블랙리스트 오른 지 3년, 인스퍼 개명 자회사는 엔비디아 칩 계속 구매

3년 전 미국 상무부는 세계 최대 서버 제조업체 중 하나인 인스퍼그룹(Inspur Group)을, 국가안보 위협으로 판단한 기업을 겨냥한 블랙리스트인 '엔티티 리스트(Entity List)'에 올렸다. 이 조치는 엔비디아의 가장 진보된 인공지능 칩을 포함해 인스퍼가 미국 기술에 접근하지 못하도록 차단하기 위한 것이었다. 하지만 실제로는 그렇지 않았다. 데이터 기업 임포트지니어스(ImportGenius)와 공동으로 분석한 무역 기록을 바탕으로 한 뉴욕타임스의 조사 결과를, 인사이드AI뉴스(Inside AI News)가 보도한 바에 따르면, 법적으로는 인스퍼가 개명한 미국 자회사인 실리콘밸리 기업 에이브레스는 2024년 4월부터 2026년 2월 사이에 최소 56억 달러 상당의 첨단 미국 기술을 수출했으며, 이 가운데 30억 달러 이상이 엔비디아의 최신 블랙웰 칩을 탑재한 컴퓨터였다. 같은 무역 기록에 따르면 이 물량은 동남아시아를 거쳐, 알리바바와 바이트댄스를 포함한 중국 최대 인공지능 기업들에 서비스를 제공하는 데이터센터와 기술 기업들로 흘러갔다.

엔티티 리스트가 실제로 막는 것

미국 상무부 산업안보국(Bureau of Industry and Security, BIS)의 엔티티 리스트는, 안보 위협으로 판단되는 기업에 민감한 미국 기술이 넘어가지 못하도록 막기 위해 워싱턴이 사용하는 핵심 수단이다. 일단 명단에 오르면 미국 공급업체는 수출통제 규정이 적용되는 제품을 판매하기 위해 특별 허가를 받아야 하는데, 첨단 칩의 경우 이런 허가는 거의 승인되지 않는다. 다만 이 명단이 자동으로 미치지 않는 부분이 있다. 바로 등재된 기업의 모든 계열사까지 포괄하지는 않는다는 점이다. 2023년 3월 인스퍼그룹이 군사용 슈퍼컴퓨터를 위해 미국 기술을 확보하려 했다는 이유로 명단에 오를 당시, 미국 자회사는 명시적으로 지목되지 않았다. 두 달도 채 지나지 않아 이 자회사는 조용히 사명을 인스퍼 시스템스(Inspur Systems)에서 에이브레스 시스템스(Aivres Systems)로 바꿨다. 서류상으로 인스퍼그룹은 인스퍼 일렉트로닉(Inspur Electronic) 지분의 3분의 1만 간접 보유하고 있으며, 이 회사가 에이브레스를 전액 소유하고 있다. 바로 이 분리 구조 덕분에 에이브레스는 모기업의 구매를 사실상 불가능하게 만든 그 블랙리스트에서 지금까지 벗어나 있다.

이름 바뀐 사무실, 응답 없는 회사

에이브레스만이 이 사슬의 유일한 고리는 아니다. 임포트지니어스가 검토한 무역 기록에 따르면, 지난해 설립돼 인스퍼의 지난시(濟南) 본사에서 몇 블록 떨어진 곳에 자리한 중국 기업 마진프라(Maginfra)는 6개월 동안 말레이시아산 서버 7억 달러어치 이상을 중국으로 수입했으며, 그중 1,500대 이상은 고급 AI 하드웨어에 걸맞은 가격이 매겨져 있었다. 마진프라는 서류상 인스퍼와 아무런 지분 관계가 없지만, 기업 등록 서류를 보면 모기업의 법정대리인이 과거 인스퍼 계열사에서 직책을 맡은 적이 있고, 특허 기록에는 예전에 인스퍼에서 일했던 발명자들의 이름이 올라 있다. 한 기자가 마진프라의 등록 주소를 방문했을 때 사무실은 텅 비어 있었다. 잠긴 문 뒤에는 의자 몇 개와 책상만 있었고, 건물 직원들은 그곳을 사용하는 사람을 본 적이 없다고 말했다. 그럼에도 트럼프 행정부는 올해 마진프라에 엔비디아의 저사양 H200 칩 구매 허가를 승인했으며, 마진프라는 별도로 중국 국영은행 산하 기관에 고성능 컴퓨팅 장비를 판매하는 1억 6,500만 달러 규모 계약을 체결했다.

• 사명 변경: 인스퍼의 미국 자회사는 모기업이 2023년 3월 블랙리스트에 오른 지 두 달 만에 인스퍼라는 이름을 버리고 에이브레스로 바꿨다.
• 지분 구조 다층화: 인스퍼그룹은 에이브레스를 소유한 법인의 지분을 간접적으로 3분의 1만 보유하고 있어, 자회사가 엔티티 리스트에서 벗어나 있다.
• 페이퍼컴퍼니: 인스퍼와 연관된 직원과 특허를 보유한 신설 중국 기업 마진프라는 6개월간 말레이시아에서 7억 달러 이상의 서버를 수입했다.
• 원격 클라우드 접근: 중국 기업들이 하드웨어를 소유하지 않은 채 태국 데이터센터에 설치된 엔비디아 GB300 칩으로 모델을 훈련시켰다는 보도가 있으며, 이는 현행 수출 규정이 다루지 못하는 허점이다.

이걸 보고 수출통제를 우회하기 위한 국가 후원 중국 네트워크가 아니라고 보기는 매우 어렵다.

워싱턴이 허점을 못 막는 이유

이러한 패턴은 법적 문제이면서 동시에 집행상의 문제이기도 하다. 인사이드AI뉴스가 인용한 현직 및 전직 관리들에 따르면, 상무부 내부에서는 10개월째 단 한 곳의 기업도 엔티티 리스트에 추가되지 않았는데, 이는 18년 만에 가장 긴 공백이다. 관리들은 2025년 블랙리스트 확대 시도가 베이징의 보복 위협을 불러온 이후 행정부가 블랙리스트 확대에 더 신중해졌다고 설명한다. 2026년 5월 31일 산업안보국은, 어느 자회사가 주문했는지와 무관하게 허가 요건이 기업의 최종 모기업 소재지를 기준으로 적용된다는 지침을 발표했다. 이 규정은 기술적으로 2023년 11월부터 적용돼 왔다고 산업안보국은 밝혔지만, 그럼에도 에이브레스는 여전히 어떤 명단에도 추가되지 않았다. 의회에서는 기업이 직접 소유한 칩뿐 아니라 클라우드에서 임대한 칩까지 수출통제 대상으로 확대하는 '원격접근보안법(Remote Access Security Act)'이 2026년 1월 하원을 통과했지만, CNBC에 따르면 상원에서 여전히 멈춰 있다. 에이브레스의 사업을 조사해온 세미애널리시스(SemiAnalysis) 분석가 조던 나노스(Jordan Nanos)는 이 자회사가 제재 대상 모기업과 동일한 서버, 직원, 사무실을 그대로 쓰고 있다고 지적하며 '이들을 금지하려는 것인지, 아닌지'라고 물었다. 엔비디아 대변인 존 리조(John Rizzo)는 회사가 '전용(轉用)된 제품'을 지지하지 않으며 수출 규정 준수를 위해 노력하는 파트너에게만 판매한다고 밝혔다.

칩 공급망에 이것이 의미하는 것

AI 하드웨어를 판매, 운송, 설치하는 한국 기업들에게 에이브레스 사례는 컴플라이언스 심사가 더 이상 구매 주문서에 적힌 회사명만으로는 충분하지 않다는 경고다. 구매자의 최종 모기업, 지분 구조, 그리고 제재 대상 기업과 공유하는 직원이나 사무실은 어떤 법인이 계약서에 서명하는지보다 더 중요할 수 있으며, 규제 당국은 이런 이력을 사전에 차단하기보다 사후에 공개하는 방식을 보여줬다. 동남아시아 데이터센터와 협력하는 유통업체와 클라우드 사업자들도 원격 컴퓨팅 자원 접근과 관련해 비슷한 위험에 노출돼 있으며, 이는 미국 규제 당국이 허가 대상으로 포함시키려 적극적으로 움직이고 있는 영역이다. 상원이 원격접근보안법을 처리하거나 산업안보국이 명단에 새 이름을 추가하기 전까지, 이런 허점을 메우는 부담은 대부분 판매자 스스로가 짊어지게 된다.