유럽에서 "미국 소프트웨어를 줄이고 주권 기술로 가자"는 움직임이 정책, 조달, 현장 전환으로 동시에 나타나고 있다. 프랑스는 공공 부문에서 Teams·Zoom 대체를 밀고 있고, 프랑스 보건 데이터 허브는 Azure에서 Scaleway로 옮기는 방향을 잡았다. 유럽연합 집행위원회도 4개 사업자에 약 1억8000만유로 규모의 '소버린 클라우드' 계약을 나눠 발주했다.123
그런데 이 흐름을 "유럽산으로 갈아타는 애국 구매" 정도로 보면 핵심을 놓친다. 지금 유럽이 묻는 질문은 더 구체적이다. 데이터가 어디 있느냐보다, 누가 법적으로 접근을 강제할 수 있는가. 소프트웨어가 오픈소스냐보다, 고장 났을 때 누가 실제로 고칠 수 있는가. 주권 기술은 구호가 아니라 디지털 의존성을 어디까지 외부에 맡겨도 되는지 가르는 리스크 관리 프레임워크에 가깝다.
주권은 하나가 아니라 네 겹이다
유럽의 최근 정책 문서를 보면, '주권'을 단순히 데이터 위치로 보지 않으려는 방향이 분명하다. 집행위의 클라우드 조달은 법적, 운영적, 공급망, 기술 개방성 등을 합쳐 평가했고, 최소 기준으로는 "추가 기술 조치 없이 EU 법 체계 안에서 데이터 주권이 보장되는가"를 봤다. 상위 단계는 아예 비EU 공급망 충격에 대한 회복력까지 요구했다.2
실무적으로는 네 층으로 나눠 보는 게 편하다. 하드웨어와 네트워크, 클라우드·런타임, 애플리케이션, 그리고 유지보수·거버넌스다. 같은 "유럽 서비스"라도 이 네 층의 통제권이 다 다를 수 있다.
예를 들어 유럽 회사가 운영하더라도 핵심 기술이 비유럽 사업자에 묶여 있으면 법적·운영적 독립성은 제한된다. 이번 집행위 조달에서도 한 사업자는 Google Cloud 기술 기반 합작 구조로 참여했고, 최소 소버린티 요건은 충족했지만 다른 사업자들보다 낮은 단계로 평가됐다.2 반대로 유럽 기업이 아니어도, 특정 워크로드에서 계약·키 관리·운영권·이식성이 잘 설계돼 있으면 위험을 상당히 낮출 수 있다.
즉, "유럽 기업인가"는 출발점일 뿐 답이 아니다. 더 중요한 건 통제권이 고장, 분쟁, 제재, 법 변화 상황에서도 남아 있느냐다.
진짜 시험은 평상시가 아니라 실패 시나리오다
왜 이 논의가 지금 커졌는지는 배경이 분명하다. 2018년 미국 CLOUD Act는 미국 기업이 해외 저장 데이터에도 법 집행 요청을 받을 수 있게 만들었고, 유럽에서는 "유럽 데이터센터에 있으면 끝"이라는 안심을 깨뜨렸다.1 여기에 지정학 리스크가 얹혔다. 유럽 의회 보고서는 EU가 디지털 제품·서비스·인프라·IP의 80% 이상을 비EU 국가에 의존한다고 짚었고, 클라우드 시장에서도 AWS·마이크로소프트·구글 3사가 유럽 시장 70%를 차지한다고 봤다.4
이때 필요한 질문은 마케팅 문구가 아니라 스트레스 테스트다. 공급자가 떠나면? 수출통제나 제재가 생기면? 원격 운영 권한이 외부 본사에 있으면? 보안 사고 때 패치를 누가 언제 배포하나? 다른 환경으로 옮기려면 비용과 시간이 얼마나 드나?
이 기준으로 보면 "유럽산" 딱지만으로는 부족하고, "글로벌 hyperscaler니까 안전하다"도 충분치 않다. Gartner 조사에 따르면 서유럽 CIO의 61%가 지정학적 이유로 지역 클라우드 의존을 늘릴 계획이라고 답했다.4 하지만 이 역시 전면 교체가 아니라 워크로드별 재설계에 가깝다. 회계 SaaS와 국방 통신 시스템은 같은 기준으로 판단할 수 없기 때문이다.
오픈소스는 만능 해답이 아니고, 폐쇄형도 무조건 탈락은 아니다
유럽이 리눅스, 리브레오피스, 넥스트클라우드 같은 대안을 확대하는 건 사실이다.15 다만 여기에도 흔한 오해가 있다. 오픈소스면 자동으로 주권적이라는 생각이다.
그건 절반만 맞다. 코드를 볼 수 있어도 핵심 유지보수자가 유럽 밖에 있고, 보안 대응이 소수 자원봉사자에게 달려 있고, 배포 인프라와 프로젝트 거버넌스가 외부에 있으면 여전히 전략적 의존 상태다. 그래서 EU 차원에서 논의되는 Sovereign Tech Fund는 새 앱을 만드는 돈보다, 기반 오픈소스의 유지보수와 보안에 장기 자금을 대자는 발상에 가깝다. 유럽 경제 전반에 널리 쓰이는 오픈소스가 만성적 저투자 상태라는 문제의식 때문이다.67
반대로 독점형 소프트웨어도 완전히 배제할 필요는 없다. 종료 조항, 데이터 내보내기, 자가 호스팅 가능성, 키 관리 독립성, 대체 공급자 생태계가 확보돼 있다면 허용 가능한 의존이 될 수 있다. 핵심은 라이선스 철학보다 실패 시 탈출 경로다.
월요일 아침에 바로 써먹는 '소버린 테크' 체크리스트
공공기관, CIO, 조달 담당자, 스타트업이 공급자를 볼 때 최소한 이것만은 물어야 한다.
데이터가 유럽에 있는가보다 먼저, 누가 법적으로 접근을 강제할 수 있는가.
자가 호스팅 또는 다른 클라우드로 이전이 가능한가.
업데이트 중단 시 누가 유지보수를 이어받을 수 있는가.
암호키, IAM, 운영 콘솔의 최종 통제권이 누구에게 있는가.
핵심 의존 오픈소스의 유지보수 체계와 재정 상태가 건전한가.
계약 해지 후 데이터 반출, 포맷 호환, 서비스 연속성의 증거가 있는가.
"EU operated" 같은 표현 말고, 실제 감사·인증·조달 기준으로 검증됐는가.
유럽의 소버린 테크는 미국 기술을 전부 몰아내자는 프로젝트가 아니다. 더 정확히 말하면, 어떤 디지털 의존은 값싸고 효율적이지만, 어떤 의존은 위기 순간 통제권 상실로 돌아온다는 사실을 제도와 조달 언어로 번역하는 작업이다.
그래서 이 이슈는 정책 뉴스로만 볼 일이 아니다. 공공 조달 담당자만이 아니라, 클라우드에 묶인 SaaS를 만드는 스타트업, 규제 산업의 CIO, 오픈소스 기반 제품을 파는 벤더 모두가 봐야 한다. 앞으로 중요한 건 "유럽산인가"보다, 장애·분쟁·법 변화가 와도 누가 시스템을 계속 굴릴 수 있는가다.
참고
1What's behind Europe's efforts to ditch US software in favor of sovereign tech
2Commission advances cloud sovereignty through strategic procurement
3France dumps Zoom and Teams as Europe seeks digital autonomy from the US
4Europe votes to tackle deep dependence on US tech in sovereignty drive
5Europe unites to build sovereign cloud and AI infrastructure to stop reliance on US
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.