플로리다주, ChatGPT '공공 위해 요소' 지정 요구...COPPA 위반 논란과 오픈AI 법적 대응

핵심 요약

- 플로리다주가 ChatGPT를 '공공 위해 요소(public nuisance)'로 지정 요구하며 샘 알트먼과 오픈AI를 상대로 연방 아동온라인개인정보보호법(COPPA) 위반 소송 제기 - 오픈AI는 배심원 재판을 피하기 위해 2026년 7월 2일 즉각 연방법원 이송 신청 등 법적 대응에 착수 - AI 서비스의 아동 이용자 개인정보 수집·처리 과정에서의 법적 책임과 연령 확인 의무가 주요 쟁점으로 부상

주요 내용

플로리다주 정부는 2026년 ChatGPT를 공공 위해 요소로 지정하고, 오픈AI와 CEO 샘 알트먼을 상대로 연방 아동온라인개인정보보호법(COPPA) 위반 혐의를 제기했다. COPPA는 13세 미만 아동의 온라인 개인정보 수집 시 부모 동의를 의무화하는 미국 연방법으로, 위반 시 최대 건당 5만 달러 이상의 과징금이 부과될 수 있다.

오픈AI는 소송이 주 법원에서 배심원 재판으로 진행될 경우 예측 불가능한 판결과 높은 배상 리스크에 노출될 수 있다고 판단, 7월 2일 즉각 연방법원으로의 사건 이송을 신청했다. 연방법원은 배심원 재판에 비해 법리 해석이 일관되고 기술 전문성을 갖춘 판사의 판단을 받을 가능성이 높아, 기업 입장에서는 보다 예측 가능한 사법 절차로 평가된다.

플로리다주의 이번 조치는 ChatGPT가 연령 확인 절차 없이 아동 이용자의 대화 데이터를 수집·학습에 활용했다는 의혹에 기반한다. 특히 생성형 AI 서비스는 사용자 입력 데이터를 모델 개선에 활용하는 특성상, 아동이 입력한 개인정보·민감정보가 부모 동의 없이 처리될 위험이 상존한다. 이는 단순 서비스 이용을 넘어 AI 학습 데이터로의 2차 활용까지 포함되어 개인정보보호 측면에서 더 큰 쟁점이 된다.

미국 외에도 EU의 AI Act, 한국의 AI기본법(2024년 제정) 등 각국이 AI 서비스의 개인정보보호 의무를 강화하는 추세다. 특히 아동·청소년 이용자에 대해서는 더 엄격한 보호 기준을 요구하고 있어, 글로벌 AI 기업들은 연령 확인 시스템 고도화와 아동 데이터 처리 프로세스 재설계에 나서고 있다.

전문가 시각

ISMS-P 인증 심사 현장에서 AI 서비스 제공 기업의 가장 큰 맹점은 '학습 데이터 수집 단계의 법적 근거 확보' 부재다. 많은 기업이 서비스 이용약관에 "AI 개선 목적 데이터 활용"을 포함시키지만, COPPA나 국내 개인정보보호법상 아동(만 14세 미만)의 법정대리인 동의 절차는 형식적으로 운영하거나 아예 누락하는 사례가 빈번하다. 특히 생성형 AI는 프롬프트에 개인정보가 포함될 가능성이 높아, 입력 단계부터 민감정보 필터링과 연령별 차등 처리 로직이 필수적이다.

오픈AI의 이번 법적 대응은 기술 기업들이 '법원 관할권 선택'을 리스크 관리 전략의 핵심으로 삼고 있음을 보여준다. 그러나 근본적으로는 설계 단계부터 Privacy by Design 원칙을 적용해, 아동 이용자 식별 시 자동으로 부모 인증 프로세스가 작동하고, 해당 데이터는 학습 데이터셋에서 제외되도록 시스템을 구축해야 한다. 국내 기업들도 AI기본법 시행(2024년)과 개인정보보호법 강화 추세를 고려할 때, 연령 확인 API 연동, 아동 데이터 자동 분리 저장, 학습 데이터 전처리 과정의 감사 로그 관리 등 기술적·관리적 통제를 조속히 마련해야 한다.

CPPG·ISMS-P 연계 포인트

1. 아동 개인정보 처리 시 법정대리인 동의 (개인정보보호법 제22조)
만 14세 미만 아동의 개인정보 수집 시 법정대리인의 동의를 받아야 하며, AI 학습 데이터 활용도 '수집 목적 범위 내 이용'에 해당하는지 명확히 검토해야 함. ISMS-P 인증 시 아동 이용자 식별 절차와 법정대리인 동의 획득 프로세스를 문서화하고 실제 작동 여부를 점검받음.

2. Privacy by Design 원칙 적용 (ISMS-P 2.8.1 개인정보 영향평가)
AI 서비스 기획 단계부터 개인정보 처리 최소화, 아동 데이터 자동 분리, 학습 데이터 익명화 등을 설계에 반영해야 함. 특히 생성형 AI는 사용자 입력이 곧 개인정보 수집이 될 수 있어, 서비스 출시 전 개인정보 영향평가(PIA)를 통해 아동 보호 조치의 적정성을 사전 검증하는 것이 필수적임.