유럽의 클라우드 주권 규정이 일부 국내 사업자에게 유리하게 활용되고 있으며, 범유럽 클라우드 생태계의 발전을 저해할 수 있다는 보고서의 경고가 나왔다.

유럽의 클라우드 주권 확보 추진은 유럽 전역을 아우르는 클라우드 서비스 시장을 만드는 대신, 회원국들이 자국 기업을 선호하는 방향으로 이어지고 있다. 유럽 집행위원회가 제안한 클라우드 및 AI 개발법(CADA)을 비판하는 한 보고서의 주장이다. 국제정치경제유럽센터(ECIPE)의 연구는 EU 9개 회원국의 공공 클라우드 계약을 분석했으며, '주권'이라는 새로운 용어를 내세운 계약은 모두 다른 EU 국가 기업이 아닌 국내 공급업체에 돌아갔다고 밝혔다.

보고서에 따르면, 주권이 핵심 정책 목표로 부상하기 전부터 유럽의 클라우드 조달은 이미 국가 단위로 고도로 집중되어 있었다. 2018년부터 2025년 사이에 낙찰된 클라우드 관련 조달 계약 8,725건을 분석한 결과, 거의 대부분이 같은 국가의 공급업체에 돌아갔으며 EU 내 국경 간 경쟁은 미미한 수준이었다. 보고서는 또한 이러한 국내 수주가 대규모 하이퍼스케일 사업자가 제공하는 인프라를 활용하는 주계약자에게 흘러가는 경우가 많다고 주장한다. 이런 경우 주권은 서비스가 의존하는 인프라 계층이 아니라 사업자의 국적에 따라 결정된다.

ECIPE는 클라우드 주권이라는 개념이 두 가지 서로 다른 문제를 동시에 대표하는 데 쓰이면서 논쟁에 개념적 혼선이 생겼다고 지적한다. 첫 번째는 주권을 데이터 보호와 위험 관리에 초점을 둔 보안 및 회복력 목표로 보는 관점이다. 이 관점에서 주권이란 사용자가 클라우드 서비스의 공급자와 설계를 선택할 수 있다는 의미다. 두 번째는 주권을 산업 정책 목표로 보는 관점으로, 유럽 본사 기업이 비유럽 공급업체와의 경쟁으로부터 보호받아 더 성장하는 것을 의미한다. 보고서는 CADA가 두 논리를 결합하고 있으며, 혼란스럽게도 두 가지 결과를 모두 달성하고자 한다고 밝힌다.

보고서에 따르면, 이 법안은 EU의 4단계 보증 수준을 보안, 회복력, 신뢰할 수 있는 클라우드 제공을 위한 기준으로 제시한다. 그러나 실제로 이 기준들은 EU 내 위치한 인프라 요건, 제3국의 통제 제한, 소프트웨어 공급망에 대한 통제 등을 통해 주권을 강제하는 것을 목표로 한다. ECIPE는 이에 따라 클라우드 주권이라는 목표가 특정 공급업체를 우대하고, 경쟁을 제한하며, 디지털 시장을 분절시키는 정책의 수단이 될 위험이 있다고 경고한다.

이 체계는 미국 대형 클라우드 사업자에 맞설 수 있는 범유럽 경쟁자의 성장을 돕기보다, 오히려 정반대의 효과를 낳을 수 있다. 회원국들이 자국 내 공급업체를 선호하도록 부추겨 유럽 전역의 시장 분절을 초래할 수 있다는 것이다. 보고서의 저자들은 보다 일관된 접근법이라면 회복력 목표는 유지하되, 상호운용성, 이식성, 멀티 클라우드 옵션을 보존하는 기술 중립성 요건으로 그 적용을 조정해야 한다고 주장한다. 보고서가 제시한 정책 권고 중에는 주권을 소유권 상태가 아니라 입증 가능한 결과로 정의하자는 제안도 포함되어 있다.

ECIPE 이사이자 연구의 공동 저자인 프레드리크 에릭슨은 "진정한 주권이란 공공 구매자가 자신의 데이터가 안전하다는 것을 입증할 수 있고, 필요하다면 공급업체를 바꿀 수 있다는 뜻이다. 공급업체의 국적증명서로는 이를 알 수 없다"고 말했다. 그는 "유럽의 클라우드 시장은 이미 실질적으로 국가별로 나뉘어 있다. CADA는 이러한 구조를 고착화할 위험이 있다"고 덧붙였다.

**모호한 법안 문구**

모든 이가 이에 동의하는 것은 아니다. 올해 초 기술 업계 단체인 CISPE(유럽 클라우드 인프라 서비스 제공업체 협회)는 유럽 집행위원회에 '환상'이 아닌 실질적인 기술 주권을 법제화할 것을 촉구했다. CISPE는 주권이 단순히 EU 내 사업장 존재 여부가 아니라 통제권에 의해 정의되어야 한다고 주장했다. 이 단체의 견해에 따르면, 이는 기반 기술에 대한 실질적 소유권과 미국 CLOUD법 같은 역외 법률로부터의 보호를 의미한다. CLOUD법에 따라 워싱턴은 해외에 저장된 데이터를 포함해 대형 클라우드 사업자를 포함한 미국 기술 기업이 보유한 모든 데이터를 제출하도록 강제할 수 있다.

CISPE는 앞서 유럽 집행위원회의 클라우드 주권 기준이 지나치게 모호하게 작성되어, 이미 유럽 클라우드 시장을 장악하고 있는 기존 강자, 즉 대형 미국 사업자에게 유리하게 작용할 것이라고 경고한 바 있다.