연방의 공백, 주(州)가 만드는 규칙 미국에는 아직 산업 전반을 아우르는 연방 차원의 개인정보 보호법이 없다. 의료나 금융처럼 분야별 연방법은 있지만, 소비자 개인정보 전반을 규율하는 법은 번번이 무산됐다. 그 빈자리는 각 주(州)가 채워왔다. 지난 6월 버몬트가 합류하면서 종합적인 프라이버시법을 갖춘 주는 6월 말 기준 23곳이 됐고, 매사추세츠와 펜실베이니아 등에서도 법안이 진행 중이어서 이 숫자는 더 늘어날 전망이다. 다만 지금 미국에서 벌어지는 일은 "법을 만든 주가 늘었다"는 말로는 명확하게 설명되지 않는다. 최근 2~3년의 입법을 놓고 보면 세 갈래 흐름이 뚜렷하다. 규율 대상이 넓어지고, 조항이 주에서 주로 옮겨가며, 프라이버시 규제와 AI 규제의 경계가 흐려지고 있다. 흐름 하나 - 규율 대상이 넓어진다 가장 두드러진 변화다. 올해 코네티컷주가 개정한 프라이버시법이 이를 잘 보여준다. 이 법은 소비자의 정밀한 위치정보를 파는 행위를 원칙적으로 금지했다. 개인정보를 근거로 가격을 올리는 이른바 '감시 가격(surveillance pricing)'을 쓰면 그 옆에 "이 가격은 귀하의 개인정보를 이용해 인상되었습니다"라는 문구를 붙여야 하고, 오프라인 소매。과 배달 플랫폼은 이 방식 자체가 원칙적으로 금지된다. 얼굴 인식을 보안 목적으로 쓰는 사업장은 자사가 관리하는 데이터베이스와만 대조할 수 있고 출입구마다 안내문을 붙여야 한다 바다이야기 사이트 먹튀 . 다만 상거래 과정에서 소비자가 동의한 경우는 예외다. 데이터 브로커에게는 등록 의무가 생겼고, 소비자가 한 번의 요청으로 등록된 브로커 전체에 삭제를 요구할 수 있는 일괄 삭제 요청 창구도 마련된다. 유전자 검사 업체가 보관한 생체 시료와 검사 결과에는 소비자의 재산권이 인정됐다. 버몬트법도 같은 방향이다. 중대한 영향을 미치는 자동화된 결정이 내려졌을 때 소비자는 그 근거를 설명받을 수 있고, 자신의 정보가 누구에게 팔렸는지 제3자 목록도 요구할 수 있다. 민감정보 범위에는 신경 데이터(neural data)까지 들어갔다. 정리하면 규제의 관심이 데이터를 어떻게 받았느냐에서 그 데이터로 무엇을 하느냐로 옮겨가고 있다. 흐름 둘 - 조항이 주에서 주로 옮겨간다 코네티컷이 앞서간 것처럼 보이지만 실상은 그렇지 않다. 위치정보 판매 금지는 오리건과 메릴랜드에 이미 있었고, 감시 가격 규제도 뉴욕·메릴랜드에 이어 세 번째다. 일괄 삭제 요청 창구는 캘리포니아가 먼저 만들었다. 코네티컷은 여러 주에 흩어져 있던 조항을 한데 모은 쪽에 가깝다. 거꾸로 코네티컷의 조항은 다른 주로 옮겨간다. 버몬트가 그 예다. 버몬트는 2년 전 독자적인 법안을 만들었다가 주지사의 거부권 행사로 무산됐는데, 그때 주지사가 제시한 대안이 "코네티컷을 따르라"였다 모바일 오리지날야마토2게임 . 앞서 뉴햄프셔도 같은 길을 걸었다. 연방법이 없다는 사실이 오히려 이 이동을 촉진하는 면이 있다. 통일된 기준이 없으니 주들은 검증된 조항을 서로 참고하고, 그렇게 사실상의 공통 기준이 만들어진다. 어느 한 주의 새 조항을 지역 소식으로 넘기기 어려운 이유다. 흐름 셋 - 프라이버시와 AI의 경계가 흐려진다 코네티컷주는 같은 회기에 AI 관련 법도 통과시켰다. 채용에 쓰이는 자동화된 결정 기술, 대화형 AI 서비스, AI 생성물의 출처 표시까지 다룬다. 한 글로벌 로펌은 이를 "지금까지 나온 주 차원의 AI 법 가운데 가장 광범위한 축"으로 평가했다. 주목할 것은 두 법이 같은 종류의 기술을 서로 다른 국면에서 다룬다는 .이다. AI 법은 채용에 자동화된 결정 기술을 도입한 기업에 결정을 내리기 전 어떤 기술로 무엇을 분석했는지 알리도록 한다. 프라이버시법은 소비자에게 중대한 영향을 미치는 자동화된 결정이 내려진 뒤 그 근거를 따져 물을 권리를 준다. 적용 영역은 다르지만 규율하려는 기술은 같다. 버몬트와 코네티컷이 개인정보 처리방침에 LLM 학습 사용 여부를 밝히도록 한 것도 같은 맥락이다. 학습에 쓰는 데이터, 자동화된 결정, 개인별 프로파일링은 어느 법으로 보든 같은 대상이다. 두 규제를 따로 놓고 보기 어려워졌다. 국내 기업에 주는 의미 미국 소비자를 상대로 서비스를 하거나 제품을 파는 기업이라면, 세 흐름은 서로 다른 지。을 짚어준다 모바일 야마토노하우 . 먼저 데이터 항목이다. 규율 대상이 넓어진 만큼, 위치를 어느 정도로 정밀하게 받아 외부에 넘기고 있는지, 얼굴이나 지문을 쓰는 기능이 무엇과 대조하는지를 살펴볼 필요가 있다. 외부에서 사온 데이터가 있다면 데이터 브로커 정의에 들어갈 여지는 없는지, 이용자마다 가격이나 노출이 달라진다면 그 근거를 설명할 수 있는지도 함께 확인할 대목이다. 다음은 적용 범위다. 조항이 주에서 주로 옮겨가는 만큼 한 주의 기준만으로 판단하기는 어렵다. 적용 기준도 생각보다 낮다. 버몬트는 해당 주 주민의 민감정보를 3,000명분 처리하거나 개인정보를 3,000명분 판매하면 대상이 된다. 미국 매출 규모가 크지 않아도 적용될 수 있다는 뜻이다. 시행 시. 역시 제각각이다. 코네티컷의 경우 위치정보 판매 금지와 감시 가격 규제, 얼굴 인식 관련 의무가 올해 10월 1일부터 적용된다. 두 달이 채 남지 않았다. 데이터 브로커 등록은 2027년 1월, 일괄 삭제 요청 창구는 2028년으로 시。이 나뉜다. 마지막은 동의의 위상이다. 국내 체계는 정보주체의 동의를 주된 처리 근거로 삼아왔다. 국내 절차를 갖췄으니 미국에서도 무리가 없다고 보기 쉬운 이유다. 그러나 판매 자체를 막는 조항 앞에서는 동의를 받았다는 사실만으로 면책되지 않는다. 미국의 흐름은 데이터를 어떻게 받았는지에서 그 데이터로 무엇을 하는지로 이동하고 있다. 국내 논의 역시 같은 질문을 향할 가능성이 크다. 파스칼 로지어 렉시스넥시스 북아시아 총괄 디렉터 데이터를 어떻게