← 블로그무료 검색
피해자 지원/법률 가이드CLTC AI NCII 생태계 규제TAKE IT DOWN Act 플랫폼 의무

UC버클리 CLTC 'AI NCII·CSAM 생태계 격차 해소' 보고서 — 4개 레이어 규제 공백 완전 분석과 2026 피해자 법적 대응 가이드

2026-09-23·15분 읽기
UC버클리 사이버보안장기연구센터(CLTC)의 2026년 9월 보고서 'Closing Gaps Across the Ecosystem' 표지 — AI 기반 비동의 친밀 이미지(NCII)와 아동 성착취물(CSAM)의 가치사슬 전체를 4개 레이어로 분석해 규제 공백을 지목한 정책 보고서

2026년 9월 15일, UC버클리 사이버보안장기연구센터(Center for Long-Term Cybersecurity, CLTC)는 'Closing Gaps Across the Ecosystem: Regulating the Technologies that Enable AI-Powered Nonconsensual Intimate Images and Child Sexual Abuse Materials(생태계 전반의 격차 해소: AI 기반 비동의 친밀 이미지 및 아동 성착취물을 가능하게 하는 기술 규제)'라는 제목의 정책 백서를 공개했습니다. CLTC AI 보안 이니셔티브(AISI) 소속 Charlotte Yuan 비상임 연구원과 Nada Madkour 국장이 공동 집필한 이 보고서는 AI NCII 및 CSAM의 생산·유통 생태계를 인간 레이어, 모델 레이어, 제품 배포 레이어, 유통 레이어의 4개 층위로 체계화하고, 기존 28개 연방·주법을 이 가치사슬에 매핑(mapping)해 법적 공백을 정밀하게 지목했습니다. 보고서의 핵심 주장은 명확합니다. 현행 법률 대부분은 개별 제작자와 유포자를 처벌하는 데 집중하는 반면, AI NCII·CSAM의 대규모 확산을 가능하게 하는 기술·플랫폼·경제적 인센티브 생태계는 사실상 규제 사각지대에 놓여 있다는 것입니다. 특히 오픈소스 모델 배포, 결제 처리사(payment processor), 앱스토어, 검색엔진 등 이른바 '인프라 계층'에 대한 의무가 부재한 상황이 지적됐습니다. 같은 시기, TAKE IT DOWN Act의 플랫폼 의무 조항이 2026년 5월 19일부터 FTC 집행 하에 전면 발효됐고, 연방 민사 소송 경로를 열어줄 DEFIANCE Act는 상원 만장일치 통과(2026년 1월) 이후 하원에서 여전히 계류 중입니다. 이 가이드는 CLTC 보고서의 4개 레이어 분석을 토대로, 현재 활용 가능한 법적 도구와 피해자가 각 레이어에서 어떻게 대응할 수 있는지를 한국어·영어·일본어·중국어로 완전 정리합니다.

CLTC 'Closing Gaps' 보고서 핵심 분석 — AI NCII·CSAM 가치사슬 4개 레이어와 규제 공백

CLTC 보고서는 AI NCII·CSAM 문제를 단순히 '나쁜 개인'의 행위로 보지 않고, 이를 가능하게 하는 기술·플랫폼·경제 인프라 전체를 하나의 생태계로 파악합니다. 보고서는 이 생태계를 4개 레이어로 분류하고, 각 레이어에서 현행 법률이 어디까지 규제하고 어디에 공백이 생기는지를 구체적으로 분석했습니다. 첫 번째는 인간 레이어(Human Layer)입니다. AI NCII나 CSAM을 실제로 생성하거나 유포하는 개인과 조직이 이 레이어에 해당합니다. TAKE IT DOWN Act, 각 주의 딥페이크 성적 이미지 금지법, 연방 CSAM 법률 등 현행 법률 대부분이 이 레이어를 겨냥합니다. 그러나 보고서는 개별 행위자 처벌만으로는 생태계 전체를 억제하기 어렵다고 지적합니다. 검거된 한 명이 사라져도 생태계의 인프라가 남아 있으면 다른 행위자가 즉시 채울 수 있기 때문입니다. 두 번째는 모델 레이어(Model Layer)입니다. AI NCII 생성을 가능하게 하는 AI 모델 그 자체와, 이 모델을 훈련시키는 데이터셋, 오픈소스 모델 배포 플랫폼(Hugging Face 등)이 여기에 해당합니다. 핵심 문제는 오픈소스 모델 배포입니다. 현재 미국 법률 중 오픈 모델 호스팅 플랫폼에 NCII·CSAM 생성 능력이 있는 모델의 게시를 명시적으로 금지하거나 의무적으로 필터링하도록 요구하는 규정이 존재하지 않습니다. 연구팀이 분석한 28개 법률 가운데 모델 레이어를 직접 대상으로 하는 법률은 극소수였습니다. 세 번째는 제품 배포 레이어(Product Deployment Layer)입니다. 실제 소비자가 AI NCII를 생성하기 위해 접근하는 애플리케이션, 웹 인터페이스, 앱스토어가 이 레이어에 포함됩니다. 결제 처리사(Visa, Mastercard, Stripe 등)도 여기에 해당합니다. 보고서는 앱스토어(Apple App Store, Google Play)가 NCII 생성 앱을 적극적으로 심사·차단할 법적 의무를 현재 지지 않는다는 점, 결제 처리사가 NCII 플랫폼에 대한 거래를 차단할 의무 역시 명시적으로 규정돼 있지 않다는 점을 규제 공백으로 지적했습니다. 네 번째는 유통 레이어(Distribution Layer)입니다. 소셜미디어, 전용 성인 사이트, 메시징 플랫폼, 검색엔진이 이 레이어에 해당합니다. TAKE IT DOWN Act의 플랫폼 의무(48시간 삭제)가 이 레이어 중 소셜미디어 등 '인터랙티브 컴퓨터 서비스'를 대상으로 하지만, 검색엔진의 인덱싱 의무나 전용 NCII 플랫폼에 대한 포괄적 조치는 여전히 미비합니다. 보고서는 각 레이어에 맞는 맞춤형 입법 권고를 제시했는데, 특히 모델 레이어의 오픈 모델 안전 검증 의무화, 제품 배포 레이어의 앱스토어 스크리닝 의무 및 결제 처리사 차단 협력 의무화, 유통 레이어의 검색엔진 디인덱싱 의무화가 핵심입니다.

CLTC 보고서가 분석의 기반으로 삼은 28개 법률 중 주목할 만한 사례를 살펴보면, 규제의 비대칭성이 뚜렷하게 드러납니다. 캘리포니아 AB 602, 뉴욕 SHIELD Act, 텍사스 HB 4173 등은 모두 인간 레이어(제작자·유포자)를 겨냥합니다. 연방 TAKE IT DOWN Act는 유통 레이어 중 소셜미디어와 같은 인터랙티브 컴퓨터 서비스를 부분적으로 대상으로 합니다. 그러나 모델 레이어와 제품 배포 레이어를 직접 대상으로 하는 법률은 연방 수준에서 거의 없습니다. 유타주가 AI 모델 개발사에 콘텐츠 안전 검증 의무를 부과하는 입법을 추진한 것이 예외적 사례에 해당합니다. 보고서 저자들은 이 비대칭성의 근본 원인으로 '규제 설계의 관성'을 지목합니다. 전통적인 CSAM 규제 체계(18 U.S.C. § 2256 등)는 디지털 이미지 배포가 개인 행위자들에 의해 소규모로 이루어지던 시대에 설계됐습니다. 그러나 AI NCII는 누구나 스마트폰 앱 하나로 수초 내에 타인의 얼굴을 합성한 성적 이미지를 만들 수 있는 인프라가 이미 구축된 상태에서 대규모로 발생하고 있습니다. 보고서는 '개인 처벌 중심 규제가 계속될 경우, AI가 NCII·CSAM 생태계를 계속 확장시키는 동안 법률은 항상 한발 늦게 따라가는 구조적 지연이 반복될 것'이라고 경고합니다. 저자들의 분석에 따르면, 전체 AI NCII·CSAM 생태계에서 가장 규제가 미흡한 레이어는 제품 배포 레이어, 즉 앱스토어와 결제 처리사입니다. 이 두 주체는 피해 콘텐츠가 대규모로 유통되기 위한 경제적 인프라이지만, 현재 TAKE IT DOWN Act의 '인터랙티브 컴퓨터 서비스' 정의에 포함되지 않아 삭제 의무 대상에서 제외돼 있습니다. 보고서는 의회가 TAKE IT DOWN Act를 개정하거나 별도 입법으로 앱스토어와 결제 처리사를 포함하는 책임 체계를 구축해야 한다고 권고합니다.

TAKE IT DOWN Act 플랫폼 의무 전면 발효 현황과 DEFIANCE Act 하원 계류 — 2026년 9월 기준 법적 지형도

2026년 5월 19일, TAKE IT DOWN Act의 플랫폼 의무 조항이 FTC 집행 하에 전면 발효됐습니다. 2025년 5월 19일 트럼프 대통령 서명 이후 정확히 1년 만에 모든 적용 대상 플랫폼이 법적 의무를 이행해야 하는 상태가 됐습니다. TAKE IT DOWN Act가 플랫폼에 부과하는 의무는 세 가지입니다. 첫째, 비동의 친밀 이미지(NCII) — AI 생성 딥페이크 포함 — 신고를 접수할 수 있는 공식 신고 메커니즘 구축. 둘째, 유효한 신고를 접수한 후 48시간 이내 해당 콘텐츠 삭제. 셋째, 삭제된 콘텐츠의 복제본을 찾아 제거하기 위한 합리적 노력. 이를 위반하면 위반 건당 최대 $53,088의 FTC 민사 제재를 받을 수 있습니다. FTC는 2026년 5월 takeitdown.ftc.gov 포털을 출범시켜 피해자가 직접 플랫폼 위반을 신고할 수 있도록 했습니다. 이 법에 따른 플랫폼 의무는 인스타그램, 레딧, X(구 트위터), TikTok, YouTube와 같은 소셜미디어 플랫폼에 적용됩니다. 그러나 CLTC 보고서가 지적한 것처럼, 전용 NCII 플랫폼(예: 딥페이크 포르노 전용 사이트), 앱스토어, 결제 처리사, 검색엔진은 '인터랙티브 컴퓨터 서비스' 정의에 따라 이 의무에서 제외될 수 있어 법적 공백이 존재합니다. 실무적 관점에서 피해자가 알아야 할 점은 두 가지입니다. 우선 TAKE IT DOWN Act의 48시간 삭제 의무는 플랫폼에게 강제되는 것이지, 피해자가 직접 플랫폼에 신고하면 48시간 내 자동 삭제가 보장되는 게 아닙니다. FTC에 신고하면 FTC가 플랫폼에 의무를 이행하도록 압력을 넣는 구조입니다. 또한 이 법은 비동의 이미지를 게시하거나 협박하는 '개인'에 대한 형사 처벌도 규정하는데, 성인 이미지는 최대 징역 2년, 미성년자 이미지는 최대 징역 3년입니다.

DEFIANCE Act(Disrupt Explicit Forged Images and Non-Consensual Edits Act)는 2026년 1월 상원을 만장일치로 통과한 후 하원에 이송됐으나, 2026년 9월 현재 하원 표결이 이루어지지 않고 있습니다. Problem Solvers Caucus가 이 법안을 지지 표명했고, 일부 민주·공화 초당파 의원들이 공동 발의했지만, 하원 일정 조율과 정치적 우선순위 문제로 계류 중입니다. DEFIANCE Act가 법으로 확정될 경우 피해자에게 큰 변화가 생깁니다. 현재 대부분의 피해자는 TAKE IT DOWN Act에 의한 플랫폼 삭제 요청 또는 주법에 따른 민사 소송으로만 대응할 수 있습니다. DEFIANCE Act가 통과되면 미국 어느 주에 거주하는 피해자든 연방 법원에 민사 소송을 제기해 최소 $150,000(약 2억 원) 또는 실손해액 중 큰 금액을 청구할 수 있게 됩니다. 피해자가 성폭행, 스토킹, 괴롭힘과 연계된 딥페이크 이미지 피해를 당한 경우에는 최대 $250,000까지 청구 가능합니다. 또한 소멸시효는 10년으로, 피해자가 감정적으로 준비됐을 때 소송을 제기할 수 있는 충분한 시간이 주어집니다. 가명 소송(pseudonymous filing)도 허용됩니다. 현재 피해자가 활용할 수 있는 연방 차원의 민사 소송 경로는 아직 확립되지 않은 상태입니다. 그러나 48개 주가 이미 딥페이크 성적 이미지에 관한 주법을 시행 중이며, 각 주법에 따른 민사 소송은 현재도 가능합니다. 캘리포니아주는 피해자가 딥페이크 이미지 제작자와 유포자 모두를 상대로 민사 소송을 제기할 수 있으며, 손해배상 외에 법원 명령을 통한 삭제 명령도 받을 수 있습니다. 플로리다, 텍사스, 뉴욕 등도 각각 민사 소송 경로를 규정하고 있습니다. CLTC 보고서는 연방 DEFIANCE Act가 이러한 주법들을 대체하는 것이 아니라 보완하는 방식으로 작동해야 하며, 특히 주 경계를 넘는 딥페이크 유통 사건에서 연방 경로가 핵심이 될 것이라고 전망합니다.

CLTC 4개 레이어 프레임워크 기반 피해자 단계별 신고·구제 실전 가이드 2026

CLTC 보고서의 4개 레이어 분석을 활용하면, 피해자는 자신의 피해가 어느 레이어에서 발생했는지를 파악해 가장 효과적인 신고·구제 경로를 선택할 수 있습니다. 실제로 대부분의 피해는 여러 레이어가 중첩돼 발생하므로, 각 레이어에 동시에 대응하는 것이 가장 효과적입니다. 첫 번째, 인간 레이어 대응(가해자 개인 처벌)입니다. 딥페이크 이미지를 제작하거나 유포한 사람이 특정됐다면, 미국에서는 TAKE IT DOWN Act 위반으로 FTC에 신고하거나 해당 주법에 따라 검찰에 형사 고소할 수 있습니다. 한국 피해자는 성폭력처벌법 제14조의2(허위 영상물 편집·반포) 위반으로 경찰 사이버범죄수사대에 고소장을 제출하십시오. 영국 피해자는 2026년 2월 6일부터 딥페이크 제작 자체가 범죄이므로 경찰(101번 또는 Action Fraud 0300 123 2040)에 직접 신고할 수 있습니다. 두 번째, 유통 레이어 대응(플랫폼 신고 및 삭제)입니다. 현재 가장 빠른 구제 경로입니다. 이미지가 소셜미디어에 게시됐다면 각 플랫폼 신고 양식을 통해 즉시 신고합니다. 미국 플랫폼이라면 동시에 FTC TakeItDown 포털(takeitdown.ftc.gov)에 플랫폼 의무 위반도 신고하십시오. 이미지가 구글이나 빙 검색 결과에 노출된다면 구글 법적 삭제 요청(support.google.com/legal/troubleshooter)을 통해 디인덱싱을 요청합니다. StopNCII.org에 이미지 해시를 등록하면 17개 파트너 플랫폼에서 재업로드를 사전 차단할 수 있습니다. 성인 콘텐츠 전용 플랫폼의 경우, FTC에 신고하는 것 외에 해당 플랫폼의 결제 처리사(Visa나 Mastercard)에 직접 이의를 제기하는 방법도 효과적일 수 있습니다. 비록 현재 TAKE IT DOWN Act에 결제 처리사 의무 조항이 없지만, 카드사 자체 정책(예: Mastercard의 STOP THE TRAFFIK 협력 정책)을 근거로 이의를 제기한 사례가 있습니다. 세 번째, 제품 배포 레이어 대응(앱 신고)입니다. NCII 생성 앱이 Apple App Store 또는 Google Play에 등록돼 있다면, 각각 reportaproblem.apple.com 및 Google Play 고객 지원에 앱을 신고하십시오. 현재 앱스토어는 법적 의무는 없지만 자체 정책(앱스토어 가이드라인)에 따라 앱을 삭제할 수 있습니다. Apple은 'Apps that contain user-generated content or services that can be used for pornographic content' 관련 가이드라인을, Google Play는 'Sexually explicit content' 정책을 각각 적용합니다.

피해자 대응의 마지막 단계는 민사 구제와 장기적 모니터링입니다. 미국 피해자(주법 민사 소송): 48개 주에서 주법에 따른 민사 소송이 가능합니다. 캘리포니아, 뉴욕, 텍사스, 플로리다 등 주요 주에는 딥페이크 이미지 피해에 대한 민사 소송 규정이 있습니다. CCRI(Cyber Civil Rights Initiative, cybercivilrights.org, 844-878-2274)는 24시간 위기 지원을 제공하며 각 주 전문 변호사를 연결해 줍니다. 무료 법률 지원을 받으려면 OVC(범죄피해자지원국) 보조금 수혜 기관 목록(ovc.ojp.gov)을 확인하십시오. 한국 피해자(DSO·민사 병행): 디지털성범죄피해자지원센터(DSO, 02-735-8994, d4u.stop.or.kr)에 연락해 플랫폼 삭제 지원과 법률 자문을 무료로 받으세요. 형사 고소와 별개로 민사 손해배상 청구도 가능합니다. ICT법에 따른 5배 징벌적 손해배상 조항을 적극 활용하십시오. 영국 피해자(Revenge Porn Helpline): revengepornhelpline.org.uk 또는 0345 6000 459에 연락하면 플랫폼 삭제 요청 대행, 법률 안내, 심리 지원을 받을 수 있습니다. 장기 모니터링 도구로는 Google Alerts에 자신의 이름 또는 알려진 이미지 파일명을 설정하고, 역방향 이미지 검색(Google Images, TinEye)을 주기적으로 실행하며, StopNCII.org 계정을 유지하는 것이 권장됩니다. CLTC 보고서의 최종 권고는 피해자 개인의 신고 부담을 줄이는 방향으로 법적 생태계를 재설계해야 한다는 것입니다. 현재는 피해자가 각 레이어에 일일이 대응해야 하는 구조지만, 이상적인 시스템은 하나의 신고로 모든 레이어가 연쇄적으로 대응하는 원스톱(one-stop) 생태계입니다. 보고서 저자 Charlotte Yuan은 '법이 개인 가해자를 처벌하는 데 집중하는 동안, 딥페이크 생성 앱, 결제 인프라, 검색 인덱싱은 계속해서 피해를 확산시키고 있다'며 생태계 전체를 아우르는 입법의 시급성을 강조했습니다.

참고 자료 / References