클라우드 및 AI 개발법: 유럽이 실제로 고치려는 것

클라우드 및 AI 개발법은 유럽의 기술 정책이 어디로 왔는지를 지금까지 가장 분명하게 보여 줍니다. 소비자 보호법도 아니고 안전 규제도 아닙니다. 문제 하나를 겨냥한 산업정책입니다. 유럽이 디지털 경제의 대부분을 스스로 통제하지 못하는 인프라 위에서 돌리고 있다는 문제입니다.

GDPR이나 AI법과는 종류가 다른 규제이고, 기업에 닿는 경로도 다릅니다. 전문을 읽는 것보다 어느 경로로 닿는지 파악하는 편이 중요합니다.

이 법이 대응하는 문제

바탕이 되는 숫자를 두고 다투는 사람은 없습니다. 유럽의 클라우드 인프라 지출은 대부분 비유럽 사업자에게 갑니다. 유럽 기업이 쓰는 가장 큰 AI 모델은 유럽 밖에서 학습되고 호스팅됩니다. 유럽의 연산 용량은 전 세계 총량의 작은 조각에 불과합니다.

10년 동안 이 상황은 시장이 만든 결과로 여겨졌습니다. 2022년 이후로는 전략적 취약점으로 다뤄집니다. 이유는 기술과 무관합니다. 무역 갈등, 수출 통제, 그리고 인프라 의존이 곧 지렛대가 된다는 자각입니다.

클라우드 및 AI 개발법은 그 재평가를 법으로 옮긴 것입니다. AI 대륙 행동계획과 InvestAI 이니셔티브, AI 기가팩토리 프로그램, 그리고 드라기 보고서에서 나온 폭넓은 경쟁력 의제와 나란히 놓입니다.

제안의 내용

집행위원회는 2026년 6월 3일 이 제안을 COM(2026) 502로 Chips Act 2.0과 함께 발표했습니다. 형식은 규정(Regulation)이며, 세 가지 목표와 공공부문 대상 조치들로 짜여 있습니다.

연구와 혁신. 분야를 넘나드는 대형 프로젝트를 위한 Cloud and AI Leadership Initiatives, 유럽 디지털 혁신 허브를 기반으로 한 AI 체험·가속 센터 네트워크, 최첨단 AI 우선 프로젝트에 대한 연산 자원 배정, 그리고 발효 후 1년 안에 모든 회원국이 국가 클라우드·AI 전략을 마련하는 것입니다.

데이터센터 용량. 회원국은 단일 안내 창구와 신속 인허가를 갖춘 데이터센터 가속 구역을 지정하고, 집행위원회는 전략적 데이터센터 프로젝트를 지정할 수 있습니다. 내세운 목표는 2030년까지 EU 데이터센터 용량을 최소 세 배로 늘리고, 신규 데이터센터의 모든 허가를 18개월 안에 받을 수 있게 하는 것입니다.

클라우드 주권 체계. EU 차원의 보증 수준을 네 단계로 둡니다. 1단계는 자체 평가이고, 2단계부터 4단계까지는 제3자가 감사합니다. 3단계는 사업자가 제3국의 통제를 받지 않을 것을 요구하며, 집행위원회가 그 나라가 충분한 보장을 제공한다고 인정한 경우만 예외입니다. 인정받은 서비스는 EU 중앙 저장소에 등록됩니다.

공공부문 도입. 실제 구속력을 갖는 대목입니다. 공공 구매자는 최소 1단계 인정을 받은 클라우드 서비스를 조달해야 합니다. 위험 평가에서 어떤 활동이 공공질서에 기여한다고 판단되면(NIS2 대상 부문, 국가 안보, 국방, 사법, 법 집행 등) 2단계, 3단계, 4단계만 허용됩니다. 회원국은 클라우드와 AI를 구매할 때 EU 부가가치 기준도 적용해야 하고, EuroCloud Federation을 통해 공공기관이 클라우드 서비스를 공유할 수 있으며, 공공기관은 독점 소프트웨어보다 오픈소스 사용을 장려하고 지원해야 합니다.

민간 구매자에게는 구속력이 거의 없음. NIS2 대상 부문의 기업은 같은 위험 평가를 자발적으로 할 수 있고, 집행위원회는 위임법을 통해 고도로 중요한 부문에 이를 의무화할 수 있습니다. 제안대로라면 규정은 발효 1년 후부터 적용되지만, 아직 유럽의회와 이사회를 통과해야 합니다.

실제로 기업에 닿는 통로

이 법안에서 알아 둘 대목은 여기입니다. 기술 규제는 대부분 민간 기업에 곧바로 닿습니다. 개인정보를 처리하니 GDPR이 적용된다는 식입니다. 클라우드 및 AI 개발법은 대부분의 회사에 조달을 거쳐 간접적으로 닿을 가능성이 훨씬 큽니다.

EU 공공부문의 기술 지출은 규모가 큽니다. 회원국 공공기관이 유럽 클라우드를 사도록 의무화되거나 강하게 권장되면 공공부문에 판매하는 모든 벤더의 시장이 바뀌고, 그 여파는 원청을 거쳐 협력업체까지 내려갑니다.

접근성에서 이미 겪어 본 패턴입니다. 유럽 접근성법에는 직접 의무가 있지만, 실무에서 접근성 작업을 이끈 것은 상당 부분 지침이 적용되기 훨씬 전부터 미준수 공급업체를 걸러 온 공공조달 규칙이었습니다.

여기서도 같은 일이 일어납니다. 유럽 공공 구매자에게 소프트웨어를 판매한다면 인프라가 어디서 돌아가는지, 누가 통제하는지, 옮길 수 있는지를 묻는 질문이 보안 설문지에서 자격 요건으로 자리를 옮깁니다.

아키텍처에는 무엇을 의미하나

주권 정책을 읽으면 무시하거나 서둘러 이전하거나 둘 중 하나로 기울기 쉽습니다. 둘 다 답이 아닙니다. 지금 합리적인 일은 그 질문에 답할 수 있는 상태를 만들어 두는 것입니다.

데이터와 연산이 실제로 어디 있는지 파악하십시오

사소해 보이지만 그렇지 않습니다. 어느 정도 자란 시스템에서 "이건 어디서 도는가"에 대한 솔직한 답에는 대개 주 리전과 백업 리전, 엣지 위치가 불분명한 CDN, 매니지드 데이터베이스, 각자 재수탁자를 둔 SaaS 의존 세 개, 관측 도구 벤더, 그리고 추론 위치가 문서화되지 않은 AI API가 함께 들어갑니다.

정확한 지도를 만드는 것이 첫 번째 실제 작업입니다. GDPR 국외 이전 분석과 NIS2 공급망 질문에 필요한 지도도 같은 지도입니다. 한 번만 만들면 됩니다.

옮길 수 있는 부분과 옮길 수 없는 부분을 나누십시오

거의 모든 시스템에는 옮길 수 있는 핵심과 사업자에 묶인 의존 집합이 함께 있습니다. 옮길 수 있는 핵심은 보통 애플리케이션입니다. 옮기기 어려운 쪽은 대개 매니지드 서비스입니다. 독점 데이터베이스, 서버리스 런타임, 큐, 신원, 그리고 점점 비중이 커지는 모델 API가 여기 들어갑니다.

이것들을 없앨 필요는 없습니다. 다만 무엇이 여기 해당하는지는 알아야 합니다. 그 목록이 곧 이전이 얼마나 어려운지에 대한 솔직한 답이고, 조달 설문지가 실제로 묻는 것도 그것이기 때문입니다.

모델 제공업체는 추상화 경계로 다루십시오

가장 최근에 생겼고 가장 자주 건너뛰는 항목입니다. 특정 벤더의 모델 API를 직접 호출하면서 벤더 고유의 프롬프트 형식과 응답 처리를 코드베이스 곳곳에 흩뿌린 애플리케이션은, 자기도 모르는 사이에 의존 결정을 내린 것입니다.

모델 호출 위에 얇은 추상화를 두는 데는 비용이 거의 들지 않습니다. 대신 유럽 사업자나 유럽 인프라 위의 오픈웨이트 모델, 또는 완전히 다른 벤더로 갈아탈 여지가 생깁니다. 모델 지형이 움직이는 속도를 생각하면 상업적 이유만으로도 해둘 만합니다.

출구는 문서로만 두지 말고 시험해 보십시오

데이터법은 이미 클라우드 사업자를 바꿀 권리를 보장하고 있고, 전환 수수료는 2027년 1월 12일부터 완전히 사라집니다. 이 권리를 실제로 쓰는 구매자는 드물고, 자기가 받을 수 있는 내보내기 결과물로 서비스를 다시 세울 수 있는지까지 시험해 보는 곳은 더 드뭅니다.

내보내기를 한번 실행해 보고, 그 결과를 읽어 보십시오. 사업자가 내보낼 수 있다고 말하는 범위와 실제로 쓸 수 있는 범위 사이의 간격에 락인이 숨어 있습니다. 주권 관련 질문에 대한 솔직한 답도 거기서 나옵니다.

이 법이 아닌 것

적당한 회의는 필요합니다. 나중에 놀라기보다 지금 냉정하게 보는 편이 낫습니다.

미국 클라우드 금지가 아닙니다. 제안 어디에도 민간 기업의 비유럽 사업자 이용을 금지하는 내용은 없습니다. 수단은 조달 우대와 역량 구축이지 금지가 아닙니다.

법이 생긴다고 용량이 생기지는 않습니다. 유럽의 클라우드 용량이 적은 이유는 데이터센터 건설과 프런티어 모델 학습이 자본 집약적인데 유럽이 최근까지 필요한 규모로 자본을 넣지 않았기 때문입니다. 여기서 실제로 작동하는 수단은 EU 기술 자금 가이드에서 다루는 자금 프로그램들입니다. 이 법은 그 프로그램들을 감싸는 틀입니다.

주권이라는 라벨이 곧 주권은 아닙니다. 여러 사업 구조가 스스로를 주권 클라우드라고 내세우면서 실제로는 라이선스를 받은 비유럽 기술 위에서 돌아가고, 운영상 독립성의 정도도 제각각입니다. 제안이 내놓은 답은 보증 수준입니다. 제3국의 통제를 받는 서비스는 집행위원회가 그 나라를 인정하지 않는 한 3단계 이상에 들 수 없습니다. 2단계와 3단계의 경계가 최종적으로 어디에 그어질지는 협상에서 정해집니다.

아직 제안 단계입니다. 이제 문안은 나왔지만, 2026년 10월 10일 현재 이사회도 유럽의회도 이에 대한 입장을 정하지 않았고, 유럽의회에서는 아직 ITRE와 IMCO 위원회가 이 안건을 다루고 있습니다. 가장 바뀔 가능성이 큰 부분은 보증 수준입니다. 방향은 3년간 이어진 집행위원회의 메시지에서 일관되게 유지되었습니다.

다른 규제와 어떻게 이어지나

클라우드 및 AI 개발법은 여러 갈래로 조율된 정책 공세의 한 조각입니다. 따로 떼어 읽으면 실제보다 약해 보입니다.

AI법은 AI 시스템의 행동을 규제합니다. 데이터법은 클라우드 락인을 계약 측면에서 공략합니다. NIS2는 공급망 점검을 벤더를 타고 아래로 내려보냅니다. 사이버 복원력법은 제품에 보안 의무를 지웁니다. InvestAI와 기가팩토리 프로그램은 연산 용량에 돈을 넣습니다. 클라우드 및 AI 개발법은 여기에 조달과 주권 계층을 더합니다.

하나씩 보면 부담이 조금씩 늘어나는 것처럼 보입니다. 묶어서 보면 제법 일관된 베팅이 드러납니다. 시장 접근 규칙과 공적 자금을 결합하면 규제를 통해 자국 기술 기반에 도달할 수 있다는 베팅입니다.

그 베팅이 통할지는 따져볼 만한 질문입니다. 베팅이 이미 걸렸다는 사실은 따져볼 여지가 없습니다.

앞으로 12개월 안에 할 일

인프라 지도를 만드십시오. 무엇이 어디서 돌고, 누가 운영하며, 계약상 출구 경로는 무엇인지 적으십시오. 이 지도는 다른 용도로도 네 가지쯤 더 쓰입니다.

진짜로 옮기기 어려운 의존을 추려 내고, 실행하지 않더라도 이전 비용을 솔직하게 매겨 보십시오. 조달 질문에 대한 답이 여기서 나오고, 그 자체로 아키텍처 위생에도 좋습니다.

아직 없다면 모델 제공업체 위에 추상화를 두십시오. 지금은 싸고 나중에는 비쌉니다. 정책과 무관한 이유로도 쓸모가 있습니다.

유럽 공공부문에 판매한다면 귀사 서비스가 어느 보증 수준까지 도달할 수 있는지 따져 보십시오. 요건이 자격 기준의 형태로 처음 나타나는 곳은 이 법의 조달 규정이며, 2026년 9월 9일 제안된 공공조달법(Public Procurement Act)이 그 위에 전반적인 유럽 우선 체계를 더합니다.

추측만으로 이전하지 마십시오. 아직 아무도 협상하지 않은 제안 때문에 인프라를 옮기는 것은, 결국 필요 없었던 일에 1년과 큰 예산을 쓰는 전형적인 경로입니다.

도움이 필요할 때

저희는 유럽에서 사업하는 회사를 위해 클라우드 인프라와 데이터 플랫폼, AI 연동을 설계하고 만듭니다. 시스템을 이름뿐 아니라 실제로 옮길 수 있게 만드는, 티가 잘 나지 않는 작업도 여기 포함됩니다.

인프라·의존 지도나 현재 사업자를 대상으로 한 출구 테스트, 모델 제공업체 위의 추상화 계층이 필요하시면 office@c9group.dev로 연락 주십시오. 인프라 작업은 AWS 비용 최적화 페이지, 유럽에서 해온 일은 EU 시장 진입 페이지에 더 정리해 두었습니다.

더 넓은 입법 지형은 EU 디지털 입법 파이프라인에, 이 의제를 떠받치는 자금은 EU 기술 자금 가이드에 지도로 그려 두었습니다.

저희는 정책 자문이 아니라 엔지니어입니다. 이 글은 제안 단계의 법을 계획 관점에서 본 것이지 법률 자문이 아닙니다.