EU, '클라우드·AI 개발법(CADA)' 6월 3일 제안 — 5~7년 내 데이터센터 3배·4단계 주권 등급제로 AWS·Azure·Google 압박
2026년 6월 3일, 유럽연합(EU) 집행위원회는 역사적인 '기술 주권 패키지(European Technological Sovereignty Package)'를 발표하며 그 핵심 입법으로 클라우드·AI 개발법(Cloud and AI Development Act, CADA)을 제안했습니다. 이 법안은 세 가지 핵심 목표를 담고 있습니다. 첫째, 5~7년 내 EU의 데이터센터 용량을 현재의 3배로 늘려 2035년까지 EU 기업과 공공 기관의 AI 인프라 수요를 자체 충당하겠다는 것입니다. 둘째, 차세대 AI(프론티어 AI·산업용 AI·물리적 AI) 연구개발에 대한 투자와 지원을 제도화합니다. 셋째, 4단계 클라우드 주권 등급 체계를 도입해 EU 공공 조달 시장에서 비(非)EU 클라우드 공급자의 접근을 단계적으로 통제합니다. 이 세 번째 항목이 전 세계 기술 업계를 긴장시키고 있습니다. 아마존 웹서비스(AWS)·마이크로소프트 애저(Azure)·구글 클라우드가 유럽 클라우드 시장의 70% 이상을 장악하고 있는 현실에서, EU의 주권 등급 체계는 사실상 미국 빅테크를 핵심 공공 인프라에서 밀어낼 수 있는 구조적 기반을 만들기 때문입니다. 기술 패권을 둘러싼 미국과 유럽의 줄다리기가 새로운 국면에 진입했습니다. 한국은 이 거대한 변화의 파장에서 결코 자유롭지 않습니다.
CADA 탄생 배경 — 왜 EU는 지금 '기술 주권'을 선언했나
EU가 CADA를 제안한 배경에는 두 가지 구조적 위기가 있습니다. 첫 번째는 EU 자체 클라우드 역량의 위축입니다. 2017년 약 29%였던 EU 클라우드 사업자의 유럽 내 시장 점유율은 2022년 15% 수준으로 반 토막 났습니다. OVHcloud 등 유럽 사업자들은 '공공 조달의 일정 비율이 유럽 사업자에게 보장되지 않으면 규모의 경제를 달성할 수 없다'며 오랫동안 EU 차원의 개입을 촉구해 왔습니다. OVHcloud는 공공부문 조달의 최소 15%가 유럽 공급자에게 배정돼야 경쟁력 확보가 가능하다는 입장을 명확히 했습니다. 두 번째 위기는 지정학적 리스크입니다. 2018년부터 시행 중인 미국 CLOUD Act(Clarifying Lawful Overseas Use of Data Act)는 미국 법원의 영장만으로 미국 기업(AWS·Azure·Google)이 유럽 서버에 저장된 데이터를 미국 정부에 제공하도록 강제할 수 있습니다. EU의 GDPR과 미국의 CLOUD Act는 법적으로 충돌하며, EU 기관들은 수년간 이 모순을 안고 미국 클라우드에 의존해 왔습니다. 여기에 2025년에는 미국 정부의 일방적 제재 조치로 국제형사재판소(ICC) 관련 클라우드 서비스가 일시 중단되는 사건이 발생하면서, EU 기관들은 미국 클라우드에 대한 의존이 실제 서비스 중단으로 이어질 수 있다는 현실을 직접 체험했습니다. CADA는 이 두 가지 위기에 동시에 대응하기 위한 입법입니다.
CADA는 독립 법안이 아닙니다. EU 집행위가 같은 날 발표한 '기술 주권 패키지'에는 CADA와 함께 반도체 역량 강화를 위한 '칩스법 2.0(Chips Act 2.0)', 오픈소스 전략, 에너지 분야 디지털화·AI 전략 로드맵이 포함됩니다. EU는 이 패키지를 통해 AI·반도체·클라우드라는 세 개의 핵심 디지털 기반 기술에서 비EU 국가에 대한 의존도를 체계적으로 줄이겠다는 장기 전략을 밝혔습니다. 특히 CADA와 칩스법 2.0의 결합은 주목할 만합니다. 반도체(칩스법 2.0)로 AI 연산 하드웨어의 EU 자체 생산 역량을 키우고, 클라우드(CADA)로 AI 모델 학습·추론에 필요한 인프라를 EU 내에 구축하겠다는 것은, 사실상 AI 가치사슬 전체를 유럽화하겠다는 선언입니다. EU 집행위는 현재 EU의 클라우드·AI 인프라 의존도를 '비EU 국가의 지렛대'로 규정하면서, CADA를 통해 2035년까지 유럽 AI의 완전한 인프라 자립을 달성하겠다는 목표를 공식화했습니다. 이 야심찬 목표를 달성하기 위한 첫 번째 구체적 수단이 바로 5~7년 내 EU 데이터센터 용량 3배 확장입니다. 집행위는 신재생에너지 연계, 부지 확보 간소화, 허가 절차 단축, 냉각수·토지·자금 접근성 개선 등을 통해 데이터센터 구축 속도를 획기적으로 높이겠다고 밝혔습니다.
4단계 주권 등급 체계 — 어떤 클라우드가 어디까지 들어올 수 있나
CADA의 핵심은 4단계 클라우드·AI 주권 등급 체계입니다. 이 체계는 EU 공공 기관(특히 국가 안보·국방·법집행·출입국 관리·사법 분야 기관)이 클라우드 서비스를 조달할 때 어떤 등급의 공급자를 선택해야 하는지를 규정합니다. 등급1(Level 1)은 기본 요건으로, EU 서버에서 데이터를 처리하고 공급자가 제3국에 소프트웨어 취약점을 악용 전에 보고하도록 강제받지 않아야 합니다. 이 등급은 전체 공공 조달의 약 70%를 차지하며, AWS·Azure·Google의 EU 자회사도 현재 대부분 충족할 수 있는 수준입니다. 등급2(Level 2)는 제3국 정부가 EU 데이터에 접근하거나 서비스 '킬 스위치(서비스 강제 종료)'를 발동할 수 없어야 합니다. 전체 계약의 약 20% 수준입니다. 이 등급이 미국 빅테크에 결정적 장벽이 됩니다. CLOUD Act는 미국 기업이 미국 법원의 영장을 받으면 어디에 있든 데이터를 제공해야 한다고 규정하기 때문입니다. 기술적으로 EU 법인화를 해도, 모회사가 미국 기업인 이상 CLOUD Act 적용을 완전히 차단하기 어렵습니다. 등급3(Level 3)은 공급자 자체가 EU 기업이어야 하고, 임직원의 국적 등 추가 기준을 충족해야 합니다. 전체 계약의 10% 미만이 이 수준을 요구할 것으로 추정됩니다. 등급4(Level 4)는 가장 높은 수준의 주권 요건으로, 소프트웨어 공급망 전체의 투명성과 제3국 어떤 구성 요소도 없어야 하는 수준입니다. 전체 계약의 약 1%만이 이에 해당하지만, 가장 민감한 국가 안보·국방 인프라가 이 범주에 포함됩니다.
EU 집행위는 주권 등급을 의무화하는 범위를 '위험도가 높은 분야의 공공 기관'으로 한정함으로써 법안이 전면적인 미국 빅테크 배제로 보이지 않도록 관리하고 있습니다. 집행위 관계자들은 이 체계가 미국의 정부 클라우드 보안 인증 제도인 FedRAMP와 유사한 보안 기준 체계라고 공개적으로 강조하고 있습니다. 실제로 등급2 이상을 요구받는 계약은 전체의 30% 미만이고, 등급3 이상은 10% 미만입니다. 그러나 이 표면적인 수치는 실질적 충격을 가릴 수 있습니다. 유럽 공공 조달 시장 규모는 GDP 대비 13~14%에 달하며 연간 수천억 유로에 이릅니다. 전체의 20%만 해당하더라도 그 절대 금액은 수백억 유로입니다. 더 중요한 것은 등급2 이상이 적용되는 분야의 전략적 민감성입니다. 국가 안보·국방·법집행·사법 영역에서 미국 클라우드를 사용하지 못하게 된다면, 이는 단순한 조달 계약 손실을 넘어 미국 기술 기업들이 EU의 핵심 공공 인프라에서 구조적으로 배제되는 것을 의미합니다. 주권 등급 체계에는 예외 조항도 있습니다. '대체 공급자 부재' 상황에서는 하위 등급 공급자 사용이 가능하도록 일반 이탈 조항(general derogation)을 두었고, EU 적정성 결정을 받은 국가의 공급자는 '연합 제3국(associated third countries)'으로 인정받을 가능성도 열어두었습니다. 그러나 등급2의 '킬 스위치 금지' 조항은 어떤 예외도 없이 적용될 예정이어서, CLOUD Act 의무를 지는 미국 기업들에게는 사실상 극복하기 어려운 장벽이 될 수 있습니다.
AWS·Azure·Google의 반격 — CCIA '차별적 시장 분열', 미 정부 무역 압박
CADA 제안이 공개된 직후, 미국·캐나다·일본·호주의 기술 업계 단체들은 EU에 법안 수정을 촉구하는 공동 서한을 제출했습니다. 특히 미국 컴퓨터·통신 산업협회(CCIA)는 CADA가 '심각한 시장 분열을 초래하는 차별적 법안'이라며 강하게 반발했습니다. CCIA의 핵심 주장은 세 가지입니다. 첫째, CADA의 주권 등급 체계는 사실상 '출신지 기반 차별(origin-based discrimination)'입니다. 등급3·4는 EU를 포함한 어떤 주요 기술 강국도 현실적으로 충족할 수 없는 '폐쇄적 시장 요건을 정책 임계값으로 위장한 것'이라는 비판입니다. EU 기업이더라도 소프트웨어 공급망에 비EU 구성 요소가 하나라도 있으면 등급4를 충족할 수 없습니다. 둘째, CADA가 각 회원국이 별도의 자국 '보호주의 장벽'을 쌓도록 허용함으로써, EU 단일시장 통합을 오히려 훼손한다는 점입니다. 법안이 의도하는 EU 단위 통합 프레임워크보다 각국이 더 엄격한 기준을 독자 적용할 유인을 제공한다는 것입니다. 셋째, 대안으로 출신국 기반 배제 대신 '검증 가능한 기술적 보안 기준(verifiable technical security criteria)'을 요구해야 한다고 CCIA는 제안했습니다. 현재 사이버보안 기준을 실제로 충족하는지 여부로 판단해야지, 기업의 국적을 기준으로 삼아서는 안 된다는 논리입니다. 이 비판은 세계무역기구(WTO) 협정상 내국민 대우 원칙과도 충돌할 수 있어, 향후 WTO 분쟁 가능성도 배제하기 어렵습니다.
미국 정부 측의 반응도 주목할 만합니다. 트럼프 행정부는 아직 공식적인 무역 보복 조치를 취하지 않았지만, 주EU 미국 대사는 디지털 시장법(DMA)·디지털 서비스법(DSA) 등 EU의 디지털 규제가 미국 기업을 표적으로 삼는다고 공개 비판해 왔습니다. 미국 상무부는 유럽 카운터파트와 조용히 협상 채널을 유지하고 있습니다. 업계에서는 CADA가 진행되는 경우, 트럼프 행정부가 EU 기술 기업 또는 EU 수출품에 대한 추가 관세나 무역 조치를 카드로 꺼낼 가능성을 우려하고 있습니다. 그러나 EU 내부에서도 CADA에 대한 온도 차가 있습니다. 일부 회원국은 실리콘밸리 빅테크와의 관계를 중시하며 법안 내용의 완화를 지지하는 반면, 프랑스를 중심으로 한 '디지털 주권' 진영은 더 강경한 규정을 요구합니다. OVHcloud·SAP·아토스(Atos) 등 유럽 클라우드·IT 기업들은 공급망 투명성 조항이 국내 사업자들에게도 과도한 부담을 줄 수 있다고 우려를 표명하기도 했습니다. CADA는 현재 EU 입법 절차의 첫 단계인 집행위 제안 단계에 있습니다. 유럽의회와 이사회의 합의를 거쳐야 하며, 복잡한 디지털 입법의 경우 '트릴로그(trilogue)' 협상이 통상 12~36개월 소요됩니다. 즉 최종 법안 확정은 2027~2028년 이후가 될 가능성이 높습니다. 그러나 법안 제안 자체가 강력한 시그널로 기능하고 있습니다. 기업들은 지금부터 클라우드 전략을 수정하기 시작했습니다.
한국 기업·정부에 던지는 CADA의 시사점
CADA는 EU 역내 법안이지만, 유럽에 진출한 한국 기업들에게 직접적인 영향을 미칩니다. 삼성전자·LG전자·현대자동차·SK하이닉스·카카오엔터프라이즈 등 EU 시장에서 사업을 영위하는 한국 기업들은 EU 공공 조달에 참여하거나, EU 공공기관을 파트너로 두거나, EU 내 클라우드 인프라를 활용하는 경우 CADA의 주권 등급 체계를 반드시 고려해야 합니다. 특히 방산·항공우주·스마트 시티·디지털 헬스케어 분야에서 EU 정부와 B2G(기업 대 정부) 계약을 체결하거나 EU 공적 자금 지원 프로젝트에 참여하는 기업들은, 어떤 클라우드 인프라를 사용하느냐가 계약 자격 요건이 될 수 있습니다. AWS·Azure·Google 클라우드를 EU 사업의 백엔드로 쓰고 있는 한국 기업들은 CADA 등급2 이상 요건이 적용되는 계약에서 잠재적 적격성 문제가 생길 수 있습니다. OVHcloud·IONOS·Hetzner 같은 EU 클라우드 사업자를 유럽 사업 인프라로 도입하거나, EU 적정성 결정을 받은 국가의 클라우드 사업자를 활용하는 방안을 사전에 검토해야 합니다. 한국은 EU와의 개인정보보호 협정(적정성 결정) 협상을 진행해 온 상황이어서, 향후 한국 클라우드 사업자가 '연합 제3국' 지위를 인정받을 가능성도 있습니다. 이 경우 네이버 클라우드·KT 클라우드·NHN 클라우드 등 국내 클라우드 사업자들의 EU 공공 조달 참여 가능성이 열릴 수 있습니다.
더 넓은 시각에서 보면, CADA는 한국 정부의 디지털 주권 정책에도 중요한 참고 사례가 됩니다. 과학기술정보통신부는 이미 공공 클라우드 전환 정책을 추진하면서 특정 민감 데이터는 국내 사업자(네이버 클라우드·NHN 클라우드·KT)에 한정 허용하는 방향을 논의해 왔습니다. CADA의 4단계 주권 등급 체계는 한국이 자국의 클라우드 보안 등급 체계를 설계하는 데 있어 구체적인 벤치마크가 될 수 있습니다. 국가정보원의 CC인증 기반 클라우드 보안인증(CSAP) 체계를 '공공·민감 데이터 처리 등급'에 따라 더 정밀하게 계층화하는 방향을 EU의 CADA에서 참고할 수 있습니다. 또한 CADA는 미국-EU의 기술 패권 갈등이 단순한 무역 마찰을 넘어 디지털 인프라의 구조적 분리(digital decoupling)로 이어지고 있음을 보여줍니다. 한국은 미국과 안보 동맹 관계를 유지하면서도 EU와 디지털 무역 관계를 심화시키는 전략적 모호성의 압박을 점점 더 받게 될 것입니다. 국내 AI·클라우드 기업들은 미국 클라우드 의존에서 벗어나 자체 인프라 경쟁력을 키우거나 EU 호환 클라우드 전략을 갖추는 것이 중장기적으로 필수 과제가 됐습니다. 출처: Lawfare Media (https://www.lawfaremedia.org/article/the-eu-cloud-and-ai-development-act), EU 집행위 디지털 전략국 (https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act), EU 집행위 기술 주권 패키지 보도자료 (https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1187), CCIA 성명 (https://ccianet.org/news/2026/06/discriminatory-eu-cloud-and-ai-development-act-risks-severe-market-fragmentation/), Hogan Lovells 법률 분석 (https://www.hoganlovells.com/en/publications/the-eus-cloud-and-ai-development-act-cada-towards-a-sovereigntyfocused-framework-for-cloud)