2026.11.09

美 의회, 클라우드 원격접근도 수출통제 대상으로 추진

- 원격접근보안법(RASA) 입법 동향

I. 배경

미국의 수출통제는 「2018년 수출통제개혁법(Export Control Reform Act of 2018, “ECRA”)」을 근거로 상무부 산업안보국(Bureau of Industry and Security, “BIS”)이 수출관리규정(Export Administration Regulations, “EAR”)을 통해 시행하며, 미국 관할 하의 물품·소프트웨어·기술의 수출, 재수출 및 국내 이전을 규율합니다. 따라서 통제 품목의 반출이나 기술·소프트웨어의 이전이 수반되지 않는 원격 접근은 일반적으로 규율 대상이 아닌 것으로 이해되어 왔습니다.

이러한 이해를 바탕으로 제3국(동남아·중동 등) 데이터센터의 GPU 연산 능력을 원격으로 임차하는 사업모델(“GPUaaS”)이 활용되어 왔습니다. 미국 의회는 이를 우려국이 AI 모델 훈련에 필요한 연산 자원을 확보하는 이른바 ‘클라우드 허점(cloud loophole)’으로 보고 있습니다. BIS는 2026년 1월 15일 최종규칙에서 엔비디아 H200급 칩의 대중국 수출 허가에 중국 등 우려국의 원격 이용자에 대한 IaaS(Infrastructure as a Service, “IaaS”, 서버·GPU 등 컴퓨팅 자원을 빌려주는 클라우드 서비스) 제공을 제한하는 조건을 붙였습니다. 그러나 이는 해당 허가를 받아 수출된 품목에만 적용되므로 그 밖의 경로로 제3국에 설치된 GPU를 원격으로 이용하는 경우까지 규율하기에는 한계가 있습니다.1 이에 의회는 ECRA를 개정하여 BIS에 원격 접근을 규제할 명시적 권한을 부여하는 「원격접근보안법(Remote Access Security Act, “RASA”)」을 추진하고 있습니다.

RASA는 2026년 1월 12일 하원을 369대 22로 통과한 법안(H.R. 2683)과 2025년 12월 상원에서 발의된 법안(S. 3519)이 병존하며, 두 법안 모두 상원 은행·주택·도시문제위원회(이하 “상원 은행위”)에 계류 중입니다.

본 뉴스레터에서는 두 법안의 주요 내용과 입법 현황을 살펴보고, 향후 입법 전망과 우리 기업이 유의할 사항을 정리합니다.

II. 주요 내용

1. 원격 접근의 정의

상·하원안 모두 ECRA에 ‘원격 접근’의 정의를 신설해 BIS에 규제권한을 부여하고 있다는 점에서는 동일하나, 규제의 범위에 차이가 있습니다. 하원안은 접근 주체(외국인 일반), 대상 품목(미국 관할 품목 전반), 위험 요건(‘초래할 수 있는’ 위험)을 모두 넓게 정하는 반면, 상원안은 접근 주체를 ‘우려 외국인’, 대상을 통제품목목록(Commerce Control List, “CCL”) 품목, 서비스를 IaaS, 위험 요건을 ‘입증된’ 위험으로 한정하며, 접근 시 인식 수준에 관한 문구는 두지 않았습니다.

하원안은 외국인(foreign person)이 네트워크 연결(인터넷 또는 클라우드 서비스 포함)을 통해 품목이 소재하는 곳이 아닌 장소에서 ‘미국 관할 하의 품목’, 즉 EAR 적용 대상 품목(items subject to EAR)에 접근하는 것을 ‘원격 접근’으로 정의합니다. 접근 주체를 특정 국가로 한정하지 않으며, 미국산 품목뿐 아니라 일정 요건을 갖춘 외국산 품목도 포함될 수 있습니다. 위험 요건은 상무부 장관이 품목의 사용이 미국의 국가안보 또는 외교정책에 중대한 위험을 ‘초래할 수 있다’고 판단하는 경우입니다. 접근은 의도적·인지·무모·과실에 의한 경우를 모두 포함하되, 형사책임에 필요한 주관적 요건을 낮추는 것은 아니라고 명시하고 있습니다.

상원안은 ‘원격 접근’을 ‘우려 외국인(foreign person of concern)’이 IaaS를 통해 미국 밖에서 CCL 품목에 대해 접근하는 것으로 정의합니다. 우려 외국인은 (i) 10 U.S.C. 4872(f)(2)에 규정된 국가(중국·러시아·이란·북한)와 마카오·홍콩 등 소속 지역의 정부, (ii) 이들 국가·지역에 소재하거나 본사를 두고 있는 기업 및 최상위 모회사의 본사가 있는 기업, (iii) 이들 정부의 관할 하에 있는 자를 말합니다. 위험은 품목의 사용이 소프트웨어를 통해 미국의 국가안보 또는 외교정책에 중대한 위험을 ‘입증’한 것으로 상무부 장관이 판단하는 경우로 정하여 하원안보다 엄격합니다. 법안은 그 예(such as)로 (i) 대량살상무기의 설계·취득·사용 장벽을 실질적으로 낮추거나, 자동화된 취약점 탐지·악용으로 공격적 사이버 작전을 수행하거나, 기만·은폐로 인간의 통제·감독을 회피하는 이중용도 AI 모델의 훈련, (ii) 주로 공격적 사이버 작전을 위해 설계된 역량에 대한 접근, (iii) 주로 인권 침해를 목적으로 하는 감시를 듭니다.

2. 규제 권한

양 법안 모두 BIS에 원격 접근을 규제하고 허가제로 운영할 권한을 부여하되, 규제 대상 행위의 표현이 다릅니다. 하원안은 ‘외국인의 원격 접근’을 규제 권한의 대상으로 규정하는 반면, 상원안은 ‘우려 외국인에 대한 원격 접근의 제공(provision)’을 대상으로 규정하여 접근을 제공하는 클라우드 사업자의 행위를 문언상 직접 규율합니다. 그럼에도 불구하고 벌칙·집행 조항에서는 두 법안 모두 접근의 ‘제공’을 포함하는 문구를 두고 있어, 접근하는 자뿐 아니라 제공하는 자도 규율 대상이 될 수 있습니다.

3. 구체적 통제는 후속 규정에 위임

법안은 규제의 틀만 정하고, 구체적인 통제는 BIS가 후속 규정으로 정합니다. 하원안은 통제 대상 국가·품목, 허가 요건, 허가 심사 방침을 직접 정하지 않으므로 BIS는 폭넓은 품목에 대한 원격 접근을 규제할 수도, 특정 품목·최종사용자·최종용도로 범위를 좁힐 수도 있습니다. 상원안은 정의 단계에서 품목·접근 주체·서비스를 법률로 규정하여 BIS의 재량이 상대적으로 좁으나, 허가 요건과 심사 방침은 역시 후속 규정으로 정해집니다. 따라서 법안은 규제 범위의 한계를 정할 뿐이고, 실제 구체적인 의무는 후속 규정의 내용에 따라 결정됩니다.

4. 의회 보고

양 법안 모두 규정 제정 전에 의회 설명 절차를 두되, 설명 대상과 포함 사항이 일부 다릅니다. 상무부는 규정이 해소하려는 국가안보·외교정책상 위험, 해소 방식, 미국 경제에 미칠 영향을 의회에 설명해야 하며, 필요한 경우 비공개로 할 수 있습니다. 하원안은 설명 대상을 하원 외교위원회와 상원 은행위로 명시하고 위원회의 승인이 규정 제정의 요건은 아니라고 규정하며, 상원안은 설명 대상을 의회로 하되 경제적 영향에 ‘미국 클라우드 및 관련 산업의 경쟁력’을 명시합니다.

5. 일몰과 정책 보고서

상원안에는 하원안에는 없는 일몰과 정책 보고서 조항이 있습니다. 원격 접근에 대한 통제 권한은 법 제정일로부터 10년이 지나면 종료되며, 상무부는 제정 후 1년 내에 이행 상황, 허가 신청인의 프라이버시(정보) 보호와 준수 비용 경감 방안, 허가 심사의 신속성·일관성 제고 방안, 국제 협력 방안을 평가·권고하는 보고서 등을 의회에 제출하고 공개해야 합니다. 이를 위해 업계 참여 공개 라운드테이블을 통해 의견을 수렴해야 합니다.

6. 입법 경과 및 향후 일정

하원은 통과하였으나 상원은 아직 위원회 단계이며, 최종 문안과 일정은 정해지지 않았습니다. RASA의 전신(H.R. 8152)은 2024년 9월 하원을 통과하였으나 상원에서 정체되었고, 2025년 4월 롤러 의원이 H.R. 2683으로 재발의하였으며, 이 법안은 2026년 1월 12일 하원을 369대 22로 통과한 뒤 상원 은행위에 회부되었습니다. 상원에서는 2025년 12월 양당 의원이 S. 3519를 발의하였으며, 역시 상원 은행위에 계류 중입니다.

새 의회는 2027년 1월 출범하며, 그에 앞서 의회는 11월 둘째 주에 복귀하여 12월 11일로 예정된 정부 예산 시한과 2027 회계연도 국방수권법(National Defense Authorization Act, “NDAA”) 협상을 다루게 됩니다. 안보·정책 단체들은 RASA의 NDAA 포함을 촉구해 왔으나, 최종 NDAA 문안에 RASA가 포함될지는 확인되지 않았습니다. 입법과 별개로, 지난 8월 상무부가 중국 AI 기업이 제3국 데이터센터를 통해 엔비디아 GPU를 임차하는 것을 막는 규칙을 준비 중이라는 보도도 있었습니다.2

III. 시사점

1. 클라우드 관련 수출통제와 대응과제

RASA는 아직 입법 단계이나, 클라우드를 통한 첨단 반도체 이용 관리는 미국 수출통제의 새로운 축으로 자리잡고 있습니다. BIS는 H200급 칩 수출 허가에 원격 이용 제한 조건을 붙였고 상무부의 별도 규칙 준비도 보도된 만큼, 클라우드를 통한 첨단 반도체 이용 통제는 사실상 진행 중입니다. 따라서 기업은 RASA의 제정을 기다리기보다 대응 과제를 세 단계로 나누어 준비하는 것이 바람직합니다. 첫째는 현행 허가 조건에 따른 의무, 둘째는 가까운 시일 내 나올 수 있는 행정규제, 셋째는 법 제정 이후의 의무입니다. 특히 국내외에서 GPU 클라우드·데이터센터를 운영하는 사업자, 해외 클라우드를 이용해 AI 모델을 개발·운영하는 기업, 중국 등 우려국에 계열사나 고객을 두고 있는 기업은 더욱 주의를 기울일 필요가 있습니다.

2. 입법 전망

입법 가능성은 결국 시간의 제약이 변수가 될 것으로 보입니다. RASA는 하원에서 압도적(369대 22)으로 통과되었고 상원 발의자도 양당 의원이어서, 의회 구성이 바뀐다는 사실만으로 법안이 불리해진다고 단정하기는 어렵습니다. 다만 미국 의회에서는 회기 종료 시까지 제정되지 않은 법안은 폐기되어 새 의회에서 발의해야 하며, RASA도 2024년 하원 통과 후 상원에서 정체되어 재발의된 전례가 있습니다. 따라서 현 의회 회기 중 NDAA 등 필수 법안에 편승하여 입법될지, 내년 새 의회에서 재발의되어 절차를 처음부터 다시 밟을지가 지켜볼 포인트입니다. 혹은 입법(이나 개정)과 별개로 행정부 차원의 규제가 먼저 나올 가능성도 배제할 수 없습니다.

3. 최종 문안에 따른 영향

나아가 최종 문안에 따라 우리 기업이 받는 영향의 폭이 달라질 수 있음에 유의해야 합니다. 상원안과 같이 우려 외국인에게 IaaS를 통해 CCL 품목에 대한 접근을 ‘제공’하는 경우에만 규제한다면, 우리 기업에게의 영향은 주로 중국 등 우려국 고객에게 GPU 클라우드를 제공하는 사업자의 고객 확인·접근 통제 의무로 나타날 것입니다. 이때 우려 외국인에게는 최상위 모회사의 본사가 우려국에 있는 기업도 포함됩니다. 따라서 제3국에 설립된 중국계 기업의 현지 법인이 고객인 경우에도, 고객의 소재지뿐 아니라 최상위 모회사까지 확인할 수 있어야 합니다. 반면 하원안은 접근 주체를 ‘외국인’ 일반으로 규정하고 있어, 미국산 칩이 설치된 해외 클라우드를 이용하는 한국 기업도 BIS 규정에 따라서는 이론상 허가 대상이 될 가능성을 배제하기 어렵습니다. 어느 안이 채택되든 클라우드 사업자가 직접적인 책임 주체가 될 수 있다는 점에 유의해야 합니다. 두 법안 모두 벌칙·집행 조항에 접근의 ‘제공’을 포함하고 있기 때문입니다. 이에 비추어 보면, 향후 행정·민사 제재 국면에서는 사업자가 합리적인 주의를 다했는지가 쟁점이 될 가능성이 있습니다. 그렇다면 고객확인 기록과 접속 기록은 사후에 책임을 다투는 데 필요한 방어 자료로서 의미를 갖게 될 것입니다.

4. 사업자 유형별 대응

클라우드·데이터센터 사업자는 중국 등 우려국 관련 고객의 현황, 특히 최종 이용자, 최상위 모회사 소재지 등을 파악하고, 지역·IP 기반 식별, 접근 권한 관리, 감사 로그 등 누가 언제 어디서 접속하는지 추적할 수 있는 체계를 갖추는 것이 바람직합니다. 이러한 기록이 향후 방어자료로 활용될 수 있도록 보존 기간과 관리 책임도 함께 정해두는 것이 좋습니다.

해외 클라우드를 이용해 AI 개발 등을 하는 기업은 원격 접근이 제한되는 상황을 가정하여 계약상 위험을 점검하고, 접근이 차단될 가능성에 대비한 업무 연속성 계획을 마련할 필요가 있습니다. 특히 중국 등 우려국 소재 계열사나 고객을 둔 기업은 규제 대상이 될 가능성이 상대적으로 높으므로 우선적으로 점검하시기 바랍니다.

RASA는 아직 입법 단계이고 BIS 후속 규정도 마련되지 않았으므로, NDAA 최종 문안, 새 의회에서의 재발의 여부, BIS 규정 동향을 지속적으로 확인하면서 단계별로 대응해 나가는 것이 바람직합니다.

* * *

법무법인 태평양 수출입규제대응센터는 전략물자 및 해외수출통제(ITAR, EAR 등), 방산물자 및 국방과학기술(방위산업기술 포함) 수출통제, 국가핵심기술(NCT) 및 국가첨단전략기술(NHT), 국가안보심의 및 투자심사, 국내외 수출입규제 대응 컴플라이언스 시스템 구축 및 지원, 관세청 등 수사 및 조사 대응, 외환거래 및 대외투자 관리, 국제분쟁 및 조사대응 등 광범위한 영역을 아우르고 있습니다. 각 분야에서 풍부한 경험과 전문성을 갖춘 다수의 전문가들이 협업하여, 개별 고객의 상황과 필요에 최적화된 맞춤형 자문 서비스를 제공하고자 합니다.

저자: 김지이나 변호사, 황호성 전문위원

BIS (2026.1.15). “Revision to License Review Policy for Advanced Computing Commodities”.
Forbes (2026.8.31). “The U.S. Tried To Keep AI Chips From China. The Cloud Created A Loophole”.