뉴욕타임스가 목요일 보도한 내용은 반도체 패권 경쟁의 한복판을 겨냥한다. 미국 정보당국이 중국의 정보원으로 지목한 여성 임원이 엔비디아 최고경영자 젠슨 황(황런쉰)과 '가까운 관계'를 형성했고, 당국이 그의 통신을 비밀리에 감시하는 과정에서 황 CEO가 그 여성의 연락처 중 하나로 식별됐다는 것이다. 다만 보도는 젠슨 황이 상대방의 의심스러운 활동을 알고 있었다는 증거는 제시하지 않았다.
의혹의 당사자인 앨리스 황(황러)은 싱가포르에 본사를 둔 메가스피드의 고위 임원으로 알려진 중국 국적자다. 메가스피드는 엔비디아의 고객이자 클라우드 파트너로, 알리바바를 포함한 중국 기업들에 AI 연산 자원을 제공해 왔다. 미 정보기관은 그가 베이징으로 정보를 몰래 흘려보냈다고 결론 내렸다고 하지만, 타임스는 실제로 어떤 정보가 전달됐는지, 그것이 중국 당국에 얼마나 가치가 있었는지는 확인하지 못했다. 두 사람이 2024년 6월 타이베이의 한 바에서, 또 2025년 5월 업계 만찬 뒤 함께 있는 모습이 사진과 영상으로 포착됐다는 정황이 있을 뿐이다.
중개 구조가 만드는 사각지대
이 사건이 단순한 가십이 아닌 이유는 메가스피드가 놓인 위치에 있다. 미 당국은 이 회사가 중국 기업들의 수출통제 우회와 첨단 엔비디아 칩 밀반입을 도왔다는 의심 아래 조사를 진행해 왔다. 보도에 따르면 메가스피드는 중국 서버 제조사 인스퍼(Inspur)의 미국 법인을 통해 엔비디아 칩을 사들인 뒤, 동남아시아 데이터센터의 연산 능력을 중국 기업에 임대하는 '중개자'로 움직인다. 미국은 칩을 직접 중국에 팔지 못하도록 수년째 막아 왔지만, 제3국 데이터센터의 클라우드 임대라는 형태를 취하면 물리적 반출 없이도 사실상 중국이 최첨단 연산 능력을 쓸 수 있게 된다.
인스퍼의 모회사는 중국 군에 기술을 공급했다는 이유로 워싱턴의 블랙리스트에 올랐지만, 미국 자회사는 여전히 제재 대상이 아니라는 점도 주목할 만하다. 모회사-자회사, 본국-제3국, 하드웨어 판매-클라우드 임대 사이의 법적 틈이 통제 체계를 갉아먹는 전형적인 구조인 셈이다. 한국의 반도체·클라우드 업계에도 이는 남의 일이 아니다. 고객 실사(KYC)와 최종사용자 확인이 단순 서류 절차에 그치면, 정상적인 '지역 클라우드 고객'이라는 외피 아래 통제 품목이 흘러가는 경로를 놓칠 수 있다.
정치와 상업의 교차점
보도는 트럼프 대통령이 약 1년 전 이 정보를 보고받고도 조치하지 않기로 했다고 전한다. 엔비디아의 막대한 칩 판매와 대중 무역 관계를 흔들기를 꺼렸다는 것이다. 그 배경에는 젠슨 황이 다져 온 정치적 관계가 있다. 그는 마러라고 고액 후원 만찬에 참석하고 대중 칩 판매 허용을 직접 설득했으며, 엔비디아는 백악관 연회장 기금에 최소 2000만 달러를 기부하고 5000억 달러 규모의 미국 내 제조 투자를 약속한 것으로 전해진다. 시가총액 약 5조 2000억 달러로 세계 최고 가치의 상장사가 된 기업이 안보 사안과 상업적 이해 사이에서 어떤 중력을 행사하는지 보여주는 대목이다.
엔비디아는 강하게 반박했다. 회사 대변인은 메가스피드가 평범한 지역 클라우드 고객이며 'CEO가 매년 수천 명의 고객 임원과 대화하는' 일상 업무의 일부라고 설명했다. 지역 클라우드 고객에게는 민감한 영업비밀이나 안보 관련 정보가 아닌 통상적 사업 정보만 제공되며, 기술 유용 의혹은 '지난해 철저히 조사돼 반박됐다'고 밝혔다. 중국 대사관 대변인 류창 역시 '중국 스파이' 서사를 비난하며 자립적 혁신을 강조했다.
실무자가 읽어야 할 지점과 한계
이 보도의 한계는 분명하다. 전달된 정보의 실체와 가치가 확인되지 않았고, 정보기관이 평가를 공식적으로 바꿨는지도 불투명하며, 혐의는 어디까지나 의혹 단계다. 트럼프 행정부 일부 고위 인사가 '황 CEO가 몰랐을 수 없다'고 의심하기 시작했다는 서술도 입증된 사실이 아니라 정황적 판단에 가깝다. 따라서 개인의 유죄 여부보다, 이 사건이 드러낸 제도적 구조에 주목하는 편이 생산적이다.
핵심은 수출통제의 전선이 '칩이라는 물건'에서 '연산 능력이라는 서비스'로 옮겨가고 있다는 점이다. 데이터센터 소재지, 중개 법인의 국적, 임대 계약의 최종 수혜자를 추적하지 못하면 통제는 형식에 머문다. AI 인프라를 구축·운영하는 국내 기업이라면 파트너와 재판매 경로에 대한 실사, 지역 클라우드를 경유한 우회 가능성, 제재 리스트의 모회사-자회사 구분을 점검 항목으로 삼을 필요가 있다. 거대 공급자 한 곳의 상업적 판단이 국가 안보 정책과 맞물릴 때, 그 리스크는 결국 공급망 전체로 퍼진다는 사실을 이 사건은 다시 일깨운다.