엔비디아 AI 칩 ‘클라우드 우회로’ 막는다…미국의 원격 접속 규제안

미국 행정부가 고성능 엔비디아 AI 칩의 물리적 수출뿐 아니라 원격 컴퓨팅 자원 이용까지 규제하는 방안을 검토하고 있다. 핵심 표적은 중국 기업이 칩을 중국으로 들여오지 않고도 태국·싱가포르 등 제3국 데이터센터에 설치된 엔비디아 GPU의 연산 능력을 빌리는 방식이다. 다만 이 방안은 아직 검토 단계이며, 시행 중인 확정 규정은 아니다. 716

칩은 해외에, 작업은 온라인으로

현재 미국 수출통제는 주로 통제 대상 물품의 수출·재수출·국내 이전을 기준으로 설계돼 있다. 고성능 AI 칩이나 관련 장비를 어디로 보내는지, 누가 구매하는지, 최종 용도가 무엇인지 확인하는 방식이다. 89

문제는 물리적인 서버가 움직이지 않는 경우다. 해외 데이터센터에 서버가 그대로 있고, 고객이 인터넷으로 모델 학습이나 추론 작업을 전송한다면 기존 규정상 이를 칩 자체의 ‘수출’로 볼 수 있는지는 명확하지 않다.

보도된 우회 방식은 대체로 다음과 같다.

1. 데이터센터 운영사나 클라우드 사업자가 중국 밖의 국가에 고성능 엔비디아 GPU를 설치한다.
2. 중국 기업은 칩이나 서버를 직접 인도받는 대신 해당 클러스터의 사용 권한을 임대한다.
3. 중국 기업이 코드와 데이터를 원격으로 보내고, GPU가 처리한 결과를 온라인으로 받는다.

즉 쟁점은 하드웨어의 소유권·물리적 위치와 그 연산 능력을 실제로 사용하는 주체가 서로 다를 수 있다는 점이다. 보도에서는 알리바바, 바이트댄스, 텐센트, 문샷AI 등이 동남아를 포함한 해외 지역에서 고성능 엔비디아 연산 자원을 사용했거나 사용을 모색한 기업으로 거론됐다. 58

5월 31일 BIS 지침만으로는 왜 부족했나

미 상무부 산하 산업안보국(BIS)은 2026년 5월 31일, 중국을 포함한 ‘국가 그룹 D:5’에 본사를 둔 기업이나 최종 모회사가 해당 지역에 있는 기업에 고성능 컴퓨팅 품목을 수출할 때 허가가 필요하다고 밝혔다. 해당 기업이 실제로 설립된 곳이 제3국이어도 마찬가지라는 취지다. 1821

이 지침은 중국 기업이 해외 자회사나 계열사, 관련 구매 법인을 통해 통제 대상 칩을 확보하는 일을 어렵게 만든다. 구매 기업이 어느 나라 법인으로 등록됐는지만 보는 것이 아니라 기업집단의 최종 지배 구조까지 살피기 때문이다. 1831

하지만 이 조치는 주로 장비의 선적과 취득을 다룬다. 로이터 보도에 따르면, 이미 제3국 데이터센터에 설치된 칩을 해당 시설이 계속 사용하거나 유지·보수하거나 임대하는 것까지 일반적으로 중단하도록 요구하지는 않는다. 1

따라서 5월 31일 지침은 중국과 연결된 기업이 해외에서 칩을 소유하거나 구매하는 경로의 일부를 막았지만, 칩이 이동하지 않은 상태에서 중국 기업이 원격으로 연산 능력을 소비하는 행위가 기존 법률상 수출인지에 대해서는 별도 문제가 남았다.

문샷AI와 Kimi K3를 둘러싼 주장

논란은 백악관 과학기술정책실장인 마이클 크라치오스가 문샷AI에 대해 제기한 주장으로 더욱 커졌다. 그는 문샷AI가 GB300이 탑재된 서버를 확보했고, 태국에서 GB300 칩에 접속해 AI 모델을 학습했을 가능성이 크다고 주장했다. 210

이 주장은 문샷AI의 Kimi 모델군, 그중에서도 Kimi K3와 관련해 논의됐다. 다만 현재 제공된 보도만으로는 미 상무부의 최종 집행 판단이나 법원의 확정 판결이 확인되지 않는다. 따라서 이를 확정된 수출통제 위반으로 단정하기보다는 미국 당국자가 제기한 의혹으로 다루는 것이 적절하다.

다른 보도에서도 중국 기술기업들이 말레이시아·태국·일본·싱가포르 등의 데이터센터와 클라우드 사업자를 통해 고성능 연산 자원에 접근했다는 내용이 나왔다. 다만 기업명, 시설, 사용된 하드웨어에 관한 보도는 서로 차이가 있다. 현재 확인 가능한 범위에서는 이를 구체적인 위반 사례가 모두 확정된 것으로 보기보다 보도되거나 의혹이 제기된 해외 연산 자원 접근 사례로 표현해야 한다. 6841

새 규정이 바꿀 수 있는 것

검토 중인 방안은 규제의 기준을 GPU가 어디에 설치돼 있는가에서 누가 통제 대상 연산 능력을 사용하는가로 옮기려는 시도다. 최종 문안에 따라 상무부는 클라우드 운영사, 데이터센터, 중개업체에 특정 칩이나 컴퓨팅 클러스터를 제공하기 전 고객 심사를 요구할 수 있다.

규정에는 다음과 같은 내용이 포함될 가능성이 있다.

• 해외 자회사나 재판매업체를 통해 통제 대상 GPU에 접속하는 중국 기업;
• 최종 모회사 또는 실질적 이용자가 중국에 있는 클라우드 계정;
• 특정 엔비디아 가속기 등 고성능 컴퓨팅 품목에 대한 접근;
• AI 학습·추론 등 지정된 최종 용도를 위한 원격 사용;
• 클라우드 사업자의 고객 확인 및 기록 보관 의무.

실제 규제의 범위가 중요하다. 당국은 어떤 칩과 시스템을 통제할지, 어느 수준의 연산 능력부터 규제할지, 단기 임대와 전용 클러스터를 다르게 취급할지 정해야 한다. 재판매업체나 여러 고객이 공유하는 계정 뒤에 있는 최종 이용자를 사업자가 어떻게 확인할지도 핵심 쟁점이다.

RASA는 어떤 역할을 하나

하원이 통과시킨 ‘원격접속보안법(Remote Access Security Act·RASA)’은 수출통제개혁법(ECRA)을 개정해 특정 형태의 원격 접속을 법률에 명시적으로 포함하려는 법안이다. 법안상 원격 접속은 외국인이 인터넷이나 클라우드 컴퓨팅 서비스를 포함한 네트워크 연결을 통해, 통제 대상 품목이 물리적으로 있는 장소와 다른 곳에서 해당 품목에 접근하는 행위를 뜻한다. 국가안보나 외교정책에 심각한 위험을 줄 수 있다고 판단되는 경우가 대상이 될 수 있다. 464849

미 하원은 2026년 1월 12일 H.R. 2683을 찬성 369표, 반대 22표로 통과시켰다. 이 법안이 시행되면 상무부가 클라우드 기반 접근을 규제할 수 있는 법적 근거는 한층 명확해진다. 다만 어떤 행위와 기술을 실제로 통제할지는 별도의 규칙 제정 절차를 거쳐야 한다. 5055

따라서 RASA 자체가 모든 클라우드 사업자에게 적용되는 완성된 운영 규정은 아니다. 상무부가 원격 접속 규제 체계를 만들 수 있도록 권한의 범위를 넓히는 조치에 가깝다.

상무부가 넘어야 할 장벽

법률상 권한

RASA와 같은 법률이 제정되지 않은 상태에서 상무부가 규제를 추진하려면, 기존 ECRA와 수출관리규정(EAR)의 ‘수출’, ‘재수출’, ‘이전’이라는 개념이 칩 자체가 움직이지 않은 원격 연산 능력 이용까지 포함한다고 주장해야 한다. 미국의 이중용도 품목 수출통제 권한은 기본적으로 수출·재수출·국내 이전을 대상으로 하므로, 의회가 별도의 원격 접속 정의를 제안한 배경도 여기에 있다. 5661

기존 의무가 어떻게 적용되는지 설명하는 지침은 가능하지만, 지침이나 행정규정만으로 전혀 새로운 규제 행위 범주를 만들어낼 수 있는지는 더 불확실하다. 광범위한 규정은 상무부가 위임받은 권한을 넘어섰거나 의회의 명확한 지시 없이 중대한 경제·외교정책 효과를 초래했다는 이유로 소송에 휘말릴 수 있다.

실제 고객을 찾아내는 문제

물리적 선적은 보통 수하인과 배송 목적지를 확인하면 된다. 그러나 클라우드 이용은 훨씬 유동적이다. 사업자는 자회사, 최종 모회사, 재판매업체, 계약업체, 가상사설망(VPN), 공유 클러스터, 실제 작업을 수행하는 사람을 숨길 수 있는 계정 구조를 함께 살펴봐야 한다.

이에 따라 클라우드 기업에는 금융권의 고객확인제도와 유사한 절차와 더 광범위한 이용 모니터링이 요구될 수 있다. 분석가들은 원격 접속 규제가 도입될 경우 고객 확인 절차 강화가 주요 시행 요건이 될 것으로 보고 있다. 311

미국 밖에서의 집행

서버, 데이터센터 운영사, 계약 당사자, 최종 이용자가 모두 미국 밖에 있을 수 있다. 상무부는 미국산 또는 EAR 적용 기술에 대한 접근 조건을 설정하고, 미국과 연결된 당사자에게 제재를 부과할 수 있다. 하지만 현지 정부의 협조나 미국 공급업체와의 계약상 지렛대 없이 태국·싱가포르·말레이시아의 모든 시설에 미국 정책을 직접 집행하도록 강제할 수는 없다.

기술적 기준과 경제적 파급효과

규제가 지나치게 좁으면 중개업체나 비미국산 하드웨어를 통한 우회가 쉬워진다. 반대로 지나치게 넓으면 일반적인 다국적 클라우드 서비스, 해외 데이터센터 운영사, 정당한 연구 이용자까지 부담을 질 수 있다.

사업자들은 어떤 칩의 성능, 클러스터 규모, 이용 기간, 작업 목적이 규제 기준을 넘는지 판단할 수 있는 명확한 기준도 필요로 한다. 기준이 불명확하면 규제 준수 비용이 커지고, 기업들이 미국과 연결되지 않은 하드웨어나 서비스로 이동할 가능성도 있다.

앞으로의 쟁점

이번 방안은 AI 칩의 이동만이 아니라 AI 연산 능력에 대한 접근 자체를 규제하려는 시도로 볼 수 있다. 5월 31일 BIS 지침은 중국과 연결된 기업이 해외에서 통제 대상 칩을 구매하는 일을 어렵게 만들었지만, 해외에 이미 설치된 칩을 원격으로 임대하는 문제와는 여전히 구분된다.

RASA가 시행되면 상무부의 법적 기반은 강화될 수 있다. 그러나 실제 집행에는 구체적인 규정, 클라우드 사업자의 고객 실사, 기술적 기준, 데이터센터가 있는 국가들의 협조가 필요하다.

현재 가장 중요한 단서는 규제의 법적 지위다. 원격 접속 규정은 아직 검토 중이며, 문샷AI를 둘러싼 주장은 그 자체로 위반 사실을 확정하지 않는다. 앞으로의 논쟁은 미국 수출통제가 물리적 칩을 따라가야 하는지, 칩을 소유한 기업을 따라가야 하는지, 이를 임대하는 고객을 따라가야 하는지, 아니면 칩이 제공하는 컴퓨팅 능력 자체를 규제해야 하는지를 둘러싸고 이어질 전망이다.