콜로라도주 AI법(SB 205): 2026년부터 시행되는 규정 준수

업계 동향 | 2025년 6월 02일

몇 주 전, 저는 Wall Street Journal 에 출연해 연방 차원에서 진행되고 있는 AI 규제 동향에 관해 이야기할 기회를 얻었습니다.

연방 차원의 환경이 끊임없이 변화하고 있지만, 조직의 AI 도입 방식에 중대한 영향을 미칠 주 및 지방 차원의 동향을 지속적으로 파악하는 것은 여전히 매우 중요합니다. 여기에는 상당한 민사 및 형사 처벌을 피하기 위해 전 직원의 AI 사용을 관리해야 하는 요건도 포함됩니다.

저희가 깊이 관여해 온 관할 지역 중 하나는 제 고향인 콜로라도주입니다. 지난해 저는 콜로라도주의 다른 기술 분야 리더들과 긴밀히 협력하며 상원 법안(SB) 205로 알려진 콜로라도주의 AI 규제법에 영향을 미치고자 노력했습니다.

콜로라도주 상원 법안 205호 소개

콜로라도주의 획기적인 인공지능법인 콜로라도주 상원 법안 205호는 2024년 5월 17일 재러드 폴리스 주지사의 서명으로 법률로 제정되었습니다. 이 법안에는 AI를 활용하는 기업(즉, 인터넷에 접속할 수 있는 사용자를 보유한 모든 기업)이 콜로라도 주민을 보호하기 위한 통제 조치를 시행해야 한다는 요건이 포함되어 있습니다. 기업은 AI가 차별적이거나 편향된 방식으로 소비자에게 영향을 미치는 결정을 내릴 수 있는 "합리적으로 예측 가능한 위험"으로부터 소비자를 보호해야 합니다. 이는 콜로라도주에서 사업을 영위하는 모든 기업이 직원들이 AI를 활용하는 방식과 조직 차원의 AI 사용 위험을 완화하기 위해 시행한 보호 조치를 모든 소비자에게 공개해야 한다는 의미입니다.

가장 최근의 입법 회기에서 SB 205 개정안(SB 318)이 발의되었지만 콜로라도주에서 사업을 영위하는 기업의 규정 준수 부담을 줄이려던 이 개정안은 위원회에서 부결되었습니다. 콜로라도주 의회가 2026년 1월에 다시 소집되는 만큼, 현재 시행일인 2026년 2월 1일 전에 SB 205가 개정될 가능성은 낮으므로 기업은 이 날짜까지 규정을 준수할 준비를 마쳐야 합니다.

콜로라도에서 사업을 운영하는 기업에 미치는 영향

SB 205에 따라, 조직의 AI 사용으로 인해 발생할 가능성이 있다고 예상되는 모든 소비자 위험은 배포 전에 소비자와 콜로라도주 법무장관에게 공개해야 합니다. 기업은 2026년 2월 1일까지 SB 205의 규정을 준수해야 하며, 그렇지 않을 경우 콜로라도주 법무장관실의 집행 조치를 받을 수 있습니다.

다행히도 콜로라도의 여러 기술 관련 단체가 공동으로 성공적인 로비 활동을 펼친 결과, 조직이 적절한 AI 통제 조치를 시행할 경우 규정을 준수한 것으로 추정하되 반증이 가능하도록 하는 조항이 SB 205에 포함되었습니다. 적절한 거버넌스 통제를 포함한 위험 관리 프로그램을 시행하면 조직은 규정을 준수한 것으로 추정되어 규정 준수 부담과 법 집행 위험을 크게 줄일 수 있습니다.

SB 205에 대한 제 생각

콜로라도주 상원이 위원회에서 SB 205를 심의할 당시 저는 상원에서 증언할 기회를 얻었습니다. 무엇보다도 이 법안 자체가 콜로라도주의 혁신을 저해할 과도한 부담을 초래하거나, AI 시대에 콜로라도 기업들이 경쟁력을 갖추는 데 필요한 핵심 기술의 도입을 가로막지 않도록 하는 것이 제 의무라고 생각했습니다.

제가 SB 205에서 확인한, 콜로라도주 내에서 운영되는 조직에 영향을 미칠 두 가지 주요 문제가 있었습니다. 안타깝게도 이 문제들은 법안이 통과되기 전에 해결되지 않았습니다:

‘인공지능 시스템’의 정의는 우려스러울 정도로 광범위합니다. 입력을 바탕으로 출력을 생성하는 모든 시스템으로 정의되어 있습니다. 여기에는 Excel 스프레드시트 수식이나 대수 방정식, 심지어 토스터까지 포함될 수 있습니다. ‘AI’가 무엇인지 명확히 정의하지 못하면 기업은 어느 부분에 SB 205의 준수 요건을 적용해야 하는지 알 수 없으며, 규제 부담과 법적 준수 위험이 커집니다.
“고위험 인공지능 시스템”의 정의는 “인공지능 시스템”이 어떻게 사용되는지를 기준으로 합니다. 도구의 사용 방식은 흔히 해당 도구의 소비자나 최종 사용자, 또는 이 법안에서 말하는 “배포자”가 결정합니다. 이는 ChatGPT부터 Grammarly에 이르기까지 AI 기반 도구가 “고위험” AI 솔루션으로 사용되도록 설계되었는지 여부와 관계없이, 이제 고용주가 직원들의 모든 AI 기반 도구 활용 방식을 관리할 책임을 져야 한다는 의미입니다.

SB 205를 비롯한 AI 규정 준수 요건에 대비하기

우리 모두 2026년 입법 회기에서 SB 205의 요건이 완화되기를 바라지만, 현재 시행일인 2026년 2월 1일 전에 그렇게 될 가능성은 낮습니다. 미국 37개 주에서는 유사한 요건을 담은 AI 규정을 제정했으며, 이 밖에도 EU AI 법과 아시아 태평양 지역 전반의 여러 규정이 있습니다. Orrick은 이러한 규정을 지속적으로 추적하는 유용한 리소스인 AI 법률 센터를 운영하고 있습니다.

SB 205 및 새롭게 등장하는 여러 규정을 지속적으로 준수하려면, 조직은 직원들의 AI 솔루션 사용 현황을 어떻게 파악할지 정하고, 소비자의 보호 대상 계층 정보가 ChatGPT, DeepSeek, Claude는 물론 AWS Bedrock, Azure OpenAI 등 자체적으로 내부에 배포한 모델을 포함한 AI 모델에 노출되지 않도록 해야 합니다.

이전에 SurepathAI로 불렸던 Workforce AI Security는 지나치게 부담스러운 법률을 집행하기 위해 개발된 것이 아니며, 당사는 SB 205가 초래하는 문제에 적극적으로 반대해 왔습니다. Workforce AI Security는 제3자로부터 가장 민감한 데이터를 보호하고 조직 전반에서 AI를 안전하게 폭넓게 도입할 수 있도록 지원하기 위해 개발되었습니다. 하지만 AI 규제가 계속 등장하는 상황에서 당사가 도움을 드릴 수 있습니다. F5 Workforce AI Security는 AI 사용에 대한 가시성을 확보하고 그 활용 방식을 혁신하는 과정을 간소화하여, 오늘날 시장에서 경쟁력을 유지하는 데 매우 중요한 AI 솔루션의 도입을 저해하지 않으면서도 조직이 SB 205와 같은 규정을 준수할 수 있도록 지원합니다.

면책 조항: 이 게시물은 법률 자문을 제공하기 위한 것이 아닙니다. SB 205 또는 귀사의 사업과 관련된 기타 AI 규제가 미칠 수 있는 법적 영향에 대해서는 귀사의 법률 고문과 상의하시기 바랍니다. 또한 AI 거버넌스 문제와 관련해 당사와 협력하는 업계 선도 기업의 전문가를 기꺼이 소개해 드리겠습니다.