딥페이크 피해자가 AI 개발사·플랫폼·유포자 3자 모두를 고소하는 법 — 2026년 다층 민사 책임 구조 완전 가이드

왜 가해자 한 명만 고소하면 부족한가 — 딥페이크 피해의 분산된 인과 사슬

전통적인 불법행위법(Tort Law)은 단 한 명의 식별 가능한 가해자를 상정합니다. 누군가가 당신을 때리면 그 사람이 피고가 됩니다. 그러나 딥페이크 피해는 완전히 다른 구조를 갖습니다. 피해자의 얼굴이 무단으로 딥페이크 성적 이미지에 합성되는 과정에는 ① 딥페이크 생성 AI 모델을 개발·배포한 회사, ② 그 모델을 사용해 실제 이미지를 만든 사람, ③ 해당 이미지를 서버에 저장하고 검색에 노출시킨 플랫폼, ④ 이를 다른 사이트나 메신저로 퍼뜨린 유포자들이 모두 관여합니다. 이 네 집단 중 어느 하나만 책임을 지는 구조에서는 실제 피해 회복이 충분하지 않습니다. 2026년 7월 Frontiers in Artificial Intelligence에 발표된 논문(DOI: 10.3389/frai.2026.1873975)은 이 문제를 정면으로 다룹니다. 저자는 '딥페이크 피해는 설계 선택, 사용자 행위, 플랫폼 증폭, 추가 재유포를 통해 분산된 인과 사슬에서 발생하며, 이 사슬에서 어떤 단일 참여자도 전체 과정을 통제하지 않는다'고 지적합니다. 이것이 바로 피해자가 단일 피고가 아닌 다층 피고를 상대로 소송을 제기해야 하는 이유입니다.

이 논문은 또한 기존 법 체계의 세 가지 구조적 문제를 지적합니다. 첫째, '비물질적 피해의 제한': 현행 불법행위법은 정신적 고통, 명예 훼손, 경력 손상 등 비재산적 피해를 자연인(개인)에게만 제한적으로 인정하는 경향이 있습니다. 딥페이크 피해의 핵심인 정신적 트라우마와 사회적 평판 손상은 이 제한 때문에 충분히 보상받지 못합니다. 둘째, '단일 가해자 가정': 전통 불법행위법은 단 한 명의 가해자가 피해를 일으킨다고 가정하지만, 딥페이크 피해는 알고리즘적 생산 사슬을 통해 복수의 행위자가 연루됩니다. 셋째, '알고리즘 인과성의 불투명성': AI 시스템이 어떤 경로로 피해를 유발했는지 증명하기 어렵습니다. 이 세 가지 장벽을 극복하기 위해 논문은 ① 플랫폼 운영자에게 알고리즘 시스템에 대한 '보관 책임(Custody-based Responsibility)'을 부과하고, ② 플랫폼이 관련 정보를 통제하는 경우 입증책임을 피해자에서 피고로 전환하는 '입증책임 전환(Burden-shifting)' 메커니즘을 도입하고, ③ 합성 미디어 시스템에 대한 강제 투명성 요건을 적용할 것을 권장합니다.

AI 개발사를 피고석에 앉히는 법 — Deepfake Liability Act와 Section 230 의무화

2025년 12월 1일, 미국 하원에서 Celeste Maloy(공화당, 유타) 의원과 Jake Auchincloss(민주당, 매사추세츠) 의원이 초당파적으로 Deepfake Liability Act(H.R.6334)를 발의했습니다. 이 법안의 핵심 조항은 플랫폼이 Section 230 면책 특권을 유지하려면 세 가지 구체적인 주의 의무(Duty of Care)를 이행해야 한다는 것입니다. 첫째, 사이버스토킹 및 딥페이크 남용을 방지하는 절차를 갖출 것. 둘째, 피해 신고를 접수하고 조사하는 명확하고 접근 가능한 절차를 마련할 것. 셋째, 해당 피해임을 알거나 알 수 있었던 정보를 삭제하는 절차를 갖출 것. 이 세 가지 요건을 충족하지 못한 플랫폼은 Section 230의 보호를 상실하고 직접 민사 소송의 대상이 됩니다. 더 중요한 것은 이 법안이 AI 생성 콘텐츠에 Section 230이 자동 적용되지 않는다는 점을 명시했다는 것입니다. '정보 콘텐츠 제공자(Information Content Provider)'의 정의를 생성형 모델의 사용을 통한 콘텐츠 창작·개발을 포함하도록 확장함으로써, 딥페이크 생성 AI 도구를 만든 개발사가 Section 230 방패 뒤에 숨는 것을 불가능하게 만듭니다.

노스캐롤라이나 법학 리뷰(NC Law Review) 2026년호(104 N.C. L. REV. 377)에 발표된 '딥페이크 책임(Deepfake Liability)' 논문도 AI 개발사에 대한 책임 이론을 구체화합니다. 이 논문은 누딩(nudifying) 앱과 같은 특수 목적 딥페이크 생성 도구를 만든 회사는 그 도구가 거의 확실하게 남용될 것임을 알면서도 배포했다는 점에서 '과실에 의한 제품 책임(Negligent Product Liability)' 이론의 적용이 가능하다고 주장합니다. 또한 이 도구들이 구체적으로 실제 사람의 이미지를 무단으로 성적 콘텐츠로 변환하도록 설계된 경우, 이는 단순히 중립적 기술을 제공한 것이 아니라 피해 발생에 능동적으로 기여한 것으로 볼 수 있습니다. 피해자 입장에서 핵심 전략은 소장(訴狀)에서 딥페이크 생성 도구의 설계 결함(Design Defect) 또는 경고 결함(Warning Defect)을 명시적으로 주장하고, 개발사가 이미지가 남용될 가능성을 인지했음을 입증하는 증거(마케팅 자료, 이용약관, 내부 문서 등)를 확보하는 것입니다.

영국의 선례 — 딥페이크 제작 자체를 형사 범죄로 처벌하는 Data Use and Access Act 2025

2026년 2월 6일, 영국에서 획기적인 법률이 발효됐습니다. Data Use and Access Act 2025가 성범죄법(Sexual Offences Act 2003)에 새로운 조항을 삽입해, 성인의 동의 없이 성적 노출 딥페이크 이미지를 '제작'하는 것 자체를 형사 범죄로 규정했습니다. 기존 법률(Online Safety Act 2023)은 딥페이크 이미지를 '유포'하거나 '유포하겠다고 위협'하는 행위를 처벌했지만, 제작 단계에는 손을 뻗지 못했습니다. 새 법은 이 공백을 메웁니다. 피해자 입장에서 이것이 중요한 이유는, 이제 딥페이크가 한 번도 공개되지 않더라도 그것을 만든 것 자체로 가해자를 처벌할 수 있게 됐기 때문입니다. 피해 사실을 알게 된 시점에서 딥페이크가 아직 자신에게만 보내진 상태라도, 가해자에 대한 형사 고소가 가능합니다. 영국에서 딥페이크 피해를 입은 경우 영국 경찰(Action Fraud: 0300 123 2040) 또는 인터넷 감시 재단(IWF)에 신고할 수 있습니다. 플랫폼은 Ofcom의 Online Safety Act 집행에 따라 최대 1,800만 파운드 또는 전 세계 매출의 10%(둘 중 큰 금액)의 벌금을 부과받을 수 있습니다. 영국 법은 현재 국제 딥페이크 법제의 가장 선진적인 모델로 평가받으며, 한국·미국·EU 입법자들이 벤치마킹하고 있습니다.

다층 민사소송 실전 가이드 — 피해자가 지금 당장 해야 할 5단계

1단계: 증거 보전 — 다층 소송의 가장 중요한 준비. 딥페이크 이미지가 있는 모든 URL, 스크린샷, 해당 이미지가 게시된 페이지의 전체 화면을 즉시 저장하십시오. URL에는 타임스탬프 정보가 포함되어 있어 이미지 게시 일시를 증명하는 데 필수적입니다. web.archive.org에서 해당 페이지를 저장(Save Page Now)하면 삭제 이후에도 증거를 보전할 수 있습니다. 가해자 계정의 사용자명, 프로필 정보, DM 내용도 스크린샷으로 확보하십시오. 이미지를 생성하는 데 사용된 앱이나 서비스를 알 수 있다면(이미지에 워터마크가 있거나 가해자가 언급했다면), 해당 앱의 이름과 URL을 기록하십시오. 이것이 AI 개발사를 피고에 포함시킬 때 핵심 증거가 됩니다. 2단계: 어떤 앱·플랫폼이 관여했는지 파악하기. 딥페이크 이미지에 워터마크가 있다면 어떤 서비스로 만들었는지 확인할 수 있습니다. 예를 들어 'FaceSwap', 'DeepNude' 유형의 앱이나 텔레그램 봇이 이용됐다면, 해당 서비스 개발사를 법적 검토 대상에 포함시킬 수 있습니다. 이미지가 게시된 플랫폼(예: X/트위터, 레딧, 텔레그램 채널, 포르노 사이트 등)을 모두 목록으로 작성하십시오. 각 플랫폼에 동일한 삭제 요청을 보내고, 48시간 내 미삭제 시 FTC(ftc.gov/complaint)에 신고하십시오.

3단계: 변호사 선임과 피고 목록 작성. 딥페이크 피해에 특화된 변호사를 찾을 때는 'Image-Based Sexual Abuse', 'Non-Consensual Intimate Images', 'AI Liability' 분야 경험이 있는 변호사를 찾아야 합니다. 비용이 부담된다면 Cyber Civil Rights Initiative(cybercivilrights.org)와 CCRI의 Crisis Line(844-878-2274)을 통해 무료 법률 자문을 받을 수 있습니다. 피고 목록은 가능한 한 광범위하게 작성하십시오. ① 딥페이크를 직접 만든 개인(가해자), ② 이미지를 유포한 모든 개인(2차 유포자), ③ 이미지를 호스팅하고 신고 후 48시간 내 삭제하지 않은 플랫폼, ④ 딥페이크 생성에 사용된 앱이나 도구의 개발사. 가해자의 신원을 아직 모른다면 'John Doe 소송'을 제기한 뒤, 법원의 소환장을 통해 플랫폼으로부터 IP 주소와 계정 정보를 확보하십시오. 4단계: StopNCII.org 해시 등록으로 재유포 사전 차단. 딥페이크 이미지가 삭제된 이후에도 다른 경로로 재유포될 수 있습니다. StopNCII.org에서 이미지의 디지털 해시값을 생성하면 Facebook, Instagram, TikTok, Pornhub 등 20개 이상의 파트너 플랫폼에서 동일 이미지의 재업로드를 자동으로 차단할 수 있습니다. 실제 이미지를 업로드하지 않으므로 개인정보 유출 위험이 없습니다. 5단계: 소멸시효 관리와 장기 증거 보관. 미국의 DEFIANCE Act가 통과될 경우 소멸시효는 10년이며, 영국 법은 일반적으로 6년의 민사 소멸시효가 적용됩니다. 한국의 성폭력범죄처벌특례법 관련 손해배상 청구는 손해 및 가해자를 알게 된 날로부터 3년 이내 제기해야 합니다. 증거 파일은 반드시 암호화된 외장 드라이브와 클라우드 스토리지 두 곳에 백업하고, 날짜별로 정리하십시오.

한국 피해자를 위한 다층 책임 추궁 — 한국법과 국제법의 병행 활용

한국 피해자가 해외 플랫폼이나 해외 서버에서 운영되는 딥페이크 생성 서비스의 피해를 입은 경우, 한국법과 미국·영국법을 동시에 활용하는 복합 전략이 효과적입니다. 한국 형사법 측면에서는 성폭력범죄의 처벌 등에 관한 특례법 제14조의2에 따라 딥페이크 성적 이미지의 편집·반포는 5년 이하 징역 또는 5천만 원 이하 벌금, 유포 목적 제작·소지는 7년 이하 징역으로 처벌됩니다. 2024년 개정으로 단순 시청·소지도 1년 이하 징역 또는 1천만 원 이하 벌금에 처해집니다. 한국 민사법 측면에서는 국제사법(國際私法) 제32조에 따라 불법행위로 인한 손해배상은 그 행위가 행해진 곳의 법 또는 피해 결과가 발생한 곳의 법을 선택적으로 적용받을 수 있습니다. 즉, 딥페이크 이미지가 미국 서버에서 만들어졌더라도 피해자가 한국에 거주하고 피해가 한국에서 발생했다면 한국 법원에 소를 제기하고 한국법을 적용받을 수 있습니다. 지원 기관: 디지털성범죄피해자지원센터(02-735-8994, d4u.stop.or.kr)에서 딥페이크 이미지 삭제 지원, 법률 자문, 심리 상담을 무료로 받을 수 있습니다. 경찰청 사이버수사국 182번으로 신고하면 국제 공조 수사를 통해 해외 서버에 있는 딥페이크도 수사 요청이 가능합니다. 방송통신심의위원회(129, clean.kocsc.or.kr)를 통해 해외 플랫폼에 게시된 딥페이크 이미지에 대한 삭제 심의 요청이 가능하며, 방심위는 구글·메타·트위터 등 주요 해외 플랫폼과 핫라인 협약을 통해 직접 삭제를 요청합니다.