코네티컷주의 AI 컴플라이언스 시계가 공식적으로 집행 단계에 들어갔다. 2026년 10월 1일부터 이 주의 「인공지능 책임 및 투명성 법안」(CART법, Public Act 26-15, 일명 SB 5)과 프라이버시 종합개정법안(Public Act 26-64, 일명 SB 4, 코네티컷주 데이터 프라이버시법(CTDPA) 개정)이 동시에 시행된다. 두 법안은 2026년 5월 네드 라몬트 주지사가 서명했고, 9월 16일 윌리엄 통 주 법무장관이 기자회견을 열어 기업과 소비자를 대상으로 새로운 권리와 의무를 설명했다.
무슨 일이 있었나: 주 법안 두 건이 연달아 시행
CART법은 올해 미국에서 제정된 주(州) 단위 AI 법안 가운데 가장 포괄적인 수준으로, 자동화된 고용 의사결정, AI 구독 약관, 프론티어 모델 개발사의 내부고발자 보호, 합성 콘텐츠 출처 표시, 미성년자가 이용하는 AI 컴패니언 봇 등 폭넓은 주제를 다룬다. 10월 1일에 시행되는 것은 1차 조항이다. 자동화 고용 의사결정 기술 규칙, 대규모 프론티어 모델 개발사의 보복 금지 의무, 생성 콘텐츠 투명성 의무가 대상이며, AI 컴패니언 봇의 미성년자 보호 관련 조항은 2027년 1월 1일로 연기됐다.
동시에 시행되는 SB 4는 CTDPA의 보호 범위를 크게 넓힌다. 개인 데이터에 기반한 알고리즘 가격 책정("감시 가격 책정")을 제한하고 공시를 의무화하며, 안면인식 기술을 사용하는 기업에 시설 내 눈에 잘 띄는 안내문 게시와 안면인식 정책 링크 제공을 의무화한다. 코네티컷 주민의 정밀 위치정보 데이터와 유전정보 판매를 금지하고, 데이터 브로커에게는 2027년 1월 1일까지 주 소비자보호국(DCP)에 등록하도록 했다.
누구에게 영향을 미치나: 테크 기업만이 아니다
가장 먼저 영향을 받는 것은 코네티컷주에서 사업을 운영하는 고용주다. 채용, 승진, 징계, 해고 등 고용 의사결정에 AI 도구를 사용하는 기업——이력서 스크리닝 소프트웨어, 자동 면접 채점, 성과평가 플랫폼 모두 해당——은 10월 1일부터 구직자와 직원에게 AI가 어떤 의사결정 과정의 어느 단계에서 무엇을 하는지 설명하는 서면 고지를 제공해야 한다. 핵심은 AI 의사결정 도구를 사용해도 기업의 반차별 책임이 면제되지 않는다는 점이다. "알고리즘은 공급업체의 것"이라고 법적 리스크를 외부에 떠넘길 수 없으며, 고용주 자신이 규제 대상인 "배포자(deployer)"다.
다음으로 영향을 받는 것은 코네티컷 소비자를 대상으로 하는 생성형 AI 구독 상품이다. 제공 사업자는 주요 구독 약관을 소비자에게 서면으로 고지하고 서면 동의를 받아야 하며, 구독 투명성이 소비자보호법에 명문화된 셈이다.
또 이 주 주민의 데이터를 보유한 주체도 대상이다. 데이터 브로커, 소비자 직접 판매(DTC) 유전자 검사 회사, 안면인식이나 정밀 위치정보 데이터를 사용하는 기업, 개인 데이터를 이용한 차등 가격 책정을 하는 모든 사업자다.
무엇을 해야 하나: 행동 체크리스트
- 채용 도구 체인 점검: 고용 의사결정에 관여하는 AI 도구를 전부 목록화하고(자체 개발·구매 불문), 각 도구별로 서면 고지 문안을 준비해 10월 1일 전에 운영에 반영한다.
- 공급업체 계약 재작성: 투명성과 협력 의무를 조달 계약 조항에 명시한다. "공급업체가 컴플라이언스를 약속했다"는 고용주 자신의 고지 의무를 대신할 수 없다.
- 구독 페이지 점검: AI 구독 상품의 가격, 갱신, 해지 조건이 서면으로 공개됐는지, 서면 동의를 받았는지 확인한다.
- 프라이버시 자체 점검: 개인 데이터를 가격 차별에 사용하는지, 정밀 위치정보나 유전정보를 판매하는지, 사업장에서 안내문 없이 안면인식을 사용하는지 확인한다.
- 데이터 브로커는 별도 일정: 등록 의무 기한은 2027년 1월 1일로, 10월 1일과 혼동하지 말 것.
위험은 어디에 있나: 빠지기 쉬운 함정 세 가지
첫째, "주법"은 "연방법"이 아니며, 글로벌 공통 법도 아니다. CART법이 적용되는 곳은 코네티컷주뿐이다. 다만 캘리포니아, 뉴욕, 메릴랜드주에서 동시 진행 중인 알고리즘 가격 책정 규제와 맥을 같이하고, 통 법무장관은 기자회견에서 주 단위 집행이 적극적으로 "공백을 메울 것"이라고 밝혔다. 기업은 이런 주(州) 간 수렴을 장기 추세로 보고 주마다 땜질식 대응으로 끝나서는 안 된다. 같은 시기에 집중 시행 국면에 있는 뉴욕주 RAISE법 시행 일정도 함께 읽어볼 만하다.
둘째, 시행 시기는 단계적이다. 10월 1일은 1차분에 불과하며, AI 컴패니언 봇 조항은 2027년 1월 1일, 데이터 브로커 등록도 2027년 1월 1일, 일부 요건은 2027~2031년에 걸쳐 단계 적용된다. "전부 10월 1일 시행"으로 준비하는 것도, "아직 해당 없다"며 미루는 것도 모두 함정이다.
셋째, 집행 신호는 분명하다. 통 법무장관은 코네티컷주가 주도하는 OpenAI에 대한 다주(多州) 조사의 세부 내용을 밝히지 않았지만, 집행 당국이 "전속력으로 추격 중"이라고 강조했다. EU AI법 집행도 이미 실무 단계에 들어섰고(EU AI법 집행이 실무 단계로), 대서양을 사이에 두고 양쪽의 집행 속도는 빨라지고 있다. 지금 쓰지 않는 컴플라이언스 예산은 나중에 벌금으로 나가게 된다.
미국 주(州) 입법 경쟁이라는 맥락에서 보면, 코네티컷주가 "고용주는 AI의 배포자이며 리스크를 외부에 떠넘길 수 없다"고 법에 명기한 순간, 여러 주에서 사업을 운영하며 AI를 인사 판단에 쓰는 기업은 컴플라이언스를 배포자 측에서 이행해야 한다. 공급업체에 책임을 떠넘기는 시대는 끝났다. 내년에는 이런 주 법안이 줄어들지 않고 늘어날 것이다.
