프랑스은행 "금융권 클라우드·AI 의존, 데이터 통제력 확보해야"

프랑스은행이 금융기관에 클라우드·AI 공급업체 의존도를 점검하고 핵심 데이터와 시스템에 대한 통제력을 확보하라고 촉구했다. 기술 도입과 보안을 함께 추진하되 특정 업체에 운영을 맡기는 데 따른 위험을 줄여야 한다는 취지다.

드니 보(Denis Beau) 프랑스은행 제1부총재 겸 건전성감독·정리청(ACPR) 위임의장은 10월 15일 파리에서 열린 Association Europe-Finances-Régulations 세미나 연설에서 “데이터와 인프라, 이를 운영하는 역량을 통제하는 것”이 디지털 주권의 원칙이라고 말했다. 이 원칙은 프랑스은행의 2028년 전략 로드맵에도 반영됐다.

보는 대형 클라우드·AI 사업자가 높은 성능과 보안 역량을 제공한다는 점을 인정했다. 그러나 소수 공급업체에 금융권 업무가 몰리면 한 곳의 장애가 여러 기관으로 번질 수 있다고 지적했다. 핵심 업무를 외부에 맡길수록 기관 내부의 운영·위험평가 역량이 약해지고, 공급업체의 서비스 품질을 스스로 판단하기도 어려워진다는 설명이다.

보는 특정 업체의 시스템에 깊이 묶이는 '벤더 록인(특정 업체 서비스에 의존해 다른 서비스로 옮기기 어려운 상태)'도 위험으로 꼽았다. 의존도가 커진 뒤 이용료가 오르거나 원치 않는 기능을 묶음으로 구매해야 할 수 있다는 것이다. AI는 취약점 탐지와 보안 패치 작성에 도움을 줄 수 있지만, 시스템 접근 권한을 넓게 부여하면 침해와 정보 유출 위험이 생긴다고 봤다.

보는 공급망 위험의 사례로 2024년 크라우드스트라이크($CRWD) 업데이트 사고를 들었다. 마이크로소프트($MSFT)는 당시 공식 블로그에서 해당 업데이트가 윈도 기기 850만대에 영향을 미친 것으로 추산했다.

보가 인용한 기술 의존 비용에는 집계상의 조건이 있다. 연설문은 CIGREF 연구를 인용해 연간 2640억 유로를 언급했는데, CIGREF가 의뢰해 Asterès가 작성한 2025년 원보고서에서 이 금액은 EU 기업의 연간 클라우드·소프트웨어 구매가 미국 경제에 기여하는 규모의 추정치다. 공식 통계가 부족해 프랑스 대기업 최고정보책임자(CIO) 6명의 면담 결과를 EU 전체로 확장한 수치여서, 실제 지급액을 집계한 값은 아니다.

보가 제시한 대응책은 △중요 IT 자산과 공급업체 의존성 목록화 △멀티클라우드·하이브리드 클라우드 도입 △데이터와 애플리케이션을 다른 환경으로 옮기는 이탈 방안 △오픈소스 활용이다. 금융권의 외부 기술업체 위험을 다루는 EU 디지털운영복원력법(DORA)은 2025년 1월 17일부터 적용되고 있으며, 중요 정보통신기술(ICT) 제3자 제공업체에 대한 EU 차원의 감독 체계를 두고 있다.

EU 집행위원회는 6월 클라우드·AI 개발법(CADA)을 제안했다. 제안서에는 클라우드·AI 서비스의 주권 수준을 평가하는 EU 공통 체계가 담겼다. 다만 아직 입법 제안 단계로, 유럽의회와 EU 이사회의 최종 채택 절차가 남아 있다.

CADA를 둘러싼 업계 의견은 갈린다. 유럽 클라우드 사업자 단체 CISPE는 입장문에서 유럽 업체 조달 확대와 서비스 간 상호운용성 강화, AI·클라우드 묶음 판매 방지를 요구했다. CCIA 유럽 등이 참여한 국제 업계 단체는 공동성명에서 본사나 소유 구조를 기준으로 시장 접근을 제한하면 고객 선택지가 줄고 비용이 오를 수 있다고 우려했다. 구글 클라우드도 신뢰할 수 있는 비EU 업체의 참여를 허용해야 한다고 주장했다. 이들의 입장은 보의 연설이 아니라 CADA 제안에 관한 것이다.

프랑스은행은 미스트랄 AI(Mistral AI)를 주권형 클라우드에서 제공받는 방안과 오픈소스 기반 사설 클라우드 가상화 프로젝트를 추진하고 있다. 이번 연설은 가상자산이나 블록체인 정책을 직접 다루지 않았다.