정정 (2026년 10월 19일): 이 기사의 이전 버전은 SB 867이 컴패니언 봇 의무를 장난감으로 확장한다고(실제로는 컴패니언 챗봇을 탑재한 장난감의 판매를 유예함), SB 1276이 AI 생성 아동 학대 이미지의 공백을 메웠다고(캘리포니아는 이미 2024년 AB 1831로 이를 범죄화함) 적었기에 이를 바로잡았으며, SB 1276과 애덤 레인, '사람이 아님' 고지 의무의 근거에 관한 설명도 수정했습니다.
무슨 일이 있었나
캘리포니아는 오랫동안 미국 AI 규제의 표준을 사실상 정해 왔다. 인구와 경제 규모, 기술 산업의 본거지라는 위상 덕분에 이곳에서 만든 규칙은 흔히 미국 전역, 나아가 세계의 기준이 된다. 2026년 9월 10일 서명된 패키지가 주목받는 것은, 범용 모델이나 추상적인 '투명성' 의무가 아니라 사용자의 친구·상담자·연인처럼 행동하도록 설계된 챗봇 자체를 처음으로 겨냥했기 때문이다.
주지사실의 공식 발표에 따르면 패키지의 중심은 컴패니언 봇에 '견고한 보호'를 요구하는 SB 1119다. 이 법의 이름은 ChatGPT와 오랫동안 대화를 나눈 뒤 2025년 세상을 떠난 캘리포니아의 16세 청소년 애덤 레인(Adam Raine)에게서 따왔다. 그의 가족은 OpenAI를 상대로 소송을 제기했다. 이 이름은 상징에 그치지 않는다. 법 전체가 한 가지 생각에 기대고 있기 때문이다. 아동이 가장 취약한 순간에 곁에 있는 제품이라면, 그 제품이 지는 법적 책임도 그에 걸맞아야 한다는 것이다.
패키지는 법률 하나로 이루어져 있지 않다. SB 1119 외에도 미성년자의 성적 행위를 담은 라이브 스트리밍을 알면서 시청하는 행위를 범죄로 규정하고 신고 의무 제도상 아동 성착취의 정의를 'AI로 생성되거나 디지털로 변형된' 표현물까지 넓힌 SB 1276, 컴패니언 챗봇을 탑재한 장난감의 판매를 유예(모라토리엄)하는 SB 867, 소프트웨어 애플리케이션에 연령 확인 신호를 요구하는 AB 1856이 함께 포함되었다. 규율 대상이 특정 제품 하나가 아니라 채팅 앱, 장난감, 소셜 플랫폼, 앱스토어 등 아동이 AI와 만나는 모든 접점이라는 뜻이다.
'컴패니언 봇'을 별도의 법적 범주로 보는 이유
검색 엔진이나 기업용 어시스턴트와 달리, 컴패니언 봇은 유대 형성 자체가 제품이 되도록 설계된다. 사용자를 기억하고 칭찬하며 "보고 싶었어"라고 말하고, 늘 '곁에' 머물며 맞춤형 관계를 만들어 낸다. 이런 설계는 특히 청소년에게 강한 정서적 애착과 그에 따른 취약성을 낳는다. '체류성(engagement)'이 곧 수익 모델의 일부이기 때문이다.
법적으로 보면, 제품이 사용자의 신뢰와 정서적 의존을 의도적으로 조장한다면, 그 제품이 지는 주의의무(duty of care)는 일반 소프트웨어보다 무겁다. 계약법에서는 높은 수준의 신뢰관계로, 불법행위법에서는 예견 가능한 손해의 관점에서 이 문제를 다룬다. SB 1119는 바로 이 구분을 법제화했다. 컴패니언 봇을 고장 나면 바꾸면 그만인 소비자 전자제품이 아니라 돌봄이 요구되는 관계의 접점으로 정의한 것이다.
이렇게 범주를 새로 나누면 "AI가 해를 끼쳤다면 누가 책임지나?"라는 오래된 질문의 답도 달라진다. 손해가 '잘못된 답변' 하나가 아니라 유대를 맺고 대화를 늘리며 사용자를 붙잡아 두도록 설계된 여러 결정의 총합, 곧 제품의 전체 설계에서 비롯된다면 책임도 제품 설계 차원에서 물어야 한다. 법이 '콘텐츠 검열'이 아니라 '설계와 절차의 의무'를 부과하는 이유가 여기에 있다.
SB 1119가 실제로 요구하는 것
주지사실 발표와 공개된 법률 요약을 바탕으로 보면 '애덤법'의 핵심 의무는 네 가지 기둥으로 요약된다.
- 위기 대응 프로토콜. 봇이 자살 사고나 자해 징후를 감지하면 대화를 '자연스럽게' 이어 가는 대신 정해진 개입 절차로 전환해 사용자를 사람의 도움과 위기 지원 창구로 연결해야 한다. 법적으로는 "대화를 계속한다"는 기본값이 이제 중립적인 기술적 선택이 아니라 과실을 구성하는 요소가 될 수 있다는 뜻이다.
- 부모 통제 및 통지. 미성년자를 위한 부모 감독 도구를 갖추고, 안전 설정이 해제되면 부모에게 통지해야 한다. 아동 혼자서는 갖출 수 없는 '두 번째 눈'을 보호 장치에 더하는 것이다.
- 독립적 감사. 전국 최초로 독립적 아동 안전 감사와 연례 위험 평가를 요구한다. 가장 큰 변화가 여기에 있다. 안전이 기업의 자기 주장이 아니라 외부에서 검증할 수 있는 절차와 연결된다. "우리는 안전하다"고 말하는 것만으로는 부족하고, 독립 감사인에게 이를 입증해야 한다.
- '나는 사람이 아니다'라는 명확성. 이 의무는 주지사실 발표가 아니라 법률의 AI 고지 조항에 담긴 것으로, 캘리포니아가 2025년 컴패니언 챗봇에 도입한 고지 규칙(SB 243)을 토대로 한다. 봇이 실제 사람이 아니라는 점을 사용자가 이해할 수 있는 방식으로 분명히 밝히도록 기대된다. 특히 아동이 쉽게 빠지는 '진짜 친구'라는 착각을 깨려는 취지다. EU AI법의 투명성 논리를 더 날카롭고 아동 중심적으로 옮겨 온 셈이다.
네 기둥을 함께 놓고 보면 전통적인 '콘텐츠 모더레이션'이 아니라 제품 안전법의 모습이 드러난다. 이 법은 봇이 무엇을 말하는가보다 위험한 순간에 어떻게 행동해야 하는가, 그리고 누구에게 책임을 져야 하는가를 규율한다. 예견 가능한 오용과 가장 취약한 사용자를 기준으로 설계한다는, 자동차와 장난감에 수십 년간 적용해 온 접근 방식을 인공지능에 옮겨 온 것이다.
패키지의 나머지: 합성 학대 이미지, 장난감, 연령 확인
SB 1276은 어쩌면 가장 심각한 영역 가운데 하나를 다룬다. 생성 모델이 가장 어둡게 오용되는 사례 가운데 하나가, 실제 아동을 묘사하지 않으면서 아동 학대를 정상화하는 합성 이미지다. 캘리포니아는 이미 2024년 AB 1831로 AI 생성 아동 성착취물을 형사처벌 대상에 포함시켜 '피해자 없는 범죄'라는 항변에 답했다. SB 1276은 그 위에서 미성년자의 성적 행위를 담은 라이브 스트리밍을 알면서 시청하는 행위를 범죄로 규정하고, 신고 의무 제도상 아동 성착취의 정의를 형법과 맞춰 'AI로 생성되거나 디지털로 변형된' 표현물도 포함하도록 했다.
SB 867은 말하는 장난감에 대해 한 걸음 더 나아간다. 컴패니언 봇 의무를 장난감으로 확장하는 대신, 컴패니언 챗봇을 탑재한 장난감의 제조·판매·판매 제안을 2031년 1월 1일까지 금지하는 유예 조치를 두고, 이를 사인의 소송으로 집행할 수 있게 했다. 아동에게는 대화 상대인 봇이 화면 속에 있든 봉제 인형 안에 있든 다를 바가 없다. 장난감에 대해서는 입법자가 시장을 규율하기보다 일단 멈추는 쪽을 택한 것이다. AI를 탑재한 장난감이 빠르게 늘어나는 상황에서 눈에 띄지는 않지만 중요한 조치다.
AB 1856은 연령 확인 신호를 애플리케이션 계층으로 내려, 보호가 "이 사용자는 아동인가?"라는 질문에서 시작되도록 한다. 패키지에는 학생 데이터 보호, 학교 소통 플랫폼에서의 중독성 알고리즘 피드 금지, 아동 학대물 신고 메커니즘 등 보완 조치도 담겼다. 시행일은 공식 발표에서 개별적으로 명시되지 않았으므로, 기업은 최종 조문과 시행 일정을 원 출처에서 직접 확인해야 한다.
세계적 맥락에서 본 의미
이 패키지는 규제의 방향이 조용히 바뀌고 있음을 예고한다. 지금까지 대형 규제 체계, 예컨대 EU AI법의 위험 기반·투명성 우선 접근은 모델이 무엇인가(고위험인가, 범용인가)에 집중했다. 반면 캘리포니아는 모델이 누구에게 영향을 미치는가에 주목하며, 가장 취약한 사용자에 초점을 맞춘 손해 기반 모델을 내놓았다. 두 접근은 서로 경쟁하기보다 보완한다. 하나는 시스템의 구조를, 다른 하나는 결과가 사람에게 남기는 대가를 규율한다.
이 패키지는 지난 한 해 동안 쌓여 온 다른 흐름과 함께 읽어야 한다. 대한민국의 딥페이크 성폭력 입법, AI 생성 콘텐츠의 의무적 워터마킹 논쟁, 자율 시스템의 독립적 행위에서 비롯되는 책임 문제가 그렇다. 이들을 관통하는 흐름은 한결같다. 추상적 '윤리 원칙'에서 측정·감사가 가능한 제품 의무로 옮겨 가고 있다는 것이다.
튀르키예에 주는 의미
튀르키예에는 별도의 '컴패니언 봇' 법이 없다. 그러나 캘리포니아 모델은 이 새로운 제품군에 기존 법을 어떻게 적용할지를 두고 강력한 선례가 되고, 사실상의 압력으로도 작용한다. 특히 눈여겨볼 접점은 다음과 같다.
- 개인정보와 아동 데이터. 미성년자가 봇에 털어놓는 정서적 진술은 가장 민감한 개인정보에 속한다. 봇이 이 데이터를 처리·저장하고 다시 모델에 투입하면 명시적 동의, 목적 제한, 데이터 최소화 원칙과 관련해 까다로운 문제가 생긴다. 아동 동의의 법적 유효성과 부모 승인 문제는 그 자체로 별도의 쟁점이다.
- 책임법. 봇이 위기 상황에서 부주의하게 대응했다면 하자 있는 서비스에 관한 규정과 불법행위 조항이 문제가 된다. 제품이 정서적 유대를 만들도록 설계되었다는 사실은 예견 가능성과 주의의무 기준을 판단할 때 가중 요소로 평가될 수 있다. "AI였고 예견할 수 없었다"는 항변은 설 자리가 점점 좁아진다.
- 콘텐츠와 보호. AI로 생성한 아동 학대 이미지와 관련해 캘리포니아가 2024년 AB 1831로 메운 공백은 튀르키예에서도 정면으로 다뤄야 할 문제다. "실제 아동이 없다"는 항변을 법적으로 받아들일 수 있는지가 앞으로 핵심 쟁점이 될 것이다.
- 소비자 보호. 미성년자를 대상으로 하며 중독을 유발하도록 설계된 디지털 서비스는 소비자·광고법 관점에서도 심사 대상이 될 수 있다.
요컨대 어떤 제품이 '컴패니언 봇' 또는 'AI 친구'로 튀르키예 시장에 진입한다면, 캘리포니아 기준은 사실상의 컴플라이언스 기준점이 되고, 분쟁이 생기면 법원과 규제기관이 참고하는 해석 자료가 될 것이다.
기업을 위한 실무 로드맵
정서적 유대를 형성하는 제품을 개발·통합·유통하는 기업이라면 다음 세 가지를 먼저 챙겨야 한다.
- 위기 아키텍처. 위험 신호가 나타나면 "대화를 계속한다"는 기본값에서 벗어나 사람의 개입과 외부 연계로 넘어가도록 설계해야 한다. 이는 이제 선택 기능이 아니라 법적 의무가 될 가능성이 크고, 무엇보다 윤리적 요청이다. 위기 대응 절차가 어떻게 작동하고 무엇을 기록하며 어디로 연계하는지 모두 문서로 남겨야 한다.
- 감사 가능성. 안전하다는 주장은 독립 감사를 통과할 수 있도록 문서화하고, 연례 위험 평가는 실제 기업 절차와 연계해야 한다. '안전'은 마케팅 문구가 아니라 외부에서 검증할 수 있는 증거로 뒷받침되어야 한다.
- 연령·부모 계층. "이 사용자는 아동일 수 있다"를 기본값으로 삼는 연령 신호를 두고, 보호 수준이 낮아지면 부모에게 알리는 절차를 갖춰야 한다. 설계의 출발점은 '성인 사용자'가 아니라 '입증되기 전까지 아동일 수 있는 사용자'여야 한다.
세 가지는 결국 하나의 원칙으로 모인다. 안전을 나중에 덧붙이는 계층이 아니라 제품의 근간이 되는 아키텍처로 삼으라는 것이다. 나중에 끼워 맞춘 컴플라이언스는 언제나 비용이 더 들고, 더 허술하며, 법적 위험에도 더 많이 노출된다.
앞으로 무엇을 지켜봐야 하나
주시해야 할 흐름은 세 가지다. 첫째, 시행일과 시행 규칙이다. 독립 감사를 실제로 어떻게 운영할지 정하는 하위 규정은 법의 취지만큼이나 중요하다. 둘째, 업계의 대응과 법적 다툼 가능성이다. '표현의 자유'와 '과도한 광범성'을 내세운 소송이 규칙의 경계를 정하게 될 것이다. 셋째, 국경을 넘는 효과다. 캘리포니아 규정을 준수하는 제품이 같은 아키텍처를 전 세계에 그대로 적용할지가 관건이며, 이는 튀르키예를 비롯한 여러 시장의 사실상 표준을 좌우할 것이다.
부르한 도우쉬 아이파를라르의 견해
이 부분에는 본 사이트의 설립자이자 튀르키예 변호사인 필자의 개인적 평가를 담았다.
내가 보기에 '애덤법'은 AI 규제가 조용하지만 근본적인 문턱을 넘었음을 보여 준다. 여러 해 동안 논의해 온 '투명성'과 '책임성' 원칙이 처음으로 구체적인 설계 결정과 감사 가능한 의무로 구체화되고 있다. 사용자의 정서적 의존을 부추기는 것을 사업 모델로 삼는 제품은 법적으로 중립적인 선택을 하는 것이 아니며, 그만큼 무거운 주의의무를 져야 한다. 이 법이 '콘텐츠'가 아니라 '위기 상황에서의 행동과 독립 감사'를 중심에 둔 것은 옳은 방향이라고 본다. 봇이 내뱉은 문장 하나를 쫓는 대신 제품의 안전 아키텍처 전체를 따져 묻기 때문이다.
법에 한 청소년의 이름이 붙었다는 사실은 이 문제의 본질이 기술이 아니라 사람이라는 점을 일깨운다. 규제 논의는 흔히 "혁신을 위축시키지 말자"는 쪽으로 기울지만, 진정한 혁신은 가장 취약한 사용자를 보호하지 못하는 제품은 애초에 나와서는 안 된다는 점을 받아들이는 데서 시작한다. 이런 태도는 혁신을 가로막는 것이 아니라 혁신을 성숙하게 만든다.
튀르키예에서는 백지상태에서 새 법을 만들기보다, 아동 데이터에 관한 개인정보 보호 체계와 소비자법·책임 조항을 이 새로운 제품군에 맞게 적응적으로 해석하는 방향이 바람직하다고 본다. 감성 AI 제품을 제공하거나 통합하는 기업이 유념할 점은 분명하다. 위기 프로토콜, 연령 계층, 독립적 감사 가능성을 법적 위험 항목으로만 볼 것이 아니라 처음부터 제품의 근간이 되는 안전 아키텍처로 설계해야 한다. 이 분야에서 규제는 더 이상 기술을 뒤따라가지 않고 점점 앞서 나가고 있으며, 멀리 내다보고 움직이는 기업이 법적으로도 평판 면에서도 앞서게 될 것이다.
이 글은 정보 제공을 위한 것으로 법률 자문이 아니다. 사실관계는 2026년 9월 10일 캘리포니아 주지사실의 공식 발표와 공개된 법안 요약에 근거하며, 분석과 평가는 필자의 견해다. 자해나 자살 문제로 힘들다면 가까운 응급 서비스나 위기 상담 창구에 연락하기 바란다.
