미국에서 사업하면서 모르면 큰일나는 규제들: 한국 기업을 위한 컴플라이언스 가이드

기업편 #25 · 읽기 약 9분

대주제 4(투자 유치)를 마치고, 오늘부터 대주제 5(규제·컴플라이언스)로 넘어갑니다.

미국에서 법인을 설립하고, 투자를 유치하고, 사업을 운영하기 시작하면 다음 질문이 됩니다. "우리가 지켜야 하는 규제가 뭐가 있지?" 한국에서는 사업 인허가를 받으면 그 범위 안에서 운영하면 되는 경우가 많지만, 미국은 연방, 주, 산업별 규제가 층층이 쌓여 있고, 위반 시 벌금의 규모가 한국과 차원이 다릅니다.

이번 대주제에서는 한국 기업이 미국에서 사업하면서 마주치는 주요 규제 영역을 하나씩 다룹니다. 오늘은 전체 지도를 펼쳐놓고, 어떤 규제가 있고 왜 중요한지를 개요로 정리합니다.

미국 규제의 특징: 한국과 무엇이 다른가

연방, 주, 그리고 시(City)의 다층 규제

미국은 연방법, 주법, 그리고 시·카운티 조례(city/county ordinance)가 동시에 적용됩니다. 이전 글(미국에서 직원 채용하기)에서 최저임금이 연방($7.25) < 캘리포니아 주($16.50) < Palo Alto 시($18.70)로 각각 다른 것을 다뤘는데, 규제도 같은 원리입니다. 가장 높은 기준이 적용되므로, 연방법만 지키면 된다고 생각하면 안 됩니다.

개인정보보호의 경우, 연방 차원의 포괄적 개인정보보호법은 아직 없지만 캘리포니아주의 CCPA/CPRA는 사실상 전국적으로 영향을 미치고 있고, 콜로라도, 코네티컷 등 다른 주들도 자체 개인정보보호법을 시행하고 있습니다. 같은 사업을 하면서도 주마다, 때로는 시마다 다른 규제를 동시에 지켜야 하는 상황이 발생합니다.

벌금 규모의 차이

미국의 규제 위반 벌금은 한국과 비교했을 때 상당히 높은 수준입니다. CCPA의 경우 2025년에 단일 건으로 $1.35M(약 18억 원)의 과징금이 부과된 사례가 있고, 수출 통제 위반은 건당 수백만 달러에서 형사 처벌까지 가능합니다. 한국에서는 과태료 수준으로 끝날 일이 미국에서는 회사의 존립을 위협할 수 있습니다.

민사 소송 리스크

미국은 규제 위반에 대해 정부의 행정적 제재뿐 아니라 민사 소송(private litigation)이 병행됩니다. 특히 Class Action(집단소송)과 Discovery(증거개시) 제도는 한국에 없는 개념이고, 소송 비용과 리스크가 한국과 근본적으로 다릅니다.

한국 기업이 알아야 하는 6가지 규제 영역

1. 데이터 프라이버시: CCPA/CPRA와 한국 개인정보보호법

미국 시장에서 소비자 데이터를 다루는 모든 기업이 마주치는 규제입니다. 캘리포니아의 CCPA/CPRA가 사실상 미국의 데이터 프라이버시 표준 역할을 하고 있고, 2026년 1월부터 자동화된 의사결정 기술(ADMT)에 대한 새로운 요구사항과 리스크 평가 의무가 추가되었습니다.

한국 기업에게 특히 중요한 것은 한국 개인정보보호법과의 이중 적용 문제입니다. 한국에서 수집한 데이터를 미국으로 이전하거나, 미국에서 수집한 한국 사용자의 데이터를 처리하는 경우 양쪽 법률을 동시에 준수해야 합니다.

CCPA는 연간 매출 $26,625,000 이상, 또는 캘리포니아 거주자 100,000명 이상의 개인정보를 처리하는 기업에 적용되는데, 이 기준에 해당하지 않더라도 사업이 성장하면 적용 대상이 될 수 있으므로 초기부터 구조를 갖춰두는 것이 유리합니다.

(다음 글에서 CCPA/CPRA의 구체적 요구사항과 한국 개인정보보호법과의 비교를 상세히 다룹니다.)

2. 보안 인증: SOC 2, ISO 27001, HIPAA

미국 B2B SaaS 시장에서 기업 고객을 확보하려면, 기업 고객이 벤더의 보안 수준을 검증하는 과정에서 보안 인증을 요구하는 경우가 많습니다. 특히 SOC 2(Service Organization Control 2)는 미국 B2B SaaS에서 사실상 영업의 전제 조건이 되는 경우가 있고, 헬스케어 분야라면 HIPAA 컴플라이언스가 필수입니다.

한국에서는 ISMS(정보보호 관리체계) 인증이 있지만 미국 시장에서는 인정되지 않으므로, 미국 고객을 대상으로 하는 한국 SaaS 기업은 별도의 인증을 취득해야 합니다.

(SOC 2, ISO 27001, HIPAA의 차이, 비용, 소요 기간, 한국 기업의 취득 전략을 별도 글에서 다룹니다.)

3. 수출 통제와 경제 제재: EAR, ITAR, OFAC

미국의 수출 통제 규제(Export Administration Regulations, EAR)와 국제무기거래규정(International Traffic in Arms Regulations, ITAR), 그리고 해외자산통제국(OFAC)의 경제 제재는 한국 기업에도 직접 적용될 수 있습니다.

특히 기술 기업의 경우, 소프트웨어나 기술 자체가 수출 통제 대상이 될 수 있고, 미국 법인을 통해 제3국에 서비스를 제공하는 경우에도 EAR이 적용될 수 있습니다. 2025년에는 미국 법무부(DOJ)가 수출 통제와 제재 위반에 대한 기업 집행 정책을 새롭게 정비하면서 집행 강도가 높아지고 있습니다.

한국 기업이 가장 흔히 놓치는 것은 "우리는 군사 기술이 아니니까 해당 없다"는 인식인데, EAR은 민간 기술(dual-use)에도 폭넓게 적용됩니다.

(수출 통제의 구체적 구조, 한국 기업이 주의해야 하는 상황, 컴플라이언스 프로그램 구축 방법을 별도 글에서 다룹니다.)

4. AI 규제

미국은 아직 포괄적인 연방 AI 규제법이 없지만, 주 단위에서 AI 규제가 빠르게 형성되고 있습니다. 특히 캘리포니아, 콜로라도, 일리노이 등이 AI 관련 법안을 추진하고 있고, 연방 차원에서도 행정명령과 가이드라인을 통해 규제 방향을 제시하고 있습니다.

한국에서는 2025년에 AI 기본법이 제정되어 2026년 1월부터 시행되고 있는데, 한국과 미국의 AI 규제 접근 방식이 상당히 다릅니다. 한-미 양쪽에서 AI 사업을 하는 기업이라면 양쪽의 규제 프레임워크를 모두 이해해야 합니다.

(미국의 연방/주 AI 규제 현황, 한국 AI 기본법과의 비교, AI 스타트업의 컴플라이언스 전략을 별도 글에서 다룹니다.)

5. 미국 소송 리스크: Discovery와 Class Action

미국에서 사업을 하면 소송을 당할 가능성이 한국보다 훨씬 높습니다. 미국은 전 세계 민사 소송의 상당 부분이 집중되는 나라이고, 소송 문화 자체가 한국과 근본적으로 다릅니다.

한국 기업이 가장 당황하는 두 가지가 Discovery(증거개시)와 Class Action(집단소송)입니다. Discovery는 소송 당사자가 상대방에게 광범위한 문서와 데이터를 공개하도록 요구할 수 있는 제도인데, 이메일, 메신저, 내부 문서까지 모두 대상이 될 수 있어서 대응 비용만 수십만 달러에서 수백만 달러에 이를 수 있습니다. Class Action은 한 명의 원고가 유사한 피해를 입은 다수를 대표해서 소송을 제기하는 것인데, 배상액이 기하급수적으로 커질 수 있습니다.

(Discovery와 Class Action의 구체적 구조, 한국과의 차이, 한국 기업의 리스크 관리 전략을 별도 글에서 다룹니다.)

한국 기업의 컴플라이언스 우선순위

모든 규제를 동시에 완벽하게 준수하는 것은 현실적으로 불가능합니다. 특히 초기 스타트업은 자원이 제한되어 있으므로, 사업 단계와 산업에 따라 우선순위를 정하는 것이 중요합니다.

1순위: 사업 자체를 위협하는 규제. 수출 통제(EAR) 위반은 형사 처벌까지 가능하고, OFAC 제재 위반은 회사가 미국 금융 시스템에서 배제될 수 있습니다. 해당되는 산업이라면 가장 먼저 확인해야 합니다.

2순위: 매출에 직접 영향을 미치는 규제. 미국 기업 고객이 SOC 2 인증을 요구하면, 인증 없이는 계약을 체결할 수 없습니다. B2B SaaS라면 SOC 2가 매출의 전제 조건이 됩니다.

3순위: 성장에 따라 적용되는 규제. CCPA는 매출 또는 데이터 처리량이 일정 기준을 넘으면 적용됩니다. 지금은 해당되지 않더라도, 사업이 성장하면 언제 적용 대상이 되는지를 미리 인식하고 준비해야 합니다.

4순위: 장기적으로 중요한 규제. AI 규제는 아직 형성 중이지만, AI 기업이라면 규제 방향을 추적하고 있어야 합니다. 소송 리스크 관리(문서 보존 정책, 보험 등)도 사업 초기부터 기본 구조를 갖춰두는 것이 좋습니다.

참고 자료

• SecurePrivacy, "CCPA Requirements 2026: Complete Compliance Guide" (secureprivacy.ai/blog, December 2025)
• Privacy World, "California Privacy Agency Rolls Out New Regulations" (privacyworld.blog, October 2025)
• FTI Consulting, "CCPA Final Regulations: Business Compliance Guide" (fticonsulting.com, April 2026)
• Morgan Lewis, "US International Trade and Investment: Key Shifts in 2025" (morganlewis.com, January 2026)
• Steptoe, "DOJ Confirms New Corporate Enforcement Policy Applies to Export Control and Sanctions Matters" (steptoe.com, April 2026)

본 뉴스레터는 일반적인 법률 정보 제공을 목적으로 합니다.

개별 사안에 대한 법률 자문을 대체할 수 없으니,
구체적인 법률 문제는 Venture Pacific Law Group(info@ventureplg.com)으로
문의 주시기 바랍니다.