EU 규제당국은 책임성 및 운영 통제를 위한 상응하는 거버넌스 프레임워크 없이 주권 AI 인프라가 구축되었다고 지적했다.

유럽의 통신사들은 네오클라우드 자본, 새로운 하이퍼스케일러 EU 지역, 그리고 국가별 컴퓨팅 프로그램을 뒷받침으로 하여 unprecedented한 속도로 주권형 AI 인프라를 구축해 왔습니다. 인프라의 위치와 소유권에 관한 주권 논의는 대부분 승리를 거두었습니다. 그러나 거버넌스 가능성(governability)에 관한 논의는 겨우 시작 단계에 불과하며, 이 격차는 곧 막대한 비용으로 이어질 것입니다.

주권(sovereignty)과 거버넌스 가능성(governability)은 동일하지 않습니다. 주권은 인프라가 어디에 존재하는지, 그리고 누가 소유하는지를 묻는 질문입니다. 반면 거버넌스 가능성은 더 어려운 질문을 던집니다: 해당 인프라 위에서 AI 워크로드가 실행된 후, 운영 조직이 시스템의 동작을 추적하고 실시간으로 개입하며 결과에 대해 책임지는 개인을 식별할 수 있는가? 대부분의 통신사는 현재 주권 질문에 답할 수 있습니다. 하지만 거버넌스 가능성 질문에 답할 수 있는 곳은 드물며, 대서양 양편의 규제 기관들이 이제 이에 대한 답변을 요구하고 있습니다.

EU에서 워크로드를 실행하는 미국 통신사나 미국 클라우드 제공업체에 의존하는 EU 통신사들에게 이는 추상적인 문제가 아닙니다. 미국의 CLOUD Act는 서버 위치에 관계없이 미국 기업들이 보유한 데이터를 강제하기 위해 미국 당국에게 법적 근거를 부여합니다. GDPR은 동일한 데이터에 대해 정반대의 기대를 부과합니다. 테스트를 받았을 때 이러한 갈등을 어떻게 해결할 것인지 법적으로 방어 가능한 방식으로 입증할 수 있는 통신사는 거의 없습니다.

올해 세 가지 규제 발전 사항이 통신사들을 향해 수렴하고 있으며, 이들 중 어느 것도 서버 위치에 초점을 맞추고 있지 않습니다.

EU AI Act의 고위험(high-risk) 조항은 준수를 문서화에서 입증된 능력으로 전환시킵니다: 이는 피해가 확대되기 전에 AI 시스템의 행동을 중단하거나 방향 전환하기 위한 명시된 프로세스이며, 단순히 문서로 남기는 것이 아니라 테스트를 통해 검증되어야 합니다. 중요한 점은 이 의무가 시스템 개발자뿐만 아니라 확장된다는 것입니다. 해당 법안은 시스템 구축자인 '제공자(provider)'와 운영 목적으로 시스템을 도입하는 '도입자(deployer)'를 구분하며, 도입자의 의무는 독립적으로 적용됩니다. 워크로드가 호스팅되는 위치가 아닌, 워크로드가 실행되는 방식에 대해 실제 운영 통제를 가진 운영자는 명확히 도입자 영역에 속합니다. 이는 사실상 모든 해당 기업을 포괄합니다.

NIS2 및 중요 엔티티 복원력 지침(Critical Entities Resilience Directive)은 동일한 원칙을 인프라 거버넌스에서 요구하며, 선반 위에 쌓인 문서화가 아닌 훈련된 개입을 요구합니다. 미국 규제 기관들도 다른 전통에서 유사한 방향으로 수렴하고 있습니다. FTC의 2026년 7월 제안된 AI 정확성 정책 성명은 AI 도구를 도입하는 기업이 빌더(공급업체)뿐만 아니라 생산 환경에서 시스템이 작동하는 방식에 대해 섹션 5에 따라 책임을 질 수 있음을 명확히 하고 있습니다. FTC는 명시적으로 밝혔습니다. 기업은 공급업체의 이용약관에 준수를 위임할 수 없습니다. 대서양 양편 모두에서 책임 소재는 인프라의 소유권이나 모델의 저자가 아닌 운영 통제(operation control)로 수렴하고 있습니다.

통신사들이 아직 완전히 반영하지 못한 세 번째 변화는 책임이 기관에서 개인으로 이동한다는 점입니다. 새로 등장하는 유럽의 책임 프레임워크는 지정된 개인이 자신이 승인한 AI 시스템의 경계 조건을 이해했는지 여부를 묻습니다. 이는 "우리의 거버넌스 프레임워크가 준수하는가?"라는 질문을 "누군가가 필요시에는 증언하더라도 이 시스템이 수행한 행동에 대해 개인적으로 답변할 수 있는가?"로 재구성합니다.

규제 기관들은 이미 AI 외부에서 이러한 집행 스타일을 시연하고 있습니다. 2026년 7월, 영국 은행의 프루덴셜 규제 당국(PRA)은 HDI Global SE 보험사에 규제 데이터 제출 오류로 인해 400만 파운드 이상의 벌금을 부과했으며, 기업들은 단순히 보고하는 것이 아니라 보고의 무결성을 보장하기 위해 효과적인 시스템과 통제를 유지해야 한다고 명시적으로 밝혔습니다. 이 데이터 무결성 사례는 AI 시스템 자체가 보고를 수행하게 될 때 AI 거버넌스 가능성 집행이 어떻게 작동할 것인지를 예고합니다.

조직이 완전히 주권적이고 문서상으로 완전히 준수하는 AI 인프라를 보유하고 있더라도 이러한 테스트를 통과하지 못할 수 있습니다. 이는 준수(compliance)와 거버넌스 가능성(governability)이 서로 다른 것을 측정하기 때문입니다. 준수는 문서가 존재하는지 묻지만, 거버넌스 가능성은 문서와 상관없이, 그리고 점점 더 랙(rack)의 소유자와 상관없이 그 능력이 존재하는지 묻습니다.

이는 인프라 구축을 늦춰야 한다는 주장이 아닙니다. 이는 거버넌스 가능성을 사후적 준수 사항이 아닌 인프라 자체로 간주해야 한다는 주장입니다. 지금 고려해야 할 세 가지 질문이 있습니다: 실패가 연쇄적으로 발생하기 전에, 발생한 후에가 아니라 AI 시스템이 무엇을 하고 있는지 추적할 수 있는가? 문서화된 것에 그치는 것이 아니라, 열악한 조건 하에서 테스트되고 훈련된 개입을 입증할 수 있는가? 스트레스 상황에서 시스템의 행동에 대해 개인적으로 답변할 수 있는 지정된 개인이 존재하는가?

그중 하나라도 솔직한 답이 '아니오'라면, 지난 2년간의 주권 서사는 불완전합니다. 거버넌스 가능성이 없는 인프라는 통제가 없는 능력이며, 대서양 양편의 규제 기관들은 이제 두 가지를 동등하게 취급하기를 더 이상 거부하고 있습니다.