중국 '동수서산' 프로젝트, AI 컴퓨팅 인프라 국가 통합...개인정보 거버넌스 과제 부각

핵심 요약

- 중국, 국토 전체를 단일 AI 컴퓨팅 네트워크로 통합하는 '동수서산(東數西算)' 프로젝트 본격 추진 - 한국의 2026년 AI 기본법 시행 '규제 우선' 방식과 대비되는 중국의 '인프라 선투자' 전략 - 국가 단위 AI 컴퓨팅 통합 환경에서 개인정보 처리·국경 간 데이터 이동 거버넌스 과제 대두

주요 내용

중국이 2026년 현재 동부 지역의 데이터를 서부 지역 컴퓨팅 센터로 전송 처리하는 '동수서산(東數西算)' 프로젝트를 국가 핵심 전략으로 추진하고 있다. 이는 전국을 하나의 거대한 슈퍼 컴퓨팅 노드로 만드는 인프라 통합 계획으로, 에너지 효율과 컴퓨팅 자원 최적화를 목표로 한다.

한국이 2026년 1월 AI 기본법 시행으로 제도적 기반을 먼저 구축하고 민간 투자를 유도하는 방식을 택한 것과 달리, 중국은 국가 계획 주도로 물리적 인프라를 대규모로 선투자하는 전략을 취하고 있다. 한국의 AI 기본법이 AI 시스템의 안전성·신뢰성·투명성 확보를 위한 규칙 제정에 집중한다면, 중국은 규칙보다 실제 컴퓨팅 파워 확보를 우선순위에 둔다.

이러한 국가 단위 AI 인프라 통합은 AI 모델 학습과 추론에 필요한 방대한 데이터가 지역 간, 나아가 국경을 넘어 이동하는 환경을 조성한다. 특히 동수서산 프로젝트는 인구 밀집 동부 지역에서 생성된 개인정보를 포함한 데이터를 서부 데이터센터로 전송 처리하는 구조로, 데이터 주권과 개인정보 보호 문제를 내포한다.

중국의 접근 방식은 AI 거버넌스에서 '기술 인프라 확보'와 '규제 체계 수립' 중 무엇을 우선할 것인가에 대한 국가별 전략 차이를 명확히 보여준다. 한국 기업들은 중국과의 AI 협력이나 중국 시장 진출 시 이러한 인프라 중심 거버넌스 환경을 이해하고 대응해야 한다.

전문가 시각

ISMS-P 심사 관점에서 국가 단위 AI 컴퓨팅 통합은 '개인정보 처리 위탁' 및 '제3자 제공'에 대한 거버넌스 복잡도를 기하급수적으로 증가시킨다. 동수서산과 같은 구조에서는 데이터 처리 장소, 접근 권한자, 처리 목적이 동적으로 변화하며, 전통적인 '수집-이용-제공' 단계별 통제 모델이 작동하기 어렵다. 한국 AI 기본법 제23조(개인정보 보호) 및 개인정보보호법의 국외 이전 규정(제28조의8)을 고려할 때, 중국 인프라를 활용하는 국내 기업은 데이터 흐름의 추적 가능성(traceability) 확보가 필수적이다.

실무적으로 한국 기업이 주목해야 할 점은 AI 기본법 제11조(AI 영향평가)와 ISMS-P 인증 시 요구되는 '개인정보 영향평가' 간 정합성이다. 중국식 중앙집중형 AI 인프라와 연동되는 서비스를 개발할 경우, 단순히 국내법 준수만이 아니라 중국의 데이터 보안법, 개인정보보호법과의 충돌 가능성을 사전 검토해야 한다. 특히 중국은 2021년 이후 '데이터 출경 안전평가' 제도를 강화했으며, 한국에서 중국 컴퓨팅 자원을 활용할 경우 역방향 데이터 이전도 중국 당국의 평가 대상이 될 수 있다.

CPPG·ISMS-P 연계 포인트

AI 영향평가와 개인정보 영향평가의 통합
AI 기본법 제11조는 고위험 AI에 대한 영향평가를 의무화하며, 이는 개인정보보호법상 개인정보 영향평가(제33조)와 중첩된다. ISMS-P 인증 심사 시 AI 시스템이 개인정보를 처리하는 경우 두 평가를 통합 수행하되, AI 특유의 자동화 의사결정, 편향성, 설명 가능성 항목을 추가해야 한다.

국외 이전 시 개인정보 처리 위탁 관리
중국과 같은 중앙집중형 AI 인프라 활용 시 개인정보의 국외 이전(제28조의8)과 처리 위탁(제26조) 요건을 동시 충족해야 한다. ISMS-P 심사 기준 3.2.2(개인정보 처리 위탁 관리)는 위탁업체에 대한 관리·감독 책임을 명시하는데, 국경을 넘는 클라우드 컴퓨팅 환경에서는 계약서상 데이터 처리 위치, 접근 통제, 감사 권한을 명확히 규정하고 정기 점검 체계를 구축해야 한다.