AI 클라우드 인프라가 조용히 당신의 데이터를 움직이고 있다. 어느 스토리지 티어에 올릴지, 언제 압축할지, 얼마나 복제할지, 그리고 언제 삭제할지 — 이 모든 결정이 지금 이 순간에도 변경 티켓 없이, 명시적 승인 없이, 감사 가능한 근거 기록 없이 이뤄지고 있다. "사람이 결정했다"는 거버넌스의 기본 전제가 AI 클라우드 오케스트레이션 레이어 앞에서 조용히 무너지고 있는 것이다.

이 문제가 지금 중요한 이유는 단순히 기술적 자동화의 심화 때문만이 아니다. GDPR, ISO 27001, SOC 2, 국내 개인정보보호법 등 주요 컴플라이언스 프레임워크는 모두 "데이터가 어디에 있고, 왜 거기 있으며, 누가 그 결정을 내렸는가"를 증명할 수 있어야 한다는 전제 위에 서 있다. AI가 그 결정을 대신 내리기 시작한 순간, 그 전제는 허구가 된다.

---

오케스트레이션 레이어가 조용히 내리는 결정들

현대 클라우드 스토리지 환경에서 AI 기반 오케스트레이션은 이미 상당히 깊숙이 들어와 있다. AWS의 S3 Intelligent-Tiering, Azure의 Blob Storage Lifecycle Management, Google Cloud의 Autoclass 같은 기능들은 모두 사용 패턴을 분석해 데이터를 자동으로 핫·쿨·아카이브 티어 사이에서 이동시킨다. 표면적으로는 비용 최적화 기능이다. 그런데 여기서 멈추지 않는다.

에이전틱 AI가 결합되면 이 결정의 범위가 급격히 확장된다. 단순 티어링을 넘어:

• 압축·중복제거(Dedup): AI가 스토리지 효율을 위해 런타임에 데이터 표현 방식을 변경
• 복제 정책 조정: 가용성 예측 모델에 따라 복제 팩터를 동적으로 올리거나 내림
• 보존·삭제 결정: 비용 최적화 에이전트가 "더 이상 접근되지 않는" 데이터에 대해 만료 정책을 적용
• 암호화 키 로테이션: 보안 에이전트가 위협 탐지 결과에 따라 키 교체 일정을 앞당김

각각의 결정은 기술적으로는 합리적이다. 문제는 이 결정들이 변경 관리 프로세스 바깥에서 일어난다는 것이다.

---

"누가 이 데이터를 여기로 옮겼는가"라는 질문이 답이 없어질 때

규제 감사를 한 번이라도 경험해본 사람이라면 안다. 감사관이 묻는 핵심 질문은 항상 이것이다: "이 결정은 누가, 언제, 어떤 근거로 내렸습니까?"

전통적인 변경 관리 체계에서는 이 질문에 답할 수 있었다. JIRA 티켓 번호, 승인자 이름, 변경 이유가 기록에 남아 있었다. 그런데 AI 오케스트레이션이 런타임에 자율 결정을 내리기 시작하면, 남는 것은 "무엇이 변했다"는 이벤트 로그뿐이다. "왜 변했고, 누가 승인했는가"는 사라진다.

이것은 단순한 문서화 문제가 아니다. GDPR 제5조는 데이터의 처리 목적과 방식에 대한 설명 가능성(Accountability)을 명시적으로 요구한다. 국내 개인정보보호법 역시 개인정보의 보관·파기 기준과 그 결정 주체를 기록으로 남기도록 규정한다. AI 에이전트가 자율적으로 데이터 보존 정책을 조정하거나 삭제를 트리거했을 때, 이 요건을 충족할 수 있는 조직이 과연 얼마나 될까.

AI 클라우드가 네트워크 라우팅을 자율 결정하는 문제와 마찬가지로, 스토리지 거버넌스에서도 "감사 로그는 남지만 의사결정 근거는 없다"는 동일한 패턴이 반복되고 있다.

---

실제로 어떤 일이 벌어지는가 — 세 가지 시나리오

시나리오 1: 비용 최적화 에이전트가 규제 데이터를 아카이브로 이동시킨 경우

한 금융 서비스 기업이 클라우드 FinOps 에이전트를 도입했다. 에이전트는 90일 이상 접근되지 않은 데이터를 자동으로 아카이브 티어로 이동시켰다. 문제는 그 데이터 중 일부가 규제상 "즉시 접근 가능" 상태로 유지해야 하는 고객 거래 기록이었다는 것이다. 에이전트는 비용 절감이라는 목표 함수를 충실히 수행했지만, 금융 당국의 데이터 접근성 요건을 위반했다. 그리고 그 결정을 내린 "책임자"는 존재하지 않았다.

시나리오 2: 보안 에이전트가 암호화 키를 로테이션한 후 복호화 실패

위협 탐지 에이전트가 이상 접근 패턴을 감지하고 자율적으로 암호화 키를 교체했다. 이는 보안 관점에서는 올바른 반응이었다. 그러나 구형 백업 시스템이 새 키를 인식하지 못해 복구 불가 상태가 됐다. 변경 티켓이 없었으므로 사후 분석(Post-Mortem)에서 "누가 이 키 로테이션을 승인했는가"라는 질문은 끝내 답을 찾지 못했다.

시나리오 3: 중복제거 알고리즘이 데이터 무결성 요건과 충돌

컴플라이언스 목적으로 원본 그대로 보존해야 하는 로그 파일이 있었다. AI 기반 스토리지 최적화 레이어가 이 파일들을 중복제거 처리했다. 기술적으로는 동일한 내용이 복원 가능하지만, 감사관 입장에서 "원본 파일이 변형 없이 보존됐는가"라는 질문에 "예"라고 답하기가 매우 어려워졌다.

---

AI 클라우드 스토리지 거버넌스의 구조적 취약점

이 세 시나리오를 관통하는 공통점은 하나다. AI 오케스트레이션 레이어가 "데이터에 관한 결정"을 내리는 행위자로 기능하지만, 거버넌스 프레임워크는 여전히 그 행위자를 "도구"로 분류한다는 것이다.

도구는 책임지지 않는다. 결정을 내리지도 않는다. 그런데 지금의 AI 에이전트는 결정을 내린다 — 다만 그 결정에 서명할 "사람"이 없을 뿐이다.

NIST의 AI Risk Management Framework(AI RMF)는 AI 시스템의 결정에 대한 설명 가능성과 인간 감독(Human Oversight)을 핵심 원칙으로 제시한다. 그러나 현실의 클라우드 스토리지 자동화는 이 원칙과 점점 멀어지고 있다. 에이전트가 초당 수백 건의 티어링 결정을 내리는 환경에서 "각 결정에 인간 승인을 받는다"는 것은 사실상 불가능하다. 그렇다면 우리는 어떤 거버넌스 모델이 필요한가.

---

실무적으로 지금 당장 할 수 있는 것들

완벽한 해답은 아직 없다. 그러나 거버넌스 공백을 줄이기 위해 지금 당장 적용할 수 있는 접근법들은 분명히 존재한다.

1. 정책 경계(Policy Boundary)를 코드로 명시하라

AI 에이전트가 자율 결정을 내릴 수 있는 범위를 명시적으로 정의하고, 그 경계를 코드로 구현해야 한다. 예를 들어:

• "규제 태그가 붙은 데이터는 자동 티어링 대상에서 제외"
• "보존 기간이 설정된 데이터는 에이전트가 삭제 트리거 불가"
• "암호화 키 로테이션은 변경 관리 API를 통해서만 실행 가능"

이것은 에이전트의 자율성을 제거하는 것이 아니라, 자율성이 허용되는 공간과 그렇지 않은 공간을 구분하는 것이다.

2. "왜"를 기록하는 의사결정 로그를 분리하라

이벤트 로그(무엇이 변했다)와 의사결정 로그(왜 변했다, 어떤 정책 규칙이 트리거됐다)를 분리해서 저장해야 한다. 현재 대부분의 클라우드 오케스트레이션 도구는 이벤트 로그만 남긴다. AI 에이전트가 어떤 추론 경로를 통해 결정에 도달했는지를 별도 로그로 기록하는 구조가 필요하다. 이것이 감사 시 "설명 가능한 AI 결정"의 최소 요건이다.

3. 고위험 결정에 대한 "인간 게이트"를 설계하라

모든 결정에 인간 승인을 요구하는 것은 현실적이지 않다. 그러나 고위험 결정 유형을 사전에 정의하고, 그 유형에 해당하는 결정은 반드시 인간 검토를 거치도록 설계할 수 있다. 예를 들어:

• 일정 크기 이상의 데이터 삭제
• 규제 분류 데이터의 지역(Region) 이동
• 암호화 키 교체

이런 결정들은 에이전트가 제안하고, 인간이 최종 승인하는 구조로 설계해야 한다.

4. 컴플라이언스 팀을 오케스트레이션 정책 설계에 참여시켜라

현재 대부분의 조직에서 AI 오케스트레이션 정책은 인프라 엔지니어링 팀이 단독으로 설계한다. 컴플라이언스, 법무, 보안 팀이 "어떤 데이터에 어떤 자율 결정이 허용되는가"를 함께 정의하는 구조가 필요하다. 기술 문제가 아니라 거버넌스 문제이기 때문이다.

---

"조용히 허구가 되어가는" 전제들

지금까지 이 시리즈에서 반복적으로 확인한 패턴이 있다. AI 클라우드 오케스트레이션은 워크로드 배치, 네트워크 라우팅, 비용 관리, 패치, 모니터링, 장애 복구, 접근 제어에 이어 이제 데이터 스토리지 결정에서도 동일한 구조적 문제를 만들어내고 있다.

"사람이 결정했다"는 전제. "변경은 승인을 거쳤다"는 전제. "데이터는 우리가 의도한 방식으로 보관되고 있다"는 전제. 이것들이 하나씩, 조용히, 허구가 되어가고 있다.

흥미롭게도, 이 문제는 기술의 실패가 아니다. AI 에이전트는 자신에게 주어진 목표 함수를 충실히 수행하고 있다. 문제는 우리가 그 목표 함수를 설계할 때, 거버넌스 요건을 제약 조건으로 충분히 포함시키지 않았다는 것이다.

마치 고생물학자들이 화석 발굴 현장에서 새로운 발견을 했을 때 기존의 분류 체계를 업데이트해야 하는 것처럼, 우리도 AI 에이전트가 실질적 의사결정자로 기능하는 현실에 맞게 거버넌스 프레임워크 자체를 업데이트해야 한다. 기존 체계를 AI 시대에 억지로 끼워 맞추는 것으로는 충분하지 않다.

---

AI 클라우드가 데이터에 관한 결정을 내리는 것 자체가 문제는 아니다. 그 결정이 설명 불가능하고, 감사 불가능하며, 거버넌스 프레임워크 밖에서 이루어지는 것이 문제다. 기술은 이미 앞서 달리고 있다. 이제 거버넌스가 그 속도를 따라잡을 차례다 — 아니면 우리가 "승인했다고 믿었던" 것들이 실제로는 아무도 승인하지 않은 결정이었음을 뒤늦게 깨닫게 될 것이다.

---

태그: AI 클라우드, 스토리지 거버넌스, 에이전틱 AI, 데이터 컴플라이언스, 클라우드 자동화, 감사 가능성

저는 이미 완성된 글의 끝부분을 받았습니다. 글은 태그 라인까지 완전히 마무리되어 있습니다.

혹시 다음 편 글을 새로 작성해 드릴까요? 이 시리즈의 맥락과 아직 다루지 않은 주제(예: AI가 자율 결정하는 컴플라이언스 리포팅, 공급망 보안, 멀티클라우드 정책 등)를 바탕으로 새로운 각도의 글을 제안하고 작성해 드릴 수 있습니다.

원하시는 방향을 알려주시면 바로 시작하겠습니다.