← 블로그무료 검색
피해자 지원/법률 가이드EU AI법 누디파이어 금지딥페이크 여성 정치인 피해

EU AI법 누디파이어 앱 2026년 12월 2일 전면 금지 — 여성 MEP 1/6 딥페이크 음란물 피해 보고서와 EU 딥페이크 피해자 단계별 법률 가이드

2026-10-21·14분 읽기
2026년 10월 Agora Digital Think 보고서 'Targeted and Ignored'에 따르면 유럽의회 여성 MEP 6명 중 1명이 AI 생성 비동의 성적 딥페이크 생태계에 포착됐다. 50명의 MEP(그중 46명이 여성)가 피해를 입었으며, 오스트리아 MEP 레나 실링은 "폭력의 방식이 새로워졌을 뿐, 목적은 여성을 침묵시키는 것"이라고 증언했다. EU AI법 디지털 옴니버스는 2026년 12월 2일부터 누디파이어 앱을 전면 금지한다

2026년 10월, 유럽의 정책 싱크탱크 아고라 디지털 트랜스포메이션(Agora Digital Think, ADT)이 유럽의회 여성 의원을 겨냥한 AI 딥페이크 성적 학대 실태를 담은 보고서 '타깃이 되고 무시된(Targeted and Ignored)'을 발표했습니다. 이 보고서는 2026년 9월 26~30일 5일간 200개 도메인을 분석한 결과, 여성 MEP 6명 중 1명이 비동의 AI 생성 성적 딥페이크 생태계에 노출돼 있음을 확인했습니다. 피해자는 MEP 50명으로, 그중 46명이 여성이었습니다. 여성 의원이 남성 의원보다 33배 더 높은 비율로 피해를 입고 있었습니다. 그러나 이 충격적인 데이터 못지않게 중요한 사실이 있습니다. EU는 이 문제에 대한 구체적인 법적 해결책을 이미 마련했으며, 그 핵심 조치가 불과 6주 뒤에 발동됩니다. EU AI법 디지털 옴니버스(Digital Omnibus)의 일환으로 개정된 AI법 제5조는 2026년 12월 2일부터 실제 식별 가능한 인물의 비동의 성적 딥페이크를 생성하는 AI 시스템, 이른바 '누디파이어(nudifier)' 앱을 EU 전역에서 전면 금지합니다. 위반 시 제재는 최대 3,500만 유로(약 530억 원) 또는 전 세계 연간 매출의 7% 중 더 큰 금액입니다. 유예 기간도 없습니다. EU 집행위원회는 '첫날부터(from day one)' 집행할 것임을 공식 확인했습니다. 이 가이드는 ADT 보고서의 핵심 데이터와 함께, 12월 2일 금지 이전에 EU 딥페이크 피해자가 지금 당장 사용할 수 있는 법적 수단 — DSA, GDPR, 폭력방지지침, AI법 제50조 — 을 단계별로 안내합니다.

ADT 보고서 핵심 데이터 — 여성 MEP 6명 중 1명, 33배의 젠더 격차

2026년 10월 아고라 디지털 트랜스포메이션(ADT)이 발표한 보고서 '타깃이 되고 무시된(Targeted and Ignored)'은 AI 생성 비동의 친밀 이미지(AIG-NCII)가 유럽의 민주주의를 침해하는 방식을 구체적 수치로 제시했습니다. 분석 기간은 2026년 9월 26~30일로, 딥페이크 포르노 전용 사이트 200개 도메인을 대상으로 현직 유럽의회 의원 705명(그중 여성 264명)의 이름과 얼굴 정보를 교차 대조했습니다. 결과는 충격적이었습니다. 전체 50명의 MEP가 딥페이크 생태계 안에서 확인됐고, 그중 46명이 여성, 4명이 남성이었습니다. 여성 MEP 264명 중 46명이 피해자이므로 피해 비율은 17.4%, 즉 6명 중 1명 이상입니다. 반면 남성 MEP 441명 중 피해자는 4명으로 피해율은 0.9%에 불과합니다. 여성이 남성보다 33배 더 높은 비율로 이 범죄의 표적이 되고 있습니다. 피해는 특정 정파에 국한되지 않았습니다. 유럽국민당(EPP), 사회민주당(S&D), 자유주의 성향의 리뉴 유럽(Renew), 녹색당/유럽자유동맹(Greens/EFA), 좌파그룹(The Left), 유럽수호자(ESN), 애국자 그룹 등 거의 모든 의회 그룹의 여성 의원이 피해를 입었습니다. 보고서는 피해 콘텐츠가 확인된 88개 사이트 중 93%가 구글 검색으로 접근 가능한 상태였음도 밝혔습니다. 즉 구글에 이름을 검색하면 딥페이크 음란물이 표시되는 상황이 유럽 여성 의원들에게 현실이 됐습니다. 보다 넓은 맥락에서 보면 이 현상은 MEP에만 국한되지 않습니다. 연구자들이 확인한 전 세계 피해 정치인은 총 147명이며, 그중 138명(94%)이 여성입니다. 남성 정치인 500명 중 1명꼴인 반면, 여성 정치인은 14명 중 1명이 피해를 입고 있습니다. 오스트리아의 25세 MEP 레나 실링(녹색당)은 이 보고서를 통해 자신의 피해를 처음으로 공개했습니다. 그는 "어느 날 아침 사무실에 출근해 노트북을 열었을 때 내 나체 사진이 온라인에 올라와 있다는 사실을 알게 됐습니다. 하지만 나는 그 사진을 찍은 적이 없습니다. 이것이 많은 여성과 저에게 일어난 일입니다"라고 증언했습니다. 그는 이어 "폭력의 방식이 새로워졌을 뿐, 목적은 하나 — 여성을 협박하고 침묵시키는 것"이라고 덧붙였습니다. 유럽의회 의장 로베르타 메촐라는 이를 '참을 수 없고 개탄스러운 학대'라고 규정하고, 회원국들에게 2026년 12월 2일 발효 예정인 누디파이어 앱 금지를 즉각 시행할 것을 촉구했습니다. 119명의 의원(EPP, 사회당, 리뉴, 좌파그룹, 녹색당 소속)이 AI법의 강력한 집행, DSA 플랫폼 조사 강화, X·그록(Grok) 에 대한 즉각 조사를 요구하는 공동 서한에 서명했습니다.

EU AI법 제5조 개정 — 2026년 12월 2일, 누디파이어 앱 전면 금지의 법적 의미

EU AI법 디지털 옴니버스 개정안의 핵심은 금지 조항을 담은 제5조의 확대입니다. 기존 AI법 제5조는 인간 행동을 무의식적으로 조종하는 AI 시스템, 사회적 점수화(social scoring) 시스템, 특정 생체 인식 기반 범주화 등을 금지했습니다. 이번 개정으로 제5조에 두 가지 중요한 새 금지 사항이 추가됐습니다. 첫째, 아동 성착취물(CSAM)을 생성하는 AI 시스템 금지. 둘째, 식별 가능한 실제 인물의 비동의 친밀하거나 성적으로 노골적인 표현물을 생성하는 AI 시스템 금지 — 이것이 이른바 '누디파이어 앱' 금지의 법적 근거입니다. 이 금지는 단순히 이미지 '공유'나 '배포'를 규제하는 것이 아닙니다. AI 시스템 자체의 '제공(placing on the market)' 및 '사용(putting into service)'을 금지합니다. 즉, 누디파이어 도구를 개발해 EU 내에서 서비스하거나, EU 밖에서 개발하더라도 EU 사용자에게 접근 가능하게 만드는 행위 자체가 위반입니다. 이는 기존의 어떤 EU 법보다도 강력한 상류(upstream) 규제입니다. 집행 구조도 강력합니다. AI법 제99조에 따라 위반 사업자는 최대 3,500만 유로 또는 전 세계 연간 매출의 7% 중 더 큰 금액을 과징금으로 납부해야 합니다. EU 집행위원회는 각 회원국 AI 감독 당국(National Competent Authority, NCA)과 협력해 집행하며, 유예 기간 없이 2026년 12월 2일부터 즉시 적용됩니다. 이 금지가 적용되는 앱의 범위는 명확합니다. 영국 Crime and Policing Act 2026, 미국 TAKE IT DOWN Act, 캐나다 Bill C-16이 모두 '이미지 배포'를 처벌 대상의 중심으로 삼은 것과 달리, EU의 이번 조치는 배포가 아닌 '도구 자체의 존재'를 금지합니다. 이는 딥페이크 피해의 근본적인 원인을 차단하는 방식으로, 피해자 단체들이 오랫동안 요구해 온 접근 방식입니다. AI법과 별도로, AI법 제50조도 2026년 8월 2일부터 이미 시행 중입니다. 이 조항은 AI가 생성하거나 조작한 모든 딥페이크에 반드시 공시(disclosure) 의무를 부과합니다. 딥페이크를 생성한 사람이나 기업은 해당 콘텐츠가 AI로 생성됐음을 명확히 표시해야 합니다. 예외는 예술·창작 목적으로 적절한 방식으로 공시가 이루어진 경우에만 인정됩니다. 제50조 위반 역시 1,500만 유로 또는 매출의 3% 과징금 대상이며, 현재 진행 중인 EU 집행위원회의 주요 GPAI 모델 사업자 대상 조사에서 이미 적용되고 있습니다. EU 폭력방지지침(Directive on combating violence against women, Directive 2024/1385)도 딥페이크 피해자에게 중요한 보호를 제공합니다. 이 지침은 2027년 6월까지 모든 EU 회원국이 국내법으로 전환해야 하며, NCII 딥페이크를 젠더 기반 폭력의 한 형태로 명시적으로 규정하고 형사 처벌을 의무화합니다. 현재는 과도기 상태이나, 독일(StGBs §184k), 프랑스(Loi Numérique), 오스트리아(§118c StGB)는 이미 이 지침에 앞서 국내법을 제정했습니다.

EU 딥페이크 피해자 단계별 대응 가이드 — 12월 2일 금지 이전, 지금 당장 할 수 있는 것

EU 딥페이크 피해자는 누디파이어 앱 금지가 발효되는 2026년 12월 2일을 기다릴 필요 없이 지금 당장 다음 단계를 밟을 수 있습니다. 1단계: 증거 보전과 해시 등록 — 모든 URL, 날짜·시간이 표시된 스크린샷을 저장합니다. StopNCII.org에서 이미지를 업로드하지 않고도 기기 로컬에서 해시값을 생성·등록하면 메타·틱톡·스냅챗 등 17개 주요 플랫폼이 동일 이미지의 재업로드를 자동 차단합니다. 미성년자 피해의 경우 NCMEC의 Take It Down(takeitdown.ncmec.org)을 이용하십시오. 2단계: DSA 기반 플랫폼 신고 — EU 디지털서비스법(DSA) 제16조에 따라 모든 온라인 플랫폼은 위법 콘텐츠 신고 창구를 의무적으로 운영해야 하며, 신고를 받은 즉시 콘텐츠를 검토하고 처리해야 합니다. 초대형 플랫폼(VLOP) — 메타, 구글, X, 틱톡, 유튜브, 스냅챗 등 — 은 더 강화된 의무를 집니다. DSA에 따라 플랫폼이 삭제를 거부하거나 48시간 이상 지연할 경우 회원국 디지털서비스조정관(DSC)에 이의를 제기할 수 있습니다. 3단계: GDPR 삭제 요청 — 딥페이크 이미지는 피해자의 얼굴과 신체 정보를 포함하므로 GDPR 제17조 '잊혀질 권리'의 대상이 됩니다. 이미지를 호스팅하는 플랫폼에 개인 데이터 처리 동의를 철회하고 즉시 삭제를 요구하십시오. 구글·빙 등 검색 엔진에는 별도의 'GDPR 기반 검색 결과 삭제(de-indexing)' 요청을 제출하면 검색 결과에서 해당 이미지를 제거할 수 있습니다. 이 요청은 사이트 삭제와 별개로 처리되므로 이미지가 사이트에서 삭제되기 전에도 검색 결과를 먼저 차단하는 효과를 얻을 수 있습니다. 4단계: 국가별 형사 신고 — 독일: §184k StGB(비동의 친밀 이미지 배포) 및 §201a StGB(사생활 침해 이미지 유포)로 현지 경찰 신고 가능. 프랑스: 형법 제226-2-1조(개인 동의 없는 성적 표현물 제작·전파) 위반으로 신고. 오스트리아: §118c StGB(딥페이크 비동의 친밀 이미지)로 신고. 기타 EU 회원국: EU 폭력방지지침이 아직 국내법으로 전환되지 않은 국가에서도 일반 명예훼손법, 개인정보 보호법, 온라인 괴롭힘 관련 법 등으로 신고가 가능합니다. 5단계: AI법 제50조 위반 신고 — 딥페이크에 AI 생성 표시(워터마크 또는 명시적 공시)가 없다면 AI법 제50조 위반입니다. 회원국 국가AI감독당국(NCA)에 신고하면 조사가 개시될 수 있습니다. 이는 현재 가장 즉각적으로 EU 집행위원회가 반응할 수 있는 경로입니다. 6단계: 전문 지원 기관 활용 — HateAid (Deutschland): hateaid.org, +49 (0)30 252 088 38. 독일 및 유럽 전역 디지털 폭력 피해자 무료 법률 지원 및 심리 상담. End Violence Against Women (UK/유럽): endviolenceagainstwomen.org.uk. 아일랜드 Hotline.ie: hotline.ie (아동 성착취물 및 딥페이크 신고 처리). 네덜란드 Helpwanted.nl (아동 피해): helpwanted.nl. 한국인 EU 거주 피해자: 한국 디지털성범죄피해자지원센터(d4u.stop.or.kr, 02-735-8994)는 해외 거주 한국 국적 피해자에게도 원격 상담 서비스를 제공합니다.

플랫폼 책임과 구조적 과제 — 93%가 구글에서 검색되는 현실

ADT 보고서가 폭로한 또 하나의 충격적인 사실은 딥페이크 콘텐츠의 가시성(visibility) 문제입니다. 연구팀이 확인한 88개 딥페이크 호스팅 사이트 중 93%가 구글 검색으로 직접 접근 가능한 상태였습니다. 이는 가해자나 공격적 검색 의도를 가진 사람들이 특별한 기술 없이도 피해자의 딥페이크 콘텐츠를 쉽게 발견할 수 있음을 의미합니다. 검색 엔진이 딥페이크 포르노 사이트를 색인화(indexing)하고 상위 노출하는 것 자체가 피해 확산의 핵심 기제입니다. 119명의 MEP가 서명한 공동 서한은 DSA에 근거해 구글, 빙 등 검색 엔진 운영자들이 이러한 콘텐츠를 검색 결과에서 조직적으로 제거할 의무를 이행하도록 EU 집행위원회가 즉각적인 조사와 집행 조치를 취할 것을 요구했습니다. DSA는 이미 검색 엔진 운영자에게도 적용되며, 위법 콘텐츠를 발견한 경우 이를 제거하거나 비가시화할 의무를 부과합니다. 다만 자동 탐지 의무는 없으며, 현재는 신고 기반 처리 체계입니다. ADT 보고서는 이와 함께 '가해자 익명성'의 문제를 심각하게 다루고 있습니다. 피해가 확인된 사례들에서 콘텐츠 게시자 대부분은 익명이거나 역외(offshore) 사업자였습니다. 이로 인해 개별 피해자가 가해자를 특정해 법적 조치를 취하는 것이 현실적으로 매우 어렵습니다. ADT는 이 문제를 해결하기 위한 세 가지 구조적 권고를 제시했습니다. 첫째, 규제 기관의 사전적(proactive) 집행 — 피해자가 신고할 때까지 기다리지 않고 당국이 주도적으로 플랫폼을 감시하고 법 위반을 적발해야 합니다. 둘째, 집단 구제(collective redress) 메커니즘 강화 — EU 집단소송 지침(Representative Actions Directive)을 활용해 다수 피해자가 공동으로 플랫폼에 법적 책임을 물을 수 있는 경로를 확대해야 합니다. 셋째, 성과 측정 기준의 전환 — 딥페이크 피해 대응의 성공을 '삭제 건수'가 아닌 '예방된 피해 건수'로 평가하는 체계로 전환해야 합니다. 현재 시스템에서 플랫폼이 신고를 받은 후 콘텐츠를 삭제하는 방식은 근본적으로 피해가 이미 발생한 후의 대응입니다. AI법 제5조의 누디파이어 앱 금지가 이 사이클을 끊을 수 있을지가 향후 EU 딥페이크 규제의 핵심 시험대가 될 것입니다. 피해자 관점에서 중요한 진전도 있습니다. EU 폭력방지지침(제24조)은 피해자가 형사 절차에서 무료 법률 지원을 받을 권리를 보장합니다. 또한 지침 제27조는 온라인 폭력(cyber violence) 피해자가 관할 법원에 긴급 금지 명령(interim injunction)을 신청해 콘텐츠를 즉시 차단할 수 있는 권리를 신설했습니다. 이 권리는 아직 많은 국가에서 국내법 전환이 완료되지 않았지만, 독일·오스트리아·프랑스에서는 이미 행사 가능한 법적 수단입니다.

참고 자료 / References