[데이터 주권] 디지털 보호주의 '급부상'…데이터 장벽 더 높아진다
오픈AI '챗GPT' 등장으로 인공지능(AI) 시대가 본격 도래하면서 데이터의 전략적 가치가 점차 커지고 있다. 미국 클라우드 액트, 유럽연합(EU) 일반개인정보보호법(GDPR), 중국 데이터보안법 등 주요국은 데이터 주권을 강화하기 위해 규제를 도입했고, 데이터가 국경을 넘어 이동하는 것을 제한하거나 특정 산업 데이터를 국내에 보관하도록 하는 정책도 확산하고 있다. 데이터 주권은 단순한 법률문제가 아니라 외교, 무역, 안보, 기술 전략까지 아우르는 핵심 의제다. 향후 데이터 주권이 국가 간 협력과 갈등을 동시에 촉발하는 핵심 변수가 될 것이란 전망이 나온 가운데 지디넷코리아는 글로벌 AI 경쟁에서 한국이 어떻게 대응해야 할 지에 대해 심도있게 살펴보고자 한다. [편집자주] 미국·유럽·중국 등 주요 국가가 데이터 주권을 강화하며 글로벌 데이터 이동에 장벽을 세우고 있다. 안보와 개인정보 보호, 산업정책을 앞세운 데이터 보호주의 흐름은 글로벌 기업들의 사업 전략에도 영향을 미치고 있다. 20일 업계에 따르면 최근 각국 정부가 데이터 이전을 금지하거나 제한하는 방향으로 정책을 추진하고 있는 것으로 전해졌다. 글로벌 AI 생태계 핵심 역할인 데이터 흐름이 차단되고 있는 실정이다. 이에 발맞춰 글로벌 기업들도 각국 데이터 보호 정책에 맞게 사업 전략을 수정하기 시작했다. 미국은 국가 안보를 이유로 데이터 해외 이전을 제한하고, EU는 GDPR과 데이터 액트로 규제를 이중화하며 통제력을 높이고 있다. 중국·인도·일본 등 아시아도 핵심 데이터를 묶어두거나 이전 국가를 제한하는 방식으로 관리하고 있다. 미국, 안보 우려 내세워 데이터 장벽 '더 높이' 미국이 국가 안보를 앞세워 데이터 이동에 장벽을 세우고 있다. 특히 개인정보와 정부 관련 데이터의 해외 이전을 금지하거나 제한하는 규제를 내놓으며 데이터 보호주의 기조를 강화하고 있다. 지난해부터 미국 법무부는 민감한 개인정보와 정부 관련 데이터의 해외 이전을 제한했다. 군사·안보적 가치가 크다고 판단되는 내부 데이터가 중국, 러시아 등 특정 국가로 유출되는 것을 차단하려는 조치인 것으로 평가받고 있다. 앞서 법무부는 2018년 제정된 '클라우드 액트'를 통해 데이터 저장 위치와 상관없이 미국 기업이 통제하는 정보라면 미국 수사기관이 요구할 수 있도록 했다. 이는 사실상 글로벌 데이터에 대한 미국의 법적 관할권을 확장한 것이다. 사법부도 안보 논리에 힘을 보탰다. 미국 연방대법원은 올해 1월 틱톡 금지법에 합헌 결정을 내리며, 틱톡 모회사 바이트댄스가 중국 정부와 연계됐다는 의혹을 일부 인정했다. 이 판결을 계기로 미국 내에서는 중국발 데이터 위협을 차단해야 한다는 여론이 한층 강화됐다. 그러나 연방 차원의 개인정보보호법은 아직 마련되지 않은 상태다. 주별로 상이한 규제가 병존하는 상황이다. 업계 관계자는 "안보 논리를 앞세운 통제는 강화됐지만, 불완전한 법 체계가 기업 불확실성을 키우고 있다"고 지적했다. EU, 데이터 주권 통제력 확대…글로벌 IT 산업 영향 EU는 2018년부터 GDPR을 통해 데이터 주권을 강화하기 시작했다. GDPR은 유럽 시민의 개인정보를 보호하기 위해 기업과 기관에 엄격한 규제를 부과한 제도다. 데이터가 어디에 저장돼 있든, 유럽 시민의 정보는 반드시 EU 법을 따라야 한다는 것이 핵심이다. GDPR은 유럽 밖 기업이라도 EU 시민의 데이터를 다루면 반드시 해당 규정을 따라야 한다고 명시하고 있다. 이에 구글, 메타 등 글로벌 빅테크 기업이 유럽 시장에서 GDPR을 준수하기 위해 서비스 정책을 바꿨다. 현재 EU는 단순한 데이터 보호뿐 아니라 활용과 경쟁까지 포괄하는 규제 체계를 강화하고 있다. 내달 시행 예정인 데이터 액트(Data Act) 역시 이런 연장선에서 등장했다. GDPR이 '개인의 권리 보호'를 강조했다면, 데이터 액트는 '산업과 사회 전체의 활용'을 확대하는 방향으로 평가받고 있다. 두 법은 서로 맞물려 EU가 데이터 주권을 강화하는 이중 축으로 작동할 것이란 전망이 이어지고 있다. 글로벌 기업도 유럽의 데이터 주권 강화 수요를 맞추기 위한 서비스를 내놓고 있다. 아마존웹서비스(AWS)는 독일 브란덴부르크에 소버린 클라우드 리전을 개설했다. 구글클라우드는 탈레스와 프랑스에 '3NS'를 설립했다. 또 데이터를 자국 내에서만 처리하도록 하는 인증 획득 준비가 한창인 것으로 알려졌다. 중국, 데이터 장벽 이중구조…"핵심 데이터는 우리 거" 중국은 일반 데이터는 개방하면서도 국가 경쟁력과 직결되는 데이터는 철저히 통제하는 이중 구조를 유지하고 있다. 앞서 중국은 2021년부터 데이터보안법과 개인정보보호법을 통해 데이터를 국가 안보 차원에서 관리해 왔다. 현재 일반 데이터는 국경 간 이전 심사에서 제외지만, 개인정보 10만 명 이상이나 민감정보 1만 명 이상이 포함된 경우 국가 보안 심사가 필수다. 또 중요 데이터는 국내 보관 원칙을 고수하고 있다. 사실상 핵심 데이터는 중국 내 묶어두는 구조를 유지하고 있느 셈이다. 인도는 2023년 개인정보보호법을 제정한 뒤 올해 세부 규칙을 공개했다. 인도 정부는 허용 국가 목록을 지정해 특정 국가로만 데이터를 이전할 수 있도록 할 것이라고 발표했다. 데이터 해외 이전을 원칙적으로 허용하면서도 '어디로 보낼 수 있는지'를 정부가 직접 통제하는 방식이다. 일본도 해외 데이터 이전 규제를 강화했다. 일본 정부는 기업이 데이터를 외국으로 이전할 경우 반드시 해당 국가의 제도적 보호 수준을 고지해야 한다고 명시했다. 기업은 이전 국가의 법과 제도를 정기적으로 점검해야 한다. 전문가들은 데이터 주권이 단순히 개인정보보호를 넘어 안보와 산업정책까지 포괄하는 전략적 수단으로 변했다고 봤다. 업계 관계자는 "이런 상황에서 글로벌 산업계는 단일 인프라 대신 국가별 규제에 대응할 수 있는 분산 운영 전략을 채택해야 할 것"이라고 강조했다.
