소버린 AI란 무엇인가요?

소버린 AI는 기업이 AI 업무에 사용되는 인프라, 데이터, 모델, 플랫폼의 의존성을 파악하고 필요한 통제 수준을 스스로 결정하는 전략입니다. 모든 기술을 직접 소유하는 것이 아니라, 데이터 주권과 모델 선택권을 확보하고 필요할 때 다른 기술이나 환경으로 전환할 수 있는 상태를 의미합니다.

소버린 AI와 AI 거버넌스는 같은 개념인가요?

아닙니다. 소버린 AI가 AI 기술과 공급자에 대한 통제권·선택권·전환권을 설계하는 개념이라면, AI 거버넌스는 접근 권한, 승인, 감사, 책임, 중단 기준 등을 관리하는 운영 체계입니다. 거버넌스는 특정 통제 수준에만 적용되는 것이 아니라 모든 AI 업무와 기술 계층을 가로질러 작동합니다.

선택적 주권(Selective Sovereignty)이란 무엇인가요?

선택적 주권은 AI Full Stack의 모든 계층을 같은 강도로 통제하는 대신, 업무의 성격에 따라 국산과 글로벌, 퍼블릭과 프라이빗, 상용과 오픈소스를 조합하는 기업의 AI 포트폴리오 전략입니다. 핵심·규제 업무는 Own·Operate 중심으로, 전략적 차별화 업무는 Operate 중심으로, 범용 생산성 업무와 실험 업무는 Contract 중심으로 통제합니다. 통제를 포기하는 타협이 아니라, 통제가 반드시 필요한 영역에 투자와 역량을 집중하는 전략입니다.

AI 의존성 지도(Dependency Map)란 무엇이고 왜 필요한가요?

AI 의존성 지도는 핵심 AI 업무가 인프라·플랫폼·솔루션 계층별로 어떤 기술과 공급자에 의존하고 있는지 한 장에 정리한 표입니다. 각 계층이 현재 Own·Operate·Contract 중 어디에 있는지, 그것이 의도된 결정이었는지 확인하고 목표 통제 수준을 정하는 기준이 됩니다. 국산 모델을 쓰더라도 서빙 환경, 벡터 데이터베이스, 에이전트 실행 규격이 서로 다른 공급자에 묶여 있다는 사실은 대개 의존성 지도를 그릴 때 처음 드러납니다.

AI 출구 전략(Exit Strategy)은 왜 필요하고 어떻게 검증하나요?

출구 전략은 현재 사용하는 모델·클라우드·플랫폼을 대체할 수 있는 대안이 실제로 존재하는지 확인하고, 데이터 이동과 모델 전환을 사전에 리허설하는 것입니다. 한 번도 연습하지 않은 전환은 계약서 위에만 존재하는 권리이기 때문입니다. EU 디지털 운영 복원력법(DORA)은 금융회사에 문서화되고 테스트된 출구 전략을 요구하고, EU 데이터법(Data Act)은 2027년 1월부터 클라우드 전환 수수료를 폐지하는 등 규제도 같은 방향으로 움직이고 있습니다.

Multi AI 시대의 소버린 AI 전략 무엇을 소유하고 무엇을 맡길 것인가? 선택적 AI 주권 실행 전략 | 인사이트리포트

AI 주권, 전부 직접 소유해야 할까요? 꼭 쥐어야 할 것과 맡겨도 되는 것을 가르고, 필요할 때 갈아탈 수 있게 설계하는 '선택적 주권' 전략을 살펴봅니다.

Executive Summary

기업의 AI 주권은 인프라·플랫폼·솔루션 계층별 통제 수준을 Own(소유)·Operate(운영)·Contract(계약)로 나누어 설계할 때 확보됩니다. 같은 회사 안에서도 업무에 따라 통제 수준은 달라야 합니다.
AI 통제 수준은 기술만으로 정해지지 않습니다. 금융·공공·제조·유통 등 업종의 데이터와 규제가 기본값을 정하고, 컨설팅·구축·운영의 End-to-End 실행력이 이를 실제 역량으로 만듭니다.
모든 것을 직접 소유하는 완전한 자립 보다 업무에 따라 통제 강도를 달리하는 선택적 주권(Selective Sovereignty)이 현실적입니다. 핵심·규제 업무는 Own·Operate로, 범용 업무는 Contract로 통제하고, 사업 전략에 따라 주기적으로 재검토합니다.
AI 주권의 첫걸음은 새 모델 도입이 아니라 의존성 지도(Dependency Map) 작성과 출구 전략(Exit Strategy) 테스트입니다. 계약서에 전환 조항이 있어도 데이터와 플랫폼, 에이전트가 서로 얽혀 있으면 옮길 수 없습니다.

지난 편에서 기업의 소버린 AI는 국산 기술을 쓰는 상태가 아니라, AI 업무가 의존하는 것들을 파악하고 필요할 때 다른 기술로 옮길 수 있는 통제권과 전환권을 확보한 상태라는 점을 살펴봤습니다. 또한 그 통제 수준은 기술 계층만으로 정해지지 않고 업종 전문성과 End-to-End 실행력이 함께 정한다는 점도 확인했습니다. 그렇다면 우리 회사는 세 계층을 각각 어느 수준으로 통제해야 할까요? 모든 계층을 직접 소유하는 것은 대부분의 기업에게 가능하지도, 바람직하지도 않습니다. 이번 편에서는 기술·업종·실행의 세 계층에서 통제 수준을 정하는 기준을 살펴보고, 기업이 필요한 것만 소유하고 나머지는 바꿀 수 있게 설계하는 '선택적 주권'의 방향을 살펴보겠습니다.

Technology Full-Stack: 기술 계층에서의 통제 수준 설계

먼저 Technology Full-Stack 관점에서 살펴보겠습니다. 각 계층에는 통제해야 할 대상과 스스로에게 던져야 할 판단 질문이 있습니다.

계층, 주요 통제 대상, 판단 질문 정보가 담겨있는 표
계층	주요 통제 대상	판단 질문
AI 솔루션	협업·업무 자동화 솔루션, ERP·SCM·CRM 등 엔터프라이즈 애플리케이션과 AI의 연계	업무 시스템과의 연계가 특정 벤더 규격에 묶여 있지 않고, 애플리케이션을 바꿔도 업무 데이터와 프로세스를 유지할 수 있는가
AI 플랫폼	파운데이션 모델 연계·전환, 학습·검색(RAG) 데이터, 에이전트 개발·배포·관리, 평가·라우팅 체계	특정 모델·플랫폼 규격에 종속되지 않고 같은 평가 기준으로 모델을 전환·확장할 수 있는가
AI 인프라	데이터센터, GPU 등 가속기, 퍼블릭·프라이빗 클라우드, 네트워크·스토리지	필요한 자원을 안정적으로 확보하고, 데이터 소재지와 운영 주체를 지정하며, 대체할 수 있는가

[표 1] Technology Full-Stack의 계층별 통제 대상과 판단 질문 (출처: 작성자 제작)

다음은 각 계층에 적용할 통제 수준입니다. 통제는 All or Nothing이 아니라 업무에 따라 강도를 조정하는 개념입니다. 이를 구글 클라우드는 소프트웨어 주권의 핵심을 '특정 공급자에 락인되지 않고 워크로드를 이동할 수 있는 능력'으로 정의하고 있으며^[3], 마이크로소프트는 통제 강도가 다른 소버린 클라우드 배치 모델을 위험 수준에 따라 조합하도록 권고하며^[4], 앞선 인사이트 리포트에서도 소버린 AI를 '완전 자립(自强)'과 '개방 협력(協力)' 사이의 전략적 선택으로 언급한 바 있습니다^[2]. 기업 입장에서 이러한 통제 수준은 다음 세 가지 방식으로 나누어 검토해 볼 수 있습니다.

Contract(계약으로 통제): 외부 기술을 활용하되 계약 조건, 데이터 이동성, 표준 API, 감사권과 종료 조건(Exit Clause)으로 통제력을 확보합니다. 기술은 공급자의 것이지만 의존의 조건은 기업이 정합니다.
Operate(환경으로 통제): 기술의 소유 여부와 관계없이, 기업의 정책이 적용되는 전용·통제 환경에서 직접 운영합니다. 데이터의 소재지와 운영 주체를 기업이 결정합니다.
Own(소유로 통제): 핵심 기술·데이터·인프라를 직접 보유하고 내부 역량으로 통제합니다. 공급자의 정책 변화에서 독립됩니다.

어느 계층에 어느 수준을 적용할지는 위험 기반(Risk-based)으로 판단합니다. 업무 중요도, 데이터 민감도, 중단 시 영향, 전환 비용, 성능과 경제성, 기술의 변화 속도를 함께 따져야 합니다. 변화가 빠른 계층일수록 소유의 부담이 커지고, 민감도가 높은 계층일수록 계약만으로는 부족해집니다.

이 기준이 실제로 어떻게 작동하는지, 앞서 살펴본 제조 기업으로 돌아가 보겠습니다. 이 기업이 설비 데이터 기반의 품질 예측 AI와 임직원용 문서 작성 지원 AI를 함께 운영한다고 가정합니다. 품질 예측 AI는 공정 노하우가 담긴 데이터가 학습에 쓰이고 중단 시 생산에 직접 영향을 줍니다. 그래서 플랫폼 계층의 학습 데이터와 모델은 Own으로 보유하고, 서빙·에이전트 실행 환경과 인프라는 전용 환경에서 Operate로 운영하며, MES·품질관리 시스템 연계도 같은 환경 안에 둡니다. 반면 문서 작성 지원은 범용 업무입니다. 글로벌 모델과 퍼블릭 클라우드, 협업 SaaS를 Contract로 활용하되, 사내 데이터의 학습 미사용, 로그 접근권, 다른 모델로 바꿀 수 있는 표준 API, 데이터 반출·보존 조건을 계약에 확보하면 충분합니다.

두 업무 모두에 접근 권한, 승인, 감사, 중단 기준 같은 거버넌스는 동일하게 적용됩니다. 달라지는 것은 거버넌스가 아니라 계층별 통제 수준입니다. 같은 회사 안에서도 업무에 따라 세 계층의 통제 수준이 달라지는 것, 그것이 이 설계가 의도하는 바입니다. 목적은 모든 계층을 Own으로 채우는 데 있지 않고, 암묵적으로 이루어지던 의존성 결정을 계층별로 드러내 명시적인 경영 의사결정으로 끌어올리는 데 있습니다. 어느 업무 유형에 어느 강도를 적용할지는 뒤에서 다루겠습니다.

다만 기술 계층의 통제 수준을 정하는 것은 시작일 뿐입니다. 각 계층에 어떤 수준이 적합한지는 업종의 데이터와 규제가 정하고, 정한 수준을 실제 역량으로 만드는 것은 실행입니다.

Industry Expertise: 업종이 통제 수준의 기본값을 정한다

세 기술 계층의 통제 수준을 정하는 틀을 갖췄다고 해도, 일은 아직 절반만 끝난 셈입니다. 계층별로 좋은 기술을 확보하는 것과 그 기술들이 실제 업무를 바꾸는 하나의 서비스로 작동하는 것은 전혀 다른 문제이기 때문입니다. 가트너는 비용 상승, 불분명한 비즈니스 가치, 불충분한 리스크 통제를 이유로 2027년 말까지 에이전틱 AI 프로젝트의 40% 이상이 중단될 것으로 전망했습니다^[1]. 프로젝트가 좌초하는 이유가 기술보다 기술을 업무 가치로 연결하는 데 있다는 뜻입니다. 그래서 Technology Full-Stack에는 업종 전문성과 End-to-End 실행력이라는 두 차원이 더해져야 합니다.

먼저 업종 전문성입니다. 업종마다 다루는 데이터, 지켜야 할 기준, 의사결정이 일어나는 지점이 다르므로 같은 AI 기술도 다르게 적용되어야 합니다. 앞의 통제 설계에 대입하면 업종은 두 가지를 정합니다. 규제는 거버넌스의 요건을, 데이터의 성격은 계층별 통제 수준의 기본값을 정합니다.

업종, 필요한 AI, 거버넌스 요건, 통제 수준의 기본값 정보가 담겨있는 표
업종	필요한 AI	거버넌스 요건	통제 수준의 기본값
금융	감독 규정·내부통제를 충족하고 판단 근거가 추적되는 AI	추적성, 설명 가능성	고객·거래 데이터 격리와 외부 학습 차단 → 플랫폼·인프라는 Operate 이상
공공	근거 법령·절차에 맞고 개인정보를 보호하는 AI	절차 준수, 개인정보 보호	폐쇄망 요건 → 인프라의 소재지·운영 주체는 Operate 또는 Own
제조	이기종 현장 데이터를 실시간으로 읽고 라인을 멈추지 않는 AI	무중단 적용 기준	공정 데이터가 곧 노하우 → 플랫폼의 데이터·모델은 Own에 가깝게
유통·서비스	급변하는 고객 접점을 속도와 일관성으로 감당하는 AI	고객 데이터 반출 조건	확장성·속도 우선 → 범용 모델을 Contract로 활용할 여지가 가장 큼

[표 2] 업종별 거버넌스 요건과 통제 수준의 기본값 (출처: 작성자 제작)

같은 Own·Operate·Contract도 업종에 따라 채워지는 내용이 다릅니다. 업종의 업무를 아는 상태에서 출발해야 통제 설계가 현실적인 값을 갖고, AI가 PoC에 머무르지 않고 현업까지 이어집니다.

End-to-End Delivery: 설계한 통제 수준은 실행에서 검증된다

다음은 실행력입니다. 기술 계층별 통제 수준을 정하고 업종에 맞는 값을 채웠다고 해도, 그것이 실제로 행사할 수 있는 권리가 되려면 실행이 필요합니다. 실행은 컨설팅, 개발·구축, 운영의 세 영역에서 이루어지며, 각 영역에서 필요한 것이 다릅니다.

컨설팅 영역에서 실행력은 의존성을 드러내고 통제 수준을 결정하는 능력입니다. 기존 프로세스에 AI 기능만 추가해서는 혁신 효과가 제한적입니다. AI가 맡을 일과 사람이 판단할 일을 나누고, 승인·예외 처리·책임 주체·성과 지표를 다시 설계해야 합니다. 이 재설계가 있어야 업무가 멈췄을 때의 영향을 판단할 수 있고, 그 판단이 계층별 목표 통제 수준의 근거가 됩니다. 동시에 그 업무가 인프라부터 솔루션까지 어떤 기술과 공급자에 의존하는지 계층별로 기록하고, AI 도입으로 달라지는 직무의 역할과 책임을 정의하는 일도 전략 수립의 일부여야 합니다.

개발·구축 영역에서 실행력은 정한 통제 수준을 구조로 구현하는 능력입니다. 흩어진 데이터를 AI가 안전하게 활용할 수 있도록 정비하되, 특정 플랫폼의 형식과 저장소에 묶이지 않게 설계해야 합니다. 데이터가 묶여 있으면 모델과 인프라를 바꿀 권리가 있어도 실제로는 옮길 수 없습니다. 에이전트가 늘어나면 비용과 성능에 따라 모델을 배분하는 라우팅, 모델이 바뀌어도 같은 기준으로 품질을 확인하는 평가, 에이전트 간 충돌을 조정하는 오케스트레이션이 구축에 들어가야 합니다. 특히 모델에 독립적인 평가와 라우팅은 플랫폼 계층의 전환권을 실체로 만드는 장치입니다. 보안은 사후 점검이 아니라 데이터·모델·도구·사용자 권한을 안전하게 연결하는 설계 원칙으로 구축에 앉혀야 하고, 업무 시스템 연계는 표준 API로 해야 솔루션 계층의 전환권이 유지됩니다.

운영 영역에서 실행력은 통제 수준을 유지하고 전환권을 검증하는 능력입니다. 사용량·비용·지연 시간·실행 결과를 추적하는 관측 체계는 성능·비용·품질을 개선하는 근거이자 어느 모델과 인프라를 언제 바꿀지 판단하는 근거입니다. 정책·승인·감사·중단 기준 같은 거버넌스는 어느 통제 수준을 택했든 운영에서 집행되지 않으면 문서에 그칩니다. 전환권도 마찬가지입니다. 데이터 이동과 모델 전환을 실제로 리허설해 보지 않은 전환은 계약서 위에만 존재하는 권리입니다. 마지막은 사람입니다. 교육과 지원, 성과관리로 임직원이 AI를 자기 일로 받아들여야 AX가 확산되고, Own과 Operate는 내부에 그것을 감당할 운영 인력이 있을 때만 선택지가 됩니다.

영역 실행 과제 필요한 사항 정보가 담겨있는 표
영역	실행 과제	필요한 사항
컨설팅	의존성을 드러내고 통제 수준을 결정한다	프로세스 재설계, 계층별 의존성 지도 진단, 역할·책임 정의
개발·구축	정한 통제 수준을 구조로 구현한다	이동 가능한 데이터, 모델 독립적 평가·라우팅·오케스트레이션, 설계 원칙으로서의 보안, 표준 API 연계
운영	통제 수준을 유지하고 전환권을 검증한다	관측 체계, 거버넌스 집행, 전환 리허설, 교육·정착과 운영 인력

[표 3] End-to-End Delivery 영역별 실행 과제 (출처: 작성자 제작)

기업에 필요한 것은 각 계층에서 최고의 기술을 수집하는 능력이 아니라, 서로 다른 기술을 하나의 업무 구조로 연결하고 일관된 기준으로 운영하며, 필요할 때 실제로 바꿀 수 있는 능력입니다. 기술 풀스택이 통제 수준의 틀을 주고, 업종 전문성이 현실적인 값을 채우고, End-to-End 실행력이 그 값을 검증된 역량으로 만들 때 다차원 AI 풀스택이 완성됩니다. 그렇다면 남는 질문은 하나입니다. 기업은 이 스택의 모든 계층을 직접 가져야 할까요?

완전한 자립보다 선택 가능한 구조가 중요하다

모든 계층의 자체 구축은 글로벌 빅테크 수준의 자본과 인재를 전제로 하고, 프런티어급 성능이 필요한 업무에서는 글로벌 모델을 활용하는 편이 더 합리적입니다. 소버린 상품 역시 특정 생태계에 대한 새로운 락인을 만들 수 있으며, 지나치게 폐쇄적인 환경은 새로운 기술의 도입 속도를 늦춰 그 자체로 혁신의 병목이 됩니다. 완전한 자립은 대부분의 기업에게 가능하지도, 바람직하지도 않습니다.

현실적인 답은 선택적 주권(Selective Sovereignty)입니다. 국산과 글로벌, 퍼블릭과 프라이빗, 상용과 오픈소스를 업무의 성격에 따라 조합하는 포트폴리오 전략입니다. 기업 현장은 이미 이 방향으로 움직이고 있습니다. a16z가 기업 CIO 100명에게 여러 공급자의 모델을 함께 쓰는 이유를 물었을 때 가장 큰 답은 리스크 분산이 아니라 용도별 모델 차별화였습니다^[5]. 조합은 이미 현실입니다. 남은 질문은 그 조합을 누가 어떤 기준으로 통제하고, 필요할 때 얼마나 빠르게 바꿀 수 있는가입니다.

국가 차원의 선례가 방향을 보여줍니다. 싱가포르는 미국과 중국의 모델·클라우드를 병행 활용하되, 자국 데이터와 공공 서비스만큼은 자국 인프라와 규제로 통제하는 제한적 디지털 주권 모델을 운영하고 있습니다. 같은 원칙을 기업의 업무 유형에 적용하면 다음과 같습니다.

업무 유형, 통제 방향 정보가 담겨있는 표
업무 유형	통제 방향
핵심·규제 업무	Own·Operate 중심
전략적 차별화 업무	Operate 중심, 일부 Own
범용 생산성 업무	Contract 중심
실험·연구 업무	Contract 중심, 전환 가능성 확보

[표 4] 업무 유형별 통제 방향 (출처: 작성자 제작)

핵심 기술과 규제 대상 데이터가 걸린 업무는 직접 소유하거나 통제된 환경에서 운영합니다. 경쟁 우위를 만드는 업무는 통제된 환경을 기본으로 하되 차별화의 원천이 되는 요소만 선별적으로 소유합니다. 범용 생산성 업무는 글로벌 기술의 성능과 경제성을 계약으로 통제하며 활용하고, 실험적 업무는 가볍게 시작하되 언제든 옮길 수 있는 구조를 유지합니다.

한 가지 유의할 점은, 이 포트폴리오가 한 번 정하면 끝나는 정적인 설계가 아니라는 것입니다. 어제의 실험 업무가 오늘의 핵심 업무가 되고, 범용이던 기술이 차별화의 원천이 되기도 합니다. 모델의 성능 격차가 좁혀지면 Own의 실익이 줄어들고, 규제가 강화되면 Contract만으로 부족해지는 계층이 생깁니다. 통제 수준의 배분은 사업 전략의 변화와 함께 주기적으로 다시 검토되어야 하는 살아 있는 의사결정입니다.

선택적 주권은 통제를 포기하는 타협이 아닙니다. 모든 계층을 같은 강도로 통제하는 대신, 통제가 반드시 필요한 영역에 기업의 투자와 역량을 집중하는 전략입니다. 다시 말해, 기업의 AI 주권은 폐쇄성의 정도가 아니라 선택의 폭과 실행의 주도권으로 측정됩니다.

어디서 시작할 것인가: 의존성 지도(Dependency Map) 파악과 출구 전략

AI Full Stack 전략은 새로운 인프라나 모델을 고르는 일에서 시작하지 않습니다. 어떤 업무를 바꿀 것인지, 그 업무가 멈추면 비즈니스에 어떤 영향이 생기는지, 지금 어떤 기술과 공급자에 의존하고 있는지를 파악하는 데서 시작합니다. NIST의 AI 위험관리 프레임워크가 시스템의 맥락과 의존 관계를 파악하는 것(Map)을 첫 기능으로 두는 것과 같은 이유입니다^[6]. 앞서 살펴본 통제 설계를 실제로 시작하는 첫 세 걸음은 다음과 같습니다.

핵심 AI 업무 선정: 전사의 모든 AI 활용을 한꺼번에 다루지 않습니다. 중단됐을 때 사업 영향이 큰 업무 하나부터 시작합니다.
의존성 지도 작성과 통제 수준 진단: 의존성 지도는 선정한 업무가 인프라부터 솔루션까지 계층별로 어떤 기술과 공급자에 기대고 있는지 한 장에 정리한 표입니다. 이 표 위에서 각 계층이 지금 Own·Operate·Contract 중 어디에 있는지, 그것이 의도된 결정이었는지 확인하고, 업무 중요도와 데이터 민감도에 따라 목표 수준을 정합니다.
출구 전략(Exit Strategy) 테스트: 대체 모델·클라우드·플랫폼이 실제로 존재하는지 확인하고, 데이터 이동과 모델 전환을 리허설합니다. 한 번도 연습하지 않은 전환은 계약서 위에만 존재하는 권리입니다.

가장 많은 것을 발견하는 지점은 대개 두 번째 걸음입니다. 의존성 지도를 그려 본 기업은 자신이 생각보다 많은 계층에서, 생각보다 적은 선택지를 갖고 있다는 사실을 마주하게 됩니다. 국산 모델을 쓰고 있어도 그 모델을 서빙하는 환경, 검색에 쓰는 벡터 데이터베이스, 에이전트 실행 규격이 각기 다른 공급자에 묶여 있다는 것이 지도 위에서 처음 드러납니다. 그 발견이 AI 주권 확보의 실질적인 출발점입니다.

세 번째 걸음인 출구 전략은 이미 규제가 요구하는 수준으로 이동하고 있습니다. EU 디지털 운영 복원력법(DORA)은 금융회사에 ICT 제3자 서비스에 대한 문서화되고 테스트된 출구 전략을 요구하고^[7], EU 데이터법(Data Act)은 클라우드 전환권과 데이터 이동성을 강화하며 2027년 1월부터 전환 수수료를 폐지하도록 하고 있습니다^[8]. 규제 산업이 아니어도 방향은 같습니다. 전환 가능성은 계약서에 적어 두는 권리가 아니라 검증된 운영 역량이어야 합니다.

이 세 걸음을 내부 역량만으로 감당할 수 있는 기업은 드뭅니다. 어디까지 자체 확보하고 어디서 파트너를 활용할지 나누는 일을 고려해야 하는 이유입니다.

통제의 경계는 기업이, 실행은 파트너와 함께

처음의 질문으로 돌아가 보겠습니다. 우리 회사는 AI Full Stack의 어느 계층을 직접 통제해야 하고, 무엇을 외부에 맡겨도 되는가. 그 경계를 정하는 것은 기술의 국적이 아니라 업무의 중요도와 데이터의 민감도이고, 결정하고 실행하는 주체는 기업 자신이어야 합니다. 어떤 모델을 쓰는가보다 자신의 스택을 스스로 설계하고 필요할 때 바꿀 수 있는가가 AI 주권을 가릅니다.

다만 이 설계를 혼자 끝까지 해내는 기업은 드뭅니다. 세 계층의 기술, 업종과 업무 시스템, 구축 이후의 운영을 한 조직이 모두 감당하기 어렵기 때문입니다. 그래서 파트너 선택은 기술 구매가 아니라 통제 설계의 연장선에 있습니다. 파트너를 선정할 때 먼저 볼 것은 기업이 계층별로 정한 Own·Operate·Contract를 그 파트너가 모두 뒷받침할 수 있는가입니다. 직접 운영하는 인프라와 전용 환경, 여러 공급자를 조합하는 관리 역량이 한 곳에 있어야 통제 수준을 바꿀 때 파트너까지 바꾸는 일을 피할 수 있습니다. 모델을 갈아탈 수 있는 평가·라우팅 체계를 제공하는지, 컨설팅에서 운영까지 한 책임으로 이어져 출구 전략을 실제로 검증해 주는지도 같은 맥락입니다.

삼성SDS가 제공하는 '다차원(Multi-dimensional) AI 풀스택'은 기업이 이러한 통제 설계를 실제로 실행할 수 있도록 구성되어 있습니다. 인프라 계층에서는 여러 퍼블릭 클라우드를 조합하는 매니지드 서비스, 기업 전용 클라우드와 GPUaaS, 2029년 가동을 목표로 건립 중인 구미 60MW AI 데이터센터^[11]를 포함한 데이터센터 구축·운영 역량으로 세 통제 수준을 모두 뒷받침합니다. 플랫폼 계층에서는 다양한 파운데이션 모델을 기업 데이터·업무 시스템과 결합해 에이전트를 만들고 운영할 수 있게 함으로써 모델 전환의 기반을 제공합니다. 여기에 금융·공공·제조·유통의 미션크리티컬 시스템을 운영한 경험과 컨설팅·구축·운영을 한 책임으로 잇는 실행력이 더해집니다^[10].

눈여겨볼 점은 이 설계를 남에게 권하기 전에 내부 조직에서 먼저 해봤다는 사실입니다. 새로운 기술을 내부에서 검증한 뒤 고객에게 확산하는 Client Zero 전략에 따라 앤스로픽과의 파트너십으로 삼성 관계사 20곳, 약 7만 명의 임직원에게 클로드 엔터프라이즈를 제공하면서^[9], 범용 업무에 글로벌 모델을 Contract로 쓸 때 어떤 계약 조건이 통제력을 실제로 보장하는지, 그리고 그 규모로 확산할 때 사람과 조직이 어디서 멈추는지를 직접 겪었습니다. 이 경험은 고객 현장에서 문제 정의부터 운영까지 함께하는 FDE(Forward Deployed Engineer)를 통해 고객의 업무 변화로 이어집니다^[12].

소버린 AI 시대에 기업이 확보해야 할 것은 모든 기술을 직접 소유하는 능력이 아니라, 자신의 업무와 데이터에 맞는 통제 수준을 설계하고 상황이 바뀌면 다른 선택으로 옮겨 갈 수 있는 실행의 주도권입니다. AI는 업무를 바꾸지만, AX는 비즈니스를 바꿉니다. 그리고 기업의 AI 주권은 모델 하나가 아니라, 세 계층의 통제 수준을 스스로 설계하고 업종과 실행으로 그것을 뒷받침하는 Full Stack으로 완성됩니다.

※ 본 리포트는 리서치 및 문장 편집 과정에서 생성형 AI(Claude, ChatGPT)를 활용했습니다.

FAQ

소버린 AI란 무엇인가요?

소버린 AI는 기업이 AI 업무에 사용되는 인프라, 데이터, 모델, 플랫폼의 의존성을 파악하고 필요한 통제 수준을 스스로 결정하는 전략입니다. 모든 기술을 직접 소유하는 것이 아니라, 데이터 주권과 모델 선택권을 확보하고 필요할 때 다른 기술이나 환경으로 전환할 수 있는 상태를 의미합니다.
소버린 AI와 AI 거버넌스는 같은 개념인가요?

아닙니다. 소버린 AI가 AI 기술과 공급자에 대한 통제권·선택권·전환권을 설계하는 개념이라면, AI 거버넌스는 접근 권한, 승인, 감사, 책임, 중단 기준 등을 관리하는 운영 체계입니다. 거버넌스는 특정 통제 수준에만 적용되는 것이 아니라 모든 AI 업무와 기술 계층을 가로질러 작동합니다.
선택적 주권(Selective Sovereignty)이란 무엇인가요?

선택적 주권은 AI Full Stack의 모든 계층을 같은 강도로 통제하는 대신, 업무의 성격에 따라 국산과 글로벌, 퍼블릭과 프라이빗, 상용과 오픈소스를 조합하는 기업의 AI 포트폴리오 전략입니다. 핵심·규제 업무는 Own·Operate 중심으로, 전략적 차별화 업무는 Operate 중심으로, 범용 생산성 업무와 실험 업무는 Contract 중심으로 통제합니다. 통제를 포기하는 타협이 아니라, 통제가 반드시 필요한 영역에 투자와 역량을 집중하는 전략입니다.
AI 의존성 지도(Dependency Map)란 무엇이고 왜 필요한가요?

AI 의존성 지도는 핵심 AI 업무가 인프라·플랫폼·솔루션 계층별로 어떤 기술과 공급자에 의존하고 있는지 한 장에 정리한 표입니다. 각 계층이 현재 Own·Operate·Contract 중 어디에 있는지, 그것이 의도된 결정이었는지 확인하고 목표 통제 수준을 정하는 기준이 됩니다. 국산 모델을 쓰더라도 서빙 환경, 벡터 데이터베이스, 에이전트 실행 규격이 서로 다른 공급자에 묶여 있다는 사실은 대개 의존성 지도를 그릴 때 처음 드러납니다.
AI 출구 전략(Exit Strategy)은 왜 필요하고 어떻게 검증하나요?

출구 전략은 현재 사용하는 모델·클라우드·플랫폼을 대체할 수 있는 대안이 실제로 존재하는지 확인하고, 데이터 이동과 모델 전환을 사전에 리허설하는 것입니다. 한 번도 연습하지 않은 전환은 계약서 위에만 존재하는 권리이기 때문입니다. EU 디지털 운영 복원력법(DORA)은 금융회사에 문서화되고 테스트된 출구 전략을 요구하고, EU 데이터법(Data Act)은 2027년 1월부터 클라우드 전환 수수료를 폐지하는 등 규제도 같은 방향으로 움직이고 있습니다.

References

Gartner, "Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027", 2025. 6. 25. — https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027
삼성SDS 인사이트 리포트(김지현), "소버린 AI, 한국의 AI 어디까지 와 있고 앞으로 어떤 기회가 올까?", 2026. 1. 9. — https://www.samsungsds.com/kr/insights/sovereign-ai-for-korea.html
Google Cloud, "Delivering a secure, open, and sovereign digital world" — https://cloud.google.com/blog/products/identity-security/delivering-a-secure-open-sovereign-digital-world
Microsoft Learn, "What is Microsoft Sovereign Cloud?" — https://learn.microsoft.com/en-us/azure/azure-sovereign-clouds/microsoft-sovereign-cloud
Andreessen Horowitz(a16z), "How 100 Enterprise CIOs Are Building and Buying Gen AI in 2025", 2025. — https://a16z.com/ai-enterprise-2025/
NIST, "AI Risk Management Framework (AI RMF 1.0)", 2023. — https://www.nist.gov/itl/ai-risk-management-framework
EU, "Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA)", Art. 28 — https://eur-lex.europa.eu/eli/reg/2022/2554/oj
European Commission, "Data Act | Shaping Europe's digital future" — https://digital-strategy.ec.europa.eu/en/policies/data-act
삼성SDS, "삼성SDS, 앤트로픽과 전략적 파트너십 체결… '클로드' 기반 엔터프라이즈 AI 사업 확대", 2026. 7. 25. — https://www.samsungsds.com/kr/news/anthropic-partnership-260724.html
삼성SDS, "삼성SDS, 'AX 서밋' 개최 AI 네이티브 기업 전환 위한 전략·기술 로드맵 공개", 2026. 5. 29. — https://www.samsungsds.com/kr/news/axs-260609.html
삼성SDS, "삼성SDS-경상북도-구미시, 구미 AI 데이터센터 건립 MOU 체결", 2026. 1. 8. — https://www.samsungsds.com/kr/news/gumi-260108.html
삼성SDS 인사이트 리포트, "FDE의 부상: 엔터프라이즈 AI 도입 모델은 어떻게 바뀌고 있는가", 2026. 7. 1. — https://www.samsungsds.com/kr/insights/the-rise-of-the-forward-deployed-engineer.html

시리즈