채용 자동화에 새로운 개인정보 권리가 더해지며 강화되는 Delaware AI 고용 규정

Delaware AI 고용 규정은 2027년 1월 1일부터 변경되며, 자동화된 프로파일링이 고용 기회에 영향을 미칠 경우 주민들에게 새로운 보호 장치를 제공한다. 개정안은 완전 자동화된 탈락 시스템에만 적용되지 않는다. 중대한 결정에 활용되는 보고서, 추천, 순위 및 기타 데이터 기반 결과물도 적용 대상이다.

이 구분이 핵심 갈등을 만든다. 고용주는 반복 업무를 줄이고 더 많은 지원자를 처리하기 위해 선별 도구를 도입해 왔다. Delaware는 이제 이러한 도구가 외부 데이터를 수집하거나 개인 특성을 추론하거나 불리한 결정에 영향을 줄 때 더 높은 책임성을 요구한다.

주 정부가 채용에서의 인공지능 사용을 금지하는 것은 아니다. 인간의 개입이 고용 시스템을 개인정보 감독 대상에서 자동으로 제외한다는 생각에 이의를 제기하는 것이다. 이에 따라 고용주, 채용 공급업체, 평가 제공업체는 어느 한 당사자도 단독으로 해결할 수 없는 공동의 컴플라이언스 과제에 놓이게 된다.

Delaware의 2027년 개정안이 실제로 바꾸는 것

개정안은 일부 고용 관련 프로파일링을 내부 업무 흐름에서 규제 대상 데이터 결정으로 전환한다.

Matt Meyer 주지사는 2026년 9월 2일 House Bills 380 및 381에 서명했다. 개정 조항은 2027년 1월 1일 발효된다. Delaware는 이 패키지를 일자리, 주택, 대출 및 기타 중요한 기회와 관련된 자동화된 결정에 자신의 데이터가 활용되는 주민의 개인정보 보호를 확대하는 조치라고 설명한다.

Delaware Personal Data Privacy Act, 즉 DPDPA는 처음 2025년 1월 1일 발효됐다. 이 법은 접근, 정정, 삭제, 데이터 이동성, 맞춤형 광고, 데이터 판매 및 특정 자동화 프로파일링과 관련된 권리를 규정했다.

이 법은 일반적으로 고용 또는 상업적 맥락에서 활동하는 사람을 소비자 정의에서 제외한다. 이 제외 조항은 여전히 중요하지만, 모든 직장 내 활용 사례에 대한 분석을 끝내지는 않는다.

개정안은 규제 대상 고용 데이터에 이르는 더 좁은 경로를 만든다. 프로파일링과 보고서를 통해 처리된 개인 데이터는 해당 정보가 Delaware 주민의 고용 기회에 관한 결정을 뒷받침할 때 적용 대상이 될 수 있다.

개정법에서 보고서는 폭넓게 정의된다. 개인 데이터 또는 프로파일링에 기반한 서면·구두 의사소통, 추천, 요약 및 자동화된 결정을 포함할 수 있다. 따라서 고용주가 최종 선택을 하더라도 공급업체가 만든 후보자 순위는 중요할 수 있다.

변경 사항은 기존 프로파일링 거부권에서 핵심 단어도 삭제한다. 현행법은 법적 또는 이와 유사하게 중대한 영향을 미치는 “전적으로 자동화된 결정”을 언급한다. 2027년 문구는 “자동화된 결정”을 포괄하므로, 여전히 인간이 참여하는 시스템에도 규정이 적용될 수 있다.

이 수정은 많은 채용 제품이 의사결정 지원 도구로 판매된다는 점에서 중요하다. 채용 담당자는 순위 목록을 검토하거나, 면접 점수를 확인하거나, 모델의 추천을 수용할 수 있다. 인간의 검토가 반드시 시스템의 영향을 무력화하는 것은 아니다.

고용 기회는 법적 또는 이와 유사하게 중대한 영향에 명시적으로 해당한다. 이 범주는 보험, 의료, 금융 서비스, 주택, 교육, 형사 사법 및 필수 재화나 서비스에 대한 접근도 포함한다.

개정된 Delaware 개인정보보호법은 주민에게 자신의 데이터에서 도출된 특정 추론 정보에 대한 접근권을 부여한다. 또한 프로파일링이 중대한 결정을 뒷받침하는지 문의할 수 있도록 한다.

법의 적용 범위 확대는 사업자 적용 기준에서 시작된다. 일반 기준 중 하나는 Delaware 소비자 35,000명의 데이터를 처리하는 경우에서 10,000명으로 낮아진다. 데이터 판매로 연간 수익의 최소 20%를 얻는 사업자에 적용되는 대체 기준도 10,000명에서 5,000명으로 낮아진다.

이 확대는 더 작은 조직도 DPDPA 적용 대상에 포함할 수 있다. 또한 고용주가 인원수만으로 적용 여부를 판단할 수 없기 때문에 데이터 매핑의 시급성을 높인다. 고용주는 고객, 지원자, 직원 및 계약업체 시스템 전반에서 처리되는 Delaware 데이터를 이해해야 한다.

고용법 분석의 최초 보도에 따르면, 위반 시 건당 최대 10,000달러의 민사 벌금이 부과될 수 있다. 이 법령의 집행 권한은 개별 원고가 아니라 Delaware Department of Justice에 있다.

즉각적인 교훈은 모든 스프레드시트나 지원자 추적 기능이 규제 대상 AI가 된다는 뜻이 아니다. 핵심은 고용주가 개인 데이터가 어떻게 추천으로 전환되고, 그 추천이 개인에게 어떤 영향을 미치는지 추적해야 한다는 점이다.

Delaware AI 고용 규정이 고용주와 공급업체에 가하는 압박

가장 까다로운 컴플라이언스 질문은 더 이상 도구가 AI를 사용하는지 여부가 아니라, 누가 데이터를 통제하고 누가 결과를 설명할 수 있는지다.

고용주는 선별, 소싱 또는 평가 공급업체에 후보자 보고서를 의뢰할 수 있다. 공급업체는 외부 출처에서 정보를 수집하고 이를 분석한 뒤 점수나 추천을 반환할 수 있다.

이러한 구조는 실질적 통제를 나눈다. 공급업체는 모델, 입력 데이터 및 성능 한계를 알고 있을 수 있다. 고용주는 관리자가 결과물을 어떻게 활용하는지, 그리고 그것이 탈락, 승진, 징계 또는 해고에 기여하는지를 안다.

Delaware의 컨트롤러와 프로세서 체계는 당사자가 제품 라벨만으로 책임을 정하도록 허용하지 않는다. 역할은 특정 맥락에서 누가 처리의 목적과 수단을 결정하는지에 따라 달라진다.

프로세서는 컨트롤러의 지침을 따라야 한다. 해당 프로세서가 정보 처리의 이유나 방식을 결정하기 시작하면, 그 활동에 대해 컨트롤러가 될 수 있다.

개정안은 계약상 기대 수준도 강화한다. 개인 데이터 공개와 관련된 계약은 제한된 목적을 식별하고 중대한 결정에서의 사용을 다뤄야 한다. 동등한 수준의 개인정보 보호를 요구하고 무단 처리를 중단하기 위한 노력을 지원해야 한다.

따라서 고용주에게 조달은 AI 거버넌스의 일부가 된다. 표준 소프트웨어 구독 계약만으로는 데이터 출처, 추론된 속성, 모델 한계, 보존 기간, 하도급업체 또는 분쟁 처리에 관한 충분한 정보를 제공하지 못할 수 있다.

공급업체에게도 고용주가 최종 결정을 소유한다고 주장하는 것만으로는 위안이 되기 어렵다. 컨트롤러로 활동하는 공급업체는 주민 요청, 프로파일링 기록, 보고서 및 인간 검토와 관련된 의무를 부담할 수 있다.

보고서 관련 조항은 이 관계를 특히 중요하게 만든다. 고용주가 적용 대상 보고서를 받고 불리한 조치를 취할 경우, 계약상 의무에 따라 영향을 받은 주민에게 통지해야 할 수 있다.

이 통지에는 결정에 사용된 개인 데이터를 설명해야 한다. 또한 컨트롤러로부터 정보를 얻고 불리한 조치에 대한 인간 검토를 요청할 주민의 권리도 설명해야 한다.

주민은 자신에 관해 유지되는 개인 데이터와 프로파일링에 사용된 출처를 요청할 수 있다. 또한 지난 24개월 동안 자신에 관한 보고서를 받은 제3자의 신원을 확인할 수도 있다.

컨트롤러는 일반적으로 30일 이내에 이 보고서 관련 정보를 제공해야 한다. 주민에게는 부정확한 개인 데이터를 정정할 기회도 제공돼야 한다.

이 의무들은 까다로운 운영 사슬을 만든다. 고용주는 불리한 조치가 적용 대상 보고서에 의존했는지 파악해야 한다. 공급업체는 입력, 출처, 수신자 및 관련 결과물을 식별할 수 있을 만큼 충분한 이력을 보존해야 한다.

채용팀이 뒷받침 정보 없이 점수만 본다면 이 요건을 충족할 수 없다. 공급업체가 검증된 사실과 추론된 특성을 구분할 수 없다면 정정권을 지원할 수 없다.

일상적인 사례는 이 구분이 중요한 이유를 보여준다. 이력서 도구는 재직 기간에서 경력 수준을 추론할 수 있다. 소싱 플랫폼은 이직 의향을 예측할 수 있다. 면접 시스템은 말투 패턴이나 행동 신호를 점수화할 수 있다.

각 시스템은 데이터를 평가적 결과물로 전환한다. 그 결과물이 기회 거부에 기여한다면 조직은 제품의 마케팅 목적 이상을 설명할 준비가 돼 있어야 한다.

공식 사업자 개인정보보호 지침은 이미 데이터 인벤토리, 문서화된 처리 목적, 보안 및 프로세서 계약을 강조한다. 개정안은 이러한 기반을 채용 기술에서 더욱 중요하게 만든다.

고용주는 또한 적용 대상 보고서와 연방 Fair Credit Reporting Act의 적용을 받는 소비자 보고서를 구분해야 한다. Delaware의 변경 사항은 전통적인 신원조회가 시작되기 전의 영역을 부분적으로 겨냥한 것으로 보인다.

그 영역에는 후보자 소싱, 순위화, 매칭 및 초기 평가가 포함된다. 지원자의 가시성이 가장 낮고 공급업체가 외부 데이터에 가장 크게 의존하는 경우가 많다.

시스템은 발효일 전에 재설계가 필요하므로 압박은 즉각적이다. 계약, 통지, 접근 절차 및 인간 검토 절차에는 법무, 개인정보보호, 인사, 조달 및 엔지니어링 팀 간의 협력이 필요하다.

AI 프로파일링 규정이 인간 개입이라는 지름길을 대체하다

Delaware는 익숙한 컴플라이언스 지름길을 거부한다. 인간 검토자를 추가한다고 해서 자동화된 영향이 자동으로 무해해지는 것은 아니다.

많은 조직은 채용 도구를 자문용으로 설명한다. 모델이 후보자를 순위화하지만, 누구에게 연락할지는 채용 담당자가 선택한다. 플랫폼이 평가 점수를 부여하지만, 최종 결정은 관리자가 승인한다.

이 구분은 실제 책임을 판단하는 데 여전히 관련이 있다. 그러나 기저의 프로파일링이 Delaware의 개인정보보호 규정 밖에 있다는 보장은 더 이상 제공하지 않는다.

프로파일링 문구에서 “전적으로”가 삭제되면서 규제의 관점이 넓어진다. 사람이 최종 버튼을 클릭하더라도 자동화된 추천은 중대한 영향을 낼 수 있다.

이 변경은 사람들이 시스템의 추천에 과도한 비중을 두는 자동화 편향을 다룬다. 명목상의 검토자는 데이터, 가정 또는 오류 패턴을 이해하지 못한 채 순위를 승인할 수 있다.

의미 있는 인간 검토에는 서명 이상의 것이 필요하다. 검토자는 결과를 바꿀 권한, 관련 정보에 대한 접근권, 그리고 의심스러운 추론을 식별할 충분한 교육을 받아야 한다.

검토자에게는 시간도 필요하다. 기계가 순위화한 수백 건의 지원서를 검토해야 하는 채용 담당자에게는 각 추천을 독립적으로 재고할 현실적인 기회가 부족할 수 있다.

Delaware의 접근 방식은 AI 라벨보다 의사결정 파이프라인에 초점을 맞춘다. 프로파일링은 개인의 특성, 선호, 신뢰성, 행동, 위치 또는 이동을 평가·분석·예측하는 자동화된 처리를 의미한다.

이 정의는 생성형 AI뿐 아니라 통계 기반 및 규칙 기반 시스템도 포괄할 수 있다. 공급업체는 대규모 언어 모델을 피한다고 해서 제품이 심사 대상에서 벗어난다고 가정할 수 없다.

추론 데이터에도 같은 점이 적용된다. 개정법은 개인 정보에서 도출된 추론 정보를 포함하도록 접근권을 확대한다. 또한 특정 추론 정보가 보호 특성을 드러내기 위해 사용될 경우 민감 정보로 취급한다.

민감 범주에는 인종 또는 민족적 출신, 종교, 성적 지향, 이민 신분, 유전 정보, 생체 정보 및 정밀 위치 정보가 포함된다. 개정안은 신경 데이터와 추가적인 건강·금융 범주를 더한다.

고용주는 후보자에게 보호 대상 속성에 관해 질문할 수 없다. 그러나 모델은 이름, 주소, 고용 이력, 언어 패턴 또는 온라인 활동을 통해 관련 정보를 여전히 추론할 수 있다.

이러한 가능성 때문에 기능 선택은 법적·기술적 문제가 된다. 팀은 입력값이 필요한지, 비례적인지, 공개된 목적과 연결되는지를 물어야 한다.

법은 차별 청구와 방어 측면에서도 편향 방지 테스트를 중요하게 다룬다. 해당 테스트와 관련된 품질, 효과성, 최신성, 범위, 결과 및 조직의 대응을 고려하도록 규정한다.

조달 과정에서 한 차례 테스트하는 것만으로는 모든 우려를 해소할 수 없다. 모델 업데이트, 지원자 집단의 변화, 새로운 직무군, 서로 다른 의사결정 임계값은 성능을 바꿀 수 있다.

영향 평가는 의도된 사용 방식, 배포 환경, 예상 이익, 예측 가능한 피해, 입력 범주, 출력, 성능 지표 및 알려진 한계를 검토해야 한다. 또한 투명성과 배포 후 안전장치도 다뤄야 한다.

이 평가 의무는 활동이 높은 위험을 수반하는 경우 최소 5만 명의 소비자 데이터를 처리하는 컨트롤러에 적용된다. 법은 중대한 영향을 미치는 자동화된 의사결정과 연계된 프로파일링도 별도로 다룬다.

이 구조가 고용주에게 유용한 자동화를 포기하라고 요구하는 것은 아니다. 다만 시스템이 왜 업무 흐름에 포함되어야 하는지와 어떤 통제가 이를 둘러싸는지를 문서화하도록 요구한다.

주 정부가 밝힌 취지는 분명하다. 개인정보 보호 법안 발표에서는 이력서 선별기, 면접 점수화 도구, 채용·승진·징계·해고에 사용되는 보고서를 구체적으로 언급한다.

따라서 고용주는 AI로 마케팅되는 제품으로만 한정된 협소한 목록을 피해야 한다. 사람을 순위화, 추천, 예측, 필터링, 점수화 또는 요약하는 시스템의 기능적 목록이 필요하다.

이 목록에는 더 큰 인사 플랫폼 내부에 포함된 기능도 포함되어야 한다. 익숙한 지원자 추적 시스템도 일상적인 제품 업데이트를 통해 자동 매칭이나 요약 기능을 추가할 수 있다.

준수의 기준점은 인터페이스의 새로움이 아니라 처리와 의사결정에 따른다. 이것이 Delaware의 AI 채용법이 제시하는 핵심적인 전환이다.

책임성의 균형점은 Delaware를 넘어 확장된다

Delaware는 확대되는 주 및 지방 규제 체계에 합류하지만, 개인정보 보호 기반 모델은 전용 AI 법과는 다른 준수 경로를 만든다.

New York City는 채용과 승진에 사용되는 자동화된 고용 의사결정 도구를 규제한다. 적용 대상 고용주는 최근의 독립적인 편향 감사를 실시하고, 관련 정보를 공개하며, 요구되는 고지를 제공해야 한다.

시의 자동화 채용 규정은 재량적 고용 의사결정을 실질적으로 지원하거나 대체하는 도구에 초점을 맞춘다. 적용 대상 사용 전에 고지할 것도 요구한다.

Illinois는 주목받는 한 가지 형식에 대해 더 좁은 접근법을 취한다. Artificial Intelligence Video Interview Act는 고용주가 지원자에게 녹화 면접을 요청하고 AI를 사용해 해당 영상을 분석하는 경우 적용된다.

Illinois 면접법은 면접 전 고지, AI 작동 방식에 대한 설명 및 동의를 요구한다. 또한 영상 공유를 제한하고 삭제 요청도 다룬다.

Colorado는 중대한 의사결정에 관여하는 자동화 시스템에 대한 더 광범위한 규칙을 추진해 왔다. 해당 체계는 대규모 입법 개정을 거치기도 했으며, 주 AI 의무가 얼마나 빠르게 변할 수 있는지를 보여준다.

Delaware는 고용 관련 자동화를 포괄적 개인정보 보호법 안에 포함한다는 점에서 다르다. 이 접근법은 채용 의사결정을 데이터 최소화, 동의, 보안, 접근, 정정 및 벤더 거버넌스에 관한 기존 의무와 연결한다.

여러 주에 걸쳐 사업하는 고용주에게 이 법들은 하나의 체크리스트로 통합되지 않는다. New York City는 편향 감사와 공개를 강조한다. Illinois는 AI 분석 영상 면접을 겨냥한다. Delaware는 데이터 권리, 보고서, 프로파일링 및 책임성을 강조한다.

기업은 여전히 하나의 거버넌스 기반을 구축할 수 있다. 자동화 도구를 목록화하고, 데이터 흐름을 기록하며, 적용 지역을 식별하고, 목적을 문서화하고, 성능을 테스트하며, 반복 가능한 고지 절차를 유지할 수 있다.

이후 남은 의무는 관할권별로 매핑해야 한다. 단일 국가 고지가 실용적일 수는 있지만, 적용되는 각 주 또는 지방의 요소를 모두 포함해야 한다.

이 균형점은 준수 비용만을 의미하지 않는다. 투명성은 후보자의 오류 이의 제기 능력을 높일 수 있지만, 상세한 공개는 지식재산을 노출하거나 조작을 가능하게 할 수 있다.

Delaware는 영업비밀 보호를 통해 이러한 긴장을 인정한다. 접근권은 컨트롤러가 영업비밀을 공개하도록 요구하지 않지만, 그 보호가 근본적인 접근 의무를 없애지는 않는다.

컨트롤러는 소스 코드나 독점 모델 가중치를 공개하지 않으면서 관련 데이터와 절차를 설명해야 할 수 있다. 이는 일괄적인 거부가 아니라 신중한 설명을 요구한다.

인간 검토는 또 다른 균형점을 만든다. 실수를 포착하고 주민에게 구제 수단을 제공할 수 있지만, 설계가 부실한 검토는 형식적인 절차가 될 수 있다.

원래 점수만 보는 검토자는 의사결정을 독립적으로 평가할 수 없다. 효과적인 검토에는 원천 데이터, 신뢰도 정보, 문서화된 사유 및 기록 정정 권한이 필요할 수 있다.

벤더 집중도에 관한 실무적 문제도 있다. 소규모 고용주는 준수 정보를 대형 플랫폼에 의존하는 경우가 많고, 소규모 벤더는 여러 관할권별 업무 흐름을 지원하는 데 어려움을 겪을 수 있다.

그러나 법의 낮은 적용 기준은 준수가 최대 규모 고용주에게만 국한되지 않음을 뜻한다. 이전에 자신들이 포괄적 개인정보 보호법의 적용 대상이 아니라고 여겼던 조직도 새롭게 평가해야 한다.

개정된 기준은 직원 수가 아니라 Delaware 소비자 데이터에 관한 것이다. 비영리단체, 온라인 서비스 또는 지역 고용주도 다른 사업 운영을 통해 기준에 도달할 수 있다.

따라서 적용 여부와 고용 관련 의무는 별도로 분석해야 한다. 조직은 먼저 DPDPA가 적용되는지 판단한 뒤, 특정 채용 활동이 적용 대상 프로파일링 또는 보고서를 수반하는지 검토한다.

이러한 다층 구조는 AI 채용을 명시적으로 표방하는 법보다 눈에 덜 띈다. 그러나 자동화된 의사결정을 확립된 개인정보 보호 운영 및 집행과 연결하기 때문에 더 중대한 결과를 낳을 수 있다.

고용주가 여전히 단정할 수 없는 사항

개정안은 방향을 제시하지만, 여러 경계는 사실관계, 계약 및 향후 집행 지침에 따라 결정될 것이다.

첫째, 고용에서 개인 데이터를 사용하는 모든 경우가 적용 대상이 되는 것은 아니다. 고용 관련 데이터는 일반적으로 제외되지만, 프로파일링 및 보고서 조항은 중요한 예외를 만든다.

조직은 법이 모든 성과 평가, 이력서 데이터베이스 또는 직장 분석 대시보드를 규제한다고 주장하지 말아야 한다. 핵심 질문은 개인 데이터가 어떻게 처리되는지와 그것이 중대한 의사결정을 뒷받침하는지다.

둘째, 제품 설명이 적용 여부를 결정하지는 않는다. 벤더는 기능을 검색, 매칭, 지원, 분석 또는 업무 흐름 자동화라고 부를 수 있다. 그러나 실제 기능은 여전히 프로파일링에 해당할 수 있다.

고용주는 시스템이 무엇을 산출하는지 테스트해야 한다. 중립적 요약은 추천과 다르지만, 요약도 평가 정보를 선택하거나 강조할 때 의사결정에 영향을 줄 수 있다.

셋째, 인간이 개입한다는 사실만으로는 문제가 해결되지 않는다. 자동화가 의사결정에 영향을 미쳤는지, 그리고 검토가 독립적이고 실질적이었는지가 중요하다.

넷째, DPDPA 준수가 고용 차별법 준수를 보장하지는 않는다. 투명하고 문서화된 시스템도 여전히 불법적인 차별 대우 또는 차별적 영향을 낳을 수 있다.

마찬가지로 편향 방지 테스트가 모든 직무나 집단에 대한 공정성을 인증하는 것은 아니다. 결과는 데이터, 비교 집단, 표본 크기, 지표 및 배포 조건에 따라 달라진다.

Delaware는 사전 예방적 테스트의 품질과 최신성을 명시적으로 중요하게 다룬다. 이 표현은 엄격한 테스트를 장려하는 한편, 부실하거나 오래된 노력도 검토할 여지를 남긴다.

다섯째, 고용주는 벤더가 주민 요청을 자동으로 처리할 것이라고 가정할 수 없다. 계약은 책임, 기한, 에스컬레이션 절차 및 증빙 요건을 정해야 한다.

주민은 불리한 조치 통지를 받은 뒤 고용주에게 연락할 수 있다. 고용주에게는 관련 데이터와 원천 정보를 보유한 컨트롤러로 이어지는 신뢰할 수 있는 경로가 필요하다.

여섯째, 제3자가 고용 목적으로 소비자 보고서를 제공하는 경우 연방 Fair Credit Reporting Act는 여전히 중요하다. Delaware는 연방의 고지, 승인 및 불리한 조치 의무를 대체하지 않는다.

새 조항은 특히 벤더 제품이 전통적인 소비자 보고서 구조 밖에 놓이는 경우 중요해 보인다. 제품 설계와 데이터 출처가 다양하기 때문에 이 경계는 법률 검토가 필요하다.

일곱째, 법의 민사 벌금은 맥락 속에서 이해해야 한다. 위반 건당 최대 $10,000이라고 해서 모든 오류에 자동으로 최고액이 부과되는 것은 아니다.

집행 결정은 행위, 범위, 영향을 받은 사람, 시정 조치 및 법적 권한에 따라 달라질 수 있다. 조직은 이 수치를 확정된 벌금 계산이 아니라 노출 위험으로 다뤄야 한다.

마지막으로, 1월 기한이 해석상 완전한 확실성을 약속하지는 않는다. 규제 당국은 시행이 다가오면서 지침을 발표하고, 기업 자료를 업데이트하거나, 집행 우선순위를 명확히 할 수 있다.

신중한 대응은 현재 해석을 문서화하고 이를 재검토하는 것이다. 방어 가능한 프로그램은 조직이 어떻게 결론에 도달했는지와 새로운 지침에 어떻게 대응하는지를 보여준다.

이 과정에는 모호한 도구를 위한 에스컬레이션 경로가 포함되어야 한다. 법무, 개인정보 보호, 인사 및 기술 담당자는 데이터 출처나 의사결정 영향이 불확실한 시스템을 검토해야 한다.

고용주는 시정 조치의 증거도 보존해야 한다. 테스트가 문제를 발견했을 때 팀은 무엇이 언제 변경되었고 수정된 시스템이 재테스트되었는지를 보여주는 기록이 필요하다.

이러한 회의적 관점은 양방향으로 적용된다. 이 법은 전면 금지 조치가 아니지만, 공유 드라이브에 저장된 AI 정책만으로 충족되는 것도 아니다.

운영상의 증명이 중요해질 것이다. 고지, 평가 기록, 계약, 테스트 결과, 요청 로그, 검토자 교육 및 정정된 데이터가 그러한 증거를 제공한다.

2027년 1월 전 주목해야 할 세 가지 신호

다음 단계는 시행 세부 사항, 벤더 준비도 및 최초로 드러나는 집행 신호에 의해 규정될 것이다.

첫 번째 신호는 Delaware Department of Justice의 업데이트된 지침이다. 고용주는 보고서 적용 범위, 프로파일링 거부권, 인간 검토, 불리한 조치 통지 및 요청 인증에 관한 설명을 주시해야 한다.

상세한 지침은 Delaware가 시행일로부터 운영상 준수를 기대한다는 해석을 강화할 것이다. 제한적인 지침은 고용주가 법문과 문서화된 위험 판단에 더 크게 의존하게 만들 것이다.

두 번째 신호는 채용 및 평가 벤더가 Delaware 맞춤형 통제를 출시하는지 여부다. 유용한 변화에는 데이터 출처 기록, 다운로드 가능한 의사결정 이력, 정정 업무 흐름 및 구성 가능한 불리한 조치 통지가 포함될 수 있다.

벤더는 관련 사용 사례별 성능 지표와 알려진 한계도 설명해야 한다. 일반적인 모델 카드는 특정 직무, 지원자 집단 또는 배포 구성에 관한 질문에 답하지 못한다.

주요 플랫폼이 이러한 통제를 출시하면 준수는 표준 제품 관리의 일부가 될 수 있다. 출시하지 않는다면 고용주는 수작업 절차나 다른 벤더가 필요할 수 있다.

세 번째 신호는 Delaware가 집행 과정에서 인간 개입을 어떻게 다루는지다. 규제 당국은 명목상의 검토에도 불구하고 사실상 결과를 결정하는 시스템에 초점을 맞출 수 있다.

증거에는 번복률, 검토자의 권한, 의사결정 시점, 교육, 기초 정보에 대한 접근성이 포함됩니다. 번복률이 거의 0%라고 해서 자동화 편향이 입증되는 것은 아니지만, 의문을 제기할 수는 있습니다.

이러한 신호는 남은 준비 기간 동안의 업무 방향을 정하는 데 반영되어야 합니다. 고용주는 채용, 고용, 승진, 성과 평가, 징계 및 해고에 사용되는 시스템의 범위를 정해 목록화하는 것부터 시작할 수 있습니다.

각 시스템에 대해 목록에는 책임자, 공급업체, 목적, 적용 대상, 입력값, 출력값, 데이터 출처, 보존 기간 및 의사결정에 미치는 영향을 기록해야 합니다. 관련 관할권도 파악해야 합니다.

그다음 팀은 영향력이 큰 업무 흐름의 우선순위를 정할 수 있습니다. 이력서 순위화, 후보자 발굴, 면접 점수화, 직원 위험 점수 및 해고 권고는 기본 일정 관리 도구보다 먼저 검토할 가치가 있습니다.

계약 검토는 접근성과 협력에 초점을 맞춰야 합니다. 고용주는 통지, 거주자 요청, 정정, 평가, 감사 및 조사에 대해 시의적절한 지원을 받아야 합니다.

테스트 계획은 배포 환경에 맞아야 합니다. 법적으로 허용되고 적절한 경우 보호 대상 집단을 식별하고, 관련 오류 양상을 평가하며, 변화하는 데이터를 고려해야 합니다.

인적 검토 절차에서는 누가 검토를 수행하는지와 그 사람이 어떤 정보에 접근할 수 있는지를 정의해야 합니다. 또한 검토자가 결정을 번복할 수 있는지도 명시해야 합니다.

교육은 법률 용어에 그쳐서는 안 됩니다. 채용 담당자와 관리자는 자동화된 결과물이 불리한 결정에 영향을 미쳤는지, 그리고 다른 업무 흐름을 촉발했는지를 인식할 수 있어야 합니다.

조직은 후보자와 근로자를 위한 명확한 설명도 마련해야 합니다. 쉬운 언어로 도구의 기능, 사용하는 데이터 범주, 그리고 우려를 제기할 수 있는 경로를 안내할 수 있습니다.

그 설명은 조직이 실제로 제공할 수 있는 수준을 넘어서는 투명성을 약속해서는 안 됩니다. 실제 시스템 동작, 계약 및 요청 절차와 일치해야 합니다.

델라웨어주의 AI 고용 규정은 궁극적으로 조달 이후에도 자동화가 책임성을 유지하는지를 시험합니다. 규정을 준수하는 제품을 구매했다고 해서 규정을 준수하는 의사결정 절차가 보장되는 것은 아닙니다.

고용주에게는 개인정보 보호 운영을 고용 업무 흐름과 연결할 수 있는 짧은 시간이 남아 있습니다. 실질적인 다음 단계는 명확합니다. 영향력이 큰 채용 시스템 하나를 선택해 델라웨어 거주자의 데이터가 수집부터 의사결정까지 어떻게 이동하는지 추적하는 것입니다.

조직은 출처를 식별하고, 권고 사항을 설명하며, 잘못된 정보를 정정하고, 당사자에게 통지하고, 실질적인 인적 검토를 수행할 수 있습니까? 어느 하나라도 불분명하다면, 그 공백은 2027년 이전 로드맵에 포함되어야 합니다.