미국 일리노이주가 운영체제(OS)와 앱 스토어를 연령 인증 체계의 한복판으로 끌어들이는 법을 통과시켰다. J.B. 프리츠커 주지사가 서명한 HB5511, 이른바 '아동 온라인 소셜미디어 안전법(Children's Online Social Media Safety Act)'은 일리노이에서 판매되거나 사용되는 모든 기기에 적용되는 새로운 연령 확인 틀을 제시한다. 이 법의 특징은 연령 확인의 책임을 앱 개발사만이 아니라 그 앞단, 즉 기기 제조사와 OS 제공자에게로 옮겼다는 점이다.
법안은 '적용 대상 제조사(covered manufacturer)'라는 범주를 두고 기기 제조사, 운영체제 제공자, 앱 스토어를 하나로 묶는다. 2028년 1월 1일까지 이들은 계정 설정 단계에서 부모나 계정 소유자에게 자녀의 생년월일을 묻는 인터페이스를 구축해야 한다. 입력된 생년월일은 13세 미만, 13~15세, 16~17세, 18세 이상이라는 네 개 연령 구간 중 하나로 변환된다. 또한 이 과정에서 전송되는 모든 디지털 신호는 암호화되어야 한다.
신호는 OS가 만들고, 대응은 앱이 한다
이 구조의 핵심은 역할 분담에 있다. OS가 연령 구간이라는 '신호'를 만들어 두면, 앱은 사용자가 자신을 내려받거나 실행할 때 API를 통해 그 구간 값을 가져온다. 앱이 어떤 사용자를 미성년자로 표시하는 신호를 받으면, 법적으로는 그 사실을 '실제로 알고 있었던(actual knowledge)' 것으로 간주된다. 즉 '몰랐다'는 항변이 통하지 않게 되는 셈이다.
미성년자로 분류되면 앱은 일련의 안전 설정을 강제로 켜야 한다. 피드가 제한되고, 프로필은 모르는 성인에게 노출되지 않으며, 성인이 보내는 메시지는 차단된다. 정확한 위치 정보는 가려지고, 오후 10시부터 오전 7시 사이에는 알림이 꺼진다. 다만 부모는 자녀에 대해 이 기본값을 해제할 수 있고, 16세 이상 미성년자는 스스로 조정할 수 있다. 앱은 2028년 7월 1일까지 이런 신호를 요청하기 시작해야 하며, 위반 시 건당 최대 5만 달러의 과징금이 주 법무장관에 의해 부과된다. 다만 선의로 행동한 기기 제조사와 앱은 신호가 잘못된 것으로 드러나더라도 책임을 지지 않는다.
법안은 하원에서 82대 27, 상원에서 57대 0으로 통과됐고 최종 조율 표결은 만장일치였다. 하원에서는 제니퍼 공-거쇼위츠 의원이 법안을 주도했고, 마거릿 크로크와 재닛 양 로어 의원이 대표 공동발의자로 이름을 올렸다. 상원에서는 윌리 프레스턴 의원이 로버트 마트윅, 메리 에들리-앨런, 에이드리언 존슨 의원과 함께 법안을 이끌었다.
오픈소스는 어떻게 되나
일리노이가 이 모델을 처음 시도한 것은 아니다. 콜로라도의 SB26-051, 캘리포니아의 AB-1043이 모두 같은 OS 단위 연령 신호 방식을 쓴다. 앱이 요청하면 기기가 답하는 구조다. 그런데 두 법 모두 초기에는 오픈소스 플랫폼에 대한 예외를 두지 않았다는 점이 문제로 지적됐다. 콜로라도 법안은 원래 예외 없이 모든 운영체제와 개발자에게 적용됐는데, System76 창업자 칼 리셸이 주 의원들과 직접 협의해 문구를 바꿨다. 그 결과 누구나 자유롭게 복제·재배포·수정할 수 있는 라이선스로 배포되는 운영체제와 개발자를 면제하고, 플랫폼이 수정된 버전을 잠그지 못하도록 하는 조항이 추가됐다. 캘리포니아도 같은 공백이 있었는데, AB-1043을 쓴 버피 윅스 의원이 AB-1856을 발의해 '운영체제 제공자' 정의에서 동일한 오픈 라이선스 배포자를 제외하도록 수정했다.
반면 일리노이 HB5511에는 이런 예외가 없다. '적용 대상 제조사'와 '앱 스토어'의 정의가 콜로라도·캘리포니아 법이 수정되기 전만큼 넓게 유지되고 있다. 문구상으로만 보면 자유로운 라이선스로 배포되는 리눅스 배포판이나 소규모 개발자도 원칙적으로 이 범주에 걸릴 수 있다는 뜻이다. 다만 실제 적용 범위와 예외 여부는 시행 과정과 후속 개정, 혹은 소송을 통해 구체화될 여지가 남아 있다.
한국 IT 실무자 입장에서 이 법은 두 가지 의미가 있다. 첫째, 연령 확인의 무게중심이 개별 앱에서 플랫폼·OS 계층으로 이동하는 흐름이 미국 주 단위에서 굳어지고 있다는 점이다. 글로벌 앱을 운영한다면 OS가 제공하는 연령 신호 API에 대응하는 로직을 미리 검토해 둘 필요가 있다. 둘째, 오픈소스 예외 조항의 유무가 주마다 갈린다는 사실은, 배포 방식과 라이선스가 규제 적용 여부를 좌우할 수 있음을 보여준다. 2028년이라는 시행 시점까지는 시간이 있지만, 세부 규정과 예외의 향방을 계속 지켜보는 것이 현실적인 대응이다.