코네티컷주의 새 규정이 10월 1일 정식 시행됐다. 이번 표적은 소비자 측면과 데이터 측면이다. 주 의회 2026년 회기에서 통과된 두 법안——『코네티컷 인공지능 책임·투명성법』（CART법, Public Act 26-15, 공식 명칭은 『온라인 안전법』）의 AI 관련 조항과 『소비자 프라이버시·보호법』（Public Act 26-64, 코네티컷 소비자 프라이버시법 CTDPA의 확장 개정）——이 2026년 10월 1일부터 해당 주에서 영업하는 기업에 법적 구속력을 갖는다. 두 법 모두 2026년 5월 11일 주지사가 서명했다. 어제 시행된 고용주 대상 AI 공개 의무도 같은 입법 패키지의 일부지만, 이번에 시행되는 조항은 AI 구독 서비스 사업자, 데이터 브로커, 그리고 코네티컷 주민의 소비자 데이터를 처리하는 모든 기업을 겨냥한다.
AI 구독 서비스 사업자: 계약 전 서면 고지, 서면 동의 필수
CART법 제1조는 10월 1일 시행 조항 중 AI 제품 기업에 가장 직접적인 조항이다. 구독형 AI 기술 제공자는 소비자와 계약을 체결하거나 갱신할 때 주요 구독 조건을 서면으로 먼저 고지하고 소비자의 서면 동의를 받아야 한다. 즉 ChatGPT Plus 같은 월정액 AI 구독 상품은 코네티컷 주 사용자에 대해 결제 화면에 숨겨 둔 기본 체크 박스 하나로 넘어갈 수 없게 된다——조건은 독립된 명확한 고지로 제시돼야 하고, 동의는 소비자의 명시적 서면 의사 표시여야 한다. 적용 여부는 본사 소재지가 아니라 사용자가 코네티컷 주민인지로 판단한다.
데이터 브로커: 2027년부터 연례 등록, 미국 최초의 중앙 집중 삭제 메커니즘도 도입
Public Act 26-64는 소비자 데이터를 판매하거나 라이선스하는 기업에 새로운 등록 의무를 부과한다. 2027년 1월 1일부터 해당 기업은 코네티컷 주 소비자보호국에 연례 등록하고 연회비를 납부하며, 준법 프라이버시 정책을 유지하고, 데이터 수집 실태와 소비자의 권리 행사 방법을 공개해야 한다. 더 중요한 것은 코네티컷주가 미국 최초의 주 단위 중앙 집중 삭제 시스템을 구축한다는 점이다. 소비자의 한 번의 요청으로 등록된 모든 데이터 브로커에게 개인 데이터 삭제가 의무화되고, 브로커는 법의 기준에 따라 45일 주기로 요청을 심사·처리하는 체계를 갖춰야 한다. 개인 데이터를 쌓아 두고 되파는 사업은 코네티컷주에서 컴플라이언스 비용이 뚜렷이 오르게 된다.
정밀 위치 정보 판매 금지, 「감시 가격 책정(surveillance pricing)」도 규제 대상
새 규정은 기업과 제3자가 코네티컷 주민의 정밀 위치 정보를 판매하는 것을 금지한다. 유예 기간 없이 10월 1일부터 즉시 시행된다. 또 다른 주목점은 「감시 가격 책정」에 대한 제한으로, 소비자 추적·행동 데이터를 이용한 가격 개인화·인상이 제한되고 일부 AI 기반 가격 책정 도구에는 소비자 고지가 의무화된다. 법문에는 고지 문안의 예시까지 실려 있다. 「THIS PRICE WAS INCREASED BY A PRICE SETTING DEVICE USING YOUR PERSONAL DATA.」 코네티컷주에서 이용자마다 다른 가격을 보여주는 전자상거래·차량 호출·음식 배달 플랫폼은 가격 책정 로직을 먼저 자체 점검해야 한다. 코네티컷주의 행보는 캘리포니아주, 뉴욕주, 메릴랜드주와 같은 방향이다——메릴랜드주 HB 895도 같은 날 시행돼 식품 소매·배달 사업자가 개인 데이터를 이용한 동적 가격 책정을 금지하고, 위반 1건당 최대 1만 달러의 벌금을 부과한다.
AI 컴패니언: 신원 공개, 미성년자 보호, 자살 개입 모두 필수
CART법은 「AI 컴패니언」(자연어 인터페이스로 적응적이고 인간다운 응답을 제공하고 여러 차례 상호작용에 걸쳐 관계를 유지할 수 있는 AI)에도 별도의 의무를 두었다. 운영자는 이용자에게 AI와 대화하고 있음을 정기적으로 공개하고, 미성년자 보호 조치를 마련하며, 자살·자해 신호를 탐지하고 대응할 수 있는 체계를 갖추고, 조작적이거나 유해한 상호작용을 제한해야 한다. 「미성년자임을 알았거나 알 이유가 있었던」 운영자에게는 더 무거운 의무가 부과된다——「나이를 모르는 척」은 통하는 컴플라이언스 전략이 아니며, 연령 확인 프로세스 정비가 시급하다.
기업이 지금 해야 할 일
첫째, 구독 계약과 결제 흐름을 업데이트해 주요 조건의 서면 고지와 서면 동의를 독립된 단계로 만든다. 둘째, 데이터 매매·공유 사슬을 점검해 법이 정한 「데이터 브로커」에 해당하는지 판단하고 2027년 등록을 준비한다. 셋째, 정밀 위치 정보의 판매와 외부 공유를 즉시 중단한다. 넷째, 동적 가격 책정·개인화 가격 책정의 알고리즘 로직과 고지 문안을 검토한다. 다섯째, AI 컴패니언 제품에 신원 공개·미성년자 보호·위기 개입 장치를 보완한다. 여섯째, 프라이버시 고지, 데이터 보관·삭제 프로세스를 업데이트하고 프로파일링과 자동 의사결정에 대한 영향 평가를 보완한다.
리스크는 어디에 있는가
첫째는 집행 리스크다. 새 규정은 주 법무장관과 소비자보호국이 집행하며, 코네티컷주는 프라이버시 집행에 적극적인 전례가 있다. 둘째는 여러 주 대응의 복잡화다. 여러 주에서 영업하는 기업은 주별로 의무를 대조해야 하며, 전국 공통 템플릿 하나로 더 이상 대응할 수 없다. 셋째는 운영 비용이다. 중앙 집중 삭제 메커니즘, 45일 심사 주기, 연례 등록비는 모두 실질적이고 지속적인 투자다. 마지막으로 시기 경계 하나. CART법의 고용주 대상 AI 공개 의무 대부분은 2027년 10월 1일에야 시행되므로, 소비자 측면과 고용주 측면의 두 타임라인을 혼동해서는 안 된다.
