14살 소녀가 SNS에 올린 사진이 성적 딥페이크 이미지로 합성됐습니다. 엄마 안나 맥아담스가 스냅챗에 거듭 삭제를 요청했어요. 그런데 8개월 넘게 거부당했습니다. 소녀의 이름은 엘리스턴 베리(Elliston Berry). 2023년 미국 텍사스에 살던 14살 고등학생이었어요.
오늘(5월 19일), 그 8개월의 기다림이 법이 됐어요.
8개월이 만든 법
‘딥페이크 삭제 의무화법'(TAKE IT DOWN Act)이 본격 시행됩니다. 정식 명칭을 풀면 ‘웹사이트 및 네트워크상 기술적 딥페이크 중지를 위한 법’이에요. 베리의 사례를 접한 공화당 테드 크루즈 상원의원이 2024년 발의했어요. 지난해 5월 19일에는 트럼프 대통령이 서명했습니다. 상원 만장일치, 하원 409대 2. 요즘 미국 의회에서 이런 숫자가 나오는 법안은 거의 없어요.
그만큼 상황이 심각했습니다. 미국 실종아동보호센터(NCMEC) 사이버팁라인 통계가 단적이에요. AI 생성 아동 성착취물 관련 신고 건수가 2023년 4,700건이었어요. 그게 2024년 67,000건으로 치솟았습니다. 1년 만에 1,325% 증가였어요.
학교 안에서 AI로 동급생 여학생들의 얼굴을 합성하는 사례도 전국으로 퍼졌습니다. 아이오와의 한 고등학교에서는 44명의 여학생이 한꺼번에 피해를 입었어요. 그런데 대부분의 학교에는 피해 학생이 SNS에서 이미지를 지울 수 있도록 돕는 지원 체계가 없었습니다. 플랫폼이 지우지 않으면, 피해자는 혼자 남겨지는 구조였어요.
48시간 내 삭제 의무, 건당 7,200만 원
플랫폼이 갖춰야 할 것은 이제 명확합니다. 비동의 친밀 영상을 신고받는 창구, 그리고 접수 후 48시간 내 삭제예요. 동일한 복사본도 전부 일괄 제거해야 합니다. 위반하면 건당 최대 53,088달러(약 7,200만 원)의 민사 제재금이 부과돼요.
FTC 의장 앤드루 퍼거슨(Andrew Ferguson)이 지난 5월 11일 직접 서한을 보냈습니다. 대상은 아마존·알파벳·애플·메타·스냅챗·틱톡·X 등 15개사예요. 메시지는 단순했습니다. “준수하라”.
판결도 나왔고, 암호화도 없어졌다
법이 이미 작동하고 있다는 증거도 나왔어요. 형사 처벌 조항은 법 서명 직후부터 발효됐는데, 올해 4월 첫 유죄판결이 나왔습니다. 오하이오 콜럼버스의 제임스 스트라흘러(James Strahler II)가 유죄 판결을 받은 겁니다.
혐의는 두 가지입니다. 하나는 성인 여성 6명에게 본인의 진짜·합성 누드를 섞어 보낸 사이버스토킹이에요. 다른 하나는 동네 남학생들의 얼굴을 AI로 합성한 혐의입니다. 만들어낸 아동 성착취 이미지 700여 개를 관련 사이트에 올렸습니다. 딥페이크 삭제 의무화법 적용 첫 사례입니다.
플랫폼의 움직임도 이미 시작됐어요. 시행일 11일 전인 5월 8일, 메타는 인스타그램 DM의 종단간 암호화 옵트인 기능을 제거했습니다. 2023년 12월부터 이용자가 선택적으로 켤 수 있던 기능이었어요. 메타는 ‘옵트인한 이용자가 매우 적었다’고 설명했습니다.
그런데 생각해보면 이래요. 48시간 내 삭제 의무를 이행하려면, 플랫폼이 메시지 내용을 직접 스캔할 수 있어야 합니다. 암호화된 채널에서는 그게 불가능하죠. 딥페이크 삭제 의무가 플랫폼의 프라이버시 정책 자체를 바꾸기 시작했다는 분석이 나오는 이유예요.
이 법이 한 가지 더 중요한 이유가 있어요. AI 생성 이미지가 명시적으로 적용 대상에 들어갔다는 점이에요. ‘딥페이크’라는 단어가 미국 연방법 이름에 공식으로 들어간 것도 이번이 처음입니다.
생성형 AI 플랫폼은 그동안 “도구를 만들었을 뿐”이라는 논리로 콘텐츠 책임에서 빠져 있었어요. 딥페이크 삭제 의무화법은 법으로 그 논리에 못을 박았습니다. AI가 피해를 만드는 도구가 됐다면, 그 도구를 운영하는 플랫폼도 책임에서 자유롭지 않다는 선언이에요.
한국의 딥페이크 삭제 의무는?
2024년 10월 16일 성폭력처벌법(성폭력범죄의 처벌 등에 관한 특례법)이 개정 시행됐어요. 제14조의2를 통해 딥페이크 허위영상물의 소지·구입·저장·시청까지 처벌이 확대됐습니다.
그런데 미국 같은 플랫폼 직접 의무는 없어요. 피해자가 디지털성범죄피해자지원센터나 방송통신심의위원회를 거쳐야 합니다. 이 기관들이 플랫폼에 게시중단을 요청·명령하는 구조예요. 미국처럼 48시간 기한이나 건당 7,200만 원 벌금 같은 직접 강제 장치는 없습니다.
『최신외국입법정보』 2025-24호는 이번 딥페이크 삭제 의무화법을 이렇게 평가했어요. “딥페이크 성범죄에 대응한 최초의 연방 법률”이라고요. 그리고 핵심을 이렇게 짚었어요.
피해자가 일차적으로 관련 콘텐츠의 불법성 여부에 대한 국가기관의 심의를 거치지 않고도 직접 플랫폼에 콘텐츠 삭제를 요청할 수 있고, 플랫폼이 삭제요청을 받은 후 콘텐츠를 삭제해야 하는 시한을 48시간 이내로 명시하고 있다.
같은 보고서를 다룬 산업종합저널은 한국의 한계를 이렇게 정리했습니다.
한국 역시 최근 ‘성폭력처벌법’ 등을 개정해 규제 범위를 넓혔지만, 삭제 절차는 여전히 방송통신심의위원회 등 국가기관의 심의를 거쳐야 해 즉각적인 대응에 한계가 있다. 미국처럼 피해자의 직접 요청권과 ’48시간 내 삭제’라는 명확한 시간 기준이 제도화돼 있지 않기 때문이다.
2024년 텔레그램을 중심으로 학교 딥페이크 사태가 전국적으로 번졌어요. 그때 피해 학생들이 직접 부딪힌 장벽이 바로 이 구조였습니다. 신고하고도 언제 지워질지 모르는 상황은 지금도 계속되고 있습니다. 베리가 8개월을 기다린 것처럼요.
플랫폼을 의무 주체로 세우는 것, 그게 미국이 이번에 선택한 방식입니다.
FAQ
플랫폼이 비동의 친밀 영상(AI 생성 딥페이크 포함)을 신고받으면 48시간 안에 삭제해야 한다는 법이다. 동일 복사본 일괄 제거도 의무다. 위반 시 건당 최대 53,088달러(약 7,200만 원)의 민사 제재금이 부과된다.
적용된다. 법 조문에 “digital forgeries”(디지털 위조물)가 명시됐다. ‘딥페이크’라는 단어가 미국 연방법 이름에 공식으로 들어간 것도 이번이 처음이다.
2024년 10월 16일 성폭력처벌법 제14조의2가 개정 시행됐다. 딥페이크 허위영상물의 제작·소지·구입·저장·시청을 처벌한다. 다만 플랫폼에 직접 삭제 의무는 부과하지 않는다. 디지털성범죄피해자지원센터나 방심위가 플랫폼에 게시중단을 요청·명령하는 구조다. 48시간 기한도 건당 벌금도 없다.
법 본문이 피해자 국적을 제한하지 않아 형식상 가능하다. 거부당하면 FTC가 운영하는 econsumer.gov(한국어 지원)에 신고할 수 있다
그렇지 않다. FTC는 개별 분쟁에 직접 개입하지 않고, 한국 거주자가 미국 플랫폼을 강제할 직접 수단도 없다. 결국 플랫폼의 글로벌 정책 의지에 기댈 수밖에 없다.
AI 딥페이크에 대해 더 알고 싶다면?
AiLit에서 더 알아보기
구독을 신청하면 최신 게시물을 이메일로 받아볼 수 있습니다.
