미국 AI 연방법 초안 분석: 기업이 꼭 알아야 할 GAAIA 핵심 조항

미국 최초 연방 AI 거버넌스 법안, GAAIA란 무엇인가

2026년 6월 4일, 미국 하원의원 Jay Obernolte(공화·캘리포니아)와 Lori Trahan(민주·매사추세츠)이 공동으로 미국인공지능법(Great American Artificial Intelligence Act, 이하 GAAIA) 초안을 공개했습니다. 약 270페이지 분량의 이 초안은 미국 최초의 포괄적 연방 AI 거버넌스 프레임워크를 수립하려는 양당 합의 시도입니다.

GAAIA는 크게 네 가지 영역으로 구성됩니다.

1. 프런티어 AI 거버넌스(Frontier AI Governance)
2. 노동력(Workforce)
3. 사이버보안(Cybersecurity)
4. 연구·개발 및 국제 협력(R&D and International Cooperation)

---

기업이 주목해야 할 핵심 조항 4가지

1. 투명성 공시 및 제3자 감사 의무

프런티어 AI 개발사는 모델 관련 정보를 공시하고, 독립검증기관(Independent Verification Organizations, IVOs) 의 제3자 감사를 받아야 합니다. 내부 제보자(whistleblower) 보호 조항도 함께 포함돼 있어, 감사 회피 행위에 대한 내부 고발이 법적으로 보호됩니다.

이 조항은 캘리포니아·뉴욕·일리노이주 등 최근 주 단위 AI 입법과 상당 부분 유사합니다. 이미 해당 주법을 준비 중인 기업이라면 GAAIA의 연방 기준이 어떻게 수렴될지 주시할 필요가 있습니다.

2. 주법 3년 선점(Federal Preemption)

GAAIA에서 가장 논쟁적인 조항 중 하나입니다. 초안은 AI 모델 개발 을 '특정적으로 규제하는' 주법을 3년간 선점(preemption)합니다. 단, 중요한 예외가 있습니다.

• 배포 이후(post-deployment) 활동에 대한 주법은 선점 대상에서 제외
• 일반 적용 가능한 주법(laws of general applicability) — 예: CCPA(캘리포니아 소비자 프라이버시법) — 은 그대로 유효

즉, 기존 데이터 프라이버시 규정 준수 의무는 GAAIA 발효 이후에도 유지됩니다. 기업 법무팀은 '개발 단계 규제'와 '배포 후 규제'의 경계를 어떻게 해석할지 미리 검토해야 합니다.

3. AI 표준혁신센터(CAISI) 설립 및 자율 가이드라인

상무부 산하에 AI 표준혁신센터(Center for AI Standards and Innovation, CAISI) 를 설립하고, 2029 회계연도까지 연간 1억 달러 를 지원합니다. CAISI의 역할은 자율 가이드라인 개발과 AI 시스템 평가입니다.

'자율(voluntary)' 가이드라인이라는 점에서 당장의 강제 의무는 아니지만, 정부 조달·계약에서의 준수 요건이나 소송 시 주의 의무(duty of care) 판단 기준으로 활용될 가능성이 높습니다.

4. 사이버보안 정보 공유 연장

2015년 제정된 사이버보안 정보 공유법(Cybersecurity Information Sharing Act of 2015) 을 2035년까지 연장합니다. 이 법은 기업들이 반독점(antitrust) 우려 없이 사이버 위협 정보를 공유할 수 있도록 법적 면책을 부여합니다. AI 시스템을 운영하는 기업에게는 보안 협력의 법적 근거가 강화되는 셈입니다.

---

현재 상태: 아직 초안 단계

GAAIA는 현재 이해관계자 피드백을 수렴 중인 토론 초안(discussion draft) 으로, 아직 의회에 공식 발의되지 않았습니다. 입법 경로에는 상당한 불확실성이 남아 있습니다.

그럼에도 이 법안이 중요한 이유는 다음과 같습니다.

• 양당 공동 발의: 공화·민주 양당 의원이 함께 제안해 정치적 실현 가능성이 높습니다.
• 연방 표준 선점 논리: 주별로 파편화된 AI 규제를 하나의 연방 기준으로 통일하려는 움직임은 기업에게 규제 불확실성을 줄여주는 긍정적 신호일 수 있습니다.
• 글로벌 흐름과의 정합성: EU AI법이 시행된 상황에서 미국도 체계적인 연방 AI 규제를 갖추려는 시도로, 글로벌 사업을 영위하는 기업에게 이중 컴플라이언스 부담을 줄일 수 있는 방향입니다.

---

기업 법무·컴플라이언스 팀을 위한 체크리스트

• [ ] 자사 AI 시스템이 '프런티어 AI' 범주에 해당하는지 확인
• [ ] 현재 준수 중인 주 단위 AI 규제와 GAAIA 선점 조항 충돌 여부 분석
• [ ] IVO 감사 대비 모델 문서화(model card, risk assessment) 체계 점검
• [ ] CAISI 자율 가이드라인이 조달·계약에 미칠 영향 선제 검토
• [ ] 사이버보안 정보 공유 프로그램 참여 가능성 재평가

---

이 글은 McDonald Hopkins LLC의 Karen Bridges(CIPP/US, CIPP/E, CIPM) 및 Andrea Lim이 2026년 6월 9일 발표한 분석을 바탕으로 작성되었습니다.