최근 미국 상원의원들이 사우디아라비아 국부펀드(PIF) 주도의 일렉트로닉 아츠(EA) 인수를 두고 '국가 안보 위협'을 선포했다. 단순한 기업 거래를 넘어, 6억 명의 사용자 데이터가 권위주의 국가의 통제 하에 들어가 AI 감시 및 선전 도구로 악용될 수 있다는 우려다. 한국 역시 대형 게임사가 제 3국에 인수될 시 동일하거나 더 큰 위험이 야기될 수 있어, 관련 보완이 시급하다.

미국 상원의원들이 EA 인수에 제동을 건 핵심 이유는 EA가 가지고 있는 각종 유저 데이터의 전략적 가치 때문이다. EA와 같은 거대 게임사는 단순히 ID나 이름, 주소를 넘어, 결제 정보, 유저 성향, 게임 플레이 중 발생하는 정밀한 행동 패턴과 실시간 위치 정보까지도 수집한다. 의원들은 이러한 데이터가 권위주의 정부의 AI 감시 시스템에 활용되는 점을 우려하고 있다. 사용자들의 스트레스 하 의사 결정 경향이나 반응 패턴까지 분석해 잠재적 반대 세력을 식별하고 예측하는 디지털 독재의 기반이 될 수 있다는 지적이다.

미국은 외국 투자가 국가 안보에 위험을 초래할 경우 이를 검토하는 강력한 범부처 위원회인 CFIUS(외국인투자심의위원회)를 운영한다. CFIUS는 외국 정부가 미국 기업의 25% 이상의 의결권을 확보하고, 해당 기업이 지난 12개월간 100만 명 이상의 개인에 대한 민감 개인정보를 수집/유지했을 경우 심사를 의무화한다. 사우디 PIF는 사우디 정부의 전략적 기관으로 간주되며 , 이 거래를 통해 PIF가 EA에 대한 다수 경영권을 확보할 가능성이 제기되고 있다.

그 과정에서 이번 인수에 트럼프 전 대통령의 사위 재러드 쿠슈너의 투자사가 참여한 점이 규제 회피 의혹을 증폭시키고 있다. CFIUS 심사 승인을 쉽게 얻기 위한 '보험' 역할을 한 것 아니냐는 것이다. 또한, 미국 법무부(DOJ)는 중국, 러시아 등 '우려 국가'를 대상으로 대규모 데이터 이전을 전면 금지하는 방어선을 구축했으나, 사우디아라비아는 '우려 국가' 목록에서 빠져 있다. 이로 인해 사우디 PIF의 EA 인수는 강력한 DOJ 규정을 피했으며, CFIUS의 완화 조치에 의존해야 하는 상황이다.

리처드 블루멘탈(Richard Blumenthal) 상원의원과 엘리자베스 워렌(Elizabeth Warren) 상원의원은 EA 인수가 국가 안보와 사용자 데이터 접근에 대한 우려를 제기하며 CFIUS의 철저한 조사를 촉구했다. 그들은 이 거래가 사우디 정부에 미국 게임 설계 및 데이터 인프라에 대한 통제되지 않은 영향력을 제공할 수 있다고 경고했다.

더불어 사우디아라비아와 같은 국가는 이미 안면 인식, 예측 경찰 활동 등 AI 기반 감시 시스템을 국내에서 반체제 인사를 감시하고 탄압하는 데 사용하고 있다. 게임에서 얻는 대규모 행동 및 위치 데이터는 이러한 AI 시스템의 정확도와 범위를 획기적으로 향상시킬 수 있으며, 특히 사용자 표적화(Profiling) 능력을 극대화하여 잠재적 반대 세력을 식별하고 예측하는 데 사용될 수 있다는 것이다.

이번 사태는 단순한 미국 이야기가 아니다. 한국의 대형 게임사가 유사한 권위주의 국가 연계 자본에 인수될 경우, 미국보다 법적 방어막이 취약하기 떄문이다.

한국은 개인정보의 국외 이전 및 인수합병(M&A) 시 개인정보보호법(PIPA)을 통해 개인의 '동의 및 거부권'을 핵심 방어 기제로 삼는다. 그러나 대형 게임사 인수 시 수백만 명의 이용자가 서비스 종료를 감수하며 거부권을 행사하기란 사실상 어렵다. 이런 면에서 개인의 선택권에 의존하는 법적 안전망은 국가 안보 차원의 시스템적 방어 장치로 기능할 수 없다.

더불어 한국 정부는 외국인투자촉진법(FIPA)으로 국방이나 국가 첨단 전략기술 유출 위험 시 투자를 제한한다. 문제는 게임 개발에 쓰인 AI 기술이나 대규모 행동 분석 데이터가 아직 '국가 첨단 전략기술'로 분류되지 않고 있다는 점이다. AI와 유저 데이터를 핵심 기술로 명시하여 EA 인수에 제동을 건 미국과 대조되는 부분이다.

따라서, 한국 정부 역시 국내 대형 게임사의 국외 이전이나 인수합병에 대해 보다 강력한 규제와 개입을 고려해야 한다. 구체적으로는 외국인 투자 심사(FDI) 시 AI 기술을 포함한 데이터 안보 영향 평가를 의무화하고, 개인정보보호법을 넘어선 법적 방어 장치를 마련해야 한다. M&A 이전에 한국 이용자 및 핵심 데이터를 외국 투자자가 직접 접근할 수 없는 국내 서버 환경에 분리하도록 하거나, 외국 투자자가 경영권을 확보하더라도 핵심 데이터 및 AI 기술의 사용과 개발 결정에 관해서는 정부 승인된 국내 데이터 보안 책임자나 국내 이사가 거부권을 행사할 수 있는 지배구조를 의무화하는 것도 방법이다.