미국 AI 규제 2026 — 연방 공백과 주(州)별 입법 지도
한줄 요약: 2026년 7월 현재 미국은 연방 차원의 포괄적 AI법이 없고, 콜로라도·캘리포니아·텍사스를 축으로 주(州)별 규제가 서로 다른 속도와 방식으로 진행 중이다. 여기에 연방정부의 주법 선점(preemption) 시도까지 겹쳐 지형이 계속 바뀌고 있어, 미국에서 AI를 쓰는 기업은 "한 번 확인하면 끝"이 아니라 상시 모니터링 체계가 필요하다.
미국은 왜 AI 규제가 '주(州)별로' 갈라져 있나?
EU가 AI Act라는 단일 법으로, 한국이 AI기본법이라는 단일 법으로 움직이는 것과 달리 미국은 연방 의회 차원의 포괄적 AI 입법이 아직 없다. 미국 연방 시스템에서는 소비자 보호, 고용, 개인정보 같은 영역이 전통적으로 주(州)의 권한 범위에 속해 왔고, AI 규제도 이 틀 안에서 각 주 의회가 개별적으로 입법을 진행해 왔다. 그 결과 콜로라도, 캘리포니아, 텍사스, 뉴욕 등 큰 주들이 서로 다른 접근 방식과 서로 다른 시행 일정을 가진 법을 각자 만들어냈고, 기업 입장에서는 "미국법"이 아니라 "어느 주 법"인지부터 따져야 하는 구조가 됐다.
여기에 최근 변수가 하나 더 생겼다. 2025년 초 행정부 교체 이후 연방 차원의 AI 정책 기조가 "안전 규제" 중심에서 "혁신 우선·규제 최소화" 중심으로 크게 이동했고, 2025년 12월에는 주(州)별 AI 법을 선점(preempt)하려는 행정명령까지 나왔다. 다만 이 행정명령은 그 자체로 법적 구속력이 강한 연방 법률이 아니라서, 실제로 주법이 무력화될지는 소송과 의회 입법의 향방에 달려 있다. 즉 2026년 하반기 현재 미국 AI 규제는 "주별로 갈라진 위에 연방-주 갈등까지 얹힌" 이중의 유동적 상태라고 보는 게 정확하다.
연방 차원 — 포괄적 법은 없고, 대신 '주법 선점' 압박이 있다
미국 의회는 그동안 여러 차례 연방 AI 법안을 논의했지만 2026년 7월 현재까지 EU AI Act에 준하는 포괄적 연방 AI법은 통과되지 않았다. 대신 눈에 띄는 것은 2025년 12월 11일 행정부가 서명한 "국가 AI 정책 프레임워크 확립"(Ensuring a National Policy Framework for Artificial Intelligence) 행정명령이다. 이 행정명령의 핵심은 규제를 새로 만드는 것이 아니라, 오히려 주(州) 단위 AI 규제를 축소·통일시키려는 데 있다.
구체적으로는 법무부(DOJ) 산하에 AI 소송 태스크포스를 설치해 2026년 1월 10일부터 주법이 주간(州間) 통상을 부당하게 저해하거나 연방 규정과 충돌한다는 논리로 연방 법원에서 다투게 하고, 연방거래위원회(FTC)에는 2026년 3월 11일까지 "주(州)가 강제하는 편향 완화 요구"를 기만적 거래행위로 간주하는 정책 성명을 내라고 지시했으며, 상무부에는 광대역 인프라 예산 지원을 조건으로 "과도하다고 판단되는" 주 AI 규제 폐지를 유도하도록 했다. 다만 행정명령 자체는 의회가 제정한 법률이 아니고 의회의 위임에 근거한 규정도 아니어서, 그 자체만으로는 강한 선점 효력을 갖지 못한다는 점이 여러 법률사무소 분석에서 공통적으로 지적된다. 실제로 36개 주 법무장관이 연대해 의회에 이런 연방 개입에 반대하는 서한을 보내는 등 주 정부 차원의 저항도 만만치 않다.
정리하면 2026년 7월 시점에서 "연방법이 주법을 대체했다"고 보기는 이르다. 오히려 연방과 주가 서로 다른 방향으로 힘을 겨루는 과도기이며, 기업 입장에서는 당장은 여전히 각 주법을 준수 대상으로 보고 움직여야 한다.
콜로라도 — 가장 야심찼던 법이 시행 직전 크게 후퇴했다
콜로라도는 2024년 SB 24-205(콜로라도 AI법)로 미국에서 가장 포괄적인 주 단위 AI 규제를 만든 곳으로 평가받았다. 원안은 교육, 고용, 정부 서비스, 의료, 주거, 보험, 법률 서비스 등에서 "중대한 결정"을 내리는 고위험 AI 시스템의 개발자·배포자에게 차별 방지 주의의무, 위험관리 프로그램, 영향평가, 주 법무장관 보고 의무 등을 폭넓게 부과하는 구조였다.
그런데 시행일이 계속 미뤄졌다. 원래 2026년 2월 1일 시행 예정이었던 것이 2025년 8월 SB 25B-004로 2026년 6월 30일로 한 차례 연기됐고, 그마저도 2026년 5월 14일 주지사가 SB 26-189에 서명하면서 법 자체가 사실상 교체됐다. 새 법은 차별 방지 주의의무, 위험관리 프로그램, 영향평가 의무 등 기존의 '위험 기반' 틀을 걷어내고, 대신 소비자에게 중대한 영향을 미치는 자동화된 의사결정 기술(ADMT)에 대한 공개·투명성 의무 중심으로 좁혀졌으며 시행일은 2027년 1월 1일로 다시 늦춰졌다. 개발자가 배포자에게 의도된 용도, 잠재적 유해 사용, 학습 데이터 범주, 배포자 감독 지침 등의 정보를 제공하도록 하는 것이 핵심이다. 결과적으로 "가장 강한 주법"이라는 평가를 받던 콜로라도법은 시행 전 단계에서 스스로 수위를 크게 낮춘 셈이다. 이는 다른 주들이 유사 입법을 설계할 때도 참고할 만한 신호로 볼 수 있다.
캘리포니아 — 프론티어 모델 투명성과 고용 AI 규제가 동시에 움직인다
캘리포니아는 여러 갈래의 법이 동시에 시행되고 있어 정리가 필요하다. 2026년 1월 1일부로 프론티어 AI 모델의 투명성을 다루는 TFAIA(Transparency in Frontier Artificial Intelligence Act), AI 학습 데이터 출처 공개를 요구하는 AB 2013(GAI Training Data Transparency Act) 등이 시행에 들어갔고, 생성형 AI 콘텐츠에 워터마크·잠재적 표시(latent disclosure)·탐지 도구 제공을 요구하는 SB 942(AI Transparency Act)는 2026년 8월 2일 시행을 앞두고 있다.
고용 영역은 별도 트랙으로 움직인다. 2025년 10월 1일부터는 캘리포니아 공정고용주택법(FEHA)이 개정되어, AI·자동화 의사결정 시스템(ADS)을 이용한 고용 결정에도 기존 인간 의사결정과 동일한 차별금지 규정이 적용된다는 점이 명확해졌다. 여기에 더해 프라이버시 규제 쪽에서도 2027년 1월 1일부터 자동화된 의사결정 기술(ADMT)을 채용, 업무 배분, 보상, 승진, 강등, 정직, 해고 등 '중대한 결정'에 사용하는 중견·대기업(연 매출 약 2,660만 달러 초과 등 요건)에 위험평가, 사전 고지, 옵트아웃·접근권 보장 의무를 부과하는 규정이 예정되어 있다. 여기에 더해 2026년 초 발의된 SB 947, AB 1018 등 후속 법안들도 논의 중이어서, 캘리포니아는 프론티어 모델 규제와 고용 AI 규제라는 두 트랙이 겹치며 계속 확장되는 모양새다.
텍사스 — 원안보다 크게 축소된 TRAIGA
텍사스는 2026년 1월 1일 TRAIGA(Texas Responsible AI Governance Act, 일명 텍사스 책임있는 AI 거버넌스법)를 시행했다. 다만 입법 과정에서 원안 대비 상당히 좁아졌다는 평가가 많다. 최종본은 민간 부문에 대한 일반적 의무 대부분을 걷어내고, 규제 범위를 주로 정부기관의 AI 사용으로 좁혔다. 그럼에도 자기 위해·폭력·범죄 조장, 아동 성착취물 생성·유포, 불법 딥페이크, 미성년자를 사칭한 소통 등 "제한된 목적"으로 AI를 의도적으로 만들거나 사용하는 행위는 개발자·배포자를 막론하고 폭넓게 금지된다. 정부 기관에는 AI와 상호작용하고 있음을 소비자에게 고지할 의무(다만 명시적 동의까지는 요구하지 않음), 의료기관에는 AI가 진료·서비스에 관여한다는 사실을 환자에게 고지할 의무가 부과된다.
집행은 민사상 손해배상 청구권(private right of action) 없이 텍사스 법무장관이 전담하며, 위반 건당 1만~20만 달러의 민사 벌금이 부과될 수 있고 위반이 계속되면 일 단위로 누적될 수 있다. AI 시스템 정의 자체는 생성형 AI·챗봇에 국한되지 않고 폭넓게 규정돼 있어, 실제 적용 범위는 법의 '민간 의무 축소'라는 인상보다 넓을 수 있다는 지적도 있다. 개발자를 위한 규제 샌드박스 프로그램과 텍사스 AI 자문위원회 설치도 함께 이뤄졌다.
주별 AI 규제 비교
| 주 / 관할 | 대표 법령 | 시행일(2026년 7월 기준) | 적용 대상 | 핵심 의무 |
|---|---|---|---|---|
| 콜로라도 | SB 24-205 → SB 26-189(교체) | 2027년 1월 1일 | 소비자에 중대한 영향을 미치는 자동화 의사결정기술(ADMT) 개발자·배포자 | 용도·유해가능성·학습데이터·감독지침 등 공개·투명성 의무(위험관리·영향평가 의무는 삭제됨) |
| 캘리포니아 | TFAIA / AB 2013 / SB 942 | 2026년 1월 1일(TFAIA·AB2013), 2026년 8월 2일(SB942) | 프론티어 AI 모델 개발자, 생성형 AI 제공자 | 안전 프레임워크 공개, 학습데이터 출처 공개, AI 생성물 워터마크·탐지 도구 제공 |
| 캘리포니아(고용) | FEHA 개정 / ADMT 프라이버시 규정 | 2025년 10월 1일(FEHA) / 2027년 1월 1일(ADMT) | 채용·승진·해고 등에 ADS·ADMT를 쓰는 고용주 | 차별금지 책임 명확화, 위험평가·사전고지·옵트아웃권(예정) |
| 텍사스 | TRAIGA(Responsible AI Governance Act) | 2026년 1월 1일 | 주로 정부기관, 제한된 목적의 AI 사용은 민간 포함 전반 | 제한 목적 AI 사용 금지, 정부·의료기관 AI 사용 고지 의무 |
| 뉴욕시 | Local Law 144(자동화 고용 의사결정 도구) | 기시행(2023년~, 이후 지침 업데이트 지속) | 뉴욕시 소재 고용에 자동화 채용 도구를 쓰는 고용주 | 연 1회 편향 감사, 후보자 고지 의무 |
표에서 보듯 시행일과 적용 범위가 주마다 다르고, 콜로라도처럼 시행 직전 법 자체가 바뀌는 사례도 있다. 따라서 이 표는 "2026년 7월 시점의 스냅샷"으로만 참고하고, 실제 대응 시점에는 각 주의 최신 공고를 다시 확인하는 것이 안전하다.
다주(多州) 컴플라이언스 — 한국 기업의 미국 진출 실무에 미치는 영향
한국 기업이 미국에 채용 플랫폼, HR 소프트웨어, 생성형 AI 서비스 등을 들고 진출한다면 "미국법 하나"를 검토하는 게 아니라 사업이 걸쳐 있는 주(州)들의 법을 각각 검토해야 한다. 예를 들어 캘리포니아에 본사나 고객이 있고 텍사스와 콜로라도에도 사용자가 있다면, 같은 AI 채용 기능 하나에 대해 캘리포니아의 FEHA·ADMT 규정, 텍사스의 TRAIGA 제한 목적 조항, 콜로라도의 새 ADMT 공개 의무를 동시에 만족시켜야 하는 상황이 생긴다. 여기에 뉴욕시처럼 도시 단위 조례(Local Law 144류)까지 별도로 존재하는 경우도 있어, 실무적으로는 "가장 엄격한 주의 기준"에 맞춰 내부 정책을 통일하는 방식이 흔히 선택된다.
또한 연방 차원의 선점 시도가 진행 중이라는 점도 실무에 영향을 준다. 당장 특정 주법이 무효화될 가능성을 전제로 대응 수위를 낮추는 것은 위험하다. 소송과 입법 결과가 나오기까지는 시간이 걸리고, 그 사이 주 법무장관들의 집행 의지는 오히려 강해질 수 있기 때문이다. 로펌들의 공통된 조언도 "선점 논쟁의 결과를 기다리지 말고, 현재 유효한 주법 기준으로 우선 준수하라"는 쪽에 가깝다.
MeshLaw 같은 AI 법률 도구는 이런 다주(多州) 비교 검토에서 초안 작업 시간을 줄이는 데 쓰일 수 있다. 다만 주별 시행일이나 조문 내용이 자주 바뀌는 영역이므로, 도구가 만든 초안은 반드시 최신 공식 법령 텍스트와 대조한 뒤 사용해야 한다는 점은 변함없다.
결론
2026년 7월 현재 미국의 AI 규제는 "완성된 지도"가 아니라 "계속 그려지고 있는 지도"에 가깝다. 연방 차원의 포괄적 입법은 없고, 대신 주법을 선점하려는 연방 행정명령과 이에 저항하는 주 정부들 사이의 힘겨루기가 진행 중이다. 콜로라도는 가장 강한 법을 만들었다가 시행 직전 스스로 수위를 낮췄고, 캘리포니아는 프론티어 모델 투명성과 고용 AI 규제라는 두 축을 동시에 확장하고 있으며, 텍사스는 원안보다 좁아진 형태로나마 법을 시행했다. 이런 흐름 속에서 다주 사업을 하는 기업, 특히 미국에 진출하는 한국 기업에게 중요한 것은 한 번의 법률 검토로 끝내는 것이 아니라, 주별 시행일과 조문 변화를 상시로 확인하는 체계를 갖추는 일이다.
연방 차원의 포괄적 AI법이 미국에 있는가?
2026년 7월 현재 EU AI Act나 한국 AI기본법에 준하는 포괄적 연방 AI법은 없다. 대신 개별 행정명령과 각 주(州)의 개별 입법이 규제의 실체를 이루고 있다.
트럼프 행정부의 AI 행정명령이 주법을 무효화했는가?
아니다. 2025년 12월 행정명령은 주법 선점을 지향하지만, 행정명령 자체는 의회가 만든 법률이 아니어서 그 자체만으로 강한 법적 구속력을 갖지 못한다. 실제 무효화 여부는 소송과 향후 의회 입법에 달려 있다.
콜로라도 AI법은 지금 시행 중인가?
원안(SB 24-205)은 시행되지 않았다. 2026년 5월 SB 26-189로 교체되어 범위가 좁혀졌고, 새 시행일은 2027년 1월 1일이다.
캘리포니아의 AI 관련 법은 몇 개나 되나?
프론티어 모델 투명성(TFAIA), 학습데이터 공개(AB 2013), 생성물 표시(SB 942) 등 여러 개별 법이 각기 다른 시행일로 존재하며, 별도로 고용 영역의 FEHA 개정·ADMT 규정도 있다. 하나의 "캘리포니아 AI법"으로 뭉뚱그리기 어렵다.
텍사스 TRAIGA는 민간기업에도 적용되나?
최종본은 민간 부문 일반 의무를 대부분 걷어내고 정부기관 중심으로 좁혔지만, 자기 위해·범죄 조장·아동 성착취물·불법 딥페이크 등 "제한된 목적"의 AI 사용 금지는 민간을 포함해 폭넓게 적용된다.
캘리포니아에서 AI로 채용 결정을 내리면 어떤 의무가 생기나?
이미 시행 중인 FEHA 개정에 따라 AI를 이용한 채용·해고 등 결정도 인간의 결정과 동일한 차별금지 규정을 적용받는다. 2027년부터는 위험평가, 사전 고지, 옵트아웃권 등을 요구하는 ADMT 규정도 예정되어 있다.
뉴욕시 Local Law 144는 여전히 유효한가?
자동화 고용 의사결정 도구에 대한 편향 감사·고지 의무를 정한 이 조례는 계속 시행 중이며, 이후에도 지침 업데이트가 이어지고 있다. 뉴욕시에서 자동화 채용 도구를 쓰는 기업은 별도로 확인해야 한다.
여러 주에 걸쳐 사업하는 기업은 어떤 기준을 따라야 하나?
실무적으로는 사업이 걸쳐 있는 각 주 중 가장 엄격한 기준에 맞춰 내부 정책을 통일하는 방식이 흔히 쓰인다. 다만 이는 일반적 관행이며, 구체적 적용 범위는 각 주법의 문언과 사업 형태에 따라 달라질 수 있다.
한국 기업이 미국에 AI 제품을 출시할 때 가장 먼저 확인할 것은?
제품이 실제로 서비스되는 주(州)가 어디인지, 그 주에 고용·소비자 보호 관련 AI 규제가 있는지를 먼저 확인하는 것이 출발점이다. 이후 연방 차원의 선점 논쟁 진행 상황도 함께 모니터링할 필요가 있다.
주법이 연방 행정명령으로 곧 사라질 것을 전제로 대응을 미뤄도 되나?
권장되지 않는다. 선점 논쟁은 소송으로 이어질 수 있고 결론까지 시간이 걸리며, 그 사이 주 법무장관의 집행 의지는 유지되거나 강해질 수 있다. 현재 유효한 주법을 기준으로 우선 준수하는 편이 안전하다.
AI 시스템 개발자와 배포자(deployer)의 의무는 어떻게 다른가?
대체로 개발자는 시스템의 의도된 용도, 잠재적 위험, 학습데이터 등에 대한 정보를 제공할 의무를, 배포자는 실제 사용 맥락에서 소비자 고지, 감독, 이의제기 절차 등을 마련할 의무를 지는 구조가 많다. 다만 구체적 분배는 법마다 다르다.
이 글에서 다루지 않은 주는 규제가 없다는 뜻인가?
아니다. 일리노이, 유타 등 여러 주에서도 AI 관련 공개·고지 의무 법이 개별적으로 시행되고 있다. 이 글은 콜로라도·캘리포니아·텍사스를 중심으로 대표 사례를 정리한 것이며, 전체 50개 주를 망라하지 않는다.
이 글은 법률 자문인가?
아니다. 이 글은 2026년 7월 기준으로 공개된 자료를 바탕으로 한 일반적인 정보 정리이며, 특정 기업의 상황에 대한 법률 자문을 대체하지 않는다. 시행일과 법 내용이 계속 바뀌고 있으므로, 실제 의사결정 전에는 미국 현지 변호사의 최신 확인을 거쳐야 한다.
MeshLaw는 이런 다주 규제 비교를 대신 해주나?
MeshLaw는 관련 문서 초안 작성 시간을 줄이는 도구이며, 규제 비교와 최종 판단을 전적으로 대체하지는 않는다. 도구가 생성한 내용은 최신 법령 원문과 반드시 대조 확인해야 한다.