as well, he says.

“We’ll see that change as we demonstrate capabilities that either deliver high business value or efficiency gains,” he says. “Then we’ll shift to additional infusions of investment to accelerate things.”

Planning for the unexpected

Budgeting for IT projects has never been simple, but AI adds its own challenges. The unprecedented pace of change is one of them.

“Whatever modeling I do now is not going to be valid in six months,” says Sheldon Monteiro, chief product officer at Publicis Sapient. This isn’t always a bad thing. For example, the per token prices of some models have dropped dramatically over the past two years, he says. But on the flipside, there are always newer and better models, growing usage, and unpredictable performance.

“With traditional software economics, you have upfront costs like development, engineering, or infrastructure, but once you have those fixed costs, operating costs are relatively predictable and manageable,” he says. With AI, though, the inference costs are variable, and the guardrail and compliance checks might have additional costs, he says. Scaling is also non-linear and the tech itself is in constant flux.

“You need to be able to flex,” says Monteiro, “And to recognize that now, winners and losers are hard to call.”

Another challenge to budgeting is the demands that AI places on people, systems, and data. One of the most significant challenges to managing AI costs is talent, says Principal’s Arora. “Skill gaps and cross-team dependencies can slow deliveries and drive up costs,” he says.

Then there’s the problem of evolving regulations, and the need to continuously adapt governance frameworks to stay resilient in the face of these changes. Organizations also often underestimate how much money will be needed to train employees, and to bring data and other foundational systems in line with what’s needed for AI.

“Legacy environments add complexity and expense,” he adds. “These one-time costs are heavy but essential to avoid long-term inefficiencies.”

Finally, when AI technology is actually moved out of POCs into production, it often turns out very different to what companies expected.

“There are so many unknowns right now,” says Karen Panetta, IEEE fellow and dean of graduate engineering at Tufts University. “People think of it as a replacement for a human, and it’s not. And you get new areas you haven’t had to worry about before.” For example, many companies look to use AI agents to replace customer service or support teams.

“It’s really appealing,” she says. “You’ve got 10 people answering phone calls now, and it feels like AI is going to do the job of those ten people. But I’ve designed it for normal process flows, so what about all the exceptions? Now you have angry customers, or it breaks and is unavailable. And what about security? Before, we had humans to detect these things.”

CIOs have to be thoughtful about what they’re doing with the AI and why, she says.

Many CIOs have already transitioned from managing costs and risks, to managing data and becoming enablers of insight, and getting closer to the business units. Now they’re in a position to become enablers of AI, while doing it safely and at cost.

“There are some CIOs that blocked and firewalled every AI tool the day it came out,” says West Monroe’s Greenstein. “That blocked companies from adoption. The ones who are progressive are being thoughtful, deliberate, are building governance models, and creating a new enterprise architecture around AI. The CIOs who are embracing that are enabling the enterprises of tomorrow.”

연말이 다가오면서 CISO들은 내년 사이버보안 예산 수립에 몰두하고 있다. 이 작업 자체도 만만치 않지만, 더 어려운 단계는 결국 이사회 승인이다. CISO들은 사이버보안 예산을 설득하는 과정이 서로 전혀 다른 언어로 대화하는 것처럼 난해하다고 말하곤 한다.

오늘날 CISO들은 빠르게 진화하는 위협으로부터 조직을 보호해야 하는 책임을 지지만, 사이버보안 예산은 오히려 축소되거나 다른 영역으로 분배되는 상황을 겪고 있다. 이사회는 여전히 사이버보안을 비즈니스 효율을 높이는 투자라기보다 비용 부담으로 인식하는 경향이 강하다. CISO들은 보안의 실제 가치를 알고 있다. 이를 이사회가 이해할 수 있는 언어로 전달할 방법을 찾아야 한다.

올해 예산 심의 과정에서 이사회를 효과적으로 설득하기 위한 3가지 전략을 소개한다. 이를 제대로 실행하면 필요한 예산을 확보할 가능성이 높아지고, 빠르게 변하는 위협 환경에서 조직의 회복력도 강화할 수 있다.

전략 1: 위험을 수치화하라

예산을 마련하기 위한 첫 단계는 관리하려는 리스크를 숫자로 구체화하는 일이다. CISO라면 조직에 강화된 엔드포인트 탐지, 제로트러스트 아키텍처, 적정 수준의 보안 운영센터가 필요하다는 점을 누구보다 잘 안다. 그러나 이런 기술 요소를 예산 회의에서 언급하면 이사회는 곧바로 집중력을 잃곤 한다. 보안을 무시해서가 아니라, 이러한 기술적 투자가 이사회가 중시하는 비즈니스 성과와 어떻게 연결되는지 명확히 보이지 않기 때문이다.

따라서 얼마나 큰 가치가 위험에 노출돼 있는지 재무적 기준으로 제시할 방법이 필요하다. 침해 사고가 발생했을 때 어떤 금전적 결과가 뒤따르는지 이사회가 이해할 수 있을 때, 예산이 승인될 가능성도 높아진다. 물론 실제 침해 사고를 겪어본 적이 없다면 이러한 계산은 쉽지 않다. 우선 업계에서 빈번하게 발생하는 위협과 침해 사례를 조사하고, 위협 인텔리전스 자료를 참고하며, 주요 벤더의 보안 수준을 점검해 서드파티 리스크를 파악하는 방식으로 조직의 리스크 범위를 파악할 수 있다. 또한 산업 보고서, 정부 통계, 내부 사고 이력 등 다양한 자료를 통해 침해 발생 가능성에 대한 데이터를 수집하는 것도 방법이다.

다만 가장 정확하고 설득력 있는 방법은 내부 전문가와 주요 이해관계자를 참여시켜 직접 의견을 수집하며 리스크를 정량화하는 것이다. 이를 수동 또는 자동화 도구로 진행할 수 있으며, 어느 방식을 선택하든 직간접 재무 손실, 업무 중단, 장기적인 비즈니스 영향과 평판 훼손까지 포함해 전반적인 위험의 비즈니스 영향을 계산할 수 있다.

실제 사례로 최근 발생한 콜린스 에어로스페이스 침해 사고를 들 수 있다. 이 사고는 여러 유럽 공항의 운영에 영향을 끼쳐 다수의 항공편이 취소되는 상황을 초래했다. 피해 기업은 직접적인 재무 손실뿐 아니라 다양한 기회비용과 운영 효율 저하도 감수해야 했다. 시스템 복구를 위한 엔지니어링 투입 시간 증가, 자동화 업무를 대신하기 위한 수기 업무 전환, 공항 인력의 업무 부담 과중 등이 대표적이었다. 이처럼 단위별로 비용이 발생하는 구체적인 사건을 활용하면, CFO와 함께 ‘조직에 동일한 사고가 발생했다면 어떤 재무적 충격이 나타났을지’를 가정해 보며 영향을 논의할 수 있다.

대부분의 조직에는 매우 암울한 상황일 수 있지만, 이사회는 사고의 파급 효과를 정확히 이해해야 한다. 따라서 리스크를 정량화해 제시할 때는 최악의 시나리오, 최선의 시나리오, 그리고 가장 가능성이 높은 시나리오 각각이 초래할 재무적 손실을 설명할 수 있어야 한다. 침해 사고가 불러오는 연쇄적 영향을 구체적으로 수치화하면, 기술적 배경이 부족한 경영진도 조직의 회복력을 확보하는 데 필요한 투자의 규모를 명확히 이해할 수 있다.

전략 2: 규제 기준을 넘어서는 대응이 필요하다

컴플라이언스와 규제가 CISO가 제시하는 예산 근거의 약 80%를 차지한다는 사실은 이미 잘 알려져 있다. HIPAA, SOC2와 같은 산업 표준이 보안 프로그램의 기본 틀을 제공하지만, AI 기반 위협의 확산, 양자컴퓨팅 부상, 복잡해지는 서드파티 리스크 등 새로운 변수는 기존의 기준만으로는 충분히 다루기 어렵다. 따라서 CISO는 컴플라이언스로는 완전히 해소되지 않는 위협까지 고려해 예산 전략을 수립해야 한다.

가능하다면 향후 3~5년을 기준으로 전체 예산의 10% 이상을 컴플라이언스 외 위협 대응에 배정하는 것이 바람직하다. 물론 두 자릿수 비중은 이상적인 목표에 가깝고, 실제로 CISO가 자유롭게 활용할 수 있는 평균 예산은 약 3% 수준에 그친다. 다만 전부 새로운 지출일 필요는 없다. 예를 들어 생성형 AI 관련 리스크는 CISO와 이사회 모두에게 중요한 이슈지만, 이를 전담하는 기성 솔루션은 아직 초기 단계다. 대신 현재 예산 항목으로 편성된 데이터 보안 태세 관리, SASE, GRC 분석 인력 등을 생성형 AI 업무나 도구에 대한 위협을 줄이는 데 활용할 수 있다.

이런 기술과 프로세스에 투자를 늘리고 필요한 신규 기술 도입을 병행하면, 중기적 관점에서 조직이 생성형 AI를 효율적으로 활용할 안정적인 기반을 마련할 수 있다. 또한 불필요한 신규 솔루션 구매를 최소화할 수도 있다. 이런 투자는 조직이 경쟁사보다 한발 앞서 안전하게 AI를 도입할 수 있는 토대를 제공하며, 놓칠까 봐 두려워하며(FOMO) AI 도입을 서두르지 않도록 돕는다.

이사회는 CISO가 새롭게 부상하는 위협을 어떻게 바라보고 있으며, 이를 예산에 어떻게 미리 반영하려는지 알고 싶어한다. 특정 위협에 대한 모든 데이터를 확보하지 못했더라도, 그 리스크의 존재를 명확히 인지하고 조직에 영향을 미칠 가능성을 설명하는 것이 중요하다. 위협 환경이 계속 진화하는 만큼, 조직의 회복력을 유지하기 위한 전략 역시 함께 발전해야 한다.

전략 3: 이사회를 파악하라

이사회를 효과적으로 설득하려면, 무엇이 그들의 의사결정을 움직이는지부터 정확히 파악해야 한다. 최근 NACD 조사에 따르면 이사회 구성원의 약 80%가 사이버보안에 대한 이해도가 이전보다 높아진 것으로 나타났다. 또 다른 조사에서는 기업의 85%가 사이버보안 전문성을 갖춘 이사를 이미 두고 있거나 새로 영입하려고 검토 중이라고 응답했다. 이처럼 이사회가 보안의 중요성을 더 잘 인식하게 된 만큼, 이제는 CISO가 한걸음 더 다가가 이사회가 비즈니스 관점에서 무엇을 가치 있게 여기는지 이해해야 한다.

일부 이사회는 재무 지표에만 집중하며 예산을 철저히 비용 관점에서만 바라본다. 이런 경우에는 재무 용어로 설명하는 것이 필수적이며, 침해 사고로 업무가 중단될 때 조직이 어떤 손실을 감수해야 하는지 구체적인 사례를 제시해야 한다. 이런 수치화 작업은 단순히 예산을 정당화하는 수준을 넘어, 보안 조직과 비즈니스 목표를 자연스럽게 연결하는 역할을 한다. 반면 스토리텔링에 더 설득되는 이사회도 있다. 이 경우에는 공격이 실제로 어떻게 전개될 수 있는지, 그 과정에서 어떤 영향이 이어지는지 단계별로 그려 보여주는 방식이 효과적이다.

어떤 상황이든, 예산안과 이를 설명하는 과정은 이사회가 선호하는 방식에 맞춰야 한다. 무엇보다 이사회가 어떤 가치를 중시하는지 파악하려면 예산 분배 시기에만 소통해서는 충분하지 않다. 꾸준히 신뢰 관계를 쌓아야 예산 심의 시기에만 형식적으로 나타나는 인물로 비치지 않을 수 있다.

CISO는 보안 투자 결정에 체계성과 명확성, 그리고 비즈니스 전략과의 연계 가능성을 더할 필요가 있다. 위험을 수치화하고, 부상하는 위협을 고려하며, 이사회가 무엇을 가장 중요하게 여기는지 이해한다면 올해 예산 시즌에 이사회를 설득할 가능성을 크게 높일 수 있다.
dl-ciokorea@foundryco.com