정정 (2026년 10월 28일): 이전 버전에서는 콜로라도주 AI 법(SB 24-205)이 2026년에 발효된다고 적었습니다. 콜로라도주는 2026년 5월 14일 주지사가 서명한 SB 26-189(Session Laws 제131장)로 이 법을 폐지하고, 중대한 결정에 쓰이는 자동화된 의사결정 기술에 관한 규정으로 새로 제정했습니다. 개발자와 배포자의 의무는 2027년 1월 1일부터 적용됩니다. 콜로라도 항목, 연표, 원문 자료 목록을 수정했습니다.

미국에는 인공지능을 규율하는 단일하고 포괄적인 연방 법률이 없습니다. 그 대신 AI는 서로 겹치는 세 층위에서 규제됩니다. 개입을 최소화하려는 연방 행정부의 입장, 빠르게 늘어나며 제각각인 주법, 그리고 점차 시장 표준으로 자리 잡아 가는 자율적 위험 관리 프레임워크입니다.

0포괄적인 연방 AI 법률
1위콜로라도 — 최초의 포괄적인 주 AI 법
회기마다 수십 건의 주 AI 법안이 발의됨
자발적NIST AI 위험 관리 프레임워크

미국 AI 거버넌스의 세 층위

연방 행정부 및 부문별

행정명령으로 방향을 제시하고, 기존 기관(FTC, EEOC, FDA, 금융 규제 기관)이 소관 분야의 AI에 현행법을 적용합니다.

주 차원의 입법

주 정부는 연방 의회보다 빠르게 움직이고 있습니다. 포괄적인 규정부터 채용, 생체 인식, 딥페이크 같은 특정 용도를 겨냥한 제한적 금지 조치까지 다양한 조치를 내놓고 있습니다.

자발적 체계

NIST AI RMF와 부문별 지침은 구속력이 없지만, 조달 기관과 보험사, 법원은 이를 점점 더 주의의무의 기준으로 보고 있습니다.

연방 차원: 느슨한 규제와 바뀌는 기조

연방 AI 정책은 입법보다 주로 행정 조치로 추진되어 왔으며, 그 방향은 행정부마다 달라집니다. 2023년 ‘안전하고 보안이 보장되며 신뢰할 수 있는 AI’에 관한 행정명령은 2025년 1월 철회되었고, 그 자리를 혁신을 강조하고 규제 부담을 줄이는 정책이 대신했습니다. 변하지 않는 것은 부문별 집행입니다. 각 기관은 새 법률이 만들어지기를 기다리지 않고 기존의 소비자 보호법, 차별금지법, 제품 안전법을 AI 시스템에 적용하고 있습니다.

제각각인 주별 규제

의회가 교착 상태에 빠지면서 주 정부가 미국 AI 법을 실질적으로 이끌고 있습니다. 그 결과 관할 지역과 사용 사례에 따라 준수 의무가 달라지는 복잡한 지형이 만들어지고 있습니다.

콜로라도주 (SB 24-205, SB 26-189로 재제정)

2024년 최초의 포괄적인 주 AI 법으로 제정된 SB 24-205는 알고리즘 차별을 막기 위해 고위험 AI 개발자와 배포자에게 주의의무를 부과했습니다. 2026년 5월 14일 서명된 SB 26-189는 이 법을 폐지하고, 교육·고용·주거·금융 및 대출·보험·의료·필수 공공서비스에 관한 중대한 결정에 쓰이는 자동화된 의사결정 기술에 관한 규정으로 새로 제정했습니다. 2027년 1월 1일부터 개발자는 배포자에게 기술 문서를 제공해야 하고, 배포자는 소비자에게 고지하고 불리한 결정에서 해당 기술의 역할을 설명하며 요청 시 사람의 검토를 제공해야 합니다. 법 집행은 콜로라도주 법무장관이 콜로라도 소비자보호법에 따라 담당하며, 새로운 사적 소권은 인정되지 않습니다.

캘리포니아

생성형 AI 투명성, 학습 데이터 공개, 딥페이크, 자동화된 의사결정에 관한 일련의 법률.

일리노이주 (BIPA)

얼굴 인식 등 생체 인식 AI 관련 소송의 상당수가 엄격한 생체정보보호법(BIPA)을 근거로 제기되고 있습니다.

뉴욕시 (LL 144)

지원자 선별에 쓰이는 자동화된 채용 결정 도구는 편향 감사를 받아야 합니다.

NIST AI 위험 관리 프레임워크

NIST AI RMF는 자율적으로 적용하는 프레임워크이지만, 미국에서 AI 거버넌스를 논할 때 쓰는 공통 언어로 자리 잡았습니다. 이 프레임워크는 신뢰할 수 있는 AI를 위한 실무를 다음 네 가지 기능으로 나눕니다.

거버넌스

조직 전반에 AI 위험 관리 문화와 책임 체계를 구축합니다.

매핑

AI 시스템별로 사용 맥락을 파악하고 위험 요소를 식별합니다.

측정

정량적·정성적 방법으로 위험을 분석, 평가, 추적합니다.

관리

전체 수명 주기에 걸쳐 위험의 우선순위를 정하고, 모니터링과 대응으로 조치합니다.

발전 과정

2023년 — NIST가 AI 위험 관리 프레임워크 1.0을 발표했습니다.
2023년 — 안전하고 보안이 보장되며 신뢰할 수 있는 AI에 관한 연방 행정명령이 발령되었습니다.
2024년 — 콜로라도주가 최초의 포괄적인 주 AI 법(SB 24-205)을 제정했습니다.
2025 — 2023년 행정명령이 철회되고 연방 정부의 기조가 혁신 중심으로 바뀌었습니다.
2026년 — 콜로라도주는 SB 24-205를 폐지하고 자동화된 의사결정 기술에 관한 규정으로 새로 제정했으며(SB 26-189, 5월 14일 서명), 새 규정은 2027년 1월 1일부터 적용됩니다. 더 많은 주가 잇따라 자체 법을 제정하고 있습니다.

기업에 미치는 의미

미국 사용자를 대상으로 AI를 개발하거나 배포한다면 연방 차원의 단일 규정만 보고 대응할 수는 없습니다. 주별·사용 사례별로 법적 위험을 파악하고, NIST AI RMF를 방어 가능한 기준선으로 채택하며, 위험 관련 의사결정을 문서화해야 합니다. 각 분야 규제 당국이 이미 기존 법률을 AI에 적용하고 있기 때문입니다.

📄