유럽연합 집행위원회(EC)는 유럽 외 지역의 기술 벤더에 대한 의존도를 줄이기 위해 자체 오픈소스 생태계를 강화할 의견을 받고 있다.

EC는 ‘유럽형 개방형 디지털 생태계를 향하여(Towards European open digital ecosystems)’라는 새로운 이니셔티브를 통해 EU 오픈소스 부문의 성장과 지속 가능성을 지원할 계획이다. EC는 오픈소스를 디지털 주권 전략의 핵심 축으로 보고 있다.

이번 전략은 공공과 민간 부문 전반에서의 활용 확대와 경쟁력 제고, 스타트업에 대한 지원 강화를 주요 목표로 한다. 클라우드, AI, 보안, 오픈 하드웨어 등 다양한 분야를 포괄하며, EU의 핵심 산업인 자동차와 제조업을 중심으로 추진될 예정이다.

의견 수렴은 2월 3일까지 진행되며, 개발자와 벤더, 연구자 등 오픈소스 커뮤니티 이해관계자들이 참여해 의견을 제출하도록 초청받았다.

EC는 “디지털 분야에서 비유럽 국가에 대한 의존도가 높다는 중대한 문제에 직면해 있다”라고 언급했다. 이는 유럽 내에서 미국 클라우드 업체가 광범위하게 사용되고 있는 현실을 지칭한 것이다. 또한 EC는 “오픈소스 기술이 디지털 인프라에 대한 통제력을 회복하고 회복탄력성을 강화하는 데 기여할 수 있다”라고 밝혔다.

EC는 오픈소스가 이미 대부분의 소프트웨어 시스템에 깊숙이 내재돼 있다고 설명했다. EC가 공개한 한 추정에 따르면 전체 코드 라인의 70~90%가 오픈소스로 구성돼 있으며, 개방형 AI 모델의 활용도도 증가하고 있다. 실제로 EU는 세계 최대 수준의 오픈소스 개발자 커뮤니티 생태계를 보유하고 있지만, 실제로 창출되는 가치는 주로 유럽 외부의 기술 대기업이 가져가는 경우가 많다.

EC는 “EU 이해관계자들이 공공 조달 시장과 민간 시장 모두에서 지배적 사업자의 높은 진입 장벽과 네트워크 효과로 인해 전반적으로 어려움을 겪고 있다”라고 평가했다.

EU는 그동안 차세대 인터넷과 ‘GenAI4EU’ 이니셔티브 등을 통해 오픈소스 지원에 투자해 왔다. 그러나 EC는 기존 연구·혁신 프로그램만으로는 충분하지 않다며, 오픈소스 커뮤니티를 확장하기 위해서는 지속 가능한 지원과 거버넌스 프레임워크가 필요하다고 보고 있다.

EC는 새로운 계획이 지역 성장을 촉진하기 위한 재정 지원과 정책 수단을 결합하는 형태가 될 것이라고 설명했다. 이와 함께 2020~2023년 오픈소스 전략에 대한 재검토도 진행할 예정이다.

미국 중심의 기술 패권 경쟁과 데이터 주권에 대한 우려 등 지정학적 긴장이 높아지면서 오픈소스 기술은 유럽 내 기관 사이에서 미국 클라우드 업체의 대안으로 점점 더 주목받고 있다. 가트너의 최근 설문조사에 따르면 CIO와 IT 리더의 55%가 지정학적 요인으로 인해 새로운 클라우드 서비스를 선택할 때 오픈소스가 더 중요한 기준이 됐다고 응답했다.
dl-ciokorea@foundryco.com

IT언론사 아스테크니카의 10일 보도에 따르면 이탈리아 통신당국 AGCOM은 논란이 많은 ‘해적판 방지법(Piracy Shield)’에 따라 공공 DNS 서비스 ‘1.1.1.1’을 통해 불법 복제 사이트를 차단하라는 요구를 거부한 클라우드플레어에 1,420만 유로(약 244억 원)의 과징금을 부과했다.

2024년에 도입된 해적판 방지법은 저작권자가 신고한 웹사이트와 IP 주소에 대해 네트워크 사업자와 DNS 서비스 제공자가 접속을 차단하도록 의무화하고 있다. 경우에 따라서는 신고 후 불과 30분 이내에 차단 조치가 이뤄져야 한다.

클라우드플레어는 이러한 요구가 기술적으로 합리적이지 않으며, 전 세계적으로 DNS 성능을 저하시킬 수 있다고 주장했다. 클라우드플레어 최고경영자 매슈 프린스는 X 계정을 통해 이 법을 적법 절차 없는 검열 시도라고 표현하며, 회사는 이번 결정에 대해 항소할 계획이라고 밝혔다.

프린스에 따르면 클라우드플레어는 이탈리아에서 서버를 철수하는 방안도 검토하고 있다. 이와 함께 2026년 밀라노·코르티나 동계올림픽을 포함한 공익 목적의 무상 보안 서비스 제공을 중단하는 방안과, 이탈리아에 대한 투자 중단 가능성도 고려하고 있다.
dl-ciokorea@foundryco.com

2024년 말 기준으로 이미 70개국 이상이 AI 관련 규제를 발표했거나 제정 작업을 진행 중이다. 하지만 ‘책임 있는 사용’에 대한 정의는 국가별로 극명하게 다를 수 있다. 한 시장에서 혁신을 촉진하는 요소가 다른 시장에서는 규제 집행의 대상이 될 수 있다.

그 결과, 글로벌 기업이 국경을 넘어 AI를 확장하는 과정에서 반드시 고려해야 할 법과 규제는 점점 더 복잡해지고 있다.

예를 들어 미국 정부의 현재 AI 전략은 새로운 규제를 도입하기보다, 기존 법률을 준수하는 범위 내에서 경제 전반에 걸친 책임 있는 도입을 강조하고 있다. 사전 규제보다는 표준이 자연스럽게 형성되고, 실제로 확인된 피해에 대응하는 방식을 선호한다. 반면 EU AI 법안은 광범위한 리스크 기반 분류 체계를 도입하고, 벤더, 도입 기업, 사용자에게 엄격한 의무를 부과한다. 캘리포니아에서 규정을 충족한 시스템이 EU의 기준에는 부적합 판정을 받을 수 있으며, 뉴욕에서 학습된 알고리즘이 브뤼셀에서는 ‘고위험’ 시스템으로 분류돼 엄격한 검토 대상이 될 수 있다.

AI 시스템, 데이터, 의사결정이 여러 관할권을 오가는 상황에서 규제 사각지대를 피하려면, 개발 단계부터 배포에 이르기까지 거버넌스 전반에 컴플라이언스를 내재화해야 한다. 국경 간 AI 리스크 관리를 위해 고려해야 할 5가지 핵심 전략을 소개한다.

1. AI가 지나가는 모든 국가의 규제를 추적하라

글로벌 AI 거버넌스는 도구가 어디에서 개발됐는지뿐 아니라, 그 결과물과 데이터가 어디로 이동하는지에 대한 가시성을 확보하는 데서 출발한다. 한 국가에서 구축된 AI 모델은 다른 국가에서 배포, 재학습, 재사용될 수 있는데, 이때 새로운 규제 체계에 편입됐다는 사실을 기업이 인지하지 못하는 경우가 적지 않다.

여러 국가에서 사업을 전개하는 기업은 모든 AI 사용례와 벤더 관계, 데이터셋을 지리적 위치와 업무 기능별로 정리한 AI 인벤토리를 유지해야 한다. 이는 어떤 법과 규제가 적용되는지를 명확히 할 뿐만 아니라, 의존성과 잠재적 리스크를 드러내는 역할도 한다. 예를 들어 미국 소비자 데이터를 학습한 모델이 유럽 고객에 대한 의사결정에 활용되는 상황이 이에 해당한다.

이는 AI를 위한 컴플라이언스 지도를 구축하는 과정으로 볼 수 있다. 기술 스택과 글로벌 사업 범위가 변화함에 따라 함께 진화하는, 살아있는 문서로 봐야 한다.

2. 각 지역별 규제 방식의 핵심 차이를 이해하라

중대한 컴플라이언스 리스크는 AI가 모든 지역에서 동일한 방식으로 규제된다고 가정하는 데서 비롯된다. EU AI 법안은 AI 시스템을 최소, 제한, 고위험, 허용 불가 등 리스크 수준에 따라 분류하고, 채용, 대출, 헬스케어, 공공 서비스와 같은 고위험 영역에 대해서는 상세하고 엄격한 요건을 부과한다. 이를 준수하지 않을 경우 최대 3,500만 유로 또는 전 세계 연간 매출의 7%에 해당하는 과징금이 부과될 수 있다.

반면 미국에는 단일 연방 차원의 AI 규제 프레임워크가 존재하지 않는다. 이로 인해 캘리포니아, 콜로라도, 일리노이 등 일부 주에서 투명성, 소비자 프라이버시 보호, 편향 완화에 초점을 둔 정책을 각각 도입하고 있다. 고용기회균등위원회(EEOC)와 연방거래위원회(FTC) 등 연방 기관 역시 기존 법률을 활용해 AI와 관련된 차별 행위나 기만적 관행을 단속하고 있다.

다국적 기업 입장에서는 하나의 제품에 여러 개의 규제 준수 모델이 필요하다는 의미다. 미국 영업 조직에 도입된 생성형 AI 어시스턴트는 현지 법률상 저위험으로 분류될 수 있지만, 유럽의 고객 접점 환경에서 활용될 경우 ‘고위험’ 시스템으로 간주돼 전혀 다른 수준의 규제 적용을 받을 수 있다.

3. 획일화된 AI 정책을 적용하지 말라

기업의 AI 정책은 공정성, 투명성, 책임성과 같은 보편적 원칙을 제시해야 하지만, 모든 지역에 동일한 통제 방식을 요구해서는 안 된다. 지나치게 경직된 프레임워크는 일부 지역에서는 혁신을 저해하고 다른 지역에서는 핵심적인 컴플라이언스 요구 사항을 놓치는 결과로 이어질 수 있다.

대신 의도와 지역에 따라 확장 가능한 거버넌스 체계를 마련해야 한다. 윤리적 AI에 대한 글로벌 기준을 먼저 정립한 뒤, 여기에 지역별 지침과 실행 규칙을 단계적으로 덧붙이는 방식이다. 이 접근법은 일관성을 유지하면서도 각 지역의 특성을 무시하지 않는다. EU의 까다로운 문서화 요구를 충족할 수 있는 유연성과, 주 단위 법률 변화에 대응할 수 있는 민첩성, 아직 AI 규제가 명확하지 않은 시장에서도 안정적으로 운영할 수 있는 명확성을 동시에 확보할 수 있다.

이 과정에서 가장 엄격한 규제를 기준점으로 삼는 ‘하이 워터마크(high watermark)’ 접근법은 다른 관할권의 규제가 뒤따라 강화될 때 발생할 수 있는 비용 부담과 재작업을 줄이는 데 도움이 될 수 있다.

4. 법무 및 리스크 팀을 초기부터 꾸준히 참여시켜라

AI 관련 규제는 너무 빠르게 변화해 법무팀이 마지막 단계에서 점검하는 식으로는 따라가기 어려워지고 있다. AI 설계 및 배포 초기부터 법률 자문과 리스크 책임자를 참여시키면, 새롭게 등장하는 규제 요구를 사후가 아닌 사전 대응 관점에서 반영할 수 있다.

이제는 기술, 법무, 리스크 팀 간의 협업이 선택이 아니라 필수가 되고 있다. 이런 교차 기능팀은 AI 활용 방식과 데이터 출처, 벤더 의존성을 평가할 때 공통된 언어를 공유해야 한다. 그러나 실제 현장에서는 ‘AI’, ‘학습’, ‘배포’에 대한 정의가 부서마다 다르게 사용되는 경우가 많다. 이런 인식 차이는 거버넌스 사각지대를 초래할 수 있다.

모델 개발 단계부터 법률적 관점을 통합하면, 규제 당국의 질의가 본격화되기 훨씬 이전에 문서화, 설명 가능성, 서드파티 리스크에 대해 보다 합리적이고 선제적인 판단을 내릴 수 있다.

5. AI 거버넌스를 고정된 규칙이 아닌 ‘진화하는 체계’로 운영하라

AI 규제 환경은 당분간은 계속해서 변화할 전망이다. EU AI 법안이 구체화되는 동시에 미국 각 주가 자체적인 규칙을 마련하고 있고, 캐나다와 일본, 브라질 등도 서로 다른 규제 프레임워크를 도입하고 있다.

앞선 기업은 AI 거버넌스를 일회성 프로젝트로 보지 않는다. 대신 이를 지속적으로 확장되고 조정되는 생태계로 인식한다. 모니터링과 테스트, 대응은 연례 점검이 아니라 일상적인 운영의 일부가 되고, 변화에 대한 적응 속도 역시 기술 발전 속도에 맞춰 유지된다. 컴플라이언스, 기술, 비즈니스 조직이 정보를 공유하며 통제 체계가 기술과 함께 진화하도록 만드는 것이 핵심이다.

AI 규제 준수의 핵심

AI의 영향력은 전 세계에 미치지만, 그로 인한 리스크는 지역 중심적으로 나타난다. 각국 정부는 제대로 관리하지 않으면 빠르게 리스크가 확대되는 변수를 새롭게 추가하고 있다. 규제 준수를 고정된 요구 사항으로 취급하는 것은 리스크를 일회성 감사로 바라보는 것과 다르지 않으며, 끊임없이 움직이는 요소를 놓치는 것이기도 하다.

앞으로의 AI 규제 환경에서 유리한 위치를 차지할 기업은 AI 거버넌스를 ‘계속 진행되는 리스크 관리’로 인식하는 곳이다. 초기 단계에서 노출 요인을 식별하고, 명확한 통제를 통해 이를 완화하며, 설계와 배포 전 과정에 회복탄력성을 내재화하는 전략이 그 핵심이다.
dl-ciokorea@foundryco.com

By the end of 2024, over 70 countries had already published or were drafting AI-specific regulations — and their definitions of “responsible use” can vary dramatically. What’s encouraged innovation in one market may invite enforcement in another.

The result is a growing patchwork of laws that global organizations must navigate as they scale AI across borders.

For example, the current US government’s AI strategy emphasizes the responsible adoption of AI across the economy, focusing on compliance with existing laws rather than creating new regulations; there is a preference for the organic development of standards and response to demonstrated harms rather than preemptive regulation. Meanwhile, the EU AI Act introduces sweeping, risk-based classifications and imposes strict obligations for providers, deployers and users. A system compliant in California could fail the EU’s transparency tests; an algorithm trained in New York might trigger “high-risk” scrutiny in Brussels.

As AI systems, data and decisions travel across jurisdictions, compliance must be built into governance — from development to deployment — to avoid regulatory blind spots that cross continents.

Here are five key strategies for cross-jurisdictional AI risk management.

1. Map your regulatory footprint

Global AI governance begins with visibility not just into where your tools are developed but also where their outputs and data flow. An AI model built in one country may be deployed, retrained or reused in another, without anyone realizing it has entered a new regulatory regime.

Organizations that operate across regions should maintain an AI inventory that captures every use case, vendor relationship and dataset, tagged by geography and business function. This exercise not only clarifies which laws apply but also exposes dependencies and risks. For example, when a model trained on U.S. consumer data informs decisions about European customers.

Think of it as building a compliance map for AI, a living document that evolves as your technology stack and global footprint change.

2. Understand the divides that matter most

The most significant compliance risks stem from assuming AI is regulated the same way everywhere. The EU AI Act classifies systems by risk level — minimal, limited, high or unacceptable — and imposes detailed requirements for “high-risk” applications, such as hiring, lending, healthcare and public services. Failing to comply can result in fines of up to €35 million or 7% of global annual revenue.

In contrast, the US does not have a single federal framework in place, so some individual states, such as California, Colorado and Illinois, have opted to implement policies focused on transparency, consumer privacy and bias mitigation. Federal agencies, including the Equal Employment Opportunity Commission (EEOC) and the Federal Trade Commission (FTC), are also using existing laws to police AI-related discrimination and deceptive practices.

For multinational organizations, this means one product may need multiple compliance models. A generative AI assistant rolled out to a US sales team might be low risk under local law but classified as “high-risk” when used in Europe’s customer-facing environment.

3. Ditch the one-size-fits-all policy

AI policies should establish universal principles — fairness, transparency, accountability — but not identical controls. Overly rigid frameworks can hinder innovation in some regions while still missing key compliance requirements in others.

Instead, design governance that scales by intent and geography. Set global standards for ethical AI, then layer in regional guidance and implementation rules. This approach creates consistency without ignoring nuance: the flexibility to meet EU documentation demands, the agility to adapt to state laws and the clarity to operate confidently in markets that haven’t yet defined their own AI regulations.

A “high watermark” approach — one that meets the strictest applicable standard — can help avoid costly rework when other jurisdictions catch up.

4. Engage legal and risk teams early and often

AI compliance is moving too fast for legal to be a final checkpoint. Embedding counsel and risk leaders at the start of AI design and deployment helps ensure emerging requirements are anticipated, not retrofitted.

Cross-functional collaboration is now essential: Technology, legal and risk teams must share a common language for assessing AI use, data sources and vendor dependencies. Too often, definitions of “AI,” “training,” or “deployment” differ between departments — a misalignment that creates governance blind spots.

By integrating legal perspectives into model development, organizations can make informed decisions about documentation, explainability and third-party exposure long before regulators start asking questions.

5. Treat AI governance as a living system

AI regulation won’t become stagnant anytime soon. As the EU AI Act takes shape, US states draft their own rules, and countries like Canada, Japan and Brazil introduce competing frameworks, compliance remains a moving target.

The organizations that stay ahead don’t treat governance as a one-time project — they treat it as an evolving ecosystem. Monitoring, testing and adaptation become part of everyday operations, not annual reviews. Cross-functional teams share intelligence between compliance, technology and business units so that controls evolve as quickly as the technology itself.

The bottom line

AI’s reach is global, but its risks are intensely local. Each jurisdiction introduces new variables that can compound quickly if left unmanaged. Treating compliance as a static requirement is like treating risk as a one-time audit: It misses the moving parts.

The organizations best positioned for what’s next are those that see AI governance as risk management in motion — a strategy that identifies exposures early, mitigates them through clear controls and builds resilience into every stage of design and deployment.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?