콜로라도 자동화 의사결정 기술(ADMT) 규칙이 2026년 10월 6일 중요한 진전을 맞았습니다. 주 법무부가 '자동화 의사결정 기술 및 대화형 인공지능 서비스 규칙' 개정안을 공개하면서 2027년 1월 1일 시행되는 두 개 주법에 운영 세부사항이 채워진 것입니다. 기업의 알고리즘이 채용, 대출, 보험 같은 중대한 결정에 관여할 때, 거절당한 사람은 구체적인 이유를 알 권리, 자신의 데이터를 정정할 권리, 그리고 사람이 다시 심사해 달라고 요구할 권리를 갖게 됩니다.
체계 자체가 새것은 아닙니다. 2026년 5월 Jared Polis 주지사는 SB 26-189 '중대한 결정에서의 자동화 의사결정 기술법'과 챗봇 안전법으로도 불리는 HB 26-1263 '대화형 인공지능 서비스법'에 서명했고, 범위가 더 넓었던 2024년 콜로라도 AI법(SB 24-205)은 폐지됐습니다. 법무부는 8월 11일 규칙 초안(4 CCR 904-6)을 발표했고, 10월 6일 개정안은 10월 26일 오전 덴버에서 열리는 공청회와 서면 의견 마감에 앞선 최신 문안입니다.
경계 긋기: '실질적 영향'이란 무엇인가
모든 자동화 도구가 대상은 아닙니다. 개인 데이터를 처리해 예측, 추천, 분류, 순위, 점수를 만들고 개인에 관한 결정에 사용하는 기술이 대상이며, 의무는 두 가지 요건을 모두 충족할 때 발생합니다. 출력이 사소하지 않은 요소여야 하고, 결과에 실제로 영향을 미쳤어야 합니다. 우연적이거나 경미하거나 순전히 사무적인 사용은 제외됩니다. 8월 초안은 이 기준에 대해 두 가지 안을 제시하며 의견을 구했지만, 개정안은 잠정적인 답을 내놨습니다. 캘리포니아 소비자 프라이버시법의 유사 규정에 가까운 기준을 채택하되 반박 가능한 추정을 더한 것입니다. 자사 도구가 기준에 못 미친다고 보는 사업자는 소비자에게 입증 부담을 넘길 것이 아니라 스스로 증거를 제시해야 합니다.
적용 분야는 교육, 고용, 주거용 부동산, 금융 및 대출, 보험, 의료 서비스, 필수 정부 서비스와 공공 급여입니다. 보호 대상은 소비자뿐 아니라 주 내 근로자와 구직자도 포함합니다.
거절 이후: 통지, 이유, 그리고 실질적인 사람의 심사
가장 무거운 의무는 도구를 실제로 사용하는 배포자에게 있습니다. 불리한 결과가 나오면 배포자는 원칙적으로 온라인 방식을 포함한 두 가지 방법으로 서면 통지를 보내 결정 내용, 기술이 수행한 역할, 사람이 관여한 정도, 결과의 주요 이유, 관련 점수나 추론, 권리 행사 방법을 설명해야 합니다. 개인은 사용된 개인 데이터의 열람을 요청할 수 있고 사업자는 45일 이내에 답해야 하며, 부정확한 데이터의 정정을 요구할 수 있습니다. 또 상업적으로 합리적인 범위에서 사람의 재심사를 요청할 수 있는데, 사업자는 10일 이내에 접수를 확인하고 45일 이내에 심사를 마치고 답해야 합니다.
심사 기준은 많은 이들의 예상보다 엄격합니다. 심사자는 원래 결정자와 독립적이어야 하고, 적절한 교육을 받았어야 하며, 결정을 승인, 수정 또는 뒤집을 권한이 있어야 하고, 심사 자체에 자동화 의사결정 기술을 사용해서는 안 됩니다. 알고리즘 결론 아래에 사람의 서명만 덧붙이는 것은 심사로 인정되지 않습니다.
개발자와 챗봇: 문서는 아래로, 보고는 위로
개발자는 예상 용도와 부적절한 용도, 알려진 위험과 한계, 학습 및 운영 데이터의 범주, 모니터링 방법, 출력을 이해하는 데 필요한 정보를 담은 기술 문서를 배포자에게 제공해야 하고, 제공하지 않는 정보에 대해서는 법적 근거를 밝혀야 합니다. 개정안은 '중간 개발자'라는 역할도 새로 도입했습니다. 타사의 대상 기술을 자사 제품에 통합하는 사업자는 상류에서 문서를 확보해 하류로 전달해야 하며, 정보의 흐름이 공급망 중간에서 끊겨서는 안 됩니다.
챗봇 운영자는 상업적으로 합리적인 방법으로 이용자 연령을 추정하고, 미성년자에게 AI와 대화하고 있음을 반복해서 알리고, 미성년자의 이용을 늘리는 보상을 제공하지 않으며, 미성년자를 대상으로 한 성적 콘텐츠와 모의된 정서적 의존을 막고, 프라이버시 및 계정 관리 도구를 제공해야 합니다. 모든 이용자에 대해서는 자살 및 자해 관련 입력에 대한 위기 연계 절차를 실행하고, 2027년 7월 1일부터 매년 그 이행 상황을 법무부에 보고해야 하며, 챗봇 출력을 자격 있는 전문 서비스와 동등한 것처럼 표시해서도 안 됩니다. 두 법의 위반은 모두 주 소비자보호법에 따라 기만적 거래 행위로 취급되며 법무장관이 집행합니다.
지금 해야 할 일과 위험
일정이 빠듯합니다. 최종 문안에 의견을 반영하려는 조직은 규칙 확정 전 마지막 공식 창구인 10월 26일 공청회와 마감 전까지 의견을 제출해야 합니다. 콜로라도와 관련된 중대한 결정에 알고리즘을 쓰는 기업은 연말까지 시스템을 목록화해 '실질적 영향' 기준에 비추어 판정하고, 공급업체에서 필요한 문서를 받아 부족한 부분을 계약에 반영하고, 불리한 결과 통지와 데이터 정정, 사람의 재심사 절차와 기한 관리를 미리 갖춰야 합니다. 두 법 모두 2027년 1월 1일 시행으로 남은 기간은 석 달이 채 안 됩니다.
주의할 위험은 두 가지입니다. 첫째, xAI가 주를 상대로 낸 소송(연방지방법원 사건번호 1:26-cv-01515)은 계속 중인데 대상은 폐지된 구법이며, 새 체계에 대한 집행 금지 신청이 제기될지는 정해지지 않았습니다. 소송을 이유로 준비를 미루는 것은 안전하지 않습니다. 둘째, 법무부는 개정안과 함께 공개한 서한에서 시행 초기 집행에서는 적절한 재량을 행사하고 악의적이고 고의적인 위반에 중점을 두겠다고 밝혔습니다. 이는 집행 방침의 표명일 뿐 법정 유예기간이 아니며, 통지 문안과 교육받은 심사자는 하루아침에 만들 수 없습니다. 이 규칙은 콜로라도 주 안의 결정과 이용자에게만 적용되지만, 캘리포니아의 제도와 함께 미국 주 차원의 자동화 결정 컴플라이언스 기준을 끌어올리고 있습니다.
