AI 음성 대행사를 위한 운영 플랫폼인 BuildWithHermes에 처음 게시되었습니다.

2025년 12월 29일, 버지니아주의 소비자 William Lowrey는 Fresh Start Group이라는 회사가 제안한 AI 생성 로보콜(robocalls) 및 문자 메시지와 관련하여 OpenAI와 Twilio를 TCPA(Telephone Consumer Protection Act, 전화 소비자 보호법) 위반으로 고소했습니다. 그는 단순히 전화를 거는 대행사만을 고소한 것이 아닙니다. 그 밑단에 있는 플랫폼 계층(platform layer)을 고소했습니다.

이 단 한 건의 소송 제기는 2026년 미국의 모든 AI 음성 대행사가 컴플라이언스(compliance, 규제 준수)를 생각하는 방식을 재편했습니다. 플랫폼 책임(Platform liability)은 더 이상 법학 리뷰상의 가설이 아닙니다. 이는 인증된 집단 소송(certified class) 가능성이 있는 실제 사건(W.D. Va., 6:2025-cv-00116)입니다. TCPA는 총액 제한 없이 통화당 500달러에서 1,500달러의 벌금을 부과하며, 2024년 2월 FCC(Federal Communications Commission, 연방통신위원회)의 선언적 결정(Declaratory Ruling)은 AI 생성 음성이 해당 법률의 적용 범위에 포함됨을 확인했습니다.

짧게 요약하자면 이렇습니다: AI 음성은 이제 휴대전화에 콜드 콜(cold-calling)을 거는 채권 추심원과 동일한 법적 노출 범위(legal surface area)를 갖게 되었습니다. 그렇게 취급하십시오.

(법적 조언이 아닙니다. 이는 Hermes 자체에서 운영하는 운영자 관점입니다.)

Lowrey v. OpenAI에서 실제로 일어난 일

원고는 상속 계획을 홍보하는 30개 이상의 요청되지 않은 문자 메시지와 여러 건의 음성 AI 로보콜(robocalls)을 주장하고 있습니다. 해당 전화는 Fresh Start Group에서 시작되었으며, 이 회사는 음성 콘텐츠를 생성하기 위해 OpenAI 인프라를 사용하고 이를 전달하기 위해 Twilio를 사용한 것으로 알려졌습니다. 캠페인이 지출 한도에 도달했을 때, 메시지는 OpenAI가 제어하는 도메인으로 리디렉션되었습니다. 이 세부 사항이 플랫폼 책임 이론의 근거가 됩니다.

소장에서는 OpenAI가 동의를 요구, 확인 및 집행하고, 연방 DNC(Do Not Call, 수신 거부 명부)를 필터링하며, 명백하게 동의되지 않은 연락을 제한(throttle)할 수 있는 기술적 수단을 가지고 있었음에도 불구하고 그렇게 하지 않기로 선택했다고 주장합니다. 제안된 집단 소송 대상은 DNC에 등록된 번호로 또는 동의 없이 OpenAI 플랫폼을 통해 AI 생성 마케팅 메시지를 받은 모든 미국 소비자입니다. 소급 적용 기간은 4년입니다. 원고 측 변호인단은 이론적인 노출 위험을 수조 달러 규모로 산정했습니다.

Will Lowrey가 승소할까요? 불분명합니다. 하지만 오늘날 운영자의 의사결정 측면에서 그런 것은 중요하지 않습니다. 이론은 이미 공개되었고, 원고 측 변호인단(plaintiff bar)은 주시하고 있습니다. 동의 체계(consent posture)에 대한 판단이 틀렸을 때 발생하는 비용은 사건이 법원 기록(docket)에 올라온 날부터 10배(an order of magnitude) 급증했습니다.

2026년 AI 음성 통화를 위한 세 가지 중첩 규칙

1. 동의 (Consent). 미국 번호로 걸려오는 모든 인공적 또는 사전 녹음된 음성 마케팅 전화는 사전 명시적 서면 동의 (PEWC, Prior Express Written Consent)를 필요로 합니다. FCC는 이를 AI 음성에도 명시적으로 확대 적용했습니다. 정보 제공 목적의 전화는 사전 명시적 동의 (구두 승인)가 필요하지만, 판매 목적이 포함되는 순간 PEWC 영역으로 넘어갑니다.
2. 수신 거부 목록 (DNC, Do Not Call). 매 통화 전 연방 등록부(2억 4,500만 개 이상의 번호)를 대조하여 정리해야 하며, 여기에 주(state)별 규제도 추가로 적용됩니다. 문서화된 비즈니스 관계 없이 등록된 번호로 전화를 거는 것은 추정상 불법입니다.
3. 통화 시간대 (Calling windows). 수신자의 현지 시간 기준 오전 8시부터 오후 9시까지입니다. AI 에이전트에게도 예외는 없습니다.

2026년 2월 제5순회 항소법원의 재설정

Insurance Marketing Coalition v. FCC 판결은 TCPA 법령 자체는 사전 녹음된 텔레마케팅에 대해 서면 동의를 요구하지 않는다고 판시했습니다. 이는 제5순회 항소법원 관할 구역(텍사스, 루이지애나, 미시시피) 내에서만 적용됩니다. 그 외의 모든 지역에서는 PEWC가 기본 운영 원칙으로 유지되며, 대법원이 이 분할(split) 문제를 해결할 때까지 원고 측 법무법인들은 PEWC 위반을 주장할 것입니다. 가장 안전한 전국적 대응 전략은 모든 곳에서 서면으로 작성되고, 타임스탬프가 찍히며, 출처가 추적되는 동의를 계속 확보하는 것입니다. 관할권 쇼핑(jurisdictional shopping)에 대응하는 것보다 가장 낮은 공통 기준(lowest common denominator)에 맞춰 설계하는 것이 비용이 덜 듭니다.

A2P 10DLC: SMS 측면

2025년 2월 1일부터 통신사는 등록되지 않은 A2P 10DLC 트래픽을 100% 차단합니다. 모든 AI 에이전트 SMS는 사전 승인된 템플릿을 가진 등록된 브랜드(Brand) 및 캠페인(Campaign)을 통해 전송되어야 합니다. 통신사 측의 동적 콘텐츠 매칭(dynamic-content matching)은 이제 실시간으로 실행됩니다. 만약 귀하의 AI 생성 SMS가 등록된 템플릿 언어에서 벗어날 경우, 캠페인 승인 여부와 관계없이 차단됩니다. 통신사 과태료는 TCPA 책임과는 별도로 위반 건당 최대 $10,000에 달합니다.

그 위에 쌓이는 주(state) 단위의 규제 계층

주 (State)	규정 (Rule)	노출 위험 (Exposure)
California (AB 2905)	AI 메시지 재생 전 자연스러운 음성(Natural-voice) 공지	통화당 $500, 사적 소송권 (private right of action)
...

다수 주(Multi-state)에 걸쳐 운영된다는 것은 통화당 적용 가능한 가장 엄격한 규정을 준수해야 함을 의미합니다.

12개 항목 준수 감사 (Compliance Audit)

모든 캠페인, 고객사, 플랫폼에 대해 '예/아니오'로 답변하십시오. 12개 항목 중 10개 미만을 충족한다면 이는 즉각적인 법적 책임(liability)이 됩니다.

1. 다이얼 전 동의(Consent) 획득, 타임스탬프, 소스 URL, IP 및 정확한 동의 문구 저장
2. 모든 통화의 시작 후 2초 이내에 AI 공지 (AI disclosure)
3. 첫 교신 시 음성 또는 DTMF(Dual-Tone Multi-Frequency)를 통해 도달 가능한 자동 수신 거부 (Automated opt-out)
4. 다이얼 후 24시간 이내에 연방 DNC (Do Not Call) 목록 대조 (Scrub)
5. 주(State) 단위 DNC 오버레이 적용 (FL, TX, IN은 운영자들이 자주 놓치는 곳임)
6. 피전화자의 시간대에 따른 통화 가능 시간 (Calling windows) 준수
7. 올바른 엔티티(Entity) 하에 등록된 A2P 10DLC 브랜드 및 캠페인
8. 채널 간 수신 거부 전파 (SMS 수신 거부가 음성 통화를 중단시키고, 그 반대도 마찬가지임)
9. 최신 주(State)별 AI 공지 언어 적용 (CA 프리롤, UT 공지)
10. 동의 로그를 4년 이상 보관하며, 증거 개시 (discovery) 형식으로 내보내기 가능해야 함
11. 양자 동의 (two-party consent) 주에서 통화 시작 시 녹음 사실 공지
12. 플랫폼 계약서에 각 준수 의무(compliance obligation)를 어느 당사자가 보유하는지 명시

이번 주에 해야 할 일, 우선순위 순서

처음 세 가지 항목은 합쳐서 4시간 미만이 소요되며, 가장 즉각적인 노출 위험을 제거합니다:

1. 모든 라이브 에이전트(live agent)의 고지 스크립트(disclosure script)를 감사(Audit)하세요. 녹음된 통화의 처음 10초를 들어보십시오.
2. 지난 90일간의 동의(consent) 기록을 내보내기(Export) 하십시오. 만약 귀사의 플랫폼이 타임스탬프(timestamp), 출처(source), 텍스트가 포함된 통화별 동의 기록을 생성할 수 없다면, 증거 개시(discovery) 과정에서의 노출 위험은 즉각적입니다.
3. 모든 다이얼 리스트(dial list)를 연방 DNC(Do Not Call) 및 주별 추가 규정(state overlays)에 따라 스크럽(Scrub) 하십시오. 번호당 몇 센트를 아끼려다 위반 건당 $500~$1,500를 지불하게 될 수 있습니다.
4. 모든 SMS 발신자의 A2P 10DLC 상태를 확인하십시오.
5. 플랫폼의 MSA(Master Service Agreement)를 읽고 책임 분담(liability split)을 파악하십시오. 플랫폼이 프로토콜 계층(protocol layer)에서 동의 집행(consent enforcement)을 약속하지 않는다면, 그 공백에 대한 책임은 귀사에게 있습니다.
6. 다이얼러(dialer)에 주별 통화 가능 시간(calling-window) 확인 기능을 추가하십시오.
7. 교차 채널 차단 목록(cross-channel suppression list)을 구축하고 엔드 투 엔드(end to end)로 전파(propagation)되는지 테스트하십시오.
8. 동의 양식(consent forms)을 업데이트하십시오: AI 음성 기술 명칭, 식별된 판매자, 채널, 철회 권리(withdrawal rights)를 명시하십시오. URL과 IP를 캡처하십시오.
9. 모든 클라이언트에게 한 페이지 분량의 메모로 브리핑하십시오. 발송 사실을 문서화하십시오.
10. 이 감사를 분기별로 재실행하도록 일정에 등록하십시오.

기존 위반 사항을 발견했을 경우

다음 다이얼을 시작하기 전에 캠페인을 중단하십시오. 모든 로그(log)를 보존하십시오. 당일 내에 클라이언트에게 서면으로 통지하십시오. 대행사 외부의 누구와도 대화하기 전에 TCPA 전문 변호사를 선임하십시오. 원고 측 로펌은 운영자가 변호사를 선임하기 전에 빠른 합의를 끌어내도록 설계된 템플릿화된 요구서(demand letters)를 보냅니다. 법적 자문을 미리 2주 정도 앞서 받는 것만으로도 보통 합의금 계산의 규모가 10배(an order of magnitude)는 달라집니다.

결론

Lowrey 판결은 미준수(non-compliance) 비용을 변화시키기 위해 반드시 승소할 필요는 없었습니다. 이미 변화시켰습니다. 이제 최저 기준은 "동의 양식에 TCPA 관련 문구를 작성했다"가 아닙니다. 타임스탬프가 찍힌 동의 기록, 강제된 고지 스크립트, 연방 및 주별 DNC 스크럽, 교차 채널 옵트아웃(opt-out) 전파, 올바른 엔티티(entity) 하의 A2P 10DLC, 주별 통화 가능 시간, 그리고 각 항목의 책임 주체를 명시한 계약서가 새로운 기준입니다.

언급된 판례, FCC Docket 링크, 플랫폼 준수 사항 비교 그리드(compliance comparison grid), 그리고 주법 매트릭스(state-law matrix)를 포함한 전체 버전은 BuildWithHermes 블로그에서 확인하실 수 있습니다.