내일(6/30) 미국 첫 'AI 차별금지법'이 발효될 뻔했어 — 근데 발효 직전에 알맹이가 빠졌어

미국 첫 'AI 차별금지법'이 발효도 하기 전에 알맹이가 빠졌다

자, 핵심부터. 내일, 그러니까 6월 30일은 원래 미국 최초의 포괄적 AI 규제인 '콜로라도 AI법'이 발효되기로 한 날이었어. 그런데 그 날짜가 코앞에 오기 전, 콜로라도는 법을 뜯어고쳤어. 폴리스(Jared Polis) 주지사가 5월 14일 SB 189에 서명하면서 발효일을 2027년 1월 1일로 6개월 미뤘고, 더 중요하게는 법의 알맹이였던 핵심 조항들을 통째로 들어냈어.

뭐가 빠졌느냐가 진짜 핵심이야. 원래 콜로라도 AI법(SB 24-205)은 '고위험 AI 시스템'을 다루는 기업에 ① 알고리즘 차별을 막을 주의의무(duty of care), ② 리스크 관리 프로그램 운영, ③ 영향평가(impact assessment) 실시, ④ 검찰총장 보고 의무를 지웠어. 이번 개정은 바로 이 네 가지를 거의 다 삭제했어. 남은 건 '우리가 AI를 쓴다'고 알리는 투명성·공개 위주의 훨씬 가벼운 틀이야.

이게 왜 큰 이야기냐. 콜로라도 AI법은 EU AI법의 '미국판 축소 버전'이라 불리며, 다른 주들이 따라 만들 모델로 주목받았어. 그 첫 도미노가 발효도 하기 전에 알맹이를 비웠다는 건, '미국식 AI 규제는 결국 어디로 가는가'라는 질문의 답을 보여주는 사건이야. 야심 차게 만들었던 차별금지 의무가, 시행 부담과 업계 반발 앞에서 미뤄지고 깎인 거지.

그래서 오늘 풀 이야기는 이거야. 원래 콜로라도 AI법이 뭘 요구했는지, SB 189가 뭘 바꿨는지, 왜 발효 직전에 후퇴했는지, 그리고 이게 미국 전체 AI 규제 흐름에 뭘 의미하는지. 등장인물은 셋이야 — 콜로라도(주지사·의회), 법 자체, 그리고 규제 대상인 기업과 소비자.

등장인물 — 콜로라도, 그 법, 그리고 기업 vs 소비자

먼저 콜로라도(주지사 폴리스와 주의회). 콜로라도는 2024년 5월 미국 최초로 포괄적 AI 차별금지법을 통과시킨 선구자였어. 그런데 정작 폴리스 주지사는 서명 당시부터 "이 법이 혁신을 위축시킬 수 있다"며 우려를 표했고, 연방 차원의 통일된 규제가 더 낫다는 입장이었어. 즉 이 법은 처음부터 '주지사가 마뜩잖아하며 서명한 법'이었고, 이번 후퇴는 그 내적 긴장이 결국 터져 나온 결과로 볼 수 있어.

다음은 콜로라도 AI법 자체. 이 법의 야심은 'AI가 채용·대출·주거·교육·의료 같은 중대한 결정에 쓰일 때, 그게 특정 집단을 부당하게 차별하지 못하게 막는다'였어. 단순히 'AI 쓴다고 알려라' 수준이 아니라, 기업이 적극적으로 차별 위험을 점검하고(영향평가), 관리하고(리스크 프로그램), 책임지게(주의의무) 만드는 구조였지. 그래서 'EU AI법의 미국판'이라 불린 거야. 이번 개정은 이 적극적 의무들을 빼고, 소극적인 공개 의무 중심으로 법의 성격을 바꿨어.

세 번째는 규제 대상인 기업과, 보호 대상인 소비자야. 기업, 특히 HR·핀테크·헬스테크처럼 AI로 사람에 관한 결정을 내리는 곳들은 영향평가와 리스크 관리가 막대한 컴플라이언스 비용이라며 부담을 호소해왔어. 반대로 소비자·시민단체는 'AI가 나를 차별해도 막을 장치가 사라진다'며 후퇴를 비판해. 효율·혁신을 외치는 기업과, 보호·책임을 외치는 소비자가 정면으로 부딪치는 자리야.

이 셋을 한 문장으로 묶으면 이래. 미국 최초로 AI 차별금지법을 만든 주(콜로라도)가, 그 법의 적극적 의무들이 기업에 과한 부담이라는 압력 앞에서, 발효 직전 시행을 미루고 알맹이를 들어내 투명성 공개 중심으로 후퇴시켰다. 이게 뼈대야.

핵심 내용 — 무엇이 빠졌고, 무엇이 남았나

말로 풀면 흩어지니까, 바뀐 내용을 표로 보자.

항목	원래 콜로라도 AI법 (SB 24-205)	SB 189 개정 후
발효일	2026년 6월 30일	2027년 1월 1일
알고리즘 차별 방지 주의의무	있음	삭제
배포자 리스크 관리 프로그램	의무	삭제
영향평가(impact assessment)	의무	삭제
검찰총장 보고 의무	있음	삭제
핵심 성격	적극적 차별 예방·관리	소극적 투명성·공개
서명	2024년 5월 (SB 24-205)	2026년 5월 14일 폴리스 주지사

표를 한 줄씩 보자. 우선 **'6개월 연기'**는 표면적인 변화일 뿐이야. 진짜 사건은 그 옆 칸들, 즉 '삭제'라는 글자가 줄줄이 붙은 부분이야. 발효를 미룬 것보다, 미루는 김에 법의 핵심 의무를 통째로 들어낸 게 본질이야. 시간을 번 게 아니라 내용을 바꾼 거지.

두 번째로 '적극 → 소극'의 성격 전환이 핵심이야. 원래 법은 기업에게 '차별이 일어나지 않도록 미리 점검하고 관리하라'는 적극적 책임을 지웠어. 개정 후엔 'AI를 쓴다는 사실을 알리는' 소극적 공개로 무게중심이 옮겨갔어. 차별이 실제로 일어났을 때 책임을 묻는 강제력이 크게 약해진 거야. 투명성은 좋은 거지만, '알리는 것'과 '막는 것'은 전혀 다른 강도의 규제야.

세 번째로 '발효 직전 후퇴'라는 타이밍이 이 사건의 상징성이야. 법이 통과되고 발효되기까지 약 2년의 유예가 있었는데, 그 유예가 끝나기 직전에 알맹이를 비웠어. 이건 '만들 땐 이상적으로 만들었지만, 실제 시행이 닥치니 부담을 못 견뎠다'는 패턴이야. AI 규제가 종이 위에선 강력해도, 발효의 문턱에서 현실적 압력에 부딪혀 깎이는 전형을 보여줘.

각자의 이득 — 누가 뭘 얻나

기업(특히 AI 배포 기업)의 이득부터 보자. 첫째, 막대한 컴플라이언스 비용 절감이야. 영향평가와 리스크 관리 프로그램은 전담 인력·외부 감사·문서화가 필요한 무거운 의무였는데, 이게 사라지면서 부담이 확 줄어. 둘째, 법적 불확실성 해소야. '주의의무 위반'이라는 모호한 책임 기준이 빠지면서, 소송 리스크가 줄었어. 셋째, 시간이야. 6개월의 추가 유예는 그사이 연방 차원의 통일 규제 논의를 지켜볼 여유를 줘.

콜로라도 주정부의 이득도 있어. 첫째, 기업 이탈 방지야. 과도한 규제로 AI 기업이 다른 주로 떠나는 걸 막고, '혁신 친화적'이라는 이미지를 챙길 수 있어. 둘째, 집행 부담 경감이야. 적극적 의무를 부과하면 그걸 감독·집행할 행정 역량도 필요한데, 그 부담을 덜었어. 셋째, 명분상 '규제를 폐지한 게 아니라 가다듬었다'고 말할 수 있어 — 법은 살아 있고 투명성 조항은 남았으니, 완전 후퇴는 아니라는 포장이 가능해.

반대로 소비자·시민에겐 이득보다 손실이 커. AI가 채용·대출·주거에서 나를 부당하게 거를 때, 그걸 미리 막고 책임을 물을 핵심 장치가 사라졌거든. 남은 투명성 조항은 'AI를 썼다'는 사실은 알려주지만, 그 AI가 차별적이었는지 점검하고 시정할 강제력은 약해. 보호받는다는 기대가 줄어든 만큼, 차별 위험의 부담은 고스란히 개인에게 남아. 이 비대칭이 시민단체가 반발하는 핵심이야.

과거 유사 사례 — 성공과 실패

야심 찬 규제가 발효 직전·직후에 후퇴한 전례는 많아. 가장 가까운 건 EU AI법의 'AI 옴니버스' 완화 시도야. 유럽도 강력한 AI법을 만들었지만, 막상 시행이 다가오자 산업 경쟁력 우려로 일부 의무를 미루고 완화하는 논의를 거듭했어. '강하게 만들고 시행 앞에서 깎는' 패턴은 대서양 양쪽에서 똑같이 반복되고 있어. AI 규제의 이상과 현실 사이 간극이 그만큼 크다는 방증이야.

또 하나는 미국 주(州) 단위 개인정보보호법의 확산이야. 캘리포니아 CCPA가 첫 도미노를 놓자 여러 주가 따라 만들었는데, 그 과정에서 처음의 강한 조항이 주마다 조금씩 약해지며 '느슨한 표준'으로 수렴하는 경향이 있었어. 콜로라도 AI법의 후퇴도, 다른 주들이 'AI법은 이 정도 수준이면 된다'는 신호로 받아들여 전반적으로 규제 강도가 낮아지는 도미노로 이어질 수 있어. 첫 모델이 약해지면 뒤따르는 모델도 약해지기 쉬워.

반대로 '강한 규제가 살아남은' 사례도 있긴 해. EU의 GDPR은 시행 전 숱한 완화 압력을 받았지만 핵심을 지켜냈고, 결국 글로벌 표준이 됐어. 차이는 '집행 의지와 시민사회의 압력'이었어. 콜로라도 AI법이 GDPR처럼 핵심을 지키지 못하고 깎인 건, 아직 AI 차별에 대한 사회적 합의와 집행 인프라가 GDPR만큼 무르익지 않았다는 신호로도 읽혀. 규제는 종이만으로 서지 않아 — 그걸 떠받칠 사회적 합의가 같이 자라야 살아남아.

경쟁자 카운터 플레이

가장 주목할 건 다른 주들의 입법 움직임이야. 캘리포니아·뉴욕·일리노이 등은 각자 AI 규제를 준비 중인데, 콜로라도의 후퇴를 보고 두 갈래로 갈릴 거야. 한쪽은 '거봐, 너무 강하면 못 버텨'라며 자기 법안의 강도를 낮출 거고, 다른 한쪽은 '콜로라도가 후퇴했으니 우리가 진짜 첫 강력 규제가 되겠다'며 차별화에 나설 수 있어. 첫 도미노의 후퇴가 뒤 도미노들의 방향을 흔드는 셈이야.

연방 차원의 카운터도 중요해. 폴리스 주지사가 줄곧 강조한 게 '주마다 제각각인 규제보다 연방 통일 규제'였어. 주법들이 후퇴하거나 제각각이면, '차라리 연방이 하나의 기준을 만들자'는 명분이 커져. 다만 연방 규제는 종종 주법보다 약하게 합의되는 경향이 있어서, '연방 통일'이 곧 '규제 강화'를 뜻하진 않아. 오히려 주들의 강한 조항을 연방의 느슨한 기준으로 덮어쓰는 선점(preemption) 논쟁으로 번질 수 있어.

시민·소비자 진영의 카운터는 '입법보다 소송'으로 옮겨갈 가능성이 커. AI 차별을 막을 전용 법이 약해지면, 기존의 일반 차별금지법·소비자보호법을 끌어와 개별 소송으로 다투는 길로 갈 수 있어. 전용 규제가 비는 자리를, 판례가 메우는 방식이지. 다만 이건 사후 구제라 예방엔 약하고, 개인이 거대 기업을 상대로 입증해야 하는 부담이 커. 그래서 시민단체는 입법 후퇴를 그만큼 더 아프게 받아들여.

그래서 뭐가 달라지는데

AI 도구를 쓰는 기업이라면 당장은 한숨 돌릴 일이야. 콜로라도에서 영향평가·리스크 관리 같은 무거운 의무가 빠졌으니, 임박했던 컴플라이언스 부담이 크게 줄었어. 다만 방심은 금물이야. 발효일은 2027년 1월로 살아 있고, 다른 주나 연방이 더 강한 규제를 들고나올 수 있어. 그리고 차별금지법 같은 일반법은 그대로니, 'AI가 차별해도 괜찮다'는 뜻은 절대 아니야. 부담이 미뤄진 거지 사라진 게 아니야.

HR·핀테크·헬스테크 실무자라면 이건 '준비를 멈추라'가 아니라 '준비할 시간을 벌었다'로 읽어야 해. 영향평가와 차별 점검은 법이 강제하지 않아도 좋은 실무이고, 평판·소송 리스크 관리 차원에서도 가치가 있어. 규제가 약해진 지금이, 오히려 강제가 아니라 자율로 체계를 갖춰둘 적기야. 다음 규제 파도가 왔을 때 먼저 준비한 쪽이 비용을 덜 치러.

정책·시민에 관심 있다면 이건 '미국식 AI 규제가 어디로 가는가'의 풍향계야. 첫 포괄 규제가 발효 직전 알맹이를 비운 건, 미국이 'EU식 사전 강제 규제'보다 '시장 자율 + 투명성 공개 + 사후 소송'에 가까운 길로 기우는 신호일 수 있어. 단, 아직 발효 전이고 다른 주·연방의 카드가 남아 있으니 결론은 일러. 차별 예방의 책임이 법에서 빠진 만큼, 그 공백을 무엇이 메울지를 지켜보는 게 핵심이야.

한 걸음 더 — '만들기'와 '시행하기' 사이의 깊은 골

이 사건이 보여주는 가장 깊은 교훈은 '법을 만드는 것'과 '법을 시행하는 것' 사이엔 거대한 골이 있다는 거야. 콜로라도는 2024년 이상을 담아 법을 통과시켰지만, 2026년 발효가 닥치자 그 이상을 떠받칠 현실(기업 수용성, 행정 집행 역량, 사회적 합의)이 충분히 자라지 못했다는 걸 인정한 셈이야. AI 규제가 어려운 건 기술이 빠르게 변해서이기도 하지만, 더 근본적으론 '무엇이 차별인가, 누가 책임지는가'에 대한 사회적 합의가 아직 무르익지 않았기 때문이야.

또 하나 깊이 볼 건 '투명성'이라는 단어의 함정이야. 개정법에 남은 투명성·공개 조항은 언뜻 합리적으로 들려 — "최소한 AI를 쓴다는 건 알려준다"니까. 하지만 '알리는 것'과 '막는 것'은 규제의 강도가 완전히 달라. 차별이 일어나도, 그게 일어났다는 사실만 공개되고 그걸 예방·시정할 강제력이 없다면, 투명성은 면죄부에 가까워질 수 있어. 진짜 관건은 공개된 정보를 바탕으로 책임을 물을 후속 장치가 있느냐인데, 그게 약해진 게 이번 후퇴의 핵심이야.

결국 콜로라도 AI법의 후퇴가 던지는 질문은 'AI를 규제할 것인가 말 것인가'가 아니야. '어떤 방식으로, 누구의 부담으로 규제할 것인가'야. 사전에 기업이 점검하게 할 것인가, 사후에 피해자가 소송으로 다투게 할 것인가. 미국은 지금 그 갈림길에서 후자 쪽으로 한 발 옮겼고, 6월 30일은 그 첫 신호가 또렷해진 날이야. 발효될 뻔했던 강한 법 대신, 가벼워진 법이 그 자리를 차지하면서.

🥄 남은 궁금증 세 가지

— 그래서 콜로라도 AI법은 폐지된 거야? 아니야. 폐지가 아니라 후퇴야. 발효일이 2027년 1월로 미뤄졌고, 핵심 의무들이 빠진 채 투명성·공개 조항 위주로 살아 있어. 법은 존재하지만, 차별을 적극적으로 막던 이빨이 상당히 빠진 상태라고 보면 돼.

— 이게 다른 주에도 영향을 줘? 가능성이 커. 콜로라도는 미국 첫 모델이라 다른 주들이 참고하거든. 후퇴를 보고 자기 법을 약하게 다듬는 주가 있을 수 있고, 반대로 '우리가 진짜 첫 강력 규제'를 노리는 주도 나올 수 있어. 어느 쪽이 우세할지는 더 지켜봐야 해.

— 그럼 AI 차별은 이제 합법이야? 전혀 아니야. AI 전용 차별금지 의무가 약해진 것뿐, 기존의 일반 차별금지법·소비자보호법은 그대로야. 다만 'AI에 특화된 사전 예방·점검' 장치가 빠지면서, 차별을 막는 방식이 '예방'에서 '사후 소송'으로 기운 거지. 막는 도구가 약해졌다고 보는 게 정확해.

참고 자료

• Colorado AI Act Amended and Effective Date Delayed — Hunton Andrews Kurth
• Colorado Legislature Passes Bill to Repeal and Replace Colorado AI Act — Troutman Pepper
• Colorado Artificial Intelligence Act (SB 24-205) — Colorado General Assembly
• Office of Governor Jared Polis — Colorado
• EU AI Act overview — European Commission

기준과 수치는 발표 시점 기준이라 바뀔 수 있어. 법률 자문이 필요하면 전문가와 상의해!