인도, 세계 최초 '딥페이크 2시간 삭제' 의무화 — 10억 인터넷 사용자 시장에서 메타·구글·X 준수율 0%

세계 최초, 합성 콘텐츠 출처 표시 의무화

인도의 IT Rules 2026 개정안은 단순한 삭제 규정이 아닙니다. 합성 생성 정보(Synthetically Generated Information, SGI)에 대한 출처 표시(provenance)를 법적으로 의무화한 세계 최초의 구속력 있는 규정입니다. EU AI법이 위험 등급별 분류 체계를 채택하고, 미국이 주(州) 단위 법안과 DEFIANCE Act 등 개별 대응에 머무르는 반면, 인도는 기존 중개자 책임 프레임워크(IT Act 제79조)에 직접 규정을 삽입하여 플랫폼 출신 국가를 불문하고 인도 사용자에게 서비스하는 모든 플랫폼에 적용됩니다.

인도의 인터넷 사용자는 약 10억 명, 소셜미디어 활성 사용자만 5억 명 이상입니다. 이 규모의 시장에서 발효된 규정은 사실상 글로벌 준수 기준을 설정하는 효과를 가집니다.

핵심 의무 사항 — 숫자로 보는 규정

IT Rules 2026 주요 삭제 시한: 비동의 딥페이크 누드/CSAM은 2시간 이내 삭제, 정부/법원 명령 불법 콘텐츠는 3시간 이내 삭제, 개인정보 침해·사칭 민원은 24시간 이내 삭제, 일반 고충 처리 응답은 72시간 이내, 고충 접수 확인은 7일 이내(기존 15일에서 단축)입니다.

AI 콘텐츠 라벨링 의무

모든 중개자(플랫폼)는 AI가 생성하거나 조작한 콘텐츠에 명확하고 눈에 띄는 라벨을 부착해야 합니다. 구체적으로 다음 세 가지가 요구됩니다:

• 영구적 메타데이터 — 고유 식별자가 포함된 제거 불가능한 출처 메타데이터
• 화면 워터마크 — 영상에는 눈에 보이는 워터마크, 오디오에는 음성 면책 고지
• 사용자 자기 선언 — 콘텐츠 업로드 시 AI 사용 여부를 사전 신고해야 하며, 등록 사용자 50만 명(50 lakh) 이상인 주요 소셜미디어 중개자(SSMI)는 이를 자동화 도구로 교차 검증할 의무

11개 글로벌 플랫폼, 준수율 0%

인도 미디어 전문매체 MediaNama는 2026년 4월 1일 자 보도에서 충격적인 사실을 확인했습니다. 메타(Meta), 구글(Google), X, 스냅(Snap), 셰어챗(ShareChat), 링크드인(LinkedIn), OpenAI, 마이크로소프트(Microsoft), 애플(Apple), 앤스로픽(Anthropic), 미드저니(Midjourney) 등 11개 주요 플랫폼에 준수 현황을 문의했으나, 단 한 곳도 응답하지 않았습니다.

규정 시행 후 10일간의 이행 기간이 이미 만료되었음에도, 어떤 플랫폼도 공개적으로 준수를 확인하지 않은 것입니다. MediaNama는 정보공개법(RTI)을 통해 인도 정부에 플랫폼별 준수 요청 내역 공개도 청구한 상태입니다.

위반 시 처벌 — 세이프하버 보호 상실

IT Rules 2026을 준수하지 않는 플랫폼은 IT Act 제79조의 세이프하버(면책) 보호를 상실합니다. 이는 곧 플랫폼이 콘텐츠 원작자와 동일한 법적 책임을 지게 됨을 의미합니다. 구체적인 형사 처벌은 2023년 개정된 인도 형법(Bharatiya Nyaya Sanhita, BNS)에 따라 적용됩니다:

• BNS 제318조(사기) — 최대 징역 7년 + 벌금
• BNS 제319조(사칭에 의한 사기) — 가중 처벌
• BNS 제336조(전자기록 위조) — 디지털 딥페이크 특화 조항
• POCSO법 제19조 — 아동 성착취물(CSAM) 의무 신고, 위반 시 형사 책임

또한 플랫폼은 분기마다 사용자에게 AI 합성 콘텐츠 관련 형사처벌 경고를 발송해야 합니다.

기술적 한계와 비판

규정의 취지는 선도적이지만, 이행에는 심각한 기술적 장벽이 존재합니다. 인도 정부 산하 C-DAC(고급컴퓨팅개발센터)의 딥페이크 탐지 도구 정확도는 최대 89%에 그치며, 워터마크는 스크린샷이나 재압축으로 쉽게 제거될 수 있습니다.

인터넷 자유 재단(Internet Freedom Foundation)은 네 가지 핵심 문제를 지적했습니다:

• SGI 정의에 위험 등급 분류가 없어 EU AI법의 단계적 접근과 대비됨
• 강제 라벨링이 헌법 제19조 1항(a) 표현의 자유를 침해할 소지
• 능동적 모니터링 의무가 Shreya Singhal v. Union of India 판례와 충돌
• 워터마킹·AI 탐지 기술의 신뢰성을 과대평가

글로벌 비교 — EU·미국·한국과 어떻게 다른가

인도는 딥페이크 삭제 시한 2시간, AI 라벨링 구속력, 출처 메타데이터 세계 최초 의무화 등에서 가장 강력한 기준을 설정했습니다. EU는 2026년 8월 시행 예정이며 위험 등급별 접근을 채택하고, 미국은 주별로 상이하며 48시간 기준의 Take It Down Act가 있습니다. 한국은 AI기본법으로 워터마크 의무를 부과했지만 구체적 시한은 '지체 없이'로 모호합니다.

한국에 주는 시사점

한국은 2026년 1월 22일 AI기본법을 시행하며 AI 생성물에 대한 워터마크 표시 의무를 도입했습니다. 그러나 인도처럼 구체적 삭제 시한(2~3시간)을 명시하지는 않았으며, 플랫폼에 대한 출처 메타데이터 삽입 의무도 아직 규정되지 않았습니다.

인도의 사례는 두 가지 교훈을 줍니다. 첫째, 강력한 규정이 있어도 이행 없이는 무의미합니다. 11개 글로벌 플랫폼이 40일간 침묵하고 있다는 사실이 이를 증명합니다. 둘째, 기술적 현실과 법적 요구 사이의 간극을 인정해야 합니다. 89% 정확도의 탐지 도구로 100% 준수를 요구하는 것은 모순이며, 실효성 있는 규제를 위해서는 표준화된 워터마킹 기술과 검증된 탐지 모델 목록이 선행되어야 합니다.

결론

인도의 IT Rules 2026은 세계에서 가장 공격적인 AI 합성 콘텐츠 규제입니다. 2시간 삭제, 영구 메타데이터, 자동 탐지 의무 — 문서상의 요구 사항은 어떤 국가보다 강력합니다. 그러나 10억 사용자 시장에서 준수율 0%라는 현실은 "규정의 존재"와 "규정의 실행" 사이에 놓인 거대한 간극을 보여줍니다.

2026년 5월 19일에는 미국의 Take It Down Act 이행 기한도 도래합니다. EU의 AI 투명성 규정은 8월부터 시행됩니다. 한국의 AI기본법은 이미 시행 중입니다. 전 세계가 동시에 "AI 플랫폼에게 책임을 묻는" 방향으로 움직이고 있지만, 가장 강력한 법도 플랫폼의 이행 없이는 종이 위의 약속에 불과합니다.

AI 딥페이크 피해는 법이 따라오기를 기다리지 않습니다. 지금 이 순간에도 누군가의 사진이 동의 없이 합성되고 유포되고 있습니다.