5월 1일, 캘리포니아 개인정보보호청(CPPA) 이사회가 맞춤형광고와 인공지능(AI) 등 자동화 기술의 개인정보 이용 규제안을 초안보다 축소해 추진하기로 결정했다. CPPA는 2020년, 캘리포니아 개인정보보호법이 통과되면서 설립된, 미국에서 유일한 개인정보보호 전문 기관이다.
수정안은 AI 학습 데이터와 맞춤형광고에 대한 옵트아웃(거부) 권한을 삭제하는 등, 규제 범위를 일부 완화했다. 규정은 추가 공청회를 거쳐 최종 확정될 예정이다.
AI·유저 행동데이터 기반 맞춤형 광고 확산과 개인정보 침해 우려 증가로 제정하게 돼
지난 몇 년간 AI와 유저 행동데이터 기반 맞춤형 광고(Behavioral Advertising) 등 자동화 기술이 급속히 확산되면서, 수집·활용되는 민감한 개인정보의 범위가 확장되었다. 특히, 최근 AI 학습 데이터로 활용되는 개인정보가 소비자 동의 없이 대규모로 수집·분석되는 사례가 늘었다. 사용자의 온라인 활동을 정밀하게 추적해 맞춤형 광고를 제공하는 과정에서 사생활 침해 논란 역시 커졌다.
캘리포니아주는 이미 미국에서 가장 강도가 센 개인정보보호법(CCPA, CPRA)을 시행하고 있다. 하지만 AI와 더욱 정교한 맞춤형 광고등 신기술의 등장에 따라 기존 법률만으로는 충분히 보호하기 어렵다는 지적이 제기되어 왔다. 이에 따라 CPPA는 신기술에 특화된 추가 규제안을 마련하게 됐다.
옵트아웃 권한은 축소, 축소위치·신경·민감정보 보호는 오히려 강화
당초 나온 초안에는 AI 학습 데이터와 맞춤형광고에 대해 소비자가 자신의 개인정보 이용을 거부할 수 있는 권한(옵트아웃)을 명확히 보장하는 내용 등이 담겨 있었다. 하지만 이번 이사회에서는 이 권한을 삭제하고, 규제 범위를 줄이는 방향으로 수정했다.
CPPA는 CPRA(캘리포니아 프라이버시 권리법) 시행과 관련된 세부 규정의 제정·수정 권한을 가진 독립 규제기관으로, 개인정보 보호와 관련된 정책 방향을 실질적으로 결정할 수 있다. 캘리포니아 주지사, 주 검찰총장, 주 상원, 주 하원이 각각 1명씩 지명하고, 나머지 1명은 위 네 주체가 협의해 선임한다. 이렇게 총 5명으로 구성된 이사회는 공개 회의를 통해 규제 초안을 심의·수정하고, 사회적 의견을 반영해 최종 규정 범위 및 내용을 조정할 수 있는 권한을 부여받았다.
수정안에 따르면, 기업들은 AI 학습이나 맞춤형광고 목적으로 개인정보를 활용할 때, 소비자에게 별도의 거부권을 제공하지 않아도 된다. 미국 IT·광고 업계의 요구를 일정 부분 수용한 결과이자, 기업 부담을 완화하면서도 규제 실효성을 높이려는 절충안으로 평가된다.
블룸버그 로(Bloomberg Law)는“캘리포니아가 AI와 맞춤형광고에 대한 규제 강도를 일부 완화했지만, 위치·신경 등 민감정보 보호는 오히려 강화하는 이중적인 접근을 택했다”라고 분석했다.
한편, CPPA는 5월 2일에 별도 성명을 통해 개인정보 보호 강화와 관련된 다음 법안을 적극 지지한다고 밝혔다.
- AB 1355(위치 정보 보호법): 개인의 위치정보 수집·이용·판매를 제한
- SB 44(신경데이터 보호법): 뇌파·신경정보 사용을 엄격히 규제
- SB 361: 데이터 브로커의 민감정보 수집 여부 공개를 의무화
위 법안이 통과되면, 위치·신경·행동 데이터 등 민감 정보 보호 의무가 한층 강화된다. CPPA는 “위치정보와 신경데이터 등은 개인의 사생활과 안전에 직접적인 영향을 미치는 민감 정보이기 때문에, 별도의 강력한 보호 장치가 필요하다”고 강조했다.
미국 다른 주에서도 유사 규제 도입 움직임 확산
캘리포니아는 미국에서 개인정보보호와 AI·맞춤형광고 규제를 선도하는 역할을 해 왔다. 이번 규제안 역시 미국 내 다른 주(州)와 연방 차원의 논의에 큰 영향을 미칠 것으로 보인다.
실제로 콜로라도주는 2025년 7월부터 AI 기반 자동화 의사결정 시스템에 대한 투명성·책임성 규정을 시행할 예정이다. 코네티컷과 버지니아주 등도 AI 및 자동화 기술의 개인정보 활용에 대한 규제 입법을 추진 중이다. 일리노이주는 이미 2020년부터 AI 면접 도구 사용 시 지원자 동의 및 투명성 확보를 의무화하는 법을 시행하고 있다.
위치정보·생체정보 등 민감정보 보호에 대한 논의는 연방 차원에서도 활발히 이뤄지고 있다. 미국 연방의회에서도 ‘미국 데이터 프라이버시 및 보호법 (ADPPA:American Data Privacy and Protection Act)’ 등 포괄적 개인정보보호법 제정 논의가 이어지고 있다. 이번 캘리포니아의 움직임은 타 주와 연방 입법에 중요한 선례가 될 전망이다.
업계 영향과 시사점
이번 결정으로 AI·맞춤형광고 기업의 규제 부담은 다소 줄어든 반면, 위치정보·신경데이터 등 민감정보를 다루는 기업들은 더욱 엄격한 법적 기준을 적용받을 가능성이 커졌다. 특히, 신경데이터와 같은 첨단 바이오 정보까지 보호 범위가 확대되면서, 관련 기술을 개발하는 기업들은 법률 검토와 컴플라이언스 비용이 크게 늘어날 것으로 예상된다.
업계 관계자들은 “AI와 맞춤형광고 규제는 완화됐지만, 민감정보 보호는 오히려 강화되는 ‘투트랙’ 규제 환경이 조성됐다”면서 “향후 미국 내 다른 주와 연방 차원의 입법에도 큰 영향을 미칠 것”이라고 전망했다.
현재 연세대에서 정치외교학을 전공하고 있습니다. 대학생의 시각으로 실리콘밸리 스타트업 이야기를 생생하게, 법률 정보는 유익하고 쉽게 전달하겠습니다.
"As a student at Yonsei University studying Political Science and International Relations, I offer a fresh, relatable perspective on Silicon Valley startups. My goal is to make legal information beneficial and easy to understand."