미국의 AI 투명성 법제화 최신 동향 : 캘리포니아 AI 입법을 중심으로

I. 배경

최근 인공지능 기술의 발전과 함께 생성형 AI로 제작된 콘텐츠가 급증하면서, 이에 대한 투명성과 책임성을 확보하기 위한 법적 제도가 세계 각국에서 마련되고 있습니다. 특히 2026. 1. 1. 시행예정인 캘리포니아의 AI 투명성법(SB 942), AI 훈련 데이터 투명성의 강화법(AB 2013), 소비자 개인정보보호법(AB 1008) 등이 미국 내 AI 규제의 선도적 역할을 하고 있으며, 이러한 움직임은 다른 주로도 확산되고 있습니다. 한국에서도 인공지능 기본법이 시행 예정이며, 유사한 규제 프레임워크가 구축되고 있는 만큼 본 뉴스레터에서는 글로벌 AI 투명성 법제화 동향과 시사점을 살펴보겠습니다. 

II. 주요 내용

1. 캘리포니아 소비자 개인정보보호법 개정(AB 1008)

2024. 8. 30. 캘리포니아 상원은 AB 1008 법률 개정을 통하여 캘리포니아 소비자 개인정보보호법(CCPA)상 ‘개인정보’의 범위를 ‘개인정보를 출력할 수 있는 인공지능 시스템을 포함한 추상적 디지털 형식(abstract digital formats)’으로 확장하였습니다. 즉, 개인정보가 물리적; 디지털 형식뿐만 아니라 ‘압축된 파일’, ‘메타데이터’, ‘인공지능 시스템’과 같은 추상적 디지털 형식에도 존재할 수 있다고 명시하고 있습니다.

인공지능의 학습 데이터 자체 또는 입력·출력 단계에만 개인정보가 포함된다고 해석하게 되면, 출력 억제, 학습 데이터에서의 개인정보 제외 및 비식별화와 같은 방법으로 개인정보보호법 준수가 가능합니다. 그러나 생성형 AI 모델 자체에도 개인정보가 존재한다고 해석할 경우 단순 출력 억제만으로는 개인정보보호법을 준수하기에 충분하지 않고, 이용자의 개인정보에서 파생되어 개인정보가 생성될 수 있는 토큰, 모델 가중치 또는 기타 데이터 포인트와 같은 모든 데이터를 삭제하거나 수정해야 합니다.

유럽의 규제기관들(예: 독일 함부르크, 덴마크, 아일랜드)은 생성형 AI 모델에는 개인정보가저장되지 않으므로 GDPR(General Data Protection Regulation)에 정의된 데이터 주체의 권리는 모델 자체와는 관련이 없다는 입장이나, 개인정보 식별 가능성에 대한 논의와 GDPR 관점에서의 해석은 여전히 다양합니다. 

따라서 AB 1008 관련 구체적인 시행 지침은 캘리포니아 개인정보보호청(CPPA) 및 주 법무장관의 해석과 집행에 달려 있는바, 세계 각국에서 유사한 입법이 마련되는 만큼 해당 법률의 목적과 해석에 대한 진지한 검토를 통한 지침 마련이 필요할 것으로 보입니다.

2. 캘리포니아 AI 투명성법(SB 942)

동법은 캘리포니아 내에서 공개적으로 접근 가능하고 월간 방문자 또는 사용자가 100만 명을 초과하는 생성형 AI 시스템 제공자(Covered Provider)에게 (i) 인공지능 탐지 도구의 생성 및 무료 제공 의무, (ii) 인공지능 생성 콘텐츠에 워터마크를 표시할 의무를 부과하고 있습니다. 즉, 모든 Covered Provider는 사용자에게 이미지, 비디오, 오디오 또는 이들의 조합이 해당 제공자의 AI 시스템에 의해 생성되거나 변경되었는지 탐지할 수 있는 도구를 무료로 제공해야 하고, AI로 생성된 콘텐츠임을 명확하고 눈에 띄게 표시하는 명시적 워터마크 옵션(manifest disclosure) 제공 및 자연인의 눈에는 보이지 않지만 내장된 워터마크와 같은 잠재적 공개(latent disclosure)를 하여야 합니다.

또한, 생성형 AI 시스템을 제3자에게 라이선스할 경우, 공개 기능을 유지하도록 계약으로 의무화해야 합니다. 만약 라이선스 사용자가 이러한 기능을 비활성화했다는 사실을 알게 되면, 제공자는 96시간 내에 해당 라이선스를 취소하도록 하고 있습니다. 

3. AI 훈련 데이터 투명성의 강화법(AB 2013)

동법은 AI 시스템 개발자가 사용하는 데이터의 출처와 내용을 명확히 공개하도록 규정하고 있습니다. SB 942와 달리 월간 사용자 수 등 정량적 기준이 없어, 소규모 개발자도 포함된다고 해석됩니다. 구체적으로 2026. 1. 1.부터 캘리포니아 주민들에게 제공되는 생성형 AI 시스템 또는 서비스를 개발하는 개인 및 기업이 이를 개발하는데 사용하는 데이터셋의 데이터포인트 정보, 데이터셋의 구매 혹은 라이선스 획득 여부, 데이터셋에 개인 정보 포함되었는지 여부 등을 투명하게 공개하도록 하였습니다. 

4. 워싱턴 및 버지니아 주의 관련 법안 동향

캘리포니아주의 인공지능 법률 제정 이후, 미국 다른 주에서도 인공지능 관련 법안을 도입하려는 움직임이 나타나고 있습니다. 2025. 1. 워싱턴주에서는 Clyde Shavers 의원이 월 100만 명 이상의 사용자를 보유한 생성형 AI 시스템을 대상으로 훈련 데이터의 문서화 및 공개를 요구하는 HB 1168(이른바 ‘AI 훈련 데이터 투명성 법안’)와 AI 생성 콘텐츠 식별을 지원하는 HB 1170(이른바 ‘AI 공정 공개 법안’)를 발의했습니다. 두 법안은 캘리포니아의 AB 2013과 SB 942를 참고해 마련되었습니다. 

같은 시기 버지니아주에서도 Michelle Lopes Maldonado 의원이 개인정보를 AI 모델 훈련에 사용하는 것을 거부(opt out)할 권리와 훈련 데이터 공개∙삭제 요청권을 부여하는 HB 2250를 포함한 AI 관련 법안을 발의하였습니다. 개발자는 '훈련 데이터 확인 요청(Training Data Verification Requests)'과 '훈련 데이터 삭제 요청(Training Data Deletion Requests)'이 있을 경우 해당 요청에 따라야 하며, 훈련 금지(Do Not Train)'로 지정된 데이터를 인공지능 훈련에 사용해서는 안됩니다. 또, 함께 발의된 HB 2094는 고위험(high-risk) 인공지능 시스템 개발자에게 시스템의 의도된 사용 목적, 용도, 알려진 한계, 알고리즘 차별의 예측 가능한 위험, 성능 평가 결과, 위험 완화 조치 등에 대한 명확한 정보를 공개할 것을 요구하고 있습니다. 

III. 시사점

미국 연방 차원의 AI 규제 부재로 인해 미국의 개별주들은 자체적으로 법안을 도입하여 그 공백을 보완하고 있는데, 캘리포니아의 AI 규제 법안 통과는 이러한 흐름의 선두주자로서 AI 기술의 급속한 발전에 대응하여 개인의 권리 보호와 사회적 책임을 강화하고자 합니다. 

국내에서도 2026. 1. 22. 시행예정인 '인공지능 기본법'에서 인간의 생명·신체 안전에 중대한 영향을 미친다고 판단되는 AI는 고영향 AI로 구분하고, 고영향 AI 또는 생성형 AI를 이용한 제품/서비스 제공 사업자의 사전고지 의무, 생성형 AI가 만들어낸 결과물 표시의무 등을 규정하고 있습니다.

이처럼 전 세계적으로 AI 투명성과 책임성을 강화하는 법제화가 진행되고 있고, 이는 AI 기술이 사회에 미치는 영향에 대한 우려가 커지면서 나타나는 필연적인 움직임으로 볼 수 있습니다. 향후 더 많은 국가에서 투명성과 책임성을 핵심으로 하는 AI 규제가 확대될 가능성이 높으며, 이는 AI 기술을 활용하는 기업과 기관에게 보다 엄격한 규제 대응과 책임 있는 운영을 요구하게 될 것으로 보입니다.