IBM, AI 워크로드 규제 사각지대 해소할 '클라우드 주권 위험 프로파일' 공개

전 세계적으로 AI 도입이 국경과 관할권을 넘어 빠르게 확산되고 있지만, 대다수 조직은 이를 제대로 추적하지 못하고 있습니다. 이러한 가시성 부족은 곧 규제 리스크라는 시한폭탄으로 작용합니다. 이에 IBM은 두 계층으로 구성된 해결책을 내놓았습니다. 하나는 주권 환경을 구축하는 기반 기술이고, 또 다른 하나는 바로 오늘 출시되어 그 환경이 실제로 제 기능을 하는지 입증하는 도구입니다.

2026년 5월 28일, IBM은 IBM 클라우드 주권 위험 프로파일(IBM Cloud Sovereignty Risk Profile)을 선보였습니다. 이 도구는 기업에 디지털 주권 태세에 대한 지속적인 가시성과 증거, 그리고 운영 통제 능력을 제공하는 것을 목표로 합니다 . 이는 AI 워크로드를 처리할 수 있는 주권 환경 구축용 소프트웨어 플랫폼인 IBM 소버린 코어(IBM Sovereign Core)가 Think 2026 컨퍼런스(5월 5일)에서 정식 출시된 지 불과 몇 주 만에 나온 발표입니다 .

IBM 클라우드 주권 위험 프로파일이란

IBM 클라우드 주권 위험 프로파일은 IBM의 기존 보안 및 규정 준수 센터 워크로드 보호(SCC-WP)에 내장된 도구로, 경영진의 높은 목표와 현실의 괴리를 정면으로 겨냥합니다. IBM 기업가치연구소(IBV)의 연구에 따르면, 경영진의 93%는 주권이 반드시 전략에 포함되어야 한다고 말하지만, 정작 AI 워크로드가 어디에서 실행되는지 아는 경우는 3분의 1도 되지 않습니다 . 이 도구는 하이브리드 및 멀티클라우드 환경 전반의 워크로드를 지속적으로 모니터링하고, 주권 요구 사항을 측정 가능한 위험 시나리오로 변환하여 이러한 사각지대를 해소합니다 .

단순히 정책 선언문을 한 장 더 추가하는 방식이 아닙니다. 이 도구는 데이터 보관 장소(데이터 레지던시), 암호화, 복원력, 집중 위험, 운영적 독립성과 관련된 운영 통제 수단이 의도한 대로 작동하고 있음을 증명하는 감사 준비가 완료된 증거를 생성합니다 . 핵심은 서류상의 형식적인 규정 준수 자세가 아니라, 실제로 증명할 수 있는 능력, 즉 입증 가능성입니다.

작동 방식

이 도구는 이미 클라우드 워크로드를 모니터링하고 있는 SCC-WP 내에서 작동합니다. IBM 클라우드 주권 위험 프로파일은 그 모니터링 범위를 다섯 가지 주권 영역으로 확장합니다 :

• 데이터 레지던시 – 데이터가 저장되고 처리되는 위치 확인
• 암호화 – 암호화 제어가 활성 상태이며 올바르게 구성되었는지 확인
• 복원력 – 가용성 및 복구 능력 평가
• 집중 위험 – 단일 클라우드 제공업체나 특정 지역에 대한 과도한 의존도 파악
• 운영적 독립성 – 고객이 궁극적인 통제권을 유지하고 있는지 확인

각 영역은 측정 가능한 위험 시나리오로 변환되며, 시스템은 통제의 실효성을 지속적으로 평가합니다. 그 결과, 규제 기관, 감사인, 내부 관계자에게 제시할 수 있는 구조화된 증거가 산출됩니다. 이는 조직이 규정 준수를 '주장'하는 데서 나아가 '실증'하는 단계로 나아가도록 돕습니다 .

IBM의 주권 접근 방식을 지탱하는 4대 핵심 기둥

IBM의 광범위한 디지털 주권 전략은 주권 위험 프로파일 출시와 함께 발표된 다음 네 가지 기둥 위에 서 있습니다 :

1. 입증 가능성(Provability) – 단순히 규정 준수를 주장하는 대신, 지속적으로 이를 문서화하는 능력입니다. 주권 위험 프로파일은 바로 이 기둥을 실현하는 핵심 도구입니다 .
2. 예방(Prevention) – 암호화를 통해 데이터에 대한 배타적 통제권을 유지하는 것입니다. IBM은 FIPS 140-3 레벨 4 인증을 받은 하드웨어로 뒷받침되는 '고객 키 보관(KYOK)' 기술을 활용하여, IBM을 포함한 어떤 클라우드 제공업체도 기업 데이터에 접근할 수 없도록 합니다 .
3. 프라이버시(Privacy) – 조직이 워크로드를 실행할 위치와 방식을 선택할 수 있도록 하는 유연한 배포 모델입니다. 전용 멀티존 리전(MZR), 단일 테넌트 클라우드 환경, 로컬 운영 데이터 센터 등의 옵션이 포함됩니다 .
4. 이식성(Portability) – 레드햇 오픈시프트, 쿠버네티스, 개방형 API 같은 개방형 기술을 기반으로 하여 특정 벤더에 종속되는 것을 막고 환경 전반에서 자유롭게 이동할 수 있도록 합니다 .

위험 프로파일과 IBM 소버린 코어의 시너지

주권 위험 프로파일은 독립적으로 존재하는 것이 아닙니다. 이는 2026년 1월 처음 발표된 AI 대응형 주권 플랫폼 소프트웨어인 IBM 소버린 코어 위에 위치한 가시성 계층입니다 . 소버린 코어는 고객이 직접 운영하는 컨트롤 플레인을 내장하고, 160가지가 넘는 규정 준수 프레임워크를 통한 지속적인 모니터링을 제공하며, 사전 정의된 경계 내에서 AI 실행을 통제합니다. 그 기반에는 레드햇의 오픈소스 기술이 자리 잡고 있습니다 .

이 두 제품은 함께 2계층 전략을 이룹니다:

• 소버린 코어는 아키텍처 인프라입니다. 고객이 ID, 키, 규정 준수에 대한 권한을 가지고 AI 대응형 주권 환경을 구축하고 운영하기 위한 소프트웨어입니다 .
• 주권 위험 프로파일은 증거 및 검증 계층입니다. 이러한 주권 통제 수단이 설계 의도대로 작동하고 있음을 지속적으로 증명하는 모니터링 및 평가 도구입니다 .

실질적으로 조직은 소버린 코어를 사용해 관할권 경계 내에서 AI 워크로드를 통제된 방식으로 배포한 다음, 주권 위험 프로파일을 해당 워크로드에 적용하여 규제 기관이 요구하는 감사 추적 자료를 생성할 수 있습니다. IBM이 프레임 안에서 설명하는 '입증 가능성'은 주권 아키텍처를 신뢰할 수 있는 검증의 영역으로 전환시키는 기둥입니다 .