클라우드 AI 개발법(CADA)은 유럽연합(EU)이 클라우드·인공지능 인프라의 경쟁력과 기술 주권을 강화하기 위해 추진하는 법안으로, 공공부문 클라우드의 주권 보증 기준과 데이터센터 확충 방안을 담고 있습니다. 2026년 6월 3일 EU 집행위원회가 발표했으며, 2026년 11월 현재 확정·시행된 법률이 아닌 입법 제안 단계입니다.
EU 시장에 진출했거나 진출을 준비하는 한국 기업은 먼저 고객 데이터의 저장 위치, 클라우드 운영 주체, 외국 정부의 통제 가능성을 점검할 필요가 있습니다. 특히 4단계 주권 보증 체계와 제3국 사업자 예외 조건은 향후 입법 과정에서 변경될 수 있으므로, 현재 제안 내용과 실제 적용 의무를 구분해야 합니다.
클라우드 AI 개발법 핵심 내용과 입법 현황
CADA(Cloud and AI Development Act)는 유럽의 클라우드 및 AI 산업 기반을 강화하고 해외 사업자에 대한 기술적 의존을 낮추기 위한 입법안입니다. 단순히 외국 기업을 제한하는 법안이 아니라 컴퓨팅 인프라 확충, 기술 개발, 공공서비스 운영 자율성을 함께 다루는 정책입니다.
법안의 목적과 적용 분야
EU가 해결하려는 문제는 데이터센터 용량 부족과 클라우드 공급자의 지역적 편중입니다.
클라우드 서비스는 AI 모델의 학습·추론뿐 아니라 의료, 행정, 교통, 에너지 등 주요 서비스의 운영 기반으로 활용됩니다.
| 핵심 분야 | 주요 추진 방향 |
|---|---|
| AI 기술 개발 | 유럽 내 연구·혁신 역량 강화 |
| 데이터센터 | 컴퓨팅 용량 확충 및 건설 촉진 |
| 클라우드 주권 | 데이터와 운영 통제권 강화 |
| 공공조달 | 주권 보증 기준 및 EU 기여도 평가 |
| 기술 생태계 | 개방형 기술과 서비스 자율성 확대 |
클라우드 주권은 서버의 물리적 위치만을 의미하지 않습니다. 서비스 중단 권한, 소프트웨어 통제권, 제3국 법률의 영향까지 고려하는 개념입니다.
2026년 입법 진행 상황
EU 집행위원회는 2026년 6월 3일 CADA 규정안을 제안했습니다.
관련 공식 문서번호는 COM(2026) 502 final이며 입법절차번호는 2026/0138(COD)입니다.
- 발표일: 2026년 6월 3일
- 문서 형태: EU 규정(Regulation) 제안
- 법적 상태: 일반 입법절차 진행 중
- 적용 시기: 최종 채택·공포 및 적용 조항에 따라 결정
입법안이라는 이유만으로 기존 개인정보보호나 사이버보안 의무까지 유예되는 것은 아닙니다. GDPR 등 이미 적용되는 법률은 별도로 검토해야 합니다.
기존 EU AI 법과의 차이
CADA와 EU AI Act는 규율하는 중심 대상이 다릅니다.
| 비교 기준 | EU AI Act | CADA |
|---|---|---|
| 핵심 목적 | AI 시스템 위험 관리 | 클라우드·AI 기반 강화 |
| 주요 관심 | 안전성, 투명성, 책임 | 인프라, 주권, 운영 연속성 |
| 주요 대상 | AI 개발·제공·사용 주체 | 클라우드 사업자 및 관련 기관 |
| 규제 접근 | 위험도에 따른 의무 | 주권 수준 및 인프라 정책 |
AI Act가 AI 시스템 자체의 위험을 관리하는 데 중점을 둔다면, CADA는 AI가 작동하는 컴퓨팅 환경의 안정성과 자율성에 집중합니다.
따라서 AI 서비스를 제공하는 기업은 두 법률의 적용 여부를 서로 독립적으로 판단해야 합니다.
EU 클라우드 주권 보증 4단계 기준
CADA 제안의 핵심은 클라우드 서비스의 주권 보증 수준을 4단계로 구분하는 체계입니다. 등급이 높아질수록 데이터 위치뿐 아니라 운영 인력, 소유·통제 구조, 기술 독립성까지 엄격하게 평가하는 방향입니다.
1단계와 2단계의 기본 요건
1단계는 유럽 내 데이터와 자산의 관리 등 기본적인 주권 요건에 초점을 맞춥니다.
2단계에서는 서비스 운영의 연속성과 외부 통제 위험을 줄이기 위한 조치가 중요해집니다.
| 구분 | 핵심 기준 | 주요 점검 대상 |
|---|---|---|
| 1단계 | 기본 주권 보증 | 데이터·인프라 위치 |
| 2단계 | 운영 무결성 강화 | 서비스 연속성·역외 접근 |
| 3단계 | EU 소유·통제 원칙 | 기업 지배구조 |
| 4단계 | 최고 수준의 독립 통제 | 소프트웨어 공급망 전체 |
2단계에서 특히 중요한 개념은 원격 킬 스위치(Remote Kill Switch)입니다.
이는 클라우드 제공자 또는 제3국 정부의 결정으로 핵심 서비스가 일방적으로 중단되거나 저하될 수 있는 위험을 뜻합니다.
3단계의 소유권과 통제 기준
3단계에서는 단순히 서버가 유럽에 있다는 사실만으로 충분하지 않을 수 있습니다.
제안된 체계에서 중요한 판단 요소는 다음과 같습니다.
- 클라우드 사업자의 실질적인 소유·통제 주체
- 해외 모기업이 서비스 운영에 행사할 수 있는 권한
- 제3국 법률에 따른 데이터 접근이나 서비스 중단 가능성
- 예외 인정이 가능한 제3국에 해당하는지 여부
미국이나 한국 기업이라는 이유만으로 모든 서비스의 EU 시장 진입이 금지되는 것은 아닙니다.
다만 높은 주권 보증 수준을 요구하는 공공조달에서는 기업의 지배구조가 중요한 판단 요소가 될 수 있습니다.
4단계의 최고 주권 요건
4단계는 제3국의 실질적 개입 가능성을 가장 엄격하게 제한하는 수준입니다.
데이터 보호와 운영 통제에 더해 소프트웨어의 설계·개발·유지보수에 대한 통제 능력도 중요하게 다룹니다.
- 핵심 소프트웨어 구성요소의 통제권
- 제3국 사업자의 기술적 종속 여부
- 높은 수준의 사이버보안 인증 요건
- 소프트웨어 공급망의 투명성과 안전성
중요한 점은 4단계가 모든 민간 클라우드 서비스에 일괄 적용되는 기준은 아니라는 것입니다.
실제 요구 등급은 대상 기관과 서비스의 위험평가, 최종 규정 및 관련 시행 조치에 따라 달라질 수 있습니다.
비EU 기업 규제와 캐나다 예외 적용 조건
CADA는 EU 밖에 본사를 둔 기업을 일괄적으로 배제하는 방식이 아닙니다. 다만 높은 주권 보증 등급에서는 제3국의 법적 통제와 서비스 운영에 대한 영향력이 중요한 제한 요인으로 작용할 수 있습니다.
비EU 클라우드 기업의 참여 범위
해외 기업의 참여 가능성은 해당 서비스가 충족해야 하는 주권 보증 수준에 따라 달라집니다.
| 사업자 상황 | 주요 판단 기준 |
|---|---|
| EU 현지 데이터센터 운영 | 데이터·인프라 소재 요건 |
| 해외 본사 소유 기업 | 실질적 지배·통제 관계 |
| EU 기업과 합작법인 | 독립적인 운영·기술 통제 |
| 공공 핵심 시스템 공급 | 요구 주권 등급 충족 여부 |
| 예외 인정 제3국 기업 | 관련 인정 조건과 결정 |
따라서 유럽 현지 법인을 설립하거나 EU 데이터센터를 사용한다는 사실만으로 높은 주권 등급을 자동으로 충족하는 것은 아닙니다.
제3국 예외 인정의 주요 기준
제안된 주권 체계에는 일정 요건을 충족하는 제3국에 대한 예외 인정 가능성이 포함되어 있습니다.
주요 검토 요소는 다음과 같습니다.
- GDPR에 따른 개인정보보호 적정성 인정 여부
- 제3국 정부의 강제적인 서비스 중단·저하 가능성
- EU 클라우드 사업자에 대한 시장 개방 수준
- 관련 법률과 운영 구조에 따른 실질적인 통제 위험
이는 단순히 외교 관계가 우호적이라는 이유만으로 적용되는 예외가 아닙니다.
해당 국가가 적격하다는 공식 판단과 관련 시행 조치가 있어야 실제 기업의 참여 가능성을 검토할 수 있습니다.
캐나다 준회원국 지위 논란
캐나다가 CADA상 특별한 제3국 지위를 확보했다는 주장과 향후 그러한 지위를 추진한다는 내용은 구분해야 합니다.
캐나다에 관심이 집중되는 이유는 EU와의 협력 관계, 개인정보보호 체계, 북미 통상협정 및 국내 법률이 서로 영향을 미칠 수 있기 때문입니다.
특히 다음 사항이 별도 판단 대상입니다.
- 캐나다에 대한 공식 예외 인정 결정의 존재 여부
- 캐나다 법률상 정부의 데이터 접근 권한
- EU 기업에 대한 시장 개방 조건
- 기존 무역협정과 새로운 주권 기준의 양립 가능성
캐나다가 CADA상 특별 지위를 이미 취득했다고 단정할 근거는 현재 확인된 공식 입법 자료에 없습니다.
캐나다의 GDPR 적정성 인정과 CADA에 따른 주권 보증 예외 인정은 서로 다른 판단이라는 점도 중요합니다.
한국 기업에 미치는 영향과 준비사항
한국 기업이 EU 고객에게 클라우드·AI 서비스를 제공한다고 해서 CADA의 모든 주권 요건이 자동 적용되는 것은 아닙니다. 우선 공공조달 참여 여부, 서비스의 중요도, 고객 데이터 처리 구조를 기준으로 영향을 구분해야 합니다.
한국 클라우드 사업자의 주요 위험
EU 공공기관이나 중요 기반시설 고객을 상대하는 기업은 서비스 운영 구조를 보다 세밀하게 점검할 필요가 있습니다.
| 점검 항목 | 확인할 내용 | 예상 영향 |
|---|---|---|
| 데이터 위치 | 저장·백업 지역 | 데이터 관리 구조 |
| 운영 권한 | 장애 대응·관리 주체 | 서비스 독립성 |
| 법적 관할 | 해외 정부 접근 가능성 | 주권 등급 심사 |
| 기술 종속 | 외부 소프트웨어 의존 | 공급망 평가 |
| 계약 구조 | 일방적 서비스 중단 권한 | 공공조달 참여 |
특히 해외 클라우드 제공자의 인프라를 재판매하거나 이를 기반으로 AI 서비스를 구성하는 사업자는 실제 인프라 통제 주체까지 파악해야 합니다.
AI 서비스 개발사의 데이터 관리
AI 개발사는 클라우드 인프라 제공자와 AI 시스템 공급자의 역할을 나누어 검토하는 것이 중요합니다.
데이터 처리 흐름을 문서화할 때는 다음 순서를 활용할 수 있습니다.
- EU 고객 데이터의 수집 위치와 저장 지역 파악
- 모델 학습·미세조정·추론 과정의 데이터 이동 기록
- 외부 AI API 및 클라우드 공급업체 목록 작성
- 로그·백업·원격관리 접근 주체 분류
- 계약상 데이터 이용 목적과 서비스 중단 조건 검토
EU 고객 데이터를 AI 모델 학습에 사용하는 행위가 CADA에 따라 모든 경우에 일률적으로 금지된다고 볼 수는 없습니다.
개인정보 처리의 적법성은 GDPR 등 기존 법률을 함께 적용하여 판단해야 합니다.
소버린 클라우드와 합작법인의 한계
소버린 클라우드(Sovereign Cloud)는 특정 국가나 지역의 법적·기술적 통제권을 강화하도록 설계한 클라우드 운영 모델입니다.
그러나 현지 법인이나 합작법인의 존재 자체가 독립성을 증명하지는 않습니다.
예를 들어 EU 법인이 서버를 운영하더라도 핵심 소프트웨어 업데이트가 해외 본사의 승인 없이는 불가능하다면 실질적인 기술 통제에 대한 검토가 필요할 수 있습니다.
기업은 인프라 이전이나 합작법인 설립을 결정하기 전에 고객이 요구하는 주권 보증 등급과 최종 규정상 인정 기준을 비교해야 불필요한 투자 위험을 줄일 수 있습니다.
데이터센터 확충과 오픈소스 정책 변화
CADA에는 규제 기준뿐 아니라 유럽의 컴퓨팅 공급 능력을 확대하기 위한 산업정책도 포함되어 있습니다. 데이터센터 인허가 개선과 기술 생태계 강화는 클라우드 서비스 비용 및 공급 경쟁에 영향을 줄 수 있는 요소입니다.
데이터센터 가속구역과 건설 절차
EU는 향후 5~7년 동안 데이터센터 용량을 크게 확충한다는 정책 목표를 제시했습니다.
제안에는 데이터센터 가속구역을 통한 인허가 간소화와 전략 프로젝트 지원 방안이 포함되어 있습니다.
| 구분 | 추진 내용 |
|---|---|
| 가속구역 | 데이터센터 건설 절차 간소화 |
| 인허가 | 일부 대상에 신속 처리 절차 |
| 전략 프로젝트 | 중요 인프라 투자 촉진 |
| 부지 활용 | 기존 산업부지 활용 고려 |
| 지속가능성 | 에너지·자원 효율 중시 |
가속구역 내 프로젝트에 제안된 최대 12개월 허가 기한은 모든 EU 데이터센터 사업에 보장되는 건설 완료 기간을 의미하지 않습니다.
실제 사업에는 전력망 연결, 환경 요건, 부지 조건 및 회원국별 절차가 영향을 미칩니다.
공공조달의 EU 기여도 평가
CADA는 가격 이외에 유럽 기술 생태계에 대한 기여도를 평가하는 방향도 제시합니다.
주요 평가 요소로는 EU 내 연구개발, 유럽 기술의 활용, 현지 혁신 활동, 유럽 공급망에 대한 기여 등이 거론됩니다.
이러한 기준은 EU 기업에만 무조건 계약을 부여한다는 의미는 아닙니다.
한국 기업도 유럽 현지 연구개발, 협력업체 활용, 기술 공급망 기여 등을 입증할 수 있는지 검토할 필요가 있습니다.
다만 실제 조달 평가점수와 가중치는 적용되는 최종 법률 및 개별 입찰 조건에 따라 판단해야 합니다.
오픈소스와 기술 독립성
EU의 클라우드·AI 정책은 특정 기업의 독점 소프트웨어에 대한 과도한 종속을 줄이는 방향도 포함합니다.
오픈소스는 소스코드의 검토와 재사용, 기술 간 상호운용성을 높이는 수단이 될 수 있습니다.
클라우드 아키텍처를 설계하는 기업은 다음 요소를 검토할 수 있습니다.
- 데이터와 애플리케이션의 다른 클라우드 환경 이전 가능성
- 소프트웨어 구성요소 및 라이선스 목록 관리
- 공급업체 변경 시 보안 업데이트의 지속 가능성
- 오픈소스 구성요소의 취약점 관리와 유지보수 책임
다만 오픈소스를 사용한다는 이유만으로 CADA의 높은 주권 등급을 자동으로 충족하지는 않습니다.
실질적인 운영 통제와 법적 독립성을 별도로 입증할 수 있어야 합니다.
자주 묻는 질문 (FAQ)
Q. 클라우드 AI 개발법은 한국의 일반 AI 사용자에게도 적용되나요?
일반 사용자가 AI 서비스를 이용한다는 이유만으로 CADA의 클라우드 주권 요건을 직접 부담하는 것은 아닙니다. 다만 사용하는 서비스의 제공 기업이 EU 공공조달이나 관련 규제 대상에 해당하면 서비스 운영 구조에 변화가 생길 수 있습니다.
Q. EU 데이터센터를 사용하면 높은 주권 보증 등급을 받을 수 있나요?
서버 위치만으로 높은 등급이 보장되지는 않습니다. 해외 본사의 운영 통제권과 법적 관할, 핵심 소프트웨어의 독립성 등도 해당 등급의 기준에 따라 평가될 수 있습니다.
Q. CADA의 2028년 또는 2029년 의무 적용 일정은 확정됐나요?
2028년이나 2029년의 특정 날짜를 모든 사업자에게 적용되는 확정 의무 시행일로 단정할 수 없습니다. 최종 법률의 공포일과 경과조치, 적용 대상별 시행 규정을 기준으로 판단해야 합니다.
Q. 한국의 GDPR 적정성 결정으로 CADA 예외도 인정되나요?
자동으로 인정되는 것은 아닙니다. 개인정보보호 적정성은 관련 판단 요소 중 하나일 수 있지만, 서비스 운영의 독립성과 시장 개방 등 별도 요건도 검토 대상입니다.
Q. 해외 클라우드를 사용하는 한국 AI 스타트업도 서비스를 이전해야 하나요?
CADA 제안만으로 모든 한국 스타트업이 즉시 클라우드를 이전해야 하는 것은 아닙니다. EU 고객의 공공조달 조건과 요구 주권 등급을 먼저 파악한 후 실제 이전 필요성을 판단하는 것이 합리적입니다.
마무리
클라우드 AI 개발법은 유럽에서 클라우드·AI 서비스를 제공하는 기업의 경쟁 조건을 바꿀 수 있는 입법안입니다. EU 공공부문 사업을 준비하고 있다면 현재 사용하는 클라우드의 실질적 운영 주체와 계약상 통제 권한을 먼저 정리하고, 고객이 요구할 주권 보증 수준에 대응할 수 있는지 검토하는 것이 중요합니다.
법률상 확정된 의무를 판단할 때는 EU 집행위원회의 CADA 제안서와 EUR-Lex의 2026/0138(COD) 입법 진행 상태를 기준으로 최종 채택 여부 및 적용 일정을 구분해야 합니다. 제안 단계에서 불확실한 요건 때문에 인프라를 즉시 교체하기보다는 적용 대상과 위험평가 결과에 따라 필요한 준비 범위를 정하는 것이 적절합니다.