영국, 누디파이 앱 '공급 자체' 범죄화 — 딥페이크 3중 입법 완성: 생성·요청·도구, 이제 모두 불법

3중 입법의 첫 번째 층 — Data (Use and Access) Act 2025 제138조: 생성·요청을 범죄화

영국 딥페이크 규제의 첫 번째 층은 2026년 2월 6일 발효된 Data (Use and Access) Act 2025 제138조입니다. 이 조항은 동의 없이 AI가 생성한 성적 친밀 이미지를 '생성'하거나 그 생성을 '요청'하는 행위를 형사범죄로 규정합니다. 혁명적인 점은 이미지가 실제로 만들어지지 않았더라도 요청 행위 자체만으로 범죄가 성립한다는 것입니다. 기존 법체계에서는 결과물이 유포되거나 피해가 현실화돼야 처벌이 가능했지만, 이 조항은 가해 의도의 표현 단계에서 이미 개입합니다. 유죄 판결 시 최대 징역 2년이 부과되며, 이미지가 실제로 생성·유포된 경우 가중처벌이 적용될 수 있습니다.

Ofcom은 이와 연동해 플랫폼 의무를 강화했습니다. Online Safety Act 2023 하에서 소셜미디어 플랫폼은 비동의 친밀 이미지를 '우선 범죄(priority offence)'로 취급해야 하며, 통보를 받은 후 신속히 삭제해야 합니다. 규정 위반 시 Ofcom은 플랫폼에 전 세계 연간 매출의 10% 또는 1,800만 파운드 중 높은 금액을 과징금으로 부과할 수 있습니다. 기술기업이 Ofcom의 삭제 명령을 이행하지 않으면 법원은 영국 내 플랫폼 접속 자체를 차단하는 명령도 내릴 수 있습니다. 이는 영국 정부가 플랫폼을 단순 수동적 매체가 아닌 콘텐츠 생태계의 능동적 책임자로 규정하는 방향임을 보여줍니다.

3중 입법의 두 번째 층 — 수정안 255: 누디파이 도구 '공급자'를 직접 처벌

2026년 4월 14일 하원에서 통과되고 16일 상원이 동의한 Crime and Policing Bill 수정안 255는 AI 누디파이 도구의 '제조(making)', '수정(adapting)', '공급(supplying)' 행위를 직접 범죄화합니다. 기존 법체계에서는 누디파이 앱을 이용해 이미지를 만들거나 유포한 '사용자'만 처벌할 수 있었습니다. 그러나 수정안 255는 그 도구 자체를 만들고 공급하는 개발사와 유통사를 형사처벌의 대상으로 삼습니다. 이는 마치 위조지폐를 찍는 기계를 제조·판매하는 행위를 처벌하는 것과 같은 논리 — 해악의 근원을 차단하는 접근입니다. 수십만 명의 피해자를 만들어낸 앱을 운영하는 기업이 '우리는 도구를 제공했을 뿐'이라는 논리로 책임을 피할 수 없게 된 것입니다.

수정안 255가 발효되면 Online Safety Act 2023의 연쇄 의무가 즉각 작동합니다. 소셜미디어 플랫폼은 누디파이 도구를 공급하는 콘텐츠를 탐지·삭제할 의무를 지게 되며, 구글·빙 같은 검색엔진은 해당 도구로 연결되는 검색 결과의 가시성을 낮춰야 합니다. 사실상 누디파이 앱은 영국 내 인터넷 생태계에서 퇴출 압력을 받게 되는 것입니다. 영국 아동위원장(Children's Commissioner)은 이 법이 성인 보호에도 중요하지만, 아동 누디파이 앱에 대해서는 더 강력한 조치가 필요하다고 촉구했습니다. 특히 학교 현장에서 급증하는 동급생 간 딥페이크 생성 사례에 대응하기 위해 교육 과정 연계 방지 프로그램도 동반돼야 한다고 강조했습니다.

3중 입법의 세 번째 층 — 수정안 367: Grok 같은 AI 챗봇, Ofcom 제재망 안으로

수정안 367은 기존 Online Safety Act 2023의 규제 공백을 메웁니다. OSA 2023은 기본적으로 소셜미디어 플랫폼과 검색 서비스를 대상으로 설계됐으며, xAI의 Grok처럼 독립적으로 운영되는 AI 챗봇은 적용 범위에서 빠져 있었습니다. 2025년 하반기 Grok이 비동의 성적 이미지를 생성하는 데 활용된다는 보고가 잇따르면서 Ofcom이 조사에 착수했지만, 법적 근거 부족으로 직접 제재를 내리기 어려웠습니다. 수정안 367은 정부에 규제 명령권을 부여해 미규제 AI 챗봇을 OSA 적용 대상으로 지정할 수 있도록 했습니다. 이 권한이 행사되면 해당 챗봇은 비동의 친밀 이미지를 능동적으로 탐지·차단해야 하며, 그렇지 않으면 Ofcom의 직접 제재(글로벌 매출 10% 과징금)를 받게 됩니다.

영국 정부는 수정안 367 시행 후 2026년 말까지 챗봇 규제 명령의 구체적 진행 상황을 의회에 보고하겠다고 약속했습니다. 이는 즉각적인 규제 발동보다는 단계적 접근을 의미하지만, 법적 근거가 이미 마련된 만큼 Ofcom이 필요시 신속히 규제망에 포함시킬 수 있습니다. 업계에서는 ChatGPT, Gemini, Claude 같은 주요 AI 챗봇들이 이미 비동의 이미지 생성 차단 정책을 운영 중이어서 영향이 크지 않을 수 있지만, Grok처럼 보다 느슨한 정책을 유지하는 서비스에는 영국 시장 접근 자체가 위협받을 수 있다는 분석이 나옵니다.

추가 입법 패키지 — 기술기업 임원 개인책임과 £10억 투자

영국 정부는 4월 10일 딥페이크 관련 추가 법 개정안도 발표했습니다. 핵심은 기술기업 임원의 개인책임 조항입니다. Ofcom이 비동의 친밀 이미지 삭제 명령을 내렸는데도 플랫폼이 이를 이행하지 않으면, 해당 플랫폼의 고위 임원이 개인적으로 구금형 또는 벌금형(혹은 둘 다)을 받을 수 있습니다. 이는 '회사가 이행 못 했다'는 이유로 임원이 책임을 면하던 구조를 완전히 바꾸는 조항입니다. 또한 성인이 아동을 연기하는 포르노그래피 최대 징역 3년, 의붓·양육 관계를 포함하는 근친 포르노 최대 5년 등 관련 콘텐츠 규제도 강화됐습니다. 이 같은 조치는 영국 독립 포르노 리뷰(Baroness Bertin 보고서)의 권고에 따른 것입니다.

재정적 지원도 병행됩니다. 영국 정부는 딥페이크·NCII 피해 대응을 포함한 여성과 소녀 대상 폭력 근절 10개년 전략의 일환으로 총 £10억(한화 약 1조 8,000억 원)을 투자한다고 밝혔습니다. 이 중 £5억 5,000만은 피해자 서비스에, 나머지는 예방 교육과 기술 개발에 배분됩니다. 특히 StopNCII.org와 연계해 피해 이미지의 디지털 지문(해시) 등록·자동 차단 시스템 강화에 예산이 투입됩니다. 영국 정부는 "딥페이크 성착취물로 인한 여성·소녀의 피해를 10년 내 절반으로 줄이겠다"는 목표를 공식화했으며, 이 수치는 Ofcom의 연간 보고서를 통해 공개 추적될 예정입니다.

글로벌 비교 — 영국의 3중 규제는 어디에 위치하는가

• 호주 NSW (2026년 2월 16일 발효): 생성 행위 자체 최대 3년 징역, 남호주는 최대 4년. 그러나 도구 공급자 직접 처벌 조항은 아직 없음. 연방 'My Face, My Rights' 법안 추진 중.
• 미국 (Take It Down Act, 2026년 4월 발효): 플랫폼 48시간 삭제 의무 + FTC 집행. 생성 자체에 대한 연방 형사처벌은 없으며 주법별로 상이함. 도구 공급자 처벌 규정 없음.
• 영국 (3중 입법 2026년 완성): 생성·요청 범죄화 (최대 2년) + 도구 공급 범죄화 + AI 챗봇 Ofcom 제재망 포함 + 임원 개인책임. 세계에서 가장 포괄적인 딥페이크 공급망 규제.
• 한국 (성폭력처벌법 등): 딥페이크 성착취물 제작·유포 최대 징역 5년, 영리 목적 7년. 아동·청소년 합성물 제작 최대 5년. 도구 공급자 직접 처벌 조항 미비. 위장수사 허용으로 수사 역량 강화.

결론 — '공급망 규제'로의 전환, 한국 입법에 주는 시사점

영국의 3중 입법이 세계적으로 주목받는 이유는 딥페이크 규제의 패러다임 전환을 의미하기 때문입니다. 기존 대부분의 국가 법제는 '사용자 처벌' — 즉 이미지를 만들거나 유포한 개인을 잡아 처벌하는 데 집중했습니다. 영국은 여기서 한 발 더 나아가 '공급망 규제(supply chain regulation)'로 이동했습니다. 이미지를 만드는 도구를 공급하는 자, 그 도구의 존재를 검색엔진으로 노출시키는 자, 도구가 유통되는 플랫폼, 그리고 규제 명령을 이행하지 않는 임원까지 — 딥페이크 생태계의 모든 고리를 법적 책임 하에 두는 것입니다. 이 접근은 이미 성공적 선례가 있습니다. 영국이 아동 성착취물 유통 사이트에 대해 인터넷 서비스 제공자(ISP) 차단 명령을 발동한 결과, 영국 내 접근이 99% 이상 차단됐습니다. 누디파이 도구에도 유사한 생태계 봉쇄가 가능한지 주목됩니다.

한국 입법에 주는 시사점은 세 가지입니다. 첫째, 도구 공급자 처벌 규정이 필요합니다. 현행 성폭력처벌법은 딥페이크 성착취물의 제작·유포자를 처벌하지만, 이를 가능케 하는 앱을 공급하는 회사는 처벌 대상이 아닙니다. 영국 수정안 255를 참고한 공급자 처벌 규정 도입이 검토돼야 합니다. 둘째, AI 챗봇 규제 근거가 필요합니다. 한국의 정보통신망법과 성폭력처벌법은 플랫폼을 주요 대상으로 하며, 독립 AI 챗봇 서비스는 규제 공백에 놓일 수 있습니다. 영국 수정안 367과 같이 방통위·과기부가 AI 챗봇을 규제 대상으로 지정할 수 있는 포괄 권한 조항이 필요합니다. 셋째, 임원 개인책임 조항이 실효성을 높입니다. 현행 한국법은 회사에 과태료를 부과하지만, 임원 개인의 형사책임이 수반되지 않아 플랫폼이 삭제 의무를 소홀히 하는 유인이 있습니다. 영국처럼 개인책임 조항을 도입하면 플랫폼의 자발적 이행 의지가 높아질 것입니다. 딥페이크 피해는 국경을 초월하지만, 법 집행은 여전히 국경 안에 갇혀 있습니다. 영국의 3중 입법이 그 벽을 얼마나 높일 수 있는지, 국제 사회는 주목하고 있습니다.