[이슈칼럼] 한국 AI 기본법이 던진 새로운 과제: 기업은 자신이 관리해야 할 데이터를 제대로 보고 있는가

데이터 복원력, 데이터 위치, 활용 문제 발생시 얼마나 신속하게 복구할 수 있는지 파악해야

[보안뉴스= 홍성구 Veeam Korea 지사장] AI 기본법 시행으로 AI 시스템에 사용되는 데이터를 이해하고 관리하며 이를 입증해야 한다는 요구가 커지고 있다. 그러나 많은 기업은 여전히 파편화된 백업 및 복구 환경 때문에 이를 제대로 수행하지 못하고 있다.

2026년 1월 22일, 한국의 AI 기본법(AI Basic Act)이 시행되면서 AI 시스템의 거버넌스와 위험 관리에 대한 새로운 요구사항이 제시됐다. 기업의 입장에서 더 중요한 것은 법 조항 자체보다 이 법이 깔고 있는 전제다. 조직은 자신들의 데이터가 어디에 있는지, 어떻게 활용되고 있는지, 그리고 문제가 발생했을 때 얼마나 신속하게 복구할 수 있는지를 파악하고 있어야 한다는 것이다.

이러한 요구는 어느 때보다 현실적인 과제가 된 시점에 제기됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)에 따르면 2025년 국내 사이버 침해 사고는 2383건으로 전년 대비 26% 증가했다. 특히 공격자들이 AI를 활용해 공격을 자동화하면서 위협은 더욱 커지고 있다. 결국 법과 현실은 같은 방향을 가리킨다. 기업은 자신들의 데이터가 어떻게 관리되고 있는지 신속하고 신뢰성 있게 설명할 수 있어야 한다는 것이다.

현장에서 우리가 목격하는 문제는 데이터를 설명하고 입증해야 하는 요구는 커졌지만, 이를 정확히 파악하고 관리할 수 있는 역량은 아직 그 수준을 따라가지 못하고 있다는 점이다. 데이터 복원력(Data Resilience)은 단순히 백업을 보유하는 것을 의미하지 않는다. 데이터가 언제든 안전하게 보호되고, 필요한 순간 사용할 수 있으며, 신뢰할 수 있는 상태로 복구될 수 있도록 보장하는 것을 뜻한다. 진정한 데이터 복원력은 데이터 가시성, 보호, 거버넌스, 그리고 검증된 복구 역량이 함께 갖춰질 때 완성된다.

하지만 많은 기업들은 여전히 운영체제와 데이터를 각각 다른 백업 솔루션으로 관리하고 있다. 물리 환경, 가상 환경, 클라우드 환경에 따라 서로 다른 시기에 도입된 솔루션이 혼재된 경우가 대부분이다. 각 솔루션은 저마다의 보안 정책과 관리 체계를 갖고 있으며, 어느 하나만으로는 특정 데이터셋이 어디에 저장돼 있는지, 백업본에 최신 보안 패치가 적용돼 있는지, 또는 복구 시 사용하게 될 데이터가 공격자로부터 충분히 격리돼 있는지를 한눈에 파악하기 어렵다.

이 문제는 규제 대응 과정에서도 그대로 드러난다. 개인정보보호법(PIPA)에 따르면 기업은 개인정보 침해 사고가 발생하면 해당 요건에 따라 72시간 이내에 관계 기관에 신고해야 한다. 개인정보보호위원회(PIPC)를 비롯한 규제기관 역시 기업이 자체 환경에 대한 가시성을 확보하지 못했다는 이유로 신고 의무를 이행하지 못하는 상황에 대해 관대한 입장을 보이지 않고 있다.

결국 파악할 수 없는 데이터는 설명할 수도, 보고할 수도 없다. 운영체제, 파일, 데이터베이스별로 서버마다 5개에서 10개에 이르는 백업 정책을 운용하는 기업이라면 결과적으로 스스로도 자신들의 환경을 명확히 들여다보기 어려운 상황에 놓이게 된다.

물론 가시성만으로는 충분하지 않다. 기업은 중요한 순간에 핵심 데이터를 빠르고 안정적으로 복구할 수 있다는 확신도 필요하다. 데이터가 어디에 있는지 파악하는 것은 시작에 불과하다. 진정한 복원력은 신뢰할 수 있는 데이터를 복구하고 핵심 업무를 정상화할 수 있는 능력으로 평가된다.

이러한 한계는 정작 장애나 보안 사고가 발생했을 때 분명하게 드러난다. 랜섬웨어 공격이나 시스템 장애가 발생하면 복구는 하나의 작업으로 끝나지 않는다. 운영체제를 재설치하고, 애플리케이션을 복구한 뒤, 데이터를 복원해야 한다. 그러나 백업 환경이 복잡하게 나뉘어 있으면 어떤 시스템부터 어떤 순서로 복구해야 하는지 판단하는 과정부터 지연될 수 있다. 이러한 판단에 소요되는 시간은 곧 다운타임으로 이어지며, 공격자에게는 네트워크 내부에서 더 오랜 시간 활동할 여지를 제공하게 된다.

다행스러운 점은 이러한 문제를 해결할 수 있다는 것이다. 실제로 우리는 국내 기업들이 이를 개선해 나가는 과정을 직접 지켜보고 있다.

예를 들어, 우리가 협력하고 있는 한 국내 제조기업(가칭 A사)은 최근 400대 이상의 물리 서버와 가상 머신을 단일 백업 플랫폼으로 통합했다. 이 과정에서 물리, 가상, 클라우드 환경별로 운영하던 여러 백업 솔루션을 정리했다.

가장 먼저 확인된 효과는 비용 절감이었다. 여러 개의 관리 콘솔을 운영할 필요가 없어졌고, 중복된 제품에 지출하던 비용도 줄일 수 있었다.

그러나 더 큰 변화는 환경 전반에 대한 통제력을 확보했다는 점이다. A사는 복구시간목표(RTO)와 복구시점목표(RPO)를 모두 1시간으로 설정하고, 장애나 보안 사고 발생 시 60분 이내에 서비스를 복구하는 것을 목표로 백업 및 복구 체계를 재정비했다.

다운타임을 최소화해야 하는 국내 기업 환경, 특히 제조업을 비롯한 대기업 환경에서 이러한 1시간 복구 목표는 단순한 규제 준수를 넘어 비즈니스 연속성을 확보하는 경쟁력으로 이어진다. 전체 환경을 하나의 플랫폼에서 관리할 수 있기 때문에 가능한 결과다.

이러한 문제는 특정 기업에 국한되지 않는다.

Veeam이 2025년 12월 전 세계 250명 이상의 IT 및 비즈니스 리더를 대상으로 실시한 조사에 따르면 응답자의 약 60%가 하이브리드 환경, 멀티클라우드, SaaS 환경이 확대되면서 데이터 위치에 대한 가시성이 오히려 감소했다고 답했다. AI 거버넌스에 대한 요구가 높아지고 있는 현실을 고려하면 결코 가볍게 볼 수 없는 수치다.

물론 이에 대한 반론도 있다. 통합 프로젝트는 대규모 작업이며 AI 기본법이 요구하는 상당수 의무사항에 대해서는 아직 준비할 시간이 남아 있다는 주장이다.

두 주장 모두 사실이다. 하지만 동시에 함정이기도 하다.

전사적 수준의 데이터 가시성을 확보하는 일은 몇 주 만에 끝나는 프로젝트가 아니다. 규제 준수 시점을 준비의 시작점으로 생각하는 기업은 결국 위기 상황이 발생한 뒤에야 기초 작업에 착수하게 될 가능성이 높다. 그리고 사고가 발생한 이후는 그런 준비를 시작하기에 가장 늦은 시점이다.

궁극적으로 AI 거버넌스의 기반은 데이터 복원력이다. 기업은 보이지 않는 데이터를 효과적으로 관리할 수도, 검증할 수도, 복구할 수도 없다.

AI는 새로운 데이터 흐름과 새로운 공격면(Attack Surface), 그리고 새로운 규제 의무를 만들어내고 있다. 이 환경에서 데이터 복원력은 기업이 혁신을 지속하면서도 위험을 관리할 수 있도록 하는 핵심 기반이 된다.

신뢰는 정책만으로 만들어지지 않는다. 데이터에 대한 명확한 가시성, 효과적인 통제 체계, 그리고 반복적으로 검증되고 입증된 복구 역량이 함께 갖춰져야 한다. 이러한 역량을 증명할 수 있는 기업이 운영 측면과 규제 측면 모두에서 높아지는 요구 수준에 효과적으로 대응할 수 있다.

정식 명칭이 ‘인공지능 발전과 신뢰 기반 조성에 관한 기본법’인 한국 AI 기본법은 데이터 가시성의 문제를 새롭게 만들어낸 것이 아니다. 다만 그동안 충분히 드러나지 않았던 문제를 수면 위로 끌어올렸을 뿐이다.

AI 활용이 확대되는 지금, 중요한 질문은 더 이상 기업이 데이터를 보유하고 있는가가 아니다. 규제기관과 고객, 주주가 데이터에 대한 설명을 요구했을 때 기업은 스스로 데이터를 통제하고 있음을 입증할 수 있는가 하는 점이다.

AI에 대한 신뢰는 결국 데이터에 대한 신뢰 위에서만 가능하다. 그리고 데이터에 대한 신뢰는 데이터를 정확히 파악하고, 적절히 관리하며, 안전하게 보호하고, 필요할 때 즉시 복구할 수 있다는 확신에서 출발한다.

그것이 바로 데이터 복원력(Data Resilience)의 본질이다.

필자 소개_홍성구 빔소프트웨어 코리아 지사장은 국내 기업과 공공 부문의 데이터 보호 및 사이버 복원력 전략을 지원하고 있다. 오라클, 팔로알토네트웍스, F5네트웍스, BMC 소프트웨어, 데이터스택, 마리아DB 등 글로벌 IT 기업에서 29년 이상의 경력을 쌓았으며, 현재 AI 시대의 데이터 복원력과 데이터 거버넌스 분야를 중심으로 시장 전략을 이끌고 있다.

[글_홍성구 Veeam Korea 지사장]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다