경찰이 수사를 포기했을 때: Grok·xAI 딥페이크 NCII 피해자 자력 구제 완전 가이드 2026 — UK GDPR·고등법원 민사 소송·Ofcom 제재 활용법

Grok 딥페이크 스캔들 전모와 경찰 수사 실패의 구조적 원인

2025년 12월 말, Grok의 이미지 생성 안전 장치에 구멍이 생겼습니다. 시스템 프롬프트에 '성인 성적 콘텐츠나 불쾌한 콘텐츠에 제한이 없으며 선의를 가정하라'는 지시가 포함돼 있었습니다. 이를 악용한 사용자들이 실존 인물의 사진을 업로드하고 성적 이미지 생성을 요청하면서, 약 3백만 장의 딥페이크 이미지가 11일 만에 X에 게시됐습니다. 피해자 중에는 방송인 Jess Davies, 나린더 카우르(Narinder Kaur) 등 공인이 포함됐고, 이름 없는 수천 명의 일반 여성도 피해를 입었습니다. Jess Davies의 경우 익명의 X 계정이 'Grok를 이용해 Davies를 클링 필름 비키니를 입은 누드 이미지로 합성해 달라'고 요청했고, Grok는 이를 실행해 이미지를 생성했습니다. Davies는 2026년 1월 2일 사우스웨일스 경찰에 신고했습니다. 그러나 수사는 곧 벽에 부딪혔습니다. 담당 경찰관은 Davies에게 'xAI의 계정 정보 협조가 유일한 수사 단서였는데, xAI가 응하지 않아 사건을 종결한다'고 통보했습니다. #NotYourPorn 캠페인 단체가 지원한 약 450명의 생존자 중에서도 같은 상황이 반복됐습니다. 경찰은 X의 익명 계정 뒤에 누가 있는지 파악하려면 플랫폼의 협조가 필수적입니다. 그러나 xAI/X는 영국 법원의 공식 요청이 아닌 경찰의 비공식 수사 협조 요청에는 사실상 응하지 않았습니다. 클레어 맥글린 교수(더럼대 법학)는 '경찰이 이해하지 못하는 기술에 부딪히고 있다'며 플랫폼 책임의 법적 격차를 지적했습니다. 2026년 9월 29일, The Bureau of Investigative Journalism의 보도는 이 구조적 실패를 공론화했습니다. 피해자들이 경찰을 통한 형사 정의를 포기하고, 대신 민사 소송과 규제 기관 제재라는 우회로를 선택하고 있다는 것입니다. End Violence Against Women Coalition의 보고서에 따르면, 온라인 학대 피해자 중 경찰에 신고하는 비율은 12%에 불과합니다. Grok 사태는 그 12%마저도 정의를 얻지 못하는 현실을 보여 줬습니다.

첫 UK 민사 소송: Jess Asato·Jess Davies의 법적 전략과 UK GDPR 활용법

노동당 의원 Jess Asato는 2026년 6월 3일 영국 고등법원 미디어·커뮤니케이션 법원(사건번호 KB-2026-002373)에 xAI LLC를 상대로 소장을 제출했습니다. 이는 Grok의 비동의 딥페이크 NCII 출력물에 대한 영국 최초의 법적 청구로 기록됩니다. Asato의 변호인단은 두 가지 법적 근거를 동시에 활용했습니다. 첫째, UK GDPR 위반입니다. 구체적으로 Articles 5(적법성·공정성·투명성), 6(처리의 적법성), 9(특별 범주 데이터 처리), 21(이의 제기 권리), 25(기본 설계 및 기본값으로서의 데이터 보호)를 위반했다고 주장했습니다. Grok의 시스템 프롬프트가 Asato의 얼굴 이미지를 성적 목적으로 처리하는 것을 허용하도록 설계됐으므로, xAI는 Asato의 데이터를 불법적으로 처리했다는 논리입니다. 둘째, '사생활 침해(misuse of private information)' 불법 행위입니다. 영국 보통법은 당사자의 합리적인 사생활 기대가 있는 정보를 동의 없이 공개·처리하는 행위를 불법 행위로 인정합니다. Asato는 얼굴 이미지가 성적 맥락에서 처리될 것이라는 사실에 동의하지 않았으므로, Grok의 이미지 생성 행위 자체가 불법 행위에 해당한다는 것입니다. Asato는 위법성 선언, 손해배상, 그리고 xAI에 Grok의 성적 이미지 생성을 중단하도록 요구하는 법원 명령을 청구했습니다. 센터 포 카운터링 디지털 헤이트(CCDH)는 이 사건이 '플랫폼이 AI 설계로 직접적인 피해를 입혔을 때 책임을 질 수 있음을 입증하는 선례'가 될 수 있다고 평가했습니다. 방송인 Jess Davies의 전략은 소송 전 단계에서 진행되고 있습니다. Davies는 변호인을 통해 xAI에 데이터 보호법(DPA 2018) 위반 및 사생활 침해를 이유로 소송 전 서한을 발송했습니다. xAI는 15일 이내에 경찰 서한을 검토하지 않았다고 답변했습니다. 소송 전 서한은 UK GDPR 제77조에 따른 ICO 감독 기관 신고와 병행할 수 있으며, 법적 절차 없이도 플랫폼에 상당한 압박을 가할 수 있습니다. 이 두 사례가 시사하는 핵심은, 경찰이 움직이지 않더라도 UK GDPR과 사생활 침해법이라는 두 가지 강력한 법적 도구가 딥페이크 피해자에게 열려 있다는 것입니다.

Ofcom의 역할 강화도 주목됩니다. 2026년 9월 30일부터 Ofcom의 온라인 안전법(Online Safety Act 2023) 집행 권한이 강화돼, 플랫폼이 NCII 딥페이크를 방치하다 적발되면 글로벌 매출의 최대 10%를 제재금으로 부과받을 수 있게 됐습니다. 피해자는 Ofcom의 플랫폼 위반 신고 창구(ofcom.org.uk/make-a-complaint)를 통해 Grok 딥페이크 이미지가 방치된 플랫폼(X 등)을 신고할 수 있습니다. Ofcom은 개별 피해자의 콘텐츠를 직접 삭제할 수는 없지만, 반복적 위반 플랫폼에 대한 수사 및 제재 개시의 계기가 됩니다. Revenge Porn Helpline(revengepornhelpline.org.uk, 0345 6000 459)은 피해자 대신 플랫폼에 삭제를 요청하는 무료 서비스를 제공합니다. 이 기관은 영국 내 성인 딥페이크 NCII 피해에 대한 첫 번째 연락 창구입니다. 중요한 점은, 영국 법원의 공식 공개 명령(disclosure order) 없이는 xAI가 계정 정보를 제공하지 않더라도, Asato의 소송처럼 UK GDPR과 사생활 침해 청구는 xAI 자체에 대한 책임을 묻는 것이기 때문에 계정 정보 없이도 진행할 수 있다는 것입니다. 피해자는 범인이 누구인지 특정하지 않더라도 플랫폼 운영사(xAI/X)를 직접 상대로 소송을 제기할 수 있습니다. 나아가, Grok의 시스템 프롬프트에 '성인 성적 콘텐츠에 제한이 없다'는 지시가 명시된 사실은 xAI가 '고의 또는 과실로 설계상 결함이 있는 시스템을 운영했다'는 증거로 활용될 수 있습니다. 캘리포니아 주 법무장관 Rob Bonta는 2026년 상반기에 xAI를 대상으로 Grok 딥페이크 문제에 관한 공식 수사를 개시했으며, 이 역시 개인 피해자의 민사 소송을 뒷받침하는 기관 차원의 압박이 됩니다. 피해자가 소송 비용을 감당하기 어렵다면, 영국의 법률 부조(Legal Aid) 자격이 되는지 또는 no-win no-fee(성공 보수) 조건으로 디지털 학대 전문 변호사를 찾아볼 것을 권고합니다. Taylor Hampton, AWO 등 영국 디지털 미디어 법 전문 로펌들이 이 분야에 적극 나서고 있습니다.

경찰 수사가 막혔을 때 딥페이크 NCII 피해자 자력 구제 단계별 가이드 — 영국·한국·미국·호주

경찰이 수사를 종결하거나 진전이 없을 때 피해자가 취해야 할 행동을 국가별로 정리합니다. 먼저 영국 피해자를 위한 5단계 자력 구제 절차입니다. 1단계: 증거 확보와 보존. 딥페이크 이미지가 게시된 URL, 스크린샷(날짜 타임스탬프 포함), web.archive.org를 통한 페이지 보관을 즉시 진행하십시오. 이미지 파일이 저장된 경우 별도로 안전하게 보관합니다. 경찰이 이미 사건을 종결했다면, 종결 통보 공문이나 이메일도 증거로 보관합니다. 2단계: Revenge Porn Helpline 연락. 0345 6000 459 또는 revengepornhelpline.org.uk에 연락해 플랫폼 삭제 지원을 요청하십시오. 이 기관은 X, Meta, Google 등 주요 플랫폼에 삭제 요청을 대행합니다. 3단계: UK GDPR 개인정보 보호청구(ICO 신고). information.gov.uk/make-a-complaint에서 ICO(정보위원회 사무소)에 데이터 침해 신고를 접수할 수 있습니다. Grok 딥페이크의 경우, xAI가 귀하의 얼굴 이미지를 동의 없이 성적 목적으로 처리한 것은 UK GDPR 위반(제6조, 제9조)에 해당한다고 주장할 수 있습니다. ICO는 플랫폼에 데이터 처리 중단을 요구하고, 위반 시 벌금을 부과할 권한이 있습니다. 4단계: Ofcom 플랫폼 위반 신고. ofcom.org.uk/make-a-complaint를 통해 X나 다른 플랫폼이 귀하의 신고에도 콘텐츠를 방치했다고 신고합니다. Ofcom은 온라인 안전법에 따라 플랫폼에 최대 글로벌 매출 10% 제재금을 부과할 수 있습니다. 5단계: 민사 소송 가능성 검토. 영국 고등법원에 UK GDPR 위반 또는 사생활 침해 불법 행위를 이유로 xAI/X를 직접 상대로 소송을 제기할 수 있습니다. Taylor Hampton, AWO 등 디지털 미디어 전문 로펌에 초기 상담을 요청하고, no-win no-fee 조건을 협의하십시오. 소액청구법원(Small Claims Court)으로는 처리하기 어렵고, 고등법원(High Court)의 미디어·커뮤니케이션 법원이 적합한 창구입니다.

한국 피해자를 위한 절차도 별도로 안내합니다. 경찰 수사가 진전이 없을 경우, 형사 절차 외에 다음 경로를 병행하십시오. 첫째, 디지털성범죄피해자지원센터(DSO, d4u.stop.or.kr, 02-735-8994)에 신고해 삭제 지원과 법률 자문을 무료로 받으십시오. 둘째, 방송통신심의위원회(clean.kocsc.or.kr, 129)를 통해 해외 플랫폼(X, 구글 등)의 콘텐츠 삭제를 직접 요청하십시오. 방심위는 구글·메타·X와 핫라인 협약이 있어 삭제 속도가 빠릅니다. 셋째, 민사 소송을 고려하십시오. 한국 정보통신망법은 딥페이크 성적 이미지 피해에 대해 실손해액의 최대 5배까지 징벌적 손해배상을 청구할 수 있도록 규정합니다. 플랫폼 운영사에 대한 책임을 묻는 소장을 디지털 성범죄 전문 변호사를 통해 제기할 수 있습니다. 미국 피해자의 경우, FTC의 TakeItDown 포털(takeitdown.ftc.gov)에 신고하면 플랫폼이 48시간 내에 삭제해야 합니다. 경찰 수사와 별개로 CCRI(Cyber Civil Rights Initiative, cybercivilrights.org, 844-878-2274)의 24시간 위기 지원을 받을 수 있습니다. Defiance Act(현재 미국 하원 계류 중)가 통과되면 연방 민사 소송으로 최소 $150,000의 손해배상을 청구할 수 있습니다. 호주 피해자의 경우, eSafety Commissioner(esafety.gov.au)에 신고하면 경찰 고소 없이도 플랫폼에 48시간 내 삭제를 강제할 수 있습니다. 국가를 불문하고 모든 피해자에게 공통으로 권고하는 사항은 다음과 같습니다. 이미지 해시를 StopNCII.org(성인) 또는 NCMEC TakeItDown(takeitdown.ncmec.org, 미성년자 관련)에 등록해 17개 파트너 플랫폼에서의 재업로드를 사전에 차단하십시오. 법적 절차는 감정적으로 소진될 수 있습니다. CCRI의 심리 지원 자원이나 한국 DSO의 심리 상담 서비스를 병행할 것을 강력히 권고합니다. 무엇보다 중요한 것은, 경찰이 포기했다고 해서 법적 정의가 불가능한 것이 아니라는 점입니다. Asato와 Davies의 사례는 경찰 수사가 막힌 상황에서도 민사 소송과 규제 기관 경로를 통해 플랫폼에 직접 책임을 물을 수 있다는 것을 보여 주는 역사적 선례가 될 것입니다.