코네티컷 SB 5 서명 확정 — 미국 최초 AI 종합법, 고용·챗봇·워터마킹·미성년 SNS 한꺼번에 규율

왜 코네티컷인가 — '옴니버스 AI 법안'의 배경

코네티컷은 2023년부터 AI 규제 입법을 시도해 왔습니다. 2023년과 2024년에도 여러 AI 법안이 상정되었으나 주지사 반대 혹은 임기 만료로 폐기되었습니다. SB 5는 수년간의 입법 시도가 축적된 결과물로, 제임스 마로니 상원의원이 주도하여 고용·챗봇·워터마킹·소셜미디어 등 별개의 이슈를 하나의 패키지로 엮었습니다.

이 법안이 주목받는 또 다른 이유는 통과 방식입니다. 트럼프 행정부는 2025년 12월 행정명령을 통해 주(州) AI 규제를 연방 차원에서 선점하겠다고 선언하고, 특히 콜로라도 SB 205를 명시적 표적으로 지목했습니다. 이런 압박 속에서도 코네티컷이 공화·민주 양당 의원을 포함한 압도적 표차로 SB 5를 통과시킨 것은, 미국 의회가 연방 정부의 규제 선점 위협에도 불구하고 주도적으로 AI 보호 입법에 나서고 있음을 보여주는 사례입니다.

7대 핵심 조항 완전 해설

1. 고용 AI 공개 의무 — 채용·인사 결정에 AI 썼다면 반드시 알려라

시행일은 2026년 10월 1일(개발사 의무), 2027년 10월 1일(배포사 의무)입니다. 고용 관련 자동 의사결정 기술(AEDT)을 사용하는 기업은 두 가지 의무를 집니다. 첫째, AI가 채용·해고·승진·급여·근무 조건 등에 '실질적 요소(substantial factor)'로 활용될 경우, 해당 근로자 또는 지원자에게 사전 고지를 해야 합니다. 둘째, AI가 내린 불리한 결정에 대해 그 이유를 접근 가능한 형식으로 설명해야 합니다.

특히 중요한 점은 차별 방어 조항입니다. 고용주가 자동 의사결정 시스템을 사용했다는 사실 자체는 차별 주장에 대한 방어 논거가 될 수 없습니다. 반면 사전에 편향 테스트를 적극적으로 수행했다면, 법원이 이를 정상 참작 요소로 고려할 수 있습니다. 이는 AI 도입이 '차별 책임'을 희석시킬 것이라는 고용주의 기대를 정면으로 차단하는 조항입니다.

2. 프런티어 모델 내부고발자 보호 — 10²⁶ FLOP 이상 모델 개발사 대상

2026년 10월 1일부터 시행되는 이 조항은, 계산량 10²⁶ 플롭(FLOPs) 이상의 기반 모델(foundation model)을 훈련하는 개발사에 적용됩니다. 직원이 대재앙적 위험—50명 이상의 사망 또는 10억 달러 이상의 재산 피해를 초래할 수 있는 위험—을 보고할 경우 보호를 받습니다. 위험의 범주에는 CBRN(화학·생물·방사선·핵) 지원, 자율 사이버공격, 자율 범죄 행위가 포함됩니다.

매출 5억 달러 이상의 대형 프런티어 모델 개발사는 2027년 1월 1일까지 익명 내부 신고 채널을 설치해야 합니다. 위반 시 건당 1,000달러의 과태료가 부과됩니다. 이는 현재 OpenAI·Google DeepMind·Anthropic·Meta AI 등 주요 AGI 연구 기관들에게 직접 적용될 수 있는 조항으로, 직원들이 안전 우려를 공개적으로 제기할 법적 경로를 처음으로 제도화했다는 점에서 의미가 큽니다.

3. AI 동반자 챗봇 규제 — 미성년자 보호와 정신건강 의무

2027년 1월 1일부터 시행되는 AI 동반자 챗봇 조항은 Character.AI, Replika 등 감정적 관계를 형성하는 챗봇 서비스에 직접적 영향을 미칩니다. 운영자는 자살·자해 위험 감지 시 988 자살 위기 상담 전화로 즉시 연결하는 메커니즘을 탑재해야 하며, 사용자가 AI와 대화 중임을 명확히 공지해야 합니다. 18세 미만 미성년자에 대해서는 낭만적·성적 상호작용, 자해 조장, 무허가 정신건강 서비스, 감정적 의존성 조장 전술이 모두 금지됩니다.

4. 합성 콘텐츠 워터마킹 — C2PA 표준 준수, 월 이용자 100만 명 이상 적용

2026년 10월 1일부터, 월 이용자 100만 명 이상의 대형 생성 AI 서비스는 생성하거나 실질적으로 수정한 오디오·이미지·영상에 기계 판독 가능한 출처 데이터를 내장해야 합니다. 이는 C2PA(콘텐츠 출처 및 진위 연합) 표준을 명시적으로 준용한 것으로, Adobe Content Credentials 및 주요 카메라 제조사들이 채택 중인 사실상의 업계 표준과 일치합니다.

이 조항은 딥페이크 콘텐츠의 출처 추적에 직접적으로 기여합니다. 딥페이크 피해자가 자신의 이미지를 사용한 콘텐츠가 어떤 AI 도구로 생성됐는지 확인할 수 있는 법적 근거가 생기며, 수사 기관이 딥페이크 생성자를 추적할 때도 활용될 수 있습니다. 다만 이미 생성된 딥페이크에 대한 소급 적용은 없으며, 워터마킹 우회 기술에 대한 제재 조항은 포함되지 않아 기술적 한계를 지적하는 목소리도 있습니다.

5. 미성년자 소셜미디어 보호 — 알고리즘 피드·시간 제한·수술실장관 경고

2028년 1월 1일부터 시행되는 이 조항은 미국에서 가장 강력한 미성년자 소셜미디어 보호 조항 중 하나로 꼽힙니다. 플랫폼은 미성년 이용자에게 개인화 알고리즘 피드를 제공하기 전 부모의 동의를 받아야 하며, 기본 설정으로 ①하루 1시간 이용 시간 제한, ②오후 9시~오전 8시 알림 차단, ③민감 콘텐츠 차단이 적용됩니다. 특히 눈에 띄는 조항은 '수술실장관 경고 라벨'입니다. 미성년자가 하루 처음 플랫폼에 접속할 때, 화면의 75%를 30초 동안 덮는 소셜미디어 정신건강 경고문이 의무적으로 표시됩니다.

6·7. 독립 검증 파일럿·규제 샌드박스 — 기업 자율성과 감독의 균형

2027년 7월 1일부터 코네티컷 소비자보호부는 AI 안전 기준 검증을 수행할 독립 제3자 기관을 최대 5곳까지 승인합니다. 검증 결과는 민사 소송에서만 증거로 활용될 수 있으며, 주 당국의 집행에서는 증거 능력이 없습니다. 또한 2028년 1월 1일까지 규제 완화된 환경에서 AI 제품을 시험할 수 있는 샌드박스 프로그램 계획을 수립해야 합니다. 이는 혁신 기업에게 규제의 숨통을 틔워주면서도 소비자 보호의 최소 기준을 유지하는 균형 전략입니다.

집행 체계 — 코네티컷 법무장관이 주도, 개인 소송은 제한적

SB 5의 대부분 조항은 코네티컷 주 법무장관 윌리엄 통(William Tong)이 불공정·기만적 거래 행위로서 단독 집행합니다. 개인이 직접 소송을 제기할 수 있는 사소권(private right of action)은 매우 제한적입니다. 예외적으로 소셜미디어 플랫폼 관련 조항(제39조)에는 사소권 배제 명문 규정이 없어, 민간 소송이 가능할 여지가 남아 있습니다. 미성년자 보호 위반에 대한 개인 소송은 위반 발생 후 3년 이내에 제기해야 합니다.

연방 선점 위험도 상존합니다. 트럼프 행정부의 2025년 12월 행정명령은 법무부에게 연방 AI 정책과 불일치한다고 판단되는 주(州) AI 법률에 도전하도록 지시했습니다. 아동 안전 및 주 조달 조항은 기존 연방법의 예외 범주에 해당할 가능성이 높지만, 고용 및 프런티어 모델 조항은 면밀한 법적 검토가 필요합니다. 전문가들은 SB 5가 콜로라도 SB 205와 달리 단순한 AI 거버넌스 법률이 아닌 소비자 보호·아동 안전 법률로 구성됐기 때문에 연방 선점 공격을 비교적 잘 방어할 수 있을 것으로 전망합니다.

미국 AI 규제 지형도 — 코네티컷 SB 5가 바꾸는 것들

2026년 현재 미국의 AI 규제는 연방 차원의 포괄적 법률 없이 주(州) 단위로 파편화되어 있습니다. 콜로라도가 2024년 최초의 고위험 AI 책임법(SB 205)을 통과시켰고, 캘리포니아는 AI 공급업체 인증 행정명령을 발동했습니다. 일리노이는 고용 분야 AI 바이어스 공개법을 운용 중이며, 텍사스·뉴욕 등도 관련 법안을 심의 중입니다.

코네티컷 SB 5는 이 지형도에서 독특한 위치를 점합니다. 단일 이슈가 아닌 7개 영역을 하나의 법률로 통합한 옴니버스 구조, 딥페이크·합성 콘텐츠 출처 추적에 대한 명시적 조항, 미성년자 보호와 노동자 보호를 동시에 포괄하는 설계가 그것입니다. 법조계에서는 이 모델이 다른 주들의 입법 템플릿으로 확산될 가능성이 높다고 전망합니다. 실제로 법안 심의 과정에서 워싱턴, 오리건, 매사추세츠, 뉴저지 등에서 유사한 법안 작업 중이라는 사실이 확인되었습니다.

한국에 미치는 시사점

코네티컷 SB 5는 한국의 AI 기본법 시행 이후의 후속 입법과 관련해 몇 가지 중요한 시사점을 제공합니다.

• 고용 AI 공개: 한국은 아직 AI 기반 채용·인사 결정 공개를 의무화한 법률이 없습니다. SB 5의 고용 AI 조항은 향후 근로기준법 또는 개인정보보호법 개정의 참고 모델이 될 수 있습니다.
• C2PA 워터마킹: 한국 방송통신위원회가 추진 중인 딥페이크 탐지·레이블링 가이드라인과 SB 5의 합성 콘텐츠 워터마킹 조항은 방향이 일치합니다. C2PA 표준 채택을 국내 기업들도 선제적으로 준비할 필요가 있습니다.
• 미성년자 보호: 한국에서도 10대 딥페이크 피해가 급증하는 상황에서, SB 5의 미성년자 SNS 보호 조항(특히 수술실장관 경고 라벨과 알고리즘 피드 부모 동의)은 정보통신망법 개정 논의에서 적극 검토할 모델입니다.

주요 시행 일정

• 2026년 5월: 라몬트 주지사 서명, SB 5 발효
• 2026년 10월 1일: 고용 AI 공개(개발사), 프런티어 모델 내부고발자 보호, C2PA 워터마킹 시행
• 2026년 8월 31일: 코네티컷 AI 워킹그룹 첫 회의 개최
• 2027년 1월 1일: AI 동반자 챗봇 규제, 대형 프런티어 개발사 익명 신고 채널 의무 설치
• 2027년 7월 1일: 독립 검증 파일럿 프로그램 승인 기관 지정
• 2027년 10월 1일: 고용 AI 공개(배포사) 의무 시행
• 2028년 1월 1일: 미성년자 소셜미디어 보호 조항 시행, 규제 샌드박스 계획 수립 완료

결론 — '쪼개기 입법'의 종말, AI 종합 규제의 시대

코네티컷 SB 5는 미국 AI 규제 역사에서 여러 '최초'를 기록했습니다. 고용·챗봇·워터마킹·소셜미디어·내부고발자 보호를 하나의 법률에 통합한 최초의 옴니버스 AI법, 생성 AI 출처 데이터를 C2PA 표준에 맞춰 의무화한 최초의 주 법률, 그리고 AI 동반자 챗봇의 정신건강 위험을 명시적으로 규율한 최초의 주 법률입니다.

연방 정부의 선점 위협에도 초당적 지지를 확보하며 통과된 이 법은, 미국 시민들이 AI 규제를 더 이상 정치적 이슈가 아닌 공중 보건과 소비자 안전의 문제로 인식하기 시작했음을 보여줍니다. 딥페이크 피해자, 노동자, 미성년 이용자를 모두 포괄하는 포용적 설계는 한국의 후속 AI 입법에도 중요한 참고가 될 것입니다. 만약 AI 딥페이크 또는 합성 콘텐츠로 인한 피해를 겪고 계신다면, 지금 바로 전문 팀의 도움을 받으시길 권합니다.