2026년 6월, Anthropic의 Claude Fable 5와 Claude Mythos 5가 미국 정부의 수출 규제를 받아 일시적으로 제공이 중단되었습니다. 저를 포함해 주말에 테스트해 보려고 생각했다가 시도하지 못해 실망한 분들이 많을 것이라 생각합니다.

처음에는 '새로운 모델이 멈춘 건가' 정도로 보고 있었지만, 이유가 성능 문제나 장애가 아니라 국가 안보상의 우려였기에 이는 꽤 큰 이야기라고 생각했습니다.

참고:

WIRED의 기사에서는 Anthropic이 미국 정부로부터 국가 안보상의 우려에 기반한 수출 관리 지시를 받아, Claude Fable 5와 Mythos 5를 무효화한다고 설명하고 있습니다. 특히 Fable 5의 안전 기제를 회피하는, 이른바 jailbreak(탈옥) 가능성이 문제시된 것으로 보입니다.

이 이야기를 읽으면서, 최근 자주 보이는 '소브린(Sovereign)'이라는 단어가 갑자기 현실감 있게 다가왔습니다.

클라우드나 AI는 편리한 서비스로서 사용하다 보면, 아무래도 '어떤 모델이 똑똑한가', '어떤 클라우드가 저렴한가'와 같은 이야기로 흐르기 쉽습니다. 하지만 이번 건은 그것뿐만이 아니라,

우리가 의존하고 있는 디지털 기반을 누가 최종적으로 멈출 수 있는가

라는 이야기이기도 하다고 생각합니다.

이 기사에서는 AI와 대화하며 나름대로 정리한 '소브린이란 무엇인가'를 정리합니다. 목표는 정책론을 깊게 파고드는 것이 아니라, AI 서비스나 클라우드를 사용하는 입장에서 '무엇을 우리 스스로 쥐고 있어야 하는가'를 생각하기 위한 조감도를 갖는 것입니다.

소브린, 영어로는 sovereign은 본래 '주권'을 의미하는 단어입니다.

IT 문맥에서는 대략

데이터나 시스템, AI를 우리들의 규칙으로 관리·통제할 수 있는 것

으로 사용되고 있는 것 같습니다.

이전에는 개인정보 보호나 컴플라이언스(Compliance) 문맥에서 자주 등장하는 단어였다고 생각합니다. 예를 들어 '데이터를 특정 국가·지역에 둘 필요가 있다'라거나, '규제상 이 데이터는 국외로 나갈 수 없다'와 같은 이야기입니다.

다만, 최근에는 그것만이 아니게 되었습니다.

미중 대립, 반도체 규제, AI 모델의 과점화, 클라우드 기반에 대한 의존이 겹치면서,

중요한 디지털 기반을 타국이나 특정 기업에 강하게 의존한 채로 있어도 괜찮은가

라는 질문으로서 이야기되는 느낌이 듭니다.

개발자나 아키텍트의 관점에서는 소브린을 다음과 같은 질문으로 떨어뜨려 보면 이해하기 쉽다고 생각했습니다.

• 그 AI 서비스에 넣은 데이터는 어디에서 처리되는가
• 학습이나 개선에 사용되는가
• 관리자나 지원 담당자가 볼 수 있는가
• API나 모델이 갑자기 사용할 수 없게 된 경우, 대체 수단은 있는가
• 특정 벤더의 모델을 전제로 프롬프트나 업무 플로우를 너무 깊게 만들어 놓지는 않았는가
• 감사 로그(Audit log)나 이용 이력을 나중에 설명할 수 있는가
• 사내 규칙이나 업계 규제에 맞춰 제어할 수 있는가

전부를 완벽하게 충족하는 것은 현실적이지 않다고 생각합니다.

다만 '편리하니까 사용한다'뿐만 아니라, '어디까지 의존해도 좋은가'를 생각하기 위한 체크리스트로서는 사용할 수 있을 것 같습니다.

IBM의 소브린 클라우드(Sovereign Cloud) 설명에서는 소브린 클라우드를 생각할 때 중요한 요소로 다음 세 가지를 꼽고 있습니다.

• 데이터 주권
• 운영 주권
• 디지털 주권

처음에는 '전부 비슷한 이야기 아닌가?'라고 생각했지만, 나누어 보니 정리하기 쉬웠습니다.

소브린
├─ 데이터 주권
├─ 운영 주권
...

데이터 주권은 데이터를 누가 관리하고, 누가 액세스할 수 있는가에 대한 이야기입니다.

단순히 '어느 리전(Region)에 저장할 것인가'뿐만 아니라, 어느 국가·지역의 법률이 적용되는지, 누가 암호 키를 관리하는지, 클라우드 사업자나 운영 담당자가 내용을 볼 수 있는지와 같은 부분까지 포함합니다.

비슷한 용어로 데이터 레지던시(Data Residency)가 있습니다. 이는 주로 '데이터가 어디에 존재하는가'에 대한 이야기입니다. 반면, 데이터 주권은 '그 데이터에 어떤 법 제도나 관리 권한이 미치는가'까지 보기 때문에 조금 더 범위가 넓습니다.

운영 주권은 시스템의 운영을 누가 컨트롤할 수 있는가에 대한 이야기입니다. 관리자 권한, 장애 대응, 백업, 감사 로그, 운영 담당자의 소재나 권한 등이 대상이 됩니다.

이번 Claude Fable 5 건도 직접적으로는 AI 모델 이야기이지만, '서비스를 누가 멈출 수 있는가'라는 의미에서는 운영 주권의 감각에 가깝습니다.

디지털 주권은 데이터뿐만 아니라 소프트웨어, 클라우드 기반, ID 관리, 감사, 정책 등 디지털 자산 전체를 통제할 수 있는가에 대한 이야기입니다.

제 이해로는,

디지털로 업무를 하기 위한 기반을 우리 스스로 설명·관리·변경할 수 있는가

를 보는 사고방식입니다.

조금 혼란스러울 수 있었던 부분이 바로 「소브린 클라우드 (Sovereign Cloud)」나 「소브린 AI (Sovereign AI)」라는 용어입니다.

처음에는 이것들도 주권의 한 종류인가 생각했지만, 클라우드나 AI는 주권 그 자체가 아니라 주권을 적용하는 대상이라고 생각하니 이해하기 쉬웠습니다.

주권
├─ 데이터 주권 (Data Sovereignty)
├─ 운영 주권 (Operational Sovereignty)
...

소브린 클라우드는 클라우드 환경에 대해 데이터 주권·운영 주권·디지털 주권을 어떻게 실현할 것인가에 대한 이야기입니다. 반면, 소브린 AI는 AI에 대해 동일한 질문을 던지는 것이라고 이해하고 있습니다.

• AI에 입력한 데이터를 누가 관리하는가
• AI 모델을 누가 운영하는가
• 모델이나 추론 기반은 어느 국가·기업에 의존하고 있는가
• AI의 판단이나 출력을 감사(Audit)할 수 있는가
• 모델의 이용 중단이나 제한이 발생했을 때 대체할 수 있는가

기존의 IT에서는 보호해야 할 대상이 주로 데이터였습니다.

하지만 생성형 AI (Generative AI)가 들어오면서 이야기가 조금 달라집니다. AI는 데이터를 읽을 뿐만 아니라, 판단하고, 요약하고, 코드를 작성하며, 업무 조작의 일부까지 담당하게 됩니다.

그렇게 되면,

데이터를 어디에 둘 것인가

만으로는 부족하며,

AI를 누가 관리하고, 누가 통제하며, 누가 멈출 수 있는가

가 중요해집니다.

Claude Fable 5 건으로 제가 걸렸던 부분도 바로 여기입니다.

모델의 성능만 보고 채택하고 있다면, 해당 모델이 정책·수출 규제·기업의 판단에 의해 갑자기 사용할 수 없게 되었을 때 업무 측면에서 상당히 곤란해집니다. 특히 AI 에이전트 (AI Agent)나 자동화의 핵심에 포함하고 있는 경우에는 더욱 그렇습니다.

또 하나 오해할 뻔했던 점은, 「소브린 = 전부 온프레미스 (On-premises)로 되돌리는 것」은 아니라는 점입니다.

물론 온프레미스나 국내 데이터 센터, 분산 클라우드 (Distributed Cloud)가 중요해지는 상황은 있습니다. 하지만 소브린의 본질은 장소뿐만 아니라 통제할 수 있다는 점이라고 생각합니다.

클라우드를 사용하더라도 데이터의 소재를 선택할 수 있고, 암호 키를 직접 관리할 수 있으며, 액세스 권한을 제어할 수 있고, 감사 로그 (Audit Log)를 취득할 수 있으며, 다른 환경으로 옮길 수 있는 등의 조건이 있다면 어느 정도의 주권은 확보할 수 있습니다.

이번에 정리하면서 제 안에서는 소브린을 다음과 같이 정의했을 때 가장 적절하게 느껴졌습니다.

소브린이란 데이터나 시스템, AI에 대한 주도권을 갖는 것

그 중심에는 데이터 주권·운영 주권·디지털 주권이 있습니다. 그리고 클라우드나 AI는 그 주권을 적용하는 대상입니다.

Claude Fable 5의 중단 소동은 AI가 단순한 편리한 소프트웨어가 아니라, 국가 안보나 경제 안보의 대상이 되고 있다는 것을 매우 명확하게 보여준 사건이라고 생각합니다.

앞으로 AI를 업무에 도입하면 할수록 「어떤 모델이 똑똑한가」뿐만 아니라,

그 AI를 우리 스스로 어디까지 설명·관리·대체할 수 있는가

를 고민해야 할 필요가 있어 보입니다.