Executive Summary

2026년 10월 14일 하루에, 미국 여러 주의 법무장관이 오픈AI를 상대로 소송을 냈다. 하나의 사건이 아니다. 애리조나는 마리코파 카운티 상급법원에, 아칸소는 포크너 카운티 법원에, 아이다호는 제4사법구 아다 카운티 법원에, 아이오와는 포크 카운티 법원에, 몬태나는 제1사법구 루이스앤클라크 카운티 법원에, 웨스트버지니아는 메이슨 카운티 순회법원에 각자 따로 냈다. 캔자스는 쇼니 카운티, 네브래스카는 버펄로 카운티 법원으로 보도됐는데, 이 두 건은 소장 원문을 구하지 못해 법원 이름까지만 보도 기준으로 적는다. 피고는 확인한 소장 모두에서 같다. 오픈AI Global, LLC를 비롯한 여덟 개 법인이 한 묶음으로 올라 있다.

먼저 정정할 것이 하나 있다. 몇 개 주인지부터 발표마다 다르다. 아칸소 법무장관실 보도자료는 같은 날 오픈AI를 상대로 비슷한 소송을 낸 주를 열거하면서 유타를 포함해 아홉을 적는다. 몬태나·아이오와·네브래스카 법무장관실 발표와 통신사 보도는 여덟만 적고, 유타 법무장관실 뉴스룸에는 오픈AI 제소 발표가 없다. 열거가 엇갈린다는 사실까지가 확인된 범위다. 그래서 아래에서도 주의 수를 세지 않고 이름으로 부른다.

소장 여섯 건을 나란히 놓고 읽으면 문단이 겹친다. 어떤 문장은 토씨까지 같다. 이유는 서명란에 있다. 확인한 여섯 건 전부에 뉴욕·로스앤젤레스의 사설 로펌 한 곳이 공동 대리인으로 올라 있고, 변호사 이름도 같다. 주 법무장관이 대형 소송에 외부 로펌을 선임하는 것은 흔한 관행이라, 겹치는 문단은 공통 초안의 흔적으로 읽는 것이 정확하다. 다만 그 공통 초안이 각 주의 법 아래에서 서로 다른 모양으로 접힌다는 점이 3절의 재료가 된다.

청구 구성도 소비자보호법 하나로 묶이지 않는다. 몬태나 소장은 소비자보호법 청구 둘에 개인정보법 청구, 그리고 과실·설계결함·경고해태를 더해 여섯 갈래로 세우고, 아칸소 소장은 기만적거래행위법 네 갈래에 아동·청소년 온라인 개인정보보호법 세 갈래를 얹은 뒤 보통법 청구 다섯을 더 붙인다. 웨스트버지니아는 소비자신용보호법에 공적 불법방해를 붙여, 학교의 디지털 안전 교육과 청소년 위기 대응 역량을 복구하는 비용까지 청구에 넣었다. 법리 자체를 깊이 파고들지는 않는다. 다만 이 사건을 소비자보호법 소송이라고만 부르면 범위가 한 번 좁아진다는 것은 적어 둔다.

오픈AI 쪽 답도 같은 자리에 적는다. 회사 대변인 드루 푸사테리는 여러 매체에 같은 문장으로 답했다.

아래의 모든 주장은 원고가 소장에 적은 것이고, 법원이 판단한 것이 아니다. 몬태나 법무장관실 공지도 그 점을 스스로 밝힌다. 그래서 이 글은 주장 문장마다 어느 소장 몇 번 문단인지를 함께 적는다. 어느 건도 아직 답변 전이다.

이 소송들을 읽을 때 가장 먼저 봐야 할 것은 날짜다. 미성년과 설계를 겨눈 조항들은 오래된 법이 아니라 작년 가을부터 올해 여름 사이에 하나씩 켜진 법이다. 몬태나 개인정보법의 미성년 조항은 2025년 10월 1일에 발효했고, 네브래스카의 연령 적합 온라인 설계 코드법은 2026년 1월 1일에 발효해 법무장관이 민사벌금을 청구할 수 있게 된 것은 7월 1일부터다. 아칸소의 아동·청소년 온라인 개인정보보호법도 같은 7월 1일에 켜졌다. 그리고 네브래스카 설계법의 기능 목록은 7월 17일에 한 번 더 고쳐졌는데, 그 개정이 이 사건에서 가장 늦게 켜진 조항이다.

몬태나 쪽에는 날짜 하나가 더 숨어 있다. 2025년 10월에 발효한 개정법은 미성년 조항을 새로 넣으면서 치유기간을 함께 없앴다. 치유기간은 법무장관이 먼저 통지하고 고칠 기회를 준 뒤에야 제소할 수 있게 하는 단계다. 그 단계가 사라진 지 열두 달 반 만에 소장이 들어왔다. 다만 소장 쪽에서 이 점을 근거로 든 자리는 찾지 못했다. 확인한 여섯 건 어디에도 치유기간을 뜻하는 문구가 없다.

날짜를 한 줄에 세우면 조항마다 나이가 다르다. 몬태나 조항이 그중 가장 오래됐고, 네브래스카 설계 코드법은 제소일 기준 아홉 달 반, 아칸소 법과 네브래스카 법무장관의 벌금 청구권은 석 달 반이 지난 참이었다. 가장 늦게 켜진 조항은 석 달도 되지 않았다.

▲ 조항이 켜진 순서. 주의할 것은 청구가 덮는 기간이 조항마다 다르다는 점이다. 소비자보호법 청구는 2022년 11월 챗GPT 공개 시점까지 거슬러 올라가지만, 개인정보·설계 청구는 그 법이 켜진 날부터만 걸린다. 네브래스카 조문의 날짜와 내용은 로펌 해설을 경유해 확인했다.

이 차이는 글 전체에 걸린다. 같은 소장 안에서도 어떤 청구는 4년 가까운 기간을 덮고, 어떤 청구는 석 달을 덮는다. 그래서 이 사건을 4년치 데이터에 과징금을 매기는 사건으로 요약하면 틀린다. 가장 날 선 조항일수록 가장 짧은 기간만 덮는다. 뒤집어 말하면, 이 사건에서 새로운 것은 액수가 아니라 조항이다.

이 절에서 쓰는 설계라는 낱말은 셋으로 갈린다. 모델을 어떻게 훈련하고 조정했는가, 제품에 어떤 기능을 붙였는가, 그리고 무엇을 기본값으로 모으는가. 소장이 거는 것은 가운데와 끝쪽이다. 모델이 맞장구를 잘 치도록 조정됐다는 서술도 소장에 있지만, 조문으로 걸린 것은 기능과 기본값이다. 아래에서 설계라고 적을 때는 그 둘을 가리킨다.

3.1몬태나 조문은 이용 시간을 직접 말한다

보도가 옮긴 "어린 이용자를 오래 붙잡아 둔다"는 표현은 기자가 고른 비유로 읽힌다. 몬태나 개인정보법을 열면 그 표현이 조문에 그대로 있다.

몬태나 소장 ¶258(c)가 정확히 그 조항으로 건다. 다만 그 문단 하나만 보고 "몬태나는 설계를 문제 삼았다"고 요약하면 범위가 좁아진다. 소장 ¶257부터 ¶259까지는 개인정보법 위반을 아홉 갈래로 늘어놓는다. 동의 없는 처리, 정밀 위치정보 수집, 미성년에 대한 가중된 위험을 피할 주의 해태, 설계 기능, 데이터 보안 조치 해태, 처리방침 미제공, 필요 이상의 보유, 고지하지 않은 목적의 수집, 그리고 데이터 보호 영향평가를 하지 않은 것이다. 평가를 하지 않은 것 자체가 청구의 한 칸이다. 그리고 그 아홉 중 하나인 ¶258(d)는 미성년이 아니라 성인의 민감정보를 동의 전에 수집했다는 칸이다. 아동 개인정보 사건이라는 요약은 여기서 한 번 더 좁아진다.

설계 조항이 흥미로운 이유는 조건절에 있다. 금지되는 것은 설계 기능 자체가 아니라 동의 없이 쓰는 것이다. 그러면 동의를 받아내면 되는가. 같은 법이 그 길을 미리 닫아 둔다. 몬태나 소장 ¶252는 개인정보법이 다크패턴으로 받아낸 합의를 동의로 치지 않는다고 적는다. 설계로 받아낸 동의는 설계 때문에 무효가 되는 구조다. 다만 소장이 다크패턴 자체를 별도 청구로 세운 것은 아니다. ¶252는 법을 소개하는 문단이고, 그 이상으로 읽지 않는다.

3.2네브래스카는 석 달 전에 목록을 고쳤다

네브래스카의 연령 적합 온라인 설계 코드법은 한 걸음 더 간다. 이 법은 규율 대상이 되는 설계 기능에 이름을 붙여 목록으로 만들어 두었다. 처음 제정됐을 때 그 목록은 다섯이었다. 무한 스크롤, 방문 횟수나 체류 시간에 주는 보상, 알림과 푸시, 게임 내 구매, 외모를 바꾸는 필터. 소셜미디어와 게임의 어휘다. 챗봇에는 무한 스크롤이 없으니, 챗봇이 이 목록에 들어가는지가 쟁점이 되리라고 보는 것이 자연스러웠다.

실제로는 반대였다. 2026년 4월에 통과하고 7월 17일에 발효한 개정이 그 목록을 열하나로 늘리면서 이런 호를 넣었다.

무한 스크롤과 푸시 알림 옆에 놓인 이 호는 챗봇 말고 다른 것을 가리키기 어렵다. 그리고 이 호가 켜진 날로부터 제소까지 89일이다. 여기서 두 사실 사이에 다리를 놓지는 않겠다. 네브래스카 법무장관실 발표는 소비자보호법·기만적거래행위법과 함께 설계 코드법을 걸었다고 적는다. 그 설계 코드법에 챗봇을 가리키는 호가 제소 석 달 전부터 들어 있었다는 것도 사실이다. 그런데 네브래스카 소장 원문은 끝내 구하지 못했다. 소장이 그 호를 집었는지는 확인하지 못했고, 확인하지 못한 것은 확인하지 못한 채로 적는다. 두 사실을 나란히 놓는 데까지가 이 글이 할 수 있는 일이다.

한 주의 돌출 조항으로 보기도 어렵다. 뉴저지에 거의 같은 문언을 담은 법안이 올라가 있다. 다만 네브래스카는 법이고 뉴저지는 계류 중인 법안이라, 같은 문장이 두 주에서 효력을 갖는 상태는 아직 아니다. 모델 법안이 복제되는 중이라고 읽는 편이 사실에 가깝다.

보도가 이 대목을 짚을 때는 두 주까지였다. 아칸소가 아동·청소년 온라인 개인정보보호법을, 몬태나가 개인정보법을 소비자보호법과 함께 걸었다는 것 — 거기에 네브래스카의 설계 코드법이 한 자리 더 붙는다.

3.3같은 사실이 세 갈래로 번역된다

나머지 주들은 어떤가. 애리조나에는 포괄적인 주 개인정보법이 없다. 그래서 애리조나 소장은 같은 사실을 미고지로 번역한다. ¶240은 미성년에게서 개인정보를 수집한다는 사실을 숨겼다고 적고, ¶243은 챗GPT가 미성년이 개인정보를 오직 자기에게만 털어놓도록 유도했고 때로는 부모를 포함해 다른 누구에게도 말하지 못하게 했다고 적는다. 같은 사건이 몬태나에서는 개인정보법 위반으로, 네브래스카에서는 설계법 위반으로, 애리조나·아이다호·아이오와·웨스트버지니아에서는 알리지 않았다는 기만으로 걸린다. 사실 하나가 세 갈래로 번역된다.

▲ 같은 사실 하나가 주마다 다른 법리로 번역된다. 몬태나는 설계 기능 조항으로, 네브래스카는 이름 붙은 설계 코드 기능 목록으로, 포괄적 개인정보법이 없는 나머지 네 주는 미고지에 따른 기만으로 건다.

아이오와는 번역의 경계를 보여 주는 사례다. 아이오와 소장은 본문에서 자기 주의 소비자데이터보호법을 인용해 챗GPT에 문지기 장치가 없는 것이 단지 문제인 정도가 아니라 위법이라고까지 적는다. 그런데 청구 절에는 소비자사기법만 올린다. 본문에서 부른 법을 청구로는 세우지 않은 것이다. 왜 그랬는지는 소장에 적혀 있지 않고, 이 글도 추정하지 않는다.

3.4같은 설계에 주마다 다른 가격표가 붙는다

번역이 갈리면 값도 갈린다. 소장들이 요구하는 민사벌금은 위반 한 건에 5천 달러부터 5만 달러까지 벌어진다. 같은 회사의 같은 제품, 같은 기능인데 주 경계를 넘으면 가격표가 열 배가 된다. 아래 막대는 각 소장이 근거로 든 조항의 한 건당 상한이다.

▲ 막대마다 "무엇 한 건"인지가 다르다. 5절에서 보듯 한 건의 정의가 주마다 갈리기 때문에, 이 막대는 서로 더하거나 곱할 수 있는 값이 아니다. 네브래스카를 오렌지로 표시한 것은 액수가 커서가 아니라 경로가 다르기 때문이다. 설계 코드법 자체에는 벌금 조항이 없고, 위반이 기만적거래행위법의 별개 위반으로 의제되어 그 법의 조항을 빌려 쓴다. 캔자스는 보도 기준으로 한 건당 1만 달러에 보호 대상 피해자에 대한 추가 1만 달러가 붙는 구성인데, 소장 원문을 구하지 못해 막대에 넣지 않았다. 몬태나는 두 법에서 각각 벌금을 구하므로 두 줄로 적었다.

막대의 길이보다 각 막대가 무엇을 세는지를 봐야 한다. 그 단위는 5절에서 다룬다.

이런 소송에서 원고가 가장 어려워하는 것은 보통 알고 있었다는 입증이다. 회사가 미성년인 줄 몰랐다고 하면, 알았다는 것을 밖에서 증명해야 한다. 그런데 이번 소장들은 그 입증을 회사 바깥에서 구하지 않는다. 회사가 아이를 보호하려고 만든 장치, 그리고 회사가 자발적으로 공개한 수치를 그대로 들어 쓴다.

4.1세 칸짜리 연령 라벨이 증거가 된다

아칸소 소장 ¶194는 오픈AI가 이용자를 나이로 분류한 데이터를 갖고 있다고 적는다. 그 분류가 세 칸이다.

그 세 칸은 서류상의 분류가 아니다. 오픈AI는 제소 두 달 전인 2026년 8월 18일에 13세에서 17세를 따로 떼어 내는 10대 전용 챗GPT를 내놓았는데, 그리로 넘어가는 통로가 바로 이 분류다. 나이를 미리 확인받게 하지는 않고 이용자가 적어 낸 나이와 계정 이력과 이용 패턴으로 미성년을 가려내 자동으로 옮기며, 성인이 잘못 걸렸을 때만 얼굴 사진으로 나이를 확인하는 길이 열린다 — 세 번째 칸이 그 자리다.

여기서 일어나는 일은 단순하다. 아이를 가려내려고 만든 라벨이, 아이를 알아봤다는 증거가 된다. 연령 추정 모델을 만드는 행위 자체가 실제로 알았다는 요건을 스스로 채운다. 아래 도식이 그 경로다.

▲ 아칸소 소장 ¶194의 구조를 옮긴 도식이다. 왼쪽 세 칸은 아이를 보호하려고 만든 장치이고, 오른쪽 끝은 그 장치가 소장에서 쓰이는 자리다. 법 문언은 실제로 알았거나 고의로 외면한 경우를 같은 칸에 넣는다.

4.2평가 점수가 고지 항목이 될 때

두 번째 장면은 더 날카롭다. 오픈AI는 2025년 10월 27일에 민감한 대화에서 모델이 어떻게 응답하는지를 스스로 측정해 공개했다. 자해와 자살, 정서적 의존, 정신증이나 조증 징후라는 세 범주에서 바람직한 응답 비율을 재어 숫자로 올린 발표다. 웨스트버지니아 소장 ¶239는 그 숫자와 연령 추정의 오분류율을 그때까지 알리지 않은 것이 반쪽짜리 진실이고 반쪽짜리 진실은 기만이라고 적는다. 공학 문서였던 평가 리포트가 소비자 고지 문서로 넘어가는 순간이다.

여기서 숫자를 정확히 옮기는 일이 중요해진다. 소장이 인용한 세 수치는 자해 77퍼센트, 정서적 의존 50퍼센트, 정신증·조증 27퍼센트인데, 셋 다 교체되기 전 모델의 값이다. 소장도 그 점을 숨기지 않는다. 문장에 그때 배포돼 있던 모델이라는 한정을 달아 두었다. 같은 발표에서 새 모델의 값은 각각 91퍼센트, 97퍼센트, 92퍼센트로 올라간다. 그러니 한정을 떼고 "챗GPT의 자해 대응 성공률은 77퍼센트"라고 옮기면 그 순간 틀린 문장이 된다. 공정을 위해 양쪽을 함께 둔다.

▲ 오픈AI가 2025년 10월 27일에 공개한 자체 평가다. 회색 막대가 웨스트버지니아 소장 ¶239가 인용한 값이고, 오렌지 막대는 같은 발표의 교체 후 값인데 소장은 그 자리에서 적지 않는다. 분모는 평가셋의 대화 건수이지 이용자 수가 아니다. 참고로 같은 발표문에서 77이라는 수는 다른 뜻으로도 한 번 쓰인다. 전문가 채점자 사이의 일치도가 71~77퍼센트 범위라는 서술인데, 그 수는 단일 값으로 인용하면 그 자체로 원문 왜곡이 된다.

소장의 서술이 원문과 어긋나지는 않는다. 그런데 그 아래에 역설이 있다. 자발적으로 공개한 수치가, 왜 더 일찍 밝히지 않았느냐는 주장의 근거로 인용된다. 재지 않았으면 인용될 수치도 없었다. 그렇다고 재지 않는 쪽이 안전한 것도 아니다. 몬태나 소장이 개인정보법 위반으로 적은 아홉 갈래 가운데 하나가 데이터 보호 영향평가를 하지 않았다는 것이기 때문이다. 재면 그 값이 고지 의무가 되고, 재지 않으면 재지 않은 것이 주의 해태가 된다.

4.312퍼센트는 회사가 밝힌 수치가 아니다

소장에 나오는 숫자 하나는 특히 조심해서 옮겨야 한다. 연령 추정 시스템이 미성년을 성인으로 잘못 분류한 비율 약 12퍼센트다. 이 수치의 출처는 오픈AI 발표가 아니라 월스트리트저널 보도이고, 웨스트버지니아 소장 ¶111도 보도에 따르면이라는 한정을 달고 인용한다. 그런데 같은 소장 ¶245(h)에서 지식 요건을 입증하는 목록에 이 수치가 다시 나올 때는 그 한정이 빠진다. 법률 문서 안에서는 앞 문단을 다시 가리키는 것이지만, 뒤쪽만 읽은 독자에게는 회사가 공개한 수치처럼 보인다. 이 글은 그래서 처음부터, 그리고 다시 적는다. 12퍼센트는 신문 보도가 근거다.

같은 발표에서 나온 다른 수치들도 분모를 함께 적어야 뜻이 선다. 주간 활성 이용자 가운데 자살 계획이나 의도의 명시적 신호가 있는 대화를 한 비율은 0.15퍼센트이고, 같은 범주를 메시지 기준으로 재면 0.05퍼센트다. 이용자를 세는 수와 메시지를 세는 수가 다르고, 둘을 바꿔 쓰면 다른 이야기가 된다. 소장들이 이 수치를 인용할 때도 분모를 바꾸지는 않는다.

앞 절들이 무엇을 문제 삼는가였다면, 이 절의 물음은 무엇을 세는가다. 몬태나 소장은 그 산식을 두 문단에 걸쳐 놓는다. 순서가 중요하다.

먼저 ¶260이 다리를 놓는다. 개인정보법 위반은 그 자체로 소비자보호법이 금지하는 불공정·기만행위에 해당한다는 문장이고, 근거 조문까지 괄호로 적어 둔다. 두 법을 잇고 나서 ¶261이 그 다리 위에 곱하기를 얹는다.

한 번의 수집이 두 법에서 각각 한 건이 된다. 그리고 벌금은 건당으로 매겨 달라고 적혀 있다. 그러니 이 사건에서 곱하기의 승수는 로그 건수다. 이용자가 무엇을 입력했는지가 아니라, 회사가 무엇을 몇 번 모았는지가 금액을 정한다.

5.1한 건의 정의가 주마다 갈린다

그런데 한 건이 무엇인지는 주마다 다르게 적혀 있다. 소장 여섯 건을 전수로 맞대 보면 정의가 넷으로 갈린다. 몬태나는 위에서 본 대로 수집 행위 한 번을 한 건으로 센다. 아이다호와 웨스트버지니아는 기만적 표시나 누락 한 건에, 그로 인해 성사된 거래 한 건을 곱해 센다. 두 소장의 해당 문장은 주 이름만 바꾸면 거의 같다. 애리조나는 불공정하거나 허위이거나 기만적인 행위 한 건을 그대로 한 건으로 세고, 아이오와는 허위표시 한 건을 한 건으로 센다.

네 정의 중 어느 쪽도 메시지 수나 이용자 수로 세지 않는다. 그리고 어느 소장도 그 단위가 실제로 몇 건이었는지 적지 않는다. 액수를 적지 않은 것은 빠뜨린 것이 아니라 재판에서 사실심리로 정할 몫이기 때문인데, 결과적으로 이 사건에는 총액이 없다. 그러니 소장의 단가에 어떤 건수를 곱해 과징금 규모를 추산한 문장은 전부 추측이다. 여기서도 하지 않는다.

한 건이 세어지려면 그 전에 관할이 서야 한다. 챗GPT 무료 이용자는 돈을 내지 않는데 어떻게 소비자거래가 되는가. 웨스트버지니아 소장 ¶233이 그 자리를 메운다. 무료 이용도 거래인 이유는 회사가 그 대가로 값나가는 것을 받기 때문이고, 그 값나가는 것에 이용자의 개인정보와 모델 학습에 쓰이는 대화, 그리고 광고 노출이 포함된다는 서술이다. 공짜 서비스에 소비자법을 들이대려면 데이터를 대가로 규정해야 한다. 소장은 그렇게 한다.

광고 이야기가 나온 김에 경계를 하나 긋는다. 챗GPT에는 2026년 2월부터 광고가 붙었고, 애리조나 소장은 수집한 개인정보가 광고 수익으로 간다고 적는다. 다만 오픈AI는 18세 미만으로 식별된 계정에는 광고를 보여 주지 않는다고 밝힌다. 미성년에게 광고를 띄우지 않는 것과, 미성년의 데이터를 모으지 않는 것은 다른 말이다. 이 사건이 다투는 자리는 뒤쪽이다. 그리고 어느 소장도 오픈AI가 미성년의 개인정보를 팔았다고 적지 않는다. 아이오와 구제 요구에 판다는 낱말이 나오기는 하는데, 그것은 연령 확인과 동의 없이 수집하거나 파는 일을 앞으로 하지 말라는 금지 요구의 문언이다.

5.2지워라와 지우지 마라가 같은 저장소를 가리킨다

구제 요구 절로 가면 데이터를 지우라는 요구가 둘 나온다. 범위가 서로 다르다. 몬태나는 개인정보법을 어기고 취득한 개인정보를 삭제하게 해 달라고 적는다. 계보를 따라가야 골라낼 수 있는 좁은 범위다. 아이오와는 판결 전에 취득한 아이오와 주민의 데이터 전부를 삭제·파기하게 해 달라고 적는다. 한정이 없다. 어느 쪽이 더 센 요구인지는 판정하지 않는다. 아이오와는 개인정보법을 청구로 올리지 않았으니 위반으로 취득한이라는 한정을 걸 법적 고리가 애초에 없었을 수도 있다. 확인되는 것은 범위가 다르다는 사실이다.

그리고 같은 회사의 같은 저장소 위에 반대 방향의 명령이 이미 걸려 있다. 저작권 소송에서 나온 로그 보존 명령 이야기다. 새로 쌓이는 로그를 계속 보존하라는 의무는 2025년 10월에 끝났지만, 그 기준일 이전에 이미 분리해 보존해 둔 로그는 계속 보존 대상이다. 경과는 페블러스가 7월에 쓴 「오픈AI 대화 로그 삭제 소송」에 적어 두었으니 여기서 다시 적지 않는다. 여기서 볼 것은 두 명령의 방향이다.

▲ 보존 대상은 지워졌을 출력 로그이고, 삭제 대상은 위반으로 취득한 미성년 개인정보 또는 한 주 주민의 데이터 전부다. 두 집합이 실제로 얼마나 겹치는지는 소장에도 명령에도 적혀 있지 않다. 그래서 겹치는 넓이는 물음표로 둔다. 정면으로 충돌한다고 단정할 근거도 아직 없다.

지우라는 명령이 내려왔다고 하자. 지웠다는 것은 어떻게 보이는가. 연구 쪽에서도 이 질문이 더 안 풀렸다. 학습된 모델에서 특정 데이터를 걷어내는 기법보다, 걷어냈음을 검증하는 쪽이 비어 있다는 것이 최근 서베이의 정리다. 검증에는 순환이 있다. 그 데이터를 빼고 처음부터 다시 학습시킨 모델과 대 봐야 확인이 되는데, 그 재학습이 쌌다면 애초에 삭제 기법이 필요하지 않았을 것이다. 게다가 데이터를 내준 쪽은 삭제 과정을 들여다볼 수 없다. 불가능하다는 말이 아니다. 이 글이 적을 수 있는 것은 지웠다는 것을 밖에서 확인하는 방법이 아직 정리되지 않았다는 데까지다. 사후에 동의를 받아 메우는 길이 왜 막혀 있는지는 캐나다 개인정보법 리포트에서 다뤘다.

주 법무장관들이 소장을 내기 하루 전, 캘리포니아 북부연방지방법원에 집단소송이 접수됐다. 오픈AI 재단을 상대로 한 사건인데, 다투는 자리가 다르다. 이쪽은 미성년의 데이터로 모델을 학습시킨 것 자체를 문제 삼고, 그 데이터가 모델의 가치에 기여한 몫을 돌려 달라고 구한다. 주 소송은 학습 이용을 사실 배경으로만 적고 청구로 올리지 않는다. 웨스트버지니아 소장이 무료 이용의 대가를 설명하면서, 몬태나 소장이 대화가 학습에 쓰인다고 적으면서 지나갈 뿐이다.

그래서 같은 데이터에 값을 매기는 방식이 둘이 된다. 주 정부는 위반 한 건마다 민사벌금을 매겨 달라고 하고, 집단소송은 그 데이터가 만든 가치의 몫을 나눠 달라고 한다. 앞쪽은 데이터를 센 횟수로 값을 매기고, 뒤쪽은 데이터가 모델에 남긴 기여로 값을 매긴다. 두 셈법은 서로 다른 기록을 요구한다. 앞쪽은 언제 무엇을 몇 번 모았는지를 묻고, 뒤쪽은 그중 무엇이 어느 모델에 들어갔는지를 묻는다. 두 질문에 다 답할 수 있는 조직은 많지 않다.

이 글은 두 사건의 수치나 구제 방식을 섞어 쓰지 않는다. 별개 사건이고, 법원도 다르다. 같은 이유로 구분해 둘 것이 셋 더 있다. 플로리다주가 올해 6월에 따로 낸 소송은 이번 10월 14일 소송들에 들어가지 않는다. 유족들이 낸 불법행위 소송군도 사건 성격이 다르다. 그리고 유타주는 올해 6월 스냅을 제소하면서 챗봇 기능에 관한 청구를 넣었는데, 주 법무장관이 챗봇을 소비자법으로 거는 흐름에서는 이번 건의 바로 앞 사례에 해당한다.

챗봇 대화 기록의 법적 운명이라는 주제로는 페블러스가 이틀 전에 캐릭터AI 파산 건을 다뤘다. 그쪽은 회사가 무너질 때 대화 기록이 자산으로 다뤄지는 문제이고, 이 글은 회사가 멀쩡히 돌아가는 동안 그 기록이 벌금의 승수가 되는 문제다. 같은 데이터에 값이 매겨지는 세 번째 방식이라고 보아도 되겠다.

페블러스 관심의 이유

안으로 보던 기록이 밖으로 나간다

페블러스가 하는 일은 데이터가 AI에 쓸 만한 상태인지 판정하고, 그 판정을 뒤에 읽을 수 있는 기록으로 남기는 일이다. 이번 소송들이 바꾸는 것은 그 기록이 누구를 위한 것인가이다. 지금까지 데이터 품질 기록은 안으로 보는 문서였다. 라벨이 맞는지, 중복이 없는지, 분포가 치우치지 않았는지. 이번 소장들이 요구하는 기록은 밖으로 내는 문서다. 미성년 이용자에게서 무엇을 언제 수집했는지, 동의는 어떤 형태였는지, 얼마나 오래 갖고 있었는지, 그리고 그중 어느 것이 위반으로 얻은 것인지.

몬태나의 구제 요구가 그 지점을 찌른다. 위반으로 취득한 개인정보를 삭제하게 하라는 요구가 떨어지면, 지울 대상을 골라낼 수 있는 조직과 없는 조직이 갈린다. 그 차이가 계보다. 같은 구제 요구 목록에는 돈도 금지도 아닌 항목이 하나 더 있다. 모델이나 에이전트가 의도한 통제를 벗어나면 그 사실을 법무장관에게 즉시 알리라는 요구다. 기록 의무가 사후 과징금에서 상시 보고로 넘어가는 자리이기도 하다.

세 층이 어긋나는 자리에 책임이 생긴다

이 글이 꺼낸 구분은 셋이다. 첫째는 모은 것이다. 어떤 필드를, 어떤 기본값으로, 누구에게서. 둘째는 안다고 적힌 것이다. 이용자가 말한 나이, 모델이 추정한 나이, 확인된 나이. 아칸소 소장은 이 세 칸이 존재한다는 사실 자체를 알면서 했다는 증거로 든다. 셋째는 밝힌 것이다. 평가 점수, 오분류율, 보유 기간. 웨스트버지니아 소장은 밝히지 않은 것을 반쪽짜리 진실로 부르고, 그것을 기만으로 건다.

AI가 만든 라벨과 추정과 점수를 쌓는 모든 파이프라인에 똑같은 세 층이 있다. 대부분의 조직은 첫째만 기록하고, 둘째는 모델 안에 두고, 셋째는 아예 내보내지 않는다. 세 층이 어긋나는 순간이 책임이 생기는 자리다. 측정한 값은 밝혀야 할 항목이 되고, 측정하지 않은 쪽은 주의를 다하지 않았다는 칸에 걸린다. 둘 중 안전한 쪽은 없다. 그러니 선택지는 측정할지 말지가 아니라, 측정한 것을 어떤 형태로 남길지다.

오늘 자기 조직에서 세어 볼 수 있는 것

첫 질문은 이것이다. 미성년 이용자의 기록을 따로 셀 수 있는가. 셀 수 없다면 그 답은 없다가 아니라 모른다이고, 모른다는 상태는 이번 소장들이 인용하는 법 문언과 맞닿는다. 몬태나 조문은 실제로 알거나 고의로 외면하는 경우를 같은 칸에 넣는다. 그리고 묻는 방식에 따라 답이 달라진다는 점도 함께 봐야 한다. 설문으로 물으면 9세에서 12세 아동의 58퍼센트가 챗봇을 써 봤다고 답하고, 아이 기기에 깐 모니터링 앱으로 실측하면 10세에서 12세의 21퍼센트가 접속 기록을 남긴다. 어느 쪽도 틀리지 않았다. 써 봤느냐고 묻는 것과 기기 로그를 보는 것은 다른 질문이다. 청소년의 이용 실태 자체는 페블러스가 7월 스토리에서 따로 다뤘다.

둘째, 한 건을 무엇으로 정의할 것인가. 메시지, 세션, 이용자, 수집 행위 중 어느 쪽인가. 소장들은 넷으로 갈라 정의했고 어느 쪽도 실제 건수를 세지 않았다. 정의하지 않은 채로 곱해진다는 것이 이 사건의 구조다. 셋째, 지우라는 명령이 왔을 때 대상을 고를 수 있는가. 집계 지표에, 캐시에, 평가 세트에, 학습된 가중치에 섞여 들어간 몫까지. 그리고 지웠다는 것을 어떻게 보일 것인가. 넷째, 지우지 말라는 명령과 겹치면 어떻게 하는가. 다른 소송의 보존 명령이 같은 로그 위에 걸릴 수 있다. 두 명령을 동시에 지킬 수 있는 기록 구조인지는 명령이 오기 전에만 확인할 수 있다.

한국에는 그 자리를 겨눈 조항이 아직 없다

한국에서 서비스를 하고 있다면 만 14세 미만 법정대리인 동의는 이미 챙기고 있을 것이다. 개인정보보호위원회의 아동·청소년 개인정보 보호 가이드라인도 기본 설정을 높은 수준으로 두라고 권한다. 다만 그 가이드라인은 자율점검용 안내서이고, 네브래스카 설계법은 같은 자리를 법으로 강제해 건당 벌금을 건다. 그리고 2025년 2월부터 전자상거래법이 다크패턴 여섯 유형을 금지하고 있다. 숨은 갱신, 순차공개 가격책정, 사전 선택, 잘못된 계층구조, 취소·탈퇴 방해, 반복 간섭이다. 그 여섯은 전부 돈을 더 쓰게 만드는 설계를 겨눈다. 더 오래 머물게 만드는 설계를 겨눈 조항은 아직 없다. 이용 시간을 직접 규율했던 셧다운제는 2021년 8월에 폐지됐다. 미국 두 주가 이번에 건 것이 정확히 그 빈자리다. 없는 동안이 준비할 시간이다.

같은 자를 우리에게 먼저 댄다

페블러스가 서는 자리는 데이터에 무슨 일이 있었는지를 한 건 단위로 세어서, 안에서도 밖에서도 읽히는 형태로 남기는 쪽이다. 모델을 더 크게 만드는 경쟁에는 참여하지 않는다. 그리고 같은 자를 우리에게 먼저 대면 빈 칸이 나온다. 페블러스의 DataClinic 산출물에도 이 기록이 누구에게서 언제 왔고 지금 지울 수 있는지를 적는 칸은 아직 정식으로 없다. 미성년 이용자의 기록을 분리해 세어 본 적도 없다. 남의 빈 칸을 세는 글이니 우리 쪽 빈 칸을 먼저 적어 두는 것이 순서다.

참고문헌

1차 — 소장 원문 (직접 내려받아 읽음)

• 1.State of Montana v. OpenAI Global, LLC et al., 제1사법구 루이스앤클라크 카운티 지방법원, 2026-10-14 — 소장 PDF. 본문의 ¶252·¶257~259·¶260·¶261과 구제 요구 절이 여기서 나왔다.
• 2.State of Arkansas v. OpenAI Global, LLC et al., 포크너 카운티 법원, 사건번호 23cv-26-2984, 2026-10-14 — 소장 PDF. ⚠️ 스캔본이라 청구 원인 절을 광학 문자 인식으로 읽었다. 4.1절의 ¶194 축자가 여기서 나왔다.
• 3.State of West Virginia v. OpenAI Global, LLC et al., 메이슨 카운티 순회법원, 2026-10-14 — 소장 PDF. ¶111·¶233·¶239·¶245·¶249.
• 4.State of Idaho v. OpenAI Global, LLC et al., 제4사법구 아다 카운티 법원, 2026-10-14 — 소장 PDF. ¶237과 구제 요구 B.
• 5.State of Iowa v. OpenAI Global, LLC et al., 포크 카운티 법원, 2026-10-14 — 소장 PDF. ¶241과 구제 요구 C·D·H.
• 6.State of Arizona v. OpenAI Global, LLC et al., 마리코파 카운티 상급법원, 2026-10-14 — 소장 모음을 경유해 내려받았다. ¶57·¶232·¶240·¶243.
• 7.⛔ 캔자스(쇼니 카운티 지방법원)와 네브래스카(버펄로 카운티 지방법원, 사건번호 D09CI260000488) 소장은 끝내 구하지 못했다. 네브래스카 법무장관실 서버는 이 작업 환경에서 접속이 되지 않았다. 그래서 두 주에 관한 서술은 법원 이름과 걸린 법률에서 멈춘다.

1차 — 법령

• 8.Mont. Code Ann. § 30-14-2811(2)(b) — 설계 기능 조항. 같은 법 § 30-14-2802(6)이 다크패턴으로 받은 합의를 동의에서 뺀다. § 30-14-2820(1)이 개인정보법 위반을 소비자보호법 위반으로 잇는다. 2025년 개정(SB 297)으로 미성년 조항이 들어오고 치유기간이 없어졌다.
• 9.Neb. Rev. Stat. § 87-1302 — 연령 적합 온라인 설계 코드법의 대상 설계 기능 정의. 2026년 개정(LB 838, 2026-07-17 발효)이 목록을 열하나로 늘리며 (k)호를 넣었다. 벌금은 § 87-1309를 경유한다. ⚠️ 조문 번호와 문언 모두 로펌 해설과 법률 데이터베이스를 경유해 확인했고, 네브래스카 의회 서버 원문은 접속하지 못했다.
• 10.Ark. Code — 아동·청소년 온라인 개인정보보호법(Act 952, 2026-07-01 발효)과 기만적거래행위법 · Iowa Code § 714.16(7)·§ 714.16A·§ 715D.4(2) · Idaho Code § 48-606(1)(e) · A.R.S. § 44-1531(A) · W. Va. Code § 46A-6. 3.4절 막대의 단가 근거다.

1차 — 기관·회사 발표

• 11.아칸소 법무장관실 보도자료(2026-10-14) — 같은 날 제소한 주를 유타 포함 아홉으로 적은 유일한 발표다.
• 12.몬태나 법무장관실 보도자료(2026-10-14) · 네브래스카 법무장관실 보도자료(2026-10-14, 전재본 경유) — 네브래스카 쪽이 소비자보호법·기만적거래행위법·설계 코드법 셋을 열거한다.
• 13.OpenAI, Strengthening ChatGPT's responses in sensitive conversations(2025-10-27) — 4.2절 막대의 출처. ⚠️ 원문 페이지는 접속이 막혀 웨이백 머신 보관본으로 대조했다.
• 14.OpenAI 고객센터, Ads in ChatGPT — 18세 미만으로 식별된 계정에 광고를 보이지 않는다는 정책. · OpenAI, A milestone in expanding access to AI(2026-08-31) — 광고 매출 수치의 1차 출처. · OpenAI, 10대 전용 챗GPT 출시(2026-08-18) — 4.1절의 자동 전환 서술 근거. ⚠️ 회사 발표문 원문은 접속하지 못해 독립 2차 보도 다수 교차로 확인했다.

2차 — 학술·조사·보도

• 15.Sam Schechner & Georgia Wells, Wall Street Journal(2026-03-15) — 연령 추정 오분류 약 12퍼센트의 유일한 출처다. 오픈AI가 공개한 수치가 아니다.
• 16.Kristen Soltis Anderson et al., The Common Sense Media Census: AI Use by Tweens and Teens, 2026 — 9~17세 1,204명 설문(2026-03). · Anne J. Maheux et al., Generative Artificial Intelligence Applications Use Among US Youth, JAMA Netw Open 9(2):e2556631(2026-02-02), doi:10.1001/jamanetworkopen.2025.56631 — 6,488가구 기기 로그 수동 센싱. 두 조사의 차이는 연령 구간이 아니라 측정 방법이다.
• 17.Towards Reliable Forgetting: A Survey on Machine Unlearning Verification, ACM Computing Surveys 58(12), 2026-05-15 · Verification of Machine Unlearning is Fragile, arXiv:2408.00929 — 5.2절의 검증 공백.
• 18.개인정보보호위원회, 「아동·청소년 개인정보 보호 가이드라인」(2022) · 공정거래위원회, 개정 전자상거래법 다크패턴 여섯 유형(2025-02-14 시행). ⚠️ 조문 원문 축자는 확인하지 않아 법과 가이드라인을 이름으로만 불렀다.

인접 사건과 페블러스 인접 글

• 19.Doe v. OpenAI Foundation, 캘리포니아 북부연방지방법원(2026-10-13) — 별개 집단소송 · New York Times v. OpenAI, 뉴욕 남부연방지방법원 — 로그 보존 명령 · 플로리다주 제소(2026-06) · 유타 v. Snap(2026-06).
• 20.오픈AI 대화 로그 삭제 소송(2026-07-13) · 캐나다 개인정보법과 AI 학습 데이터(2026-05-29) · 캐릭터AI 파산과 대화 기록(2026-10-14) · 10대의 AI 이용과 보이지 않는 데이터(2026-07-03).