[김승주 교수 칼럼] 소버린 AI, 보다 큰 그림이 필요하다

전체적인 큰 그림과 로드맵 없이 성공적인 AI 생태계 구축하기는 불가능

인공지능(AI)은 더 이상 특정 산업의 전유물이 아닙니다. 행정, 의료, 금융, 교육, 국방과 안보에 이르기까지 전 영역에 걸쳐 빠르게 확산되며, 국가와 기업의 경쟁력을 결정짓는 핵심 기술로 자리매김했습니다. 그러나 AI를 구축하고 활용하기 위해서는 반드시 클라우드 인프라라는 기반이 필요합니다. 문제는, 이 인프라를 단순히 구축하는 것만으로는 충분하지 않다는 데 있습니다.

미국의 사례를 살펴보면, 클라우드는 저장·처리되는 정보의 민감도에 따라 'Top-Secret', 'Secret', 'Government', '일반(Commercial)' 등으로 구분됩니다. 아마존(AWS), 마이크로소프트 애저(Azure), 구글 클라우드 등 글로벌 클라우드 기업들은 이미 각 보안 등급에 대한 인증을 대부분 마쳤습니다.

AI 기업들 또한 이 인프라 위에서 서비스를 제공합니다. 군사·정보 분야에는 Top-Secret 등급의 AI 서비스를, 민감도가 낮은 산업 분야에는 일반 상용 클라우드를 기반으로 한 AI 서비스를 제공합니다. 심지어 일부 기업은 동맹국이나 우호국에 Top-Secret 혹은 Secret 등급의 전용 클라우드를 현지 맞춤형으로 구축해 주기도 합니다. 이는 단순한 기술 수출이 아니라, 신뢰와 안보를 기반으로 한 전략적 협력의 일환입니다.

그러나 우리나라의 상황은 많이 다릅니다. 정부는 연일 ‘소버린 AI’를 강조하며 기술 자립의 필요성을 역설하지만, 정작 전체적인 인프라 로드맵이 마련되어 있는지 의문입니다.

예를 들어, 국방·외교·정보 분야 데이터를 다루기 위해서는 국가정보원의 PPP(Public-Private Partnership) 클라우드 인증이나 과학기술정보통신부의 CSAP(Cloud Security Assurance Program) 상등급 인증을 받아야 합니다. 그러나 현실은 이 두 제도가 서로 조율되지 않은 채 병렬적으로 운영되고 있습니다. 특히, CSAP 상등급 인증의 경우는 아직 세부 지침조차 부재한 실정입니다. 이 상태로는 민간 기업이나 연구기관이 정부 요구 수준의 AI 서비스를 설계하거나 운영하기 어렵습니다.

더 심각한 문제는 AI 서비스의 보안과 신뢰성 관리입니다. AI가 운용되는 환경이 Top-Secret, Secret, 혹은 일반 등급인지에 따라 보안(Security)과 신뢰(Trust)에 대한 평가 기준과 인증 절차가 달라져야 합니다. 그러나 현재까지 이와 관련한 명확한 기준이나 로드맵은 발표되지 않았습니다. 글로벌 기업들이 보안 인증을 단계적으로 확립하며 생태계를 구축한 것과는 대조적입니다. ‘소버린 AI’라는 구호만 울려 퍼질 뿐, 구체적인 실행 전략과 표준화 작업은 보이지 않는 상황입니다.

소버린 AI를 구축하는 데 있어 ‘자립’과 ‘개방’의 균형을 잡는 것은 쉽지 않은 과제입니다. 그러나 한 가지 분명한 점은, 전체적인 큰 그림과 로드맵 없이 성공적인 AI 생태계를 구축하기는 불가능하다는 사실입니다. 클라우드, AI 모델, 칩, 데이터, 인재까지 이 모든 요소가 유기적으로 맞물려야만 지속 가능한 생태계가 만들어집니다. 단순히 예산을 투입하고 연구개발을 독려하는 수준을 넘어, 국가 차원의 전략 설계와 법·제도 정비, 그리고 민간과의 긴밀한 협력이 병행되어야 합니다.

마지막으로, 클라우드만 보안 등급이 나뉘는 것이 아니라 AI 칩 또한 데이터 중요도에 따라 보안 등급이 달라진다는 점을 간과해서는 안 됩니다. AI 생태계는 인프라, 하드웨어, 소프트웨어가 함께 움직이는 종합 시스템입니다.

‘소버린 AI’든, ‘모두의 AI’든 그 방향성 자체는 바람직합니다. 그러나 보다 큰 그림을 그리고, 명확한 전략을 기반으로 한 실행 계획이 뒷받침될 때 비로소 우리가 원하는 디지털 주권을 확보할 수 있을 것입니다.

영국은 정부 데이터를 중요도별로 분류하는 데만 3년이 걸렸습니다. 우리에게 남은 시간은 결코 많지 않습니다.

[글. 고려대학교 정보보호대학원 김승주 교수]

[KCSCON 2025 개최] 하반기 최대 사이버 보안 컨퍼런스: 보안담당자 초대-7시간 보안교육이수!]

(제13회 KCSCON 2025 / 구 PASCON)

※ Korea Cyber Security Conference 2025

-2025년 9월 16일(화) / 세종대 컨벤션센터 전관-

공공∙기업 정보보안 책임자/실무자 1,200여명 참석!

-2025년 하반기 최대 정보보호 컨퍼런스&전시회-

△주최: 데일리시큐

△후원: 과학기술정보통신부, 한국인터넷진흥원, 한국정보보호산업협회