[현장칼럼] ‘AI G3’ 걸맞는 클라우드, 함께 고민해야

팽동현 IT과학바이오부 디지털신산업팀장

물이 부족하다면 저수지를 늘리는 것만큼 물길을 살피는 일도 중요하다. 인공지능(AI) 경쟁의 핵심 자원인 그래픽처리장치(GPU)도 다르지 않다. 어렵게 확보한 자원을 얼마나 잘 나눠 쓰는지에 따라 투자 효과는 달라진다. AI 3대강국(G3)으로 도약 중인 한국이 클라우드 보안 정책을 다시 들여다봐야 하는 이유다.

국가정보원이 개정 중인 ‘국가 클라우드 컴퓨팅 보안 가이드라인’이 논란이다. 지난 4월 정부가 발표한 공공 클라우드 보안검증 일원화에 맞춰 국가망보안체계(N2SF)의 기밀(C)·민감(S)·공개(O) 등급별 기준을 정비하는 작업이다. 클라우드보안인증(CSAP)과 국정원 검증을 합쳐 중복 부담을 덜겠다는 방향은 반갑다. 다만 보안검증 통합이 산업 진흥까지 보장하는 것은 아니다.

지난달 국정원 ‘사이버 서밋 코리아(CSK) 2026’에서 설명한 개정 방향은 S등급의 ‘데이터시스템’을 공공 전용 하드웨어로 구성하되, 운영·관리시스템은 논리적으로 분리할 수 있게 하는 것이다. 데이터시스템은 국내에 두고, 나머지 시스템과 관리 인력은 사이버안보 활동 보장을 전제로 국외에 둘 수 있다. 국내 클라우드서비스제공사(CSP)들은 글로벌 사업자에 유리하다며 반발한다.

정부 정책을 믿고 투자한 기업들의 반발은 이해할 만하다. 2016년 CSAP 도입, 2023년 등급제 전환을 거쳐 이제는 인증체계 통합을 앞뒀다. 부처 간 엇박자와 예산 부족에 잇단 제도 변화까지 겹치며 공공 클라우드 전환은 번번이 더뎠다. 수요가 본격화되기도 전에 새 기준을 걱정하곤 했다. 미국에선 중앙정보국(CIA)까지 민간 클라우드를 구매하며 시장을 열어줬는데, 한국의 마중물은 기대만큼 흐르지 못했다. 요즘 국내 CSP들이 GPU 임대 사업에만 쏠리는 현실과도 무관치 않다.

로마에 가면 로마법을 따르듯 글로벌 CSP도 같은 요건을 갖추라는 요구에는 일리가 있다. 다만, 기존 투자를 보호하는 것만이 미래를 위한 기준을 정하는 데 능사는 아니다. 클라우드 보안 요건은 이미 미국이 통상 문제로 제기한 사안이다. 외압에 떠밀려서도 안 되겠지만, 국내 산업과 이용자의 이익을 함께 따져 어떤 기준을 지킬지 설명할 수 있어야 한다.

이는 S등급의 물리적 영역 분리 요건에 대해서도 마찬가지다. 인터넷과 업무망을 나누는 망분리와 달리 공공용과 민간용 서버·저장장치 등 자원 풀을 물리적으로 구분하는 것이다. 데이터를 처리하는 GPU에도 이 요건이 적용되면 공공과 민간의 수요 변동에 맞춰 자원을 탄력적으로 돌려쓰기 어려워진다. 공공기관끼리도 따로 쓰라는 뜻은 아니지만, 운용 선택지는 줄어든다.

공공 AI가 내부 문서 검색을 넘어 맞춤형 민원 서비스로 나아가려면 개인정보 등 민감정보를 다루는 일이 늘어날 수밖에 없다. S등급의 활용 여건이 공공 AI의 성패와도 맞물리는 셈이다. GPU가 부족하다며 확보에 힘을 쏟으면서 활용의 제약은 그대로 둬도 되는 것일까. 클라우드 공급자뿐 아니라 그 위에서 AI를 개발하는 기업과 이를 쓰는 기관의 목소리를 들어야 하고, 해외 선진 사례도 참고할 필요가 있다.

이런 논의를 위해서도 기준은 명확해야 한다. CSK 2026 이후 데이터시스템의 정의와 범위, 통상 가리키는 데이터플레인에 해당하는지 지속 문의했으나 감감무소식이다. 국정원은 의견을 수렴 중이라고 설명하지만, 업계는 세부 문서 없이 큰 방향부터 전달받았다고 호소한다. 설명회 개최에 그치지 않고 산업 진흥과 이용자 편익까지 함께 논의할 필요가 있다.

그렇다고 소버린 클라우드의 필요성이 줄어드는 것은 아니다. 미국 클라우드법은 미국 관할권에 속한 사업자가 보유·관리·통제하는 데이터를 저장 위치와 무관하게 적법한 절차로 제출하도록 요구할 수 있게 한다. 시스템의 국내 소재만으로 해소되지 않는 문제다. 각자도생의 세계에서 유사시 소버린AI를 뒷받침할 국내 기반을 키우는 일과 AI 이용자의 선택권을 넓히는 일은 함께 풀어야 한다.

정부와 업계가 서둘러 따져볼 것은 필요한 전환 기간과 그동안 갖춰야 할 경쟁력이다. 기존 CSAP의 잔여 유효기간 인정만으로 새 경쟁에 대비할 수 있는지도 살펴야 한다. 보안 책임과 통제권을 명확히 하고, 실제 전환 비용과 기술 격차에 맞춰 유예 기간과 개선 목표를 정해야 한다. 공공 전환 예산과 기술 고도화 지원도 연결할 필요가 있다. 기업들도 AI를 활용한 운영 효율화와 안정성 개선으로 GPU 임대를 넘어설 기회로 삼아야 한다.

국정원뿐 아니라 산업·예산을 맡은 부처와 AI 정책을 조율하는 주체, 공급자와 이용자가 함께 답을 찾아야 한다. 한번 굳어진 보안 규제는 바꾸기 어렵다. 충분히 논의하되 결정과 실행은 늦추지 말아야 한다. AI G3에 걸맞은 클라우드는 그렇게 함께 만들어갈 일이다.

팽동현 기자 dhp@dt.co.kr