딥페이크를 기술적 해프닝이나 일부의 장난쯤으로 여기던 시기는 지났습니다. WIPO의 한 논의에서 안데르손 로샤(Anderson Rocha) 교수는 딥페이크와 이를 둘러싼 관련 기술을 '합성 현실(Synthetic Realities)'이라는 말로 다시 정의했습니다. 단순히 진짜 같은 가짜를 만드는 기술이 아니라, 현실 - 즉, 사회와 법, 정치 전반을 바꾸는 존재라는 것입니다.
실제 피해의 양상을 보면 이 진단이 과장이 아님을 알 수 있습니다. 안타깝게도 딥페이크 기술로 인하여 가장 빠르게 늘어난 것은 보다 정교한 영상이 아니라 성착취물과 같은 유해한 자료와 음성 사칭이나 화상 면접 위조 같은 실시간 사회공학 범죄였습니다. 얼굴과 음성에 기댄 인증 체계는 근본적인 위협을 받고 있고, 합성된 기사 사진이나 가상의 전문가가 허위정보를 실어 나르며 여론을 흔들며, 법정에서는 '무엇이 진짜 증거인가'라는 질문을 하게 되었습니다.
문제가 분명해지자, 각국은 대응에 나섰습니다. 흥미로운 점은 같은 문제를 마주하고도 저마다 다른 양상의 규제를 도입했다는 것입니다. 이 글에서는 EU와 미국, 덴마크, 중국과 한국이 같은 문제를 어떻게 서로 다른 방식으로 접근하였는지 차례로 들여다보겠습니다.
🇪🇺 EU — 기존 규제를 다시 해석하다
새 법을 만들기 전에, 이미 있는 틀로 감당할 수 있는가를 먼저 알아볼 필요가 있습니다. 제바스티안 슈베머(Sebastian Schwemer) 교수는 특히 포괄적 콘텐츠 규제인 디지털서비스법(DSA)에서 정의하는 '콘텐츠 조정(content moderation)' - 플랫폼이 부적절한 콘텐츠를 걸러내는 것 - 이 합성 미디어에도 작동할 수 있는지를 검토했습니다.
DSA 제3조 (t)는 콘텐츠 조정을 '불법 콘텐츠, 또는 플랫폼의 약관에 부합하지 않는 정보를 탐지·식별하고 처리하기 위한, 자동이든 비자동이든 중개 서비스 제공자의 활동'으로 정의합니다. 그리고 그 수단으로 콘텐츠의 노출을 낮추는 강등(demotion), 수익화 차단(demonetisation), 접근 차단(disabling of access), 삭제(removal)는 물론, 게시자의 계정을 정지·종료하는 조치까지 폭넓게 열거합니다. 종전 전자상거래 지침보다 '무엇을, 어떻게 내릴 수 있는가'의 범위를 크게 넓혀 놓은 것입니다.
문제는 이 틀이 딥페이크에 바로 적용되기는 불충분하다는 점입니다. 첫째, 합성은 그 자체로 불법이 아닙니다(Synthetic ≠ Illegal). DSA가 겨냥하는 것은 '불법이거나 약관을 어긴' 콘텐츠인데, 합성 콘텐츠의 상당수는 그 어느 쪽에도 깔끔하게 들어맞지 않습니다. 둘째, 더 근본적으로, 무엇을 지울지 판단할 기준 자체가 무너집니다. '가짜처럼 보이는 진짜'와 '진짜처럼 보이는 가짜'가 동시에 존재하는 환경에서는, 과잉 삭제냐 과소 삭제냐를 따질 잣대마저 사라지기 때문입니다.
그렇다고 DSA가 딥페이크에 손을 놓고 있는 것은 아닙니다. DSA는 '딥페이크'라는 단어를 쓰지 않지만, 제35조 1항 (k)는 초대형 온라인 플랫폼(VLOP)에 대해, 실존하는 인물·사물·장소나 사건을 상당히 닮아 '진짜이거나 진실인 것처럼 잘못 보이게 하는' 생성·조작된 이미지·음성·영상을 '눈에 띄는 표시(prominent markings)'로 구분되게 하고, 이용자가 그런 콘텐츠를 직접 신고할 수 있는 기능을 두도록 요구합니다.
비슷한 취지는 EU AI법 제50조의 투명성 의무에도 담겨 있습니다. 다만 이 표시 의무는 뒤에서 볼 한국의 고민과 똑같은 질문에 부딪힙니다. 악의적 이용자가 표시를 떼어내고 퍼뜨리면 그 책임을 누가 어디까지 지느냐입니다.
그럼에도 EU의 진짜 강점은 '내용'이 아니라 '절차'에 있습니다. DSA가 갖춘 인간의 검토, 이의제기 통로, 조치 사유의 설명 같은 절차적 안전장치(DSA 제14조 등)는, 무엇이 진짜인지 단정하기 어려운 시대에 핵심 장치가 됩니다. 결국 EU에 남은 숙제는 탐지 정확도를 끌어올리는 일이 아니라, 어디서 막을 것인가 - 생성 단계의 플랫폼에서 막을지 유통 단계에서 막을지, 프롬프트와 출력과 재업로드를 각각 어떻게 다룰지 - 그리고 무엇을, 어떤 절차로, 누구의 책임 아래 조정할 것인지를 결정하는 일입니다.
🇺🇸 미국 — 새로운 권리를 만들다
미국은 EU와 전제부터 다릅니다. 벤 셰프너(Ben Sheffner) 교수의 정리에 따르면, 미국은 '디지털 복제권'을 기존 초상권이나 저작권 틀에 욱여넣을 수 없다는 데서 논의를 시작합니다. 미국 초상권법은 본래 광고와 머천다이징을 겨냥해 설계됐고 표현물에 대한 면책 범위가 넓어, 생성형 AI가 실존 배우와 가수의 새로운 연기·음성을 만들어내는 상황을 규제 밖에 두는 허점을 낳았습니다.
먼저 움직인 쪽은 정부가 아니라 산업이었습니다. 2023년 배우·방송인 노조의 파업 끝에 맺어진 SAG-AFTRA 협약이 일종의 임시 규범 역할을 했습니다. 이 협약은 고용을 기반으로 만들어진 디지털 복제물과 독립적으로 생성된 복제물을 구분하는데, 이는 기술적 차이라기보다 거래 비용과 책임 귀속을 정리하기 위한 절충이었습니다. 기존 제작 관행을 유지하면서도 배우의 통제권을 인정하려는 타협의 산물인 셈입니다.
그 위에서 연방 차원의 입법으로 추진되는 것이 No Fakes Act입니다. 이 법안은 사실적인 디지털 복제물에 대해 사후 70년간 존속하고 상속·양도까지 가능한 새로운 연방 재산권을 창설하고, 플랫폼과 AI 도구 제공자에게도 생성과 유통 전 과정에 걸친 책임을 부과합니다.
다만 여기에는 크게 두 가지 쟁점이 있습니다. 하나는 뉴스·전기·비평·학술·풍자 같은 공익적 활용에 예외를 두긴 했으나 그 적용 조건이 모호하다는 점이고, 다른 하나는 권리자가 통지하면 플랫폼이 즉시 내리고 유사 콘텐츠의 재업로드까지 자동 차단해야 하는 구조가 과잉차단을 부를 수 있다는 점입니다.
이에 대해 엔터테인먼트 업계와 아티스트 단체는 성적 딥페이크와 합성 음성 사기 같은 실제 피해를 들어 연방 차원의 명확한 보호를 요구하는 반면, 표현의 자유 진영은 구체적 피해를 입증하지 않고도 권리 침해만으로 소송이 가능해지는 구조가 비판·풍자·역사적 재현을 위축시킬 수 있다고 우려합니다. 다큐멘터리 등을 만드는 창작자들은 결국 '허가받아야 표현할 수 있는' 환경으로 변질될까 걱정하고, 대규모 필터링 인프라를 감당하기 어려운 중소 플랫폼과 오픈소스 생태계는 또 다른 부담을 떠안습니다.
🇩🇰 덴마크 — 저작권을 확장하다
덴마크는 가장 빠르게, 그리고 가장 과감하게 움직인 나라 중 하나입니다. 스티나 타일만-로크(Stina Teilmann-Lock) 교수가 소개한 덴마크의 개정 법안은 딥페이크를 기존 저작권 체계 안에서 다루겠다는 전제 아래 두 가지 권리를 새로 만들었고, 2026년 3월 31일부터 시행됩니다.
첫째는 공연자 보호권입니다. 이는 사실적인 디지털 모사가 공연자의 예술적 공연을 재현할 경우 본인의 동의를 받도록 한 것입니다. 다만 공연자 보호권의 범위가 '작품성과 무관한' 공연까지 포함하기 때문에, 저작권의 보호 대상으로 전제해온 '작품(work)'의 정의 자체를 흔들게 된다는 평가를 받습니다.
둘째는 외형 모사 보호권입니다. 이는 자연인의 신체적·개인적 특성을 사실적으로 모사한 콘텐츠를 국적과 무관하게 모든 사람에게 적용해 보호합니다. 패러디나 풍자, 사회비판은 예외이지만, 허위정보로 인한 중대한 피해 우려가 있으면 그 예외마저 제한됩니다.
이러한 입법을 통해 덴마크는 그동안 개인정보·마케팅·형법에 흩어져 있던 근거를, 플랫폼이 딥페이크를 내릴 수 있는 단일하고 명확한 잣대로 모으려 하고 있습니다. 다만 1) '예술적 공연'이나 '사실적 모사' 같은 핵심 개념의 정의가 기술 발전 속에서 고정되기 어렵고, 2) 경찰과 사법기관의 한정된 역량 안에서 이 새로운 권리가 실제로 우선순위에 오를지도 미지수라는 점은 앞으로 해결해야할 과제일 것입니다.
마지막으로 타일만-로크 교수는 흥미로운 가능성도 덧붙였습니다. 이 제도가 딥페이크를 억제하는 데 그치지 않고, 오히려 아바타나 합성 연예인 같은 새로운 시장을 제도의 울타리 안으로 끌어들이는 효과를 낼 수 있다는 것입니다.
다음 글에서 이어집니다.