인도 IT 규칙 2026 — 딥페이크 3시간 삭제·합성미디어 전 구간 라벨 의무: 플랫폼 자율규제를 넘는 세계 최강 규제의 탄생

합성생성정보(SGI)란 무엇인가 — 인도식 정의와 적용 범위

인도 IT 규칙 2026이 도입한 핵심 개념은 '합성생성정보(SGI·Synthetically Generated Information)'입니다. 규칙은 이를 '컴퓨터 자원을 사용하여 인공적 또는 알고리즘적으로 생성·수정·변형된 것으로서, 실제인 것처럼 합리적으로 보이지만 실제로는 사람이나 사건을 허구적으로 묘사하는 오디오, 영상 또는 오디오-영상 정보'로 정의합니다. 즉, 딥페이크 영상·AI 변형 이미지·음성 복제(Voice Cloning)·페이스스왑이 모두 포함됩니다. 중요한 예외는 AI가 생성한 텍스트입니다. 텍스트 콘텐츠는 SGI 정의에서 명시적으로 제외됩니다. 이는 EU AI 법이 텍스트 기반 AI 시스템에도 투명성 의무를 부과하는 것과 다른 접근입니다. 또한 '일상적인 편집, 선의의 문서 작성, 콘텐츠를 실질적으로 변형하지 않는 접근성 개선'은 SGI 규정의 적용을 받지 않습니다. 예컨대 자막 자동 번역, 노이즈 제거, 밝기 조정 수준의 편집은 SGI에 해당하지 않습니다. 이 정의는 중요한 함의를 갖습니다. '합리적으로 실제처럼 보이는(appears reasonably authentic)' 기준을 충족하면, 제작 의도와 관계없이 SGI로 분류됩니다. 즉, 영화 특수효과, 뉴스 재연, 광고의 AI 생성 모델 이미지도 이 기준에 해당될 수 있습니다. MeitY는 SGI의 구체적 적용 범위를 아직 세부 가이드라인으로 명확히 하지 않아 업계의 법적 불확실성이 높은 상황입니다.

SGI의 적용 주체도 광범위합니다. 인도 시장에서 서비스를 운영하는 모든 중개자(intermediary)가 대상이며, 여기에는 소셜미디어 플랫폼, 동영상 공유 사이트, 메시징 서비스, 호스팅 사업자, AI 도구 제공자가 포함됩니다. 특히 '상당한 소셜미디어 중개자(SSMIs·Significant Social Media Intermediaries)'에게는 추가 의무가 부과됩니다. 인도에서의 기준은 등록 사용자 5백만 명 이상으로, Meta(Facebook·Instagram·WhatsApp), Google(YouTube), X(구 트위터), Telegram, ShareChat 등이 모두 SSMI에 해당합니다. 주목할 점은 인도에 법인을 두지 않은 외국 플랫폼도 인도 사용자에게 서비스를 제공하면 의무를 부담한다는 것입니다. 이는 디지털 주권(Digital Sovereignty) 관점에서 규제의 역외 적용(Extraterritorial Application)을 선언한 것으로, 국경을 초월하는 AI 생성 콘텐츠 규제의 새로운 선례를 만들었습니다.

핵심 의무 1 — 전 구간 가시적 라벨과 영구 메타데이터

IT 규칙 2026의 첫 번째 핵심 의무는 라벨링입니다. 규칙은 SGI 콘텐츠에 '콘텐츠 전 구간 동안 지속적이고 명확하게 가시적인 라벨(continuous and clearly visible display of label throughout the duration of the content)'을 표시할 것을 요구합니다. 이는 단순히 업로드 시 한 번의 경고 화면이나 하단의 작은 워터마크로는 충족되지 않습니다. 10분짜리 딥페이크 영상이라면, 처음 1초부터 마지막 1초까지 전 구간에 걸쳐 'AI 생성 콘텐츠' 또는 이에 상응하는 표시가 화면에 유지되어야 합니다. 시각적 SGI는 시각적 라벨로, 오디오 SGI는 오디오 공지로 각각 표시되어야 합니다. 즉, AI가 생성한 음성 클론이 포함된 팟캐스트라면 청각적으로도 'AI 생성 목소리'임을 알려야 합니다. 더 나아가 SSMIs는 콘텐츠에 C2PA(Coalition for Content Provenance and Authenticity) 매니페스트나 이에 상응하는 프로토콜을 이용해 영구 삭제 불가능한 메타데이터를 삽입해야 합니다. 이 메타데이터에는 해당 콘텐츠를 원래 플랫폼까지 역추적할 수 있는 고유 식별자가 포함됩니다. 즉, 누가 언제 어느 플랫폼에서 업로드했는지 제거할 수 없는 디지털 지문이 심어지는 것입니다. 또한 SSMIs는 콘텐츠 업로더로부터 'SGI 여부 또는 합법적 지위에 관한 신고(user declarations)'를 수집하고, 이를 검증하거나 감사해야 합니다. 플랫폼이 신고를 형식적으로 수집하기만 하고 검증하지 않으면 의무 위반이 됩니다.

핵심 의무 2 — 3시간 삭제와 세이프하버 상실

IT 규칙 2026이 글로벌 플랫폼 업계에 가장 큰 충격을 준 조항은 삭제 타임라인입니다. 기존 36시간에서 대폭 단축된 이 의무는 다음과 같이 구분됩니다. **법원 명령 또는 정부 통보**: 3시간 이내 삭제. **민감 콘텐츠(성적 노출·비동의 이미지·사칭)**: 2시간 이내 삭제. **일반 이용자 민원**: 7일 이내 처리. 3시간이라는 기준이 얼마나 엄격한지는 비교를 통해 명확해집니다. EU AI 법은 유사한 상황에서 24시간을 허용합니다. 싱가포르 온라인 허위정보법은 6시간입니다. 한국의 딥페이크 성적 영상물 삭제 의무는 24시간 내 조치입니다. 3시간은 주요 민주주의 국가 중 세계에서 가장 짧은 삭제 의무 시간입니다. 삭제 의무를 어긴 플랫폼이 받는 결과는 단순한 과태료가 아닙니다. 인도 IT 법 제79조에 따른 세이프하버 보호가 즉시 박탈됩니다. 세이프하버란 플랫폼이 이용자가 업로드한 제3자 콘텐츠에 대해 민·형사상 책임을 지지 않도록 보호받는 법적 면책 조항입니다. 이것이 없으면, 사용자가 올린 딥페이크 음란물 하나에 대해서도 Meta나 YouTube가 직접 형사책임과 손해배상 청구에 노출됩니다. Meta 부사장 Rob Sherman은 '의미 있는 인적 검토는 이 규모에서는 불가능하다'고 경고하며 3시간 기준이 사실상 실행 불가능하다고 반발했습니다. 인터넷 인도 협회(Internet Association of India)와 브로드밴드 인도 포럼(Broadband India Forum)도 '의회 승인 없이 소프트 로우를 구속력 있는 의무로 전환한 것'이라며 2015년 Shreya Singhal 판결(표현의 자유와 중개자 삭제 기준 관련 대법원 판결)을 인용해 위헌 소지를 제기했습니다.

글로벌 비교 — 자율규제·공동규제·강제규제의 스펙트럼

인도 IT 규칙 2026은 글로벌 AI 합성미디어 규제의 스펙트럼에서 어디에 위치할까요? 크게 세 가지 모델로 분류할 수 있습니다. **자율규제 모델(미국)**: 미국 Section 230은 플랫폼에 광범위한 면책을 부여하며, 합성미디어에 대한 연방 차원의 의무적 라벨링이나 삭제 시한은 없습니다. 2026년 6월 트럼프 행정부의 AI 행정명령은 '자발적 30일 사전 접근' 메커니즘을 도입했지만 법적 구속력이 없습니다. **공동규제 모델(EU)**: EU AI 법 제50조는 2026년 8월부터 플랫폼에 딥페이크 라벨 의무를 부과하되, 삭제 시한은 24시간이고 위반 시 글로벌 매출의 최대 7%를 과징금으로 부과합니다. GPAI(범용 AI) 행동강령은 자율·의무 기준의 공동 설계를 유도합니다. **강제규제 모델(인도)**: 인도 IT 규칙 2026은 삭제 시한 3시간, 전 구간 라벨, 세이프하버 즉시 박탈의 구조로 현존하는 규제 중 가장 강력한 직접 의무를 부과합니다. 싱가포르(6시간)는 인도와 EU의 중간에 위치합니다. 이 스펙트럼에서 주목할 점은, 인도의 접근법이 단순히 '엄격한 수준'의 문제가 아니라는 것입니다. 의무 불이행 시 세이프하버를 즉시 박탈하는 구조는, 플랫폼에게 자율규제를 선택할 유인을 완전히 제거합니다. 규제를 준수하지 않으면 플랫폼 사업 모델 자체가 붕괴하기 때문입니다. 이것이 바로 자율규제의 실패를 시장 구조에서 근본적으로 해소하려는 인도식 접근의 핵심입니다.

인도의 접근법은 법학계에서도 뜨거운 논쟁을 낳고 있습니다. 지지론자들은 '자율규제는 구조적으로 레이스 투 더 바텀(race to the bottom)을 피할 수 없으며, 세이프하버 연계 의무만이 플랫폼에게 실질적인 준수 동기를 부여한다'고 주장합니다. 인도 법학 학자들은 미국의 Section 230이 플랫폼 자율규제의 황금기를 만들었지만, 그 결과는 딥페이크 성착취 콘텐츠의 폭발적 증가라고 지적합니다. 반면 비판론자들은 세 가지 우려를 제기합니다. 첫째, 3시간 내 삭제는 기술적으로 불가능하며, 이를 자동화 도구로만 해결하면 허위 양성 삭제(false positive takedown)가 급증하여 표현의 자유를 침해할 수 있습니다. 둘째, 소규모 플랫폼과 스타트업은 24시간 365일 SGI 감시 시스템을 구축하기 어렵고, 이는 사실상 빅테크에게만 경쟁 우위를 주는 규제 효과를 낳습니다. 셋째, MeitY의 '가이드라인·지시 위반 시 세이프하버 박탈'은 행정부가 사법 절차 없이 사실상의 콘텐츠 검열 권한을 갖는다는 권력분립 문제를 야기합니다. 이 논쟁은 아직 해결되지 않았습니다. 인도 대법원이 2026년 하반기 이 조항들의 위헌 여부를 심사할 것으로 예상됩니다.

한국 시사점 — AI 기본법 시행령 설계와 플랫폼 의무의 재구성

인도 IT 규칙 2026은 한국 AI·디지털 성범죄 정책에 세 가지 직접적 시사점을 줍니다. 첫째, **삭제 의무 시간 단축**입니다. 현재 한국의 성적 딥페이크 영상 삭제 의무는 방심위 심의를 거쳐 24시간 이내 조치가 표준입니다. 방심위의 행정 처리 시간을 감안하면 실제 삭제까지 수일이 소요되는 경우가 많습니다. 인도는 정부 통보 후 3시간 이내 삭제를 구현했습니다. 한국도 비동의 딥페이크 성적 영상물에 대해 피해자 신고 후 즉시(예: 6~12시간 이내) 임시조치를 의무화하는 방향으로 전기통신사업법 개정을 검토해야 합니다. 둘째, **합성미디어 라벨 의무 도입**입니다. 현재 한국에는 AI 생성 콘텐츠에 대한 전 구간 가시적 라벨 의무가 없습니다. 방통위·과기부는 인도의 SGI 라벨 기준을 참고하여, 적어도 성적·정치적 목적의 AI 합성 콘텐츠에 대해서는 '전 구간 AI 생성 표시' 의무를 도입해야 합니다. C2PA 메타데이터 삽입을 국내 플랫폼 사업자에게 의무화하는 것도 검토 가능합니다. 셋째, **세이프하버 연계 메커니즘**입니다. 인도 IT 규칙 2026의 핵심은 단순히 삭제 시간 단축이 아니라, 미준수 시 세이프하버를 즉시 박탈하는 구조입니다. 한국 정보통신망법상 임시조치 불이행의 현재 제재는 과태료 수준에 머뭅니다. 플랫폼의 딥페이크 성적 영상물 방조 책임을 실질화하려면, 반복적·의도적 삭제 의무 해태 시 민사 책임 면제 특례를 박탈하는 방향을 검토해야 합니다.

인도 IT 규칙 2026의 경험이 한국에 주는 또 하나의 교훈은, 자율규제의 실패가 단순한 의지 부족에서 오는 것이 아니라는 점입니다. Meta, Google, X 같은 글로벌 빅테크가 딥페이크 성착취 콘텐츠를 방치한 것은 '의지가 없어서'가 아니라, 삭제 의무를 이행해도 경쟁 불이익이 없고 이행하지 않아도 사업적으로 큰 리스크가 없는 구조에서 비롯됩니다. 인도는 이 구조 문제를 세이프하버 박탈이라는 급진적 방식으로 해결했습니다. 물론 부작용도 있습니다. 자동화에 의존한 삭제는 합법적 콘텐츠도 무차별 삭제할 위험이 있으며, 소규모 플랫폼은 사실상 시장에서 퇴출될 수 있습니다. 한국은 인도의 강도를 그대로 채용하기보다, 인도의 '세이프하버 연계 메커니즘' 개념을 차용하되 ①반복 위반(예: 동일 유형 콘텐츠 3회 이상 삭제 해태) 시에만 세이프하버 부분 제한, ②독립 분쟁 조정 기구를 통한 과잉 삭제 구제 절차 병행이라는 균형 잡힌 모델을 검토할 필요가 있습니다. 플랫폼 자율규제는 인센티브 구조가 바뀌지 않으면 언제까지나 구호에 그칩니다. 인도 IT 규칙 2026은, 세계에서 가장 많은 인터넷 이용자를 보유한 민주주의 국가가 '자율규제의 신화'에 마침표를 찍었다는 역사적 신호입니다.