EU, 구글에 '안드로이드 개방' 압박…AI 경쟁 vs 보안 딜레마

유럽연합(EU) 집행위원회가 디지털시장법(Digital Markets Act, 이하 DMA)에 따라 구글(알파벳)을 상대로 두 건의 별도 이행 절차(specification proceedings)를 병행 추진 중이다. 하나는 안드로이드(Android) 운영체제의 상호운용성(interoperability) 문제, 다른 하나는 온라인 검색 데이터 공유에 관한 사항이다. 이에 대해 구글은 물론 외부 보안 전문가들까지 사이버보안, 데이터 프라이버시, 플랫폼 무결성에 심각한 위험이 될 수 있다며 강하게 반발하고 있다.

EU 집행위가 요구하는 사항

안드로이드 상호운용성 (DMA 제6조 7항)

EU 집행위는 2026년 1월 27일, 구글이 자사 서비스가 사용하는 '동일한 하드웨어 및 소프트웨어 기능'에 대해 제3자에게 '효과적인 상호운용성 및 접근 권한'을 제공하도록 하는 구체적 기술 조치를 정의하는 절차를 시작했다. 이후 2026년 4월 27일, 집행위는 예비 조사 결과를 발표하며, 특히 제3자 AI 서비스와 관련된 기능을 겨냥했다. 이는 구글이 자체 AI 비서인 제미나이(Gemini)가 누리는 핵심 기능(음성 활성화, 시스템 수준 검색 통합, 다른 안드로이드 소프트웨어와의 상호운용 능력 등)을 경쟁 AI 비서에게도 동등하게 제공하라는 내용이다.

해당 예비 조사 결과는 공개 의견 수렴 절차에 회부되었으며, 집행위는 '효과성, 완전성, 통합 노력 및 이행 일정'에 대한 피드백을 요청했다. 현행 DMA는 이미 구글이 제3자 접근에 부과하는 무결성 또는 보안 조치가 '엄격히 필요하고 비례적'이어야 한다고 규정하고 있어, 구글이 보안을 이유로 상호운용성을 광범위하게 차단할 수 없도록 제한하고 있다.

검색 데이터 공유 (DMA 제5조 10항)

또 다른 절차는 2026년 1월 27일 같은 날 시작되었으며, 구글이 제3자 검색엔진과 AI 개발자에게 자체 온라인 검색 데이터(제미나이 AI 모델 관련 데이터 포함)를 '공정하고 합리적이며 비차별적(FRAND)' 조건으로 제공할 의무와 관련된다. 로이터 통신에 따르면, EU 집행위의 지침은 경쟁사들이 구글의 검색 순위 데이터, 클릭 및 쿼리 데이터, 그리고 AI 관련 서비스에 어떻게 접근할 수 있는지에 대한 내용을 담고 있다.

구글 및 외부 전문가의 사이버보안·프라이버시 우려

구글의 입장

구글은 '안드로이드는 본래 개방적이며, 이미 DMA에 따라 경쟁사와 검색 데이터를 공유하고 있다'고 주장하면서도, '처방적인 접근 방식이 사용자 보안과 프라이버시를 해칠 수 있다는 우려를 가지고 있다'고 경고했다. 2025년 9월 블로그 게시물에서 구글은 DMA로 인해 '사이드로딩(sideloading, 앱 외부 설치)된 맬웨어와 피싱으로부터 사용자를 보호하는 정당한 안전장치를 제거해야만 하는 상황에 직면했다'고 밝혔다. 또한 구글은 조사를 받는 게이트키퍼(Gatekeeper, 시장 지배적 사업자)가 EU 집행위의 조사 파일에 완전히 접근하지 못하는 것이 'EU 법상 방어권과 일치하지 않는다'고 불만을 표했다.

외부 전문가 및 싱크탱크의 우려

• ECIPE(유럽국제정치경제센터)는 정책 브리핑을 통해 DMA 제5조 4항이 '모바일 운영체제 사업자로 하여금 규제되지 않은 외부 링크를 허용하도록 강제하여 중요한 보안 통제를 우회하게 하고 수백만 스마트폰 사용자를 사이버 위협에 노출시킬 수 있다'고 경고했다.
• 사이버보안정책법센터(Center for Cybersecurity Policy and Law)는 DMA의 상호운용성 추진이 '모바일 플랫폼 보안 통제를 약화시킬 수 있다'는 보고서를 발표했다. 운영체제의 핵심 기능이 동일한 보안 기준을 따르지 않을 수 있는 외부 개발자에게 개방되기 때문이다.
• 정보기술혁신재단(ITIF)은 EU 집행위의 초안 상호운용성 조치가 지나치게 광범위하며, 제3자 AI 서비스에 상응하는 보안 의무 없이 시스템 수준 접근 권한을 부여할 경우 '안드로이드 생태계의 보안을 훼손할 수 있다'고 주장했다.
• 컴퓨터과학 논문 (arXiv, 2025년 2월)은 '상호운용성 계획이 새로운 보안 취약점을 도입하고, 플랫폼 방어를 약화시키며, 악의적 행위자에게 이용 가능한 공격 표면을 증가시킬 잠재력에 대해 상당한 논란을 불러일으켜 왔다'고 지적했다.
• 스탠포드 로스쿨 TTLF 워킹페이퍼는 DMA 판결이 '플랫폼 설계와 비즈니스 모델에 상당한 영향을 미칠 수 있으며, 그 효과는 EU의 지리적 경계를 훨씬 넘어 확장될 것'이라며, 보안과 경쟁에 관한 대서양 양안 간 규제 격차를 심화시킬 것이라고 분석했다.

더 넓은 맥락: EU 경쟁 정책 목표와 보안 고려사항 간 갈등

DMA의 핵심 긴장

DMA는 '디지털 시장의 경쟁 가능성(market contestability)을 높이고 혁신을 위한 더 많은 공간을 창출하며 소비자에게 더 많은 선택권을 제공'하기 위해 설계되었다. 상호운용성 및 데이터 공유 조항은 특히 신흥 AI 시장에서 플랫폼 종속(lock-in)을 깨는 핵심 수단으로 간주된다. EU 집행위의 2년 검토 보고서(2026년 6월)는 DMA가 '여전히 목적에 부합하며 개정할 필요가 없다'고 결론지어, 산업계 경고에도 불구하고 EU가 강행 의지를 굽히지 않을 것임을 시사했다.

고조되는 규제 대립

구글에 대한 이번 이행 절차는 2025년 애플의 iOS 상호운용성(스마트워치 등 연결 기기 대상)에 대한 유사 조치에 이은 것이다. 이는 두 주요 모바일 생태계를 겨냥한 체계적인 규제 압박을 보여준다. 가장 첨예한 대립은 AI 분야에서 나타난다. EU 집행위는 생성형 AI 시장이 형성되는 이 시점에 구글이 제미나이를 위해 안드로이드를 경쟁적 해자(competitive moat)로 활용하는 것을 막으려는 것이다. TNW(The Next Web)는 이 싸움을 '인공지능이 차세대 거대 플랫폼 종속이 될지, 아니면 자리잡기 전에 최초로 무너뜨려질 대상이 될지를 결정하는 싸움'이라고 표현했다.

다른 EU 규제 프레임워크와의 충돌

ECIPE는 'DMA 집행이 이제 데이터 보호, 사이버보안, 지식재산권, 소비자 보호 등 다른 EU 규제 프레임워크와의 긴장을 야기하고 있다'고 지적한다. 상호운용성 의무 집행은 '이러한 긴장을 특히 명확하게 보여준다'고 설명한다. EU 차원에서 경쟁을 위해 DMA가 요구하는 사항이 사이버보안을 위해 GDPR(일반개인정보보호법), NIS2 지침(네트워크·정보시스템 보안 강화 지침), 사이버복원력법(Cyber Resilience Act)이 요구하는 사항과 직접적으로 충돌할 수 있기 때문이다. 집행위는 자체 문건에서 '엄격히 필요하고 비례적인' 무결성 조치만을 허용한다고 밝히며 이러한 긴장을 인정하지만, 비판론자들은 증명 책임이 게이트키퍼에게 있어 사전 예방적 보안 조치에 위축 효과(chilling effect)를 초래한다고 주장한다.

결론: EU는 구글이 안드로이드의 핵심 기능과 검색 데이터를 경쟁사(특히 AI 경쟁사)에게 개방하도록 압박하고 있다. 반면 구글과 다수의 보안 전문가들은 이렇게 강제된 상호운용성이 맬웨어 보호 기능을 약화시키고, 공격 표면을 증가시키며, 다른 EU 사이버보안 법률과의 충돌을 야기할 것이라고 경고한다.