[기고] 기업 AI 주권, 규제와 성과를 동시에 푸는 기술적 해법

"기업 AI 주권 가져야 규제 넘어 성과 만들 수 있어"

인공지능(AI)에 뛰어든 기업은 많지만 실제 성과를 쥔 기업은 아직 드물다. 맥킨지가 지난 8월 발표한 '2026 AI 현황(The state of AI in 2026)'에 따르면 기업 89%가 AI를 도입했고 80%가 개인 생산성 향상을 체감했다고 답했다. 그러나 AI로 영업이익(EBIT)을 5% 이상 끌어올린 '고성과 기업'은 6%에 그쳤다.

기업 입장에서 보면 사업적 과실은 무르익기 전이지만 규제는 본격화되고 있다. 지난 1월 시행된 AI 기본법 계도기간이 이르면 내년 1월 종료되기 때문이다. 그때부턴 규정을 위반한 기업에 시정명령이나 과태료가 부과된다. 기업이 짊어질 의무가 코앞에 와 있는 셈이다.

이제 기업 앞에는 두 가지 숙제가 동시에 놓였다. 법규를 지키는 일, 그리고 AI로 실제 성과를 내는 일이다. 별개로 보이지만 사실 두 숙제를 푸는 열쇠는 같다. 거버넌스다. 물론 여기서 말하는 거버넌스는 흔히 생각하는 보고 체계나 결재 라인을 뜻하지 않는다.

심상우 마키나락스 최고기술책임자(CTO) (이미지=마키나락스 )

거버넌스가 왜 그 열쇠인지는 성과를 낸 '6%' 기업들이 보여준다. 이들을 나머지 기업과 가른 것은 더 큰 예산도 더 좋은 모델도 아니었다. 고성과 기업은 최고경영진이 AI 도입에 직접 관여하고 그 성과를 측정하는 체계를 갖췄을 가능성이 다른 기업의 두 배로 나타났다.

또 이들 4분의 3이 AI에 맞춰 업무 프로세스를 근본적으로 재설계한 반면, 다른 기업들은 4분의 1에 그쳤다. 새로운 기술을 어떻게 도입하고 조직을 어떻게 움직이며 기존에 일하는 방식을 어떻게 바꿀 것인지를 설계하고 조정하는 과정이 진정한 거버넌스라 할 수 있다.

그렇다면 AI를 위한 거버넌스는 어떻게 구현해야 할까. 마키나락스는 그 답을 '기업 AI 주권(Enterprise AI Sovereignty)'에서 찾는다. 이는 모든 기술과 인프라를 처음부터 끝까지 자체적으로 해결하는 자급자족을 하라는 의미가 아니다.

핵심은 기업이 자사 AI 자산을 스스로 통제하고 어떤 기술과 인프라를 사용할지 결정할 수 있으며 그 결정권을 제약하는 종속성을 최소화하는 데 있다. 소유·독립·통제라는 세 가지 기술 원칙으로 이를 구체화할 수 있다.

우선 소유다. 산업 현장 데이터는 애초에 회사 밖으로 나가기 어렵고 나가서도 안 된다. 공정과 설비에서 나오는 시계열 데이터 그 자체가 영업비밀이고 다수 제조 현장 제어망(OT)은 외부와 물리적으로 분리돼 있기 때문이다.

산업 AI에서 소유해야 하는 것은 데이터만이 아니다. 학습 데이터셋 버전, 전처리 코드, 모델 가중치, 하이퍼파라미터, 평가 결과와 배포 이력까지 하나의 계보로 관리할 수 있어야 한다. 그래야 특정 모델이 어떤 데이터와 코드로 만들어졌는지 재현할 수 있고, 현장에서 문제가 발생했을 때 어느 버전에서 문제가 시작됐는지 역추적할 수 있다. 기업 안에서 만들어지는 모든 데이터와 프로세스는 기업이 관리 가능하게 소유되어야 한다.

둘째는 독립이다. 특정 클라우드 관리형 AI 서비스에 올리면 당장은 빠르게 구축이 가능하다. 하지만 데이터 포맷과 학습·추론 파이프라인이 그 벤더에 묶여 나중에 모델을 통째로 들어내기 어려워진다. 폐쇄망이 기본인 산업 현장에서는 그런 클라우드 종속 구조가 아예 돌아가지 않는 경우도 있다.

중요한 것은 모델과 실행 환경 사이 결합도를 낮추는 것이다. 학습·서빙·모니터링 계층이 특정 클라우드 응용 프로그램 인터페이스(API)나 특정 모델 인터페이스에 강하게 결합돼 있으면 모델 하나를 교체하는 일이 전체 시스템을 다시 만드는 프로젝트가 된다.

데이터, 모델, 오케스트레이션, 실행 인프라를 각각 독립된 계층으로 설계하면 온프레미스 그래픽처리장치(GPU)에서 프라이빗 클라우드로 옮기거나 상용 파운데이션 모델을 오픈소스 모델로 바꾸더라도 기존 AI 자산과 운영 체계를 유지할 수 있다.

셋째는 통제다. 권한 부여부터 승인 체계까지 모든 과정이 체계적으로 기록·추적·관리돼야 한다. 누가 어떤 데이터에 접근했는지 어떤 모델 버전을 운영 환경에 배포했는지 누가 이를 승인했는지 모델이 어떤 입력을 받아 어떤 결과를 반환했는지를 시스템 수준에서 기록해야 한다.

필요하다면 이전 모델로 즉시 롤백할 수 있어야 하고 모델 성능 저하나 데이터 분포 변화도 지속적으로 감지할 수 있어야 한다. 이 지점에서 앞서 말한 두 숙제가 하나로 만난다. 감사 가능한 기록과 추적 체계는 성과를 뒷받침하는 근거인 동시에 AI 기본법이 요구하는 투명성·설명가능성과 정확히 맞닿아 있기 때문이다.

규제 대응을 위해 별도 통제를 덧대는 것이 아니라 성과를 위한 통제가 그대로 규제 요건을 충족한다. 잘 설계된 거버넌스에서 규제와 성과는 상충하지 않는다. 기업 AI 주권은 더 이상 선택의 문제가 아니다. 이를 갖춘 기업은 규제를 성과 토대로 바꿔내지만 그렇지 못한 기업은 AI에 투자하고도 성과를 얻지 못한 채 계도기간 이후 규제 리스크까지 함께 떠안게 된다.

앞으로 기업 AI 경쟁력은 어떤 모델을 선택했느냐보다 데이터에서 모델 개발과 배포, 운영과 감사에 이르는 전체 AI 라이프사이클을 얼마나 자신의 통제 아래 둘 수 있느냐에서 갈릴 것이다. AI를 도입하는 것과 AI 역량을 기업 내부에 축적하는 것은 전혀 다른 문제다.

*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.