2026년 9월 21일, 캐시 호컬 뉴욕 주지사는 뉴욕 RAISE 법(책임 있는 AI 안전 및 교육법)의 시행 일정을 발표했다. 올해 11월부터 연간 매출 5억 달러를 초과하는 프론티어 AI 개발자는 뉴욕주에 등록해야 하며, 2027년 1월 1일 법 시행 이후에는 안전 프레임워크 공개, 중대한 안전 사고의 72시간 이내 보고, 재앙적 위험의 분기별 평가 제출 등의 의무가 차례로 적용된다. 이는 프론티어 모델 개발자에게 명확한 컴플라이언스 일정을 제시한 미국 최초의 주(州) 단위 규제 조치이지만, 그 효력은 뉴욕주 안에만 미친다. 연방법이 아니며, 글로벌 공통 규칙은 더더욱 아니다.
무슨 일이 일어났나: 2단계 컴플라이언스 일정
호컬 주지사는 9월 21일 기자회견에서 두 개의 선을 그었다. 1단계는 2026년 11월이다. 주 정부는 금융서비스국을 통한 등록 창구를 열어 대상 프론티어 AI 개발자의 등록을 요구한다. 등록 자체에는 새로운 실질 의무가 따르지 않으며, 목적은 규제 당국이 '누가 첨단 시스템을 훈련하고 있는지' 명단을 먼저 확보하는 것이다. 2단계는 2027년 1월 1일 법 시행 이후다. 대상 개발자는 자사 웹사이트에 안전·투명성 프레임워크를 공개하고, 신설된 '디지털 혁신·거버넌스·청렴·신뢰 사무국'(DIGIT, 금융서비스국 산하)에 중대한 안전 사고를 72시간 이내에 보고하며, 재앙적 위험 평가를 분기별로 제출하고, 최소 2년에 한 번씩 공시 성명을 제출해야 한다. DIGIT 사무국 부국장에는 마크 길먼이 임명되어 이 체제의 출범을 이끌게 된다.
위반의 대가도 이미 제시됐다. 주 검찰총장실은 의무를 이행하지 않거나 허위 신고를 한 기업에 민사 소송을 제기할 수 있으며, 주지사실이 밝힌 처벌 기준은 1차 위반 최대 100만 달러, 재위반 최대 300만 달러다. 호컬 주지사는 소송을 시사하는 기업들에 "덤벼보라"고 맞받았고, 프론티어 AI '킬스위치' 도입도 배제하지 않겠다고 밝혔다. 캘리포니아주의 프론티어 AI 킬스위치 입법 동향도 함께 주목할 만하다.
누가 대상이고, 누가 대상이 아닌가
이 법의 조준경은 좁다. 대상은 연간 매출 5억 달러를 초과하는 대형 프론티어 AI 개발자에 한정되며, 여러 매체가 대표 사례로 지목한 것은 OpenAI, Anthropic 급의 기업이다. 일반 AI 애플리케이션 기업, 개인 개발자, 학술 기관은 등록·보고 의무의 대상이 아니다.
하지만 '의무 대상이 아니다'가 '무관하다'는 뜻은 아니다. 뉴욕의 은행과 핀테크 기업들은 고객 응대, 사기 탐지, 결제 업무에 이러한 프론티어 모델을 광범위하게 쓰고 있다. 공급업체가 72시간 규정에 따라 중대한 안전 사고를 보고하고 조사에 착수해 모델 접근을 제한하거나 모델 동작을 변경하면, 하류 기업의 업무 프로세스도 함께 조정해야 할 수 있다. 뉴욕시의회도 자체 AI 법안을 추진 중이며(뉴욕시의회 AI 법안: 제3자 검증 의무화와 킬스위치), 뉴욕에서 사업을 하는 AI 관련 기업은 주와 시, 두 개의 규칙서를 동시에 봐야 한다.
또 하나 분명히 해야 할 경계가 있다. 이는 뉴욕주의 주법이라는 점이다. 호컬 주지사 스스로 이번 조치를 연방 정부의 무대응에 대한 응답으로 포장했다. 이번 회기 연방 의회는 실질적인 AI 입법을 단 하나도 통과시키지 못했다. 이를 '미국의 새 규칙'이나 '글로벌 트렌드'로 이해하는 것은 틀렸다. 뉴욕주를 벗어나면 구속력이 없다.
무엇을 해야 하나: 지금 당장 준비할 세 가지
첫째, 뉴욕에서 사업을 하거나 모델 서비스가 뉴욕 사용자에게 도달하는 프론티어 모델 기업은 11월 등록을 반드시 지켜야 할 기한으로 여겨야 한다. 법인 정보, 훈련 활동 설명, 컴플라이언스 담당자를 정리해 두자. 주 정부는 11월 전에 등록 세부 사항을 발표하겠다고 약속했으므로 준비할 여유는 남아 있다.
둘째, 72시간 보고 체계를 내부 프로세스에 반영해야 한다. '중대한 안전 사고'에 무엇이 해당하는지, 누가 보고를 승인하는지, 증거와 로그를 얼마나 보관하는지를 정의하자. DIGIT 사무국은 기업이 공개하는 안전 프레임워크를 심사하겠다고 명시했다. 내용이 빈약한 프레임워크는 규제 당국에 빌미를 주는 셈이다.
셋째, 모델 서비스의 기업 고객——특히 금융·의료 같은 강규제 산업——은 공급업체 계약에 사고 통지 조항을 보강해야 한다. 공급업체가 사고를 보고한 뒤 몇 시간 안에 통지를 받는지, 서비스 저하나 모델 변경 시 어떤 선택지가 있는지 말이다. 실제로 사고가 발생한 뒤에 협상하기 시작하면 주도권은 손에 남지 않는다.
위험은 어디에 있는가
가장 큰 위험은 개별 의무의 무거움이 아니라 규칙의 파편화다. 캘리포니아주는 9월 18일 독립 감사와 킬스위치 추진 행정명령에 서명했고, 뉴욕주의 RAISE 법은 11월 등록을 시작해 내년 1월 시행되며, 뉴욕시도 자체 법안을 준비 중이다. 프론티어 모델 기업은 조만간 여러 주 단위 규제를 동시에 충족해야 하며, 컴플라이언스 비용은 대체가 아니라 누적된다.
둘째는 집행의 불확실성이다. 등록과 보고의 시행 세부 사항은 아직 발표되지 않았고, DIGIT 사무국은 이제 막 출범하고 있다. 기업이 지금 준비하는 자료는 세부 사항 발표 후 다시 만들어야 할 수 있다. 주지사는 이미 법정 공방을 예고했고, 기업 법무팀도 위헌 소송을 준비하고 있을 가능성이 높다. 법원의 판단이 나오기 전까지 이 일정은 연기되거나 수정될 여지가 있다.
마지막으로 '명단 효과' 그 자체다. 11월 등록은 규제 당국이 '규제 대상 프론티어 AI 기업이 누구인지'의 완전한 명단을 처음으로 손에 넣게 된다는 의미다. 대상 기업은 이제부터 스포트라이트 아래에서 사업을 하게 된다. 컴플라이언스가 탄탄한 기업은 등록을 신뢰 자산으로 바꿀 수 있지만, 체제가 허술한 기업은 확대경 아래 놓이게 된다.
