OpenAI가 캘리포니아 청소년 AI법을 지지했다…기본 보호가 쟁점

OpenAI가 2026년 8월 31일 캘리포니아의 청소년 컴패니언 챗봇 법안 SB 1119를 공개 지지하고 개빈 뉴섬 주지사에게 서명을 촉구했다. 같은 날 법안은 주 의회의 최종 표결을 통과했으며, 로스앤젤레스타임스 보도 도 의회 통과와 OpenAI의 지지를 확인했다.

다만 2026년 9월 2일 현재 SB 1119는 시행 중인 법률이 아니다. 의회 절차는 끝났지만 주지사의 서명 또는 거부권 결정이 남아 있다. 지금 확정된 것은 OpenAI의 지지와 의회 통과이며, 연령 판단·출시 전 위험평가·기본 보호 설정·부모 통제·독립 감사는 법안이 법률로 확정될 경우 적용될 의무다.

OpenAI가 지지한 핵심은 자동 적용되는 보호다

OpenAI의 8월 31일 공식 입장 은 이용자 연령 판단, 청소년 대상 출시 전 위험 식별과 완화, 독립 감사, 유해 콘텐츠 차단, 부모 통제, 위기지원 연결, 표적광고 제한을 지지 항목으로 제시한다. 특히 13∼17세로 확인된 이용자에게 보호가 선택 설정이 아니라 자동으로 적용돼야 한다고 밝혔다.

OpenAI는 ChatGPT for Teens와 연령 예측, 부모 통제 등 자사 기능을 이런 방향의 사례로 들었다. 그러나 회사의 자율 조치와 법안 준수는 같은 의미가 아니다. SB 1119가 법률이 되면 적용 대상 사업자는 법안의 정의와 절차에 따라 제품 통제와 평가 기록을 갖춰야 하며, OpenAI의 현재 기능이 이미 법적 적합성을 인정받았다는 뜻도 아니다.

보호 대상의 표현에도 차이가 있다. OpenAI의 발표는 주로 13∼17세 이용자를 설명하지만, 법안은 원칙적으로 18세 미만의 자연인을 아동으로 정의한다. 기업의 지지문은 정책 방향을 보여주지만, 실제 적용 범위와 예외는 최종 법률 문구를 기준으로 판단해야 한다.

모든 생성형 AI가 아니라 컴패니언 챗봇이 대상이다

직접적인 규제 대상은 캘리포니아 이용자에게 컴패니언 챗봇을 제공하는 운영자다. 법안은 기존 주법의 컴패니언 챗봇 정의를 사용하므로, 단순 검색이나 일반적인 업무 자동화 도구까지 일률적으로 같은 의무를 부담한다고 볼 수는 없다. 서비스의 대화 목적과 인간관계를 모방하는 방식, 캘리포니아 이용자 제공 여부가 적용 판단의 출발점이다.

운영자는 정해진 체계에 따라 이용자의 연령을 판단하거나, 아동에게 부여되는 일부 보호를 모든 이용자에게 적용하는 방식을 선택해야 한다. 연령 판단 후 아동의 이용을 허용하면 위험평가와 기본 설정, 콘텐츠 통제, 부모 기능 등 더 넓은 조항이 적용된다. 아동의 접근을 금지하는 운영자도 연령 판단 방식을 웹사이트에 설명해야 한다.

고등교육기관이 교육 환경에서만 제공하는 챗봇과 기업 등이 직원·계약자 등 내부 인력에게 업무용으로만 제공하는 챗봇은 운영자 정의에서 제외된다. 반면 해외에 본사를 뒀다는 이유만으로 제외되는 것은 아니다. 한국 사업자도 캘리포니아 이용자에게 해당 서비스를 제공한다면 적용 가능성을 검토해야 한다.

법안은 위험평가와 제품 기본값을 함께 규정한다

8월 28일 수정된 공식 법안 문안 에 따르면 운영자는 새 컴패니언 챗봇이나 기능·성능이 실질적으로 달라진 버전을 캘리포니아 이용자에게 제공하기 전에 아동 안전 위험평가를 수행하고 문서화해야 한다. 평가에는 예견 가능한 신체·금전 피해, 심각한 심리·정서 피해, 법으로 보호되는 사생활 침해와 차별 위험이 포함되며, 확인한 위험에 대한 합리적 완화 조치도 기록해야 한다.

아동의 이용을 허용하면 자살·자해 위험에 대응하는 위기 프로토콜, 연령에 맞는 AI 고지와 사용 알림, 찾고 이해하기 쉬운 보호 기능을 마련해야 한다. 신빙성 있고 임박한 자살·자해 위험이 있다고 판단한 경우에는 부모 계정에 알리거나 988 등 위기상담 서비스에 간편하게 연결하는 수단 중 적어도 하나를 제공하도록 했다. 부모에게 알리는 것이 아동에게 심각한 위해를 초래할 위험이 있는 경우에는 예외가 고려된다.

기본값을 법적 통제 대상으로 삼는 점이 법안의 중요한 변화다. 원칙적으로 지속적 대화 기억과 푸시 알림을 끄고, 한 번의 연속 이용을 1시간, 하루 총 대화를 2시간으로 제한한다. 부모는 이 설정을 조정하고 16세 미만 아동의 접근을 차단할 수 있지만, 부모 계정이 연결되지 않았다면 기본 설정을 바꿀 수 없다.

다만 16세 이상 아동에게는 대화 기억과 관련된 예외가 있다. 과거 대화를 장기 프로필 작성에 이용하지 않으면서 이용자가 나중에 이어갈 수 있도록 저장하는 행위는 지속적 대화 기억으로 보지 않는다. 안전조치 약화를 막는 효과적인 통제가 마련된 경우에도 지속적 기억 기능을 제공할 여지가 있어, 법안이 모든 청소년 계정의 대화 저장을 전면 금지한다고 요약하면 부정확하다.

금지 대상에는 자해·약물·음주·섭식장애를 부추기는 반응, 일정한 규제를 받지 않는 의료 진단·치료 시도, 성적 콘텐츠, 챗봇이 인간이거나 감정을 지녔다고 주장하는 행위가 포함된다. 아동에게 낭만적 관심을 표현하거나 정서적 의존을 유도하고, 부모 통제를 우회하거나 이용 사실을 숨기도록 권하는 반응도 차단 대상이다.

독립 감사는 인증서 한 장으로 끝나지 않는다

법안의 아동 안전 감사는 외부 제3자가 운영자의 내부 통제와 절차, 위험 완화 조치와 시험 결과를 평가하는 구조다. 감사자는 운영자로부터 독립돼 객관적으로 판단할 수 있어야 하고, 전문 역량과 감사 기준을 갖춰야 한다. 운영자가 재정적 이해관계가 있는 감사자를 선임하거나 감사 결과에 따라 보수를 정하는 것도 허용되지 않는다.

최초 감사 시한은 원칙적으로 2029년 1월 1일과 해당 챗봇을 처음 공개하는 시점 가운데 더 늦은 때다. 이후에는 2년마다 감사를 반복하며, 위험평가에서 아동 안전 위험 증가가 확인된 실질적 변경은 공개 전에 별도 감사를 받아야 한다. 전년도 총매출이 5억 달러 미만인 운영자는 2032년 1월 1일 전까지 감사 조항의 적용을 받지 않는 예외도 있다.

운영자는 감사보고서를 받은 뒤 30영업일 안에 요약본을 캘리포니아 법무장관에게 제출하고, 90일 안에 고수준 결과 요약을 웹사이트에 공개해야 한다. 법무장관이 모든 감사자를 사전에 인증하는 방식은 8월 28일 최종 수정 문안에 남아 있지 않다. 따라서 3월 25일의 이전 수정안을 근거로 ‘법무장관 인증 감사자’가 확정 요건이라고 설명해서는 안 된다.

한국 사업자가 구분해 볼 준비 항목

법률 확정 전부터 제품 기능과 준수 증거를 분리해 검토할 수 있다. 현재 의회 통과 문안에서 직접 확인되는 항목은 다음과 같다.

• 서비스가 법안상 컴패니언 챗봇인지, 캘리포니아 이용자와 아동의 접근을 허용하는지 범위를 문서화한다.
• 연령 판단 방법과 판단할 수 없을 때 모든 이용자에게 적용할 보호 수준을 정한다.
• 신규 출시와 실질적 변경 전에 위험평가를 수행하고 평가 방법, 시험 결과, 완화 조치를 보존한다.
• 대화 기억, 알림, 연속·일일 사용시간과 부모 설정을 서버 차원의 기본값으로 집행할 수 있는지 확인한다.
• 자해 위험, 성적 상호작용, 정서적 의존, 인간성 주장과 부모 통제 우회를 모델 평가와 실시간 대응 절차에 반영한다.
• 아동 정보의 광고·판매·공유 제한과 독립 감사에 필요한 내부 통제, 책임자, 증빙 자료를 구분한다.

법안의 주요 제품 조항은 서명돼 법률이 될 경우 2027년 7월 1일부터 작동하도록 설계돼 있으며, 인터페이스 시험과 독립 감사에는 별도 일정이 적용된다. 남은 결정은 뉴섬 주지사의 서명 여부다. 그전까지 SB 1119를 시행 중인 법률이라고 부를 수는 없지만, 선택형 안전 기능을 기본 보호와 검증 가능한 통제로 전환하려는 의회 통과 문안의 방향은 분명하다.

함께 읽기:

• OpenAI가 공개한 Hugging Face 사고, 에이전트 격리가 무너진 과정
• OpenAI가 Cursor 모델 공급을 끊는다, 종료 예정일은 11월 12일