미국 상원의원 엘리자베스 워런(민주·매사추세츠)과 하원의원 메리 게이 스캔런(민주·펜실베이니아)이 수 주 내에 ‘건강·위치 데이터 보호법(Health and Location Data Protection Act)’ 개정안을 발의할 계획이다. 2022년 처음 제안된 이 법안은 이번 개정에서 적용 대상을 확대해 ChatGPT나 클로드(Claude) 같은 AI 챗봇에 사용자가 입력한 건강 정보와 위치 데이터를 데이터 브로커에 판매하는 행위를 명시적으로 금지한다.
법안의 골자는 데이터 브로커뿐만 아니라 AI 시스템을 운영하는 기업들이 그 시스템으로 수집한 민감 정보를 브로커에 넘기지 못하도록 막는 데 있다. 기존 법안이 데이터 브로커의 수집·판매만 규제했다면, 개정안은 AI 기업이 중간 경유지가 되는 것까지 차단하는 구조다. 이 법안은 론 와이든(민주·오리건)·버니 샌더스(무소속·버몬트) 상원의원도 공동 발의자로 참여한다. 법안이 통과될 경우 연방거래위원회(FTC)는 180일 이내에 관련 규정을 마련해야 하며, FTC와 각 주 법무장관, 피해 개인이 소송을 제기할 수 있다. 향후 10년간 FTC 집행 재원으로 10억 달러가 배정된다.
법안 발의의 직접적 배경에는 AI 기업들의 의료 데이터 수집 경쟁이 있다. 일론 머스크는 2026년 1월 MRI 스캔 등 의료 기록을 xAI의 챗봇 그록(Grok)에 업로드할 것을 공개적으로 촉구했다. 오픈AI는 같은 달 ChatGPT 헬스(ChatGPT Health)를 출시해 사용자 의료 기록 업로드를 권장했고, 의료 기관을 겨냥한 ChatGPT for Healthcare도 공개했다. 앤트로픽은 며칠 뒤 개인·의료기관·병원용 HIPAA 준수 도구 ‘클로드 포 헬스케어(Claude for Healthcare)’를 내놨다. 일리노이대 어버나-샴페인 캠퍼스 법학 교수 사라 거르케(Sara Gerke)는 현재 이들 도구의 데이터 보호 수준이 사실상 기업의 개인정보 정책과 이용 약관에만 의존한다고 지적한 바 있다.
미국에는 현재 건강 데이터를 포괄하는 연방 차원의 통일된 데이터 프라이버시 법률이 없다. 워런 의원은 성명을 통해 더 많은 사람들이 AI에 의료 정보를 입력하는 상황에서 그 정보가 최고 입찰자에게 팔리지 않도록 보호해야 한다고 밝혔다. 법안이 실제로 입법화될지는 불확실하지만, AI 시스템에 입력된 민감 정보를 명시적으로 겨냥했다는 점에서 업계 전반에 영향을 미칠 것으로 보인다.
