한국이 딥페이크 처벌을 강화해 온 사이, EU는 다른 길을 택했습니다. 2026년 12월 2일부터 EU AI법은 실존 인물을 알아볼 수 있는 사실적 성적 이미지를 본인 동의 없이 생성하는 AI 시스템, 이른바 '누드화(nudifier)' 앱과 아동 성착취물을 생성하는 AI 시스템의 시장 출시, 서비스 개시, 사용을 금지합니다. 두 금지 조항은 2026년 7월 24일 EU 관보에 게재되어 7월 27일부터 시행 중인 디지털 옴니버스, 즉 규정 (EU) 2026/1744로 제5조에 추가되었습니다. 같은 날 또 하나의 유예기간도 끝납니다. 2026년 8월 2일 전에 출시된 생성형 AI 시스템은 12월 2일까지 제50조 제2항의 기계 판독 가능 표시 의무를 갖춰야 합니다.
EU AI법은 제공자가 어디에 설립되었는지와 관계없이 적용되므로, EU 이용자가 있는 한국 이미지 생성 앱도 대상이 됩니다. 또한 한국과 튀르키예가 주로 이미지를 만들거나 퍼뜨린 사람을 처벌하는 데 비해, EU는 이제 제품 자체를 금지합니다.
2026년 12월 2일, 무엇이 달라지나요?
- 두 가지 새로운 금지 관행. 제5조 제1항 제1문 (ba)호·(bb)호와 신설 제5조 제1a항·제1b항이 적용됩니다. 개정 제113조는 이 조항들을 예외로 두어 "2026년 12월 2일부터" 적용한다고 정합니다.
- 표시 의무 유예 종료. 신설 제111조 제4항은 "2026년 8월 2일 전에 시장에 출시된" 생성형 시스템 제공자에게 12월 2일까지 제50조 제2항을 준수하도록 정합니다.
- 금지 조항에는 경과 규정이 없습니다. 제111조의 경과 규정은 명시적으로 "제5조의 적용에 영향을 미치지 않고" 적용됩니다. 이미 수년간 판매된 앱이라도 추가 유예는 없습니다.
전문 제11항은 이런 도구가 흔히 '누드화(nudification) 애플리케이션'으로 불린다고 적고 있습니다. 개정은 EU 집행위원회가 2026년 1월 26일 Grok 관련 위험, 특히 조작된 성적 이미지 문제로 X에 대한 디지털서비스법(DSA) 조사를 개시한 해에 이루어졌습니다. 이 조사는 별개의 절차이며, 개시만으로 위반이 확정된 것은 아닙니다.
EU AI법의 딥페이크 앱 금지, 정확히 무엇을 금지하나요?
신설 (ba)호는 식별 가능한 자연인의 성적 신체 부위 또는 성적으로 노골적인 활동을 하는 식별 가능한 자연인에 관한 사실적 이미지·영상·음성 등을, 그 사람의 자유롭고 구체적이며 충분한 정보에 기반한 명확하고 명시적인 동의 없이 생성하거나 조작하는 AI 시스템의 시장 출시, 서비스 개시, 사용을 금지합니다(비공식 번역). (bb)호는 지침 2011/93/EU 제2조 (c)·(e)호의 아동 성착취물과 아동 성적 공연물을 생성·조작하는 시스템을 금지합니다. 이 지침은 '아동의 사실적 이미지'와 '아동으로 보이는 사람'까지 포함하므로, 실제 아동이 등장하지 않은 합성물도 대상입니다.
세 가지가 눈에 띕니다. 금지 대상은 이미지가 아니라 시스템입니다. 음성도 포함되므로 성적 음성을 만드는 음성 복제도 대상입니다. 동의 기준은 GDPR 수준이며, 이런 생성을 목적으로 한 시스템은 대상자의 동의를 확실하게 받고 입증할 수단을 갖춰야 합니다.
누가 금지 대상인가요?
핵심은 제공자와 배포자(deployer)를 나누는 신설 제5조 제1a항입니다(전체 구조는 EU AI 법 정리 참조).
제공자: 의도된 목적 또는 예견 가능한 결과
제공자의 시장 출시는 두 경우에만 금지됩니다. 첫째, 그런 생성이 시스템의 의도된 목적인 경우입니다. 제3조 제12항상 의도된 목적에는 홍보·판매 자료의 표현도 포함되므로 "어떤 사진이든 옷을 벗긴다"고 광고한 앱은 이용약관과 관계없이 목적을 스스로 밝힌 셈입니다. 둘째, 시스템의 설계·학습·구조·기능상 그런 생성이 상당한 기술적 수정 없이 합리적으로 예견 가능하고 재현 가능한 결과이고, 이를 확실히 막고 보고된 오용을 바로잡을 합리적이고 적절한 안전장치가 없는 경우입니다.
범용 이미지·영상·음성 모델은 두 번째 기준에 해당합니다. 전문 제12항은 데이터 정제, 거부 학습, 프롬프트·출력 통제, 콘텐츠 분류·필터링, 이용 제한, 오용 탐지, 신고·조치 체계를 예로 듭니다. 한 이용자의 일회성 '탈옥'만으로는 위반이 아니지만, 작동하는 필터를 보여 주지 못하거나 신고된 오용에 대응하지 않는 제공자는 위험을 집니다. 오픈소스 공개 같은 배포 전략은 시정 조치의 합리성 판단에서 고려될 뿐 면제 사유가 아닙니다.
배포자: 목적 기준
사용은 배포자가 그런 자료를 생성할 목적으로 시스템을 쓸 때만 금지됩니다. 다만 제3조 제4항은 개인적·비직업적 활동으로 사용하는 경우를 배포자에서 제외하고, 제2조 제10항도 순수한 개인 활동을 하는 자연인의 의무를 적용 대상에서 뺍니다. 따라서 집에서 누드화 앱을 쓰는 개인은 AI법상 배포자로 보기 어렵고, 사용 금지는 주로 기업과 기관을 향합니다. 개인은 형사법의 영역에 남습니다.
또한 (ba)호는 사실적 묘사에 한정되므로 만화적이거나 물리적으로 불가능한 묘사, 식별할 수 없는 사람의 누드는 제외됩니다. 제5조 제1b항에 따라 노출을 늘리지 않는 단순 보정은 조작이 아니며, 옷 입은 사진을 '벗기는' 것은 조작입니다. 수사기관의 활용과 금지 준수를 시험하는 레드팀 테스트는 (bb)호의 '정당한 권한' 항변으로 보호됩니다.
제재와 역외 적용
제5조 위반은 최고 등급 제재 대상입니다. 제99조 제3항에 따라 최대 3,500만 유로 또는 전 세계 연간 매출의 7% 중 높은 금액의 과징금이 부과될 수 있고, 중소기업은 제99조 제6항에 따라 낮은 금액이 적용됩니다. 제2조 제1항 (a)호는 EU 안팎 어디에 설립되었든 EU 시장에 출시하는 제공자에게, (c)호는 산출물이 EU에서 사용되는 경우에 적용됩니다. EU에서 내려받을 수 있는 한국 앱이라면 적용을 전제로 해야 합니다. 집행은 원칙적으로 각국 시장감시 당국이 맡지만, 개정 제75조 제1항에 따라 같은 제공자(또는 같은 기업)가 개발한 범용 AI 모델 기반 시스템과 DSA상 초대형 온라인 플랫폼·검색엔진을 구성하거나 그에 통합된 시스템은 EU AI 사무국(AI Office)이 전속 관할합니다.
AI 생성물 표시 의무화: 기존 시스템의 12월 2일 기한
제50조 제2항은 합성 음성·이미지·영상·텍스트를 생성하는 시스템 제공자에게 산출물을 기계 판독 가능한 형식으로 표시하고 AI 생성물임을 탐지할 수 있게 하도록 요구합니다. 제50조는 2026년 8월 2일부터 적용되고 있으며, 그 전에 출시된 시스템의 기한이 12월 2일입니다. 위반 시 제99조 제4항의 1,500만 유로 또는 3% 등급이 적용됩니다.
집행위원회는 2026년 6월 10일 자율적인 AI 생성 콘텐츠 표시·라벨링 실천강령을 발표했고, 7월 8일 이 강령이 제50조 제2항·제4항·제5항 의무를 적절히 반영한다고 판단했습니다. 7월 20일 내용이 승인된 제50조 가이드라인(C(2026) 5054)은 유예가 제50조 제2항의 표시·탐지 의무에만 적용되고, 8월 2일 이전에 생성된 콘텐츠는 소급 표시할 필요가 없다고 설명합니다. 워터마크, 메타데이터, 출처 증명, 핑거프린팅 등을 단독 또는 조합해 쓸 수 있습니다. 실무 정리는 EU AI법 제50조 키트와 AI 생성 콘텐츠 표시 글을 참고하시기 바랍니다. 표시가 금지된 산출물을 적법하게 만들지는 않지만, 플랫폼의 탐지와 제공자의 오용 대응 입증에는 도움이 됩니다.
지침 (EU) 2024/1385와의 관계
AI법이 도구를 규율한다면 여성폭력 방지 지침 (EU) 2024/1385는 사람을 규율합니다. 지침 제5조는 동의 없는 성적 이미지를 정보통신기술로 공개하는 행위와, 성적 활동을 하는 것처럼 보이게 만든 자료를 제작·조작한 뒤 공개하는 행위를 심각한 피해 우려가 있는 경우 범죄로 규정하도록 요구합니다. 제23조는 호스팅 서비스 제공자에 대한 삭제 명령을 포함한 신속한 삭제를 요구하며, 국내법 전환 기한은 2027년 6월 14일입니다. 다만 지침은 '공개'를, AI법은 '시스템 제공'을 기준으로 하므로, 개인이 공개하지 않고 만들기만 한 경우는 각국 법이 더 나아가지 않는 한 어느 쪽에도 걸리지 않습니다.
튀르키예의 딥페이크 처벌: 형법 제134조·제226조·제105조·제125조·제136조
튀르키예에는 AI 성적 합성물에 특화된 범죄 규정이 없습니다. 2026년 8월 8일 법률 제7593호까지 반영된 튀르키예 형법(TCK) 통합본에도 딥페이크 조항은 없습니다.
- 제226조 제3항(음란물). 음란물 제작에 '아동, 아동을 표현한 이미지 또는 아동으로 보이는 사람'을 이용하면 5년 이상 10년 이하 징역과 사법 벌금이 부과되며, 소지·유통 등은 2년 이상 5년 이하입니다. 2016년 개정으로 '아동을 표현한 이미지'가 추가되어 완전한 합성물도 포함됩니다.
- 제134조(사생활 비밀). 사생활 침해는 1년 이상 3년 이하(녹화 시 가중), 사생활 관련 영상의 위법 공개는 2년 이상 5년 이하입니다. 실제로 없었던 장면이 '사생활 관련' 영상인지는 해석 문제로 남습니다.
- 제105조(성희롱). 합성 이미지를 대상자에게 보내는 행위는 고소가 있어야 처벌되는 성희롱이 될 수 있고, 전자통신 수단 이용 시 2분의 1 가중됩니다.
- 제125조(모욕)·제136조(개인정보 유포). 명예 훼손적 이미지는 모욕죄, 식별 가능한 얼굴을 성적 내용과 결합해 퍼뜨리는 행위는 개인정보 위법 유포(2년 이상 4년 이하)로 다툴 여지가 있습니다.
형법 제20조 제2항상 법인에는 형벌을 부과할 수 없어, 누드화 서비스를 운영하는 회사에는 형사상 보안처분만 가능합니다. 언론 보도에 따르면 2025년 9월 민족주의행동당(MHP) 소속 의원이 인격권 침해 콘텐츠의 6시간 내 삭제 등을 담은 법안을 제출했으나, 현행 법률에는 반영되지 않았습니다.
삭제 경로로는 인터넷법(법률 제5651호) 제9/A조가 가장 빠릅니다. 2026년 7월 24일 법률 제7590호(2026년 7월 31일 관보 게재) 개정으로 담당 기관이 정보통신기술청(BTK)에서 사이버보안청으로 바뀌었고, 신청 후 4시간 내 접속 차단, 24시간 내 형사치안판사 심사 회부, 48시간 내 결정 절차를 거칩니다. 아동 관련 자료는 제8조의 목록 범죄로 차단할 수 있습니다. 인격권 일반 경로였던 제9조는 헌법재판소 결정으로 2024년 10월 10일 효력을 잃었습니다. 튀르키예는 과거 Grok 게시물 접속 차단 결정처럼 AI 산출물에도 차단 권한을 행사한 바 있습니다.
한국의 딥페이크 처벌과 비교하면
성폭력처벌법 제14조의2는 사람의 얼굴·신체·음성을 대상으로 한 영상물 등을 대상자의 의사에 반하여 성적 욕망 또는 수치심을 유발할 수 있는 형태로 편집·합성·가공한 자를 반포 여부와 관계없이 7년 이하의 징역 또는 5천만원 이하의 벌금에 처하고, 2024년 10월 16일 개정으로 소지·구입·저장·시청도 3년 이하의 징역 또는 3천만원 이하의 벌금으로 처벌합니다. 자세한 내용은 한국 현행법이 처벌하는 것, 미성년자 딥페이크에 관한 대법원 판결, 존재하지 않는 인물의 AI 성적 콘텐츠 처벌 추진을 참고하시기 바랍니다. 제품 측면에서는 인공지능기본법 제31조가 생성형 AI 결과물 표시와 실제와 구분하기 어려운 결과물의 고지·표시를 요구합니다.
한국법은 집에서 합성물을 만드는 개인까지 처벌하고, EU 규칙은 도구의 제공자를 겨냥합니다. 스페인 개인정보 감독기관은 AI 누드 합성물 공유에 GDPR 과징금을 부과하는 세 번째 길을 보여 주었습니다.
플랫폼·앱 개발사·앱마켓은 무엇을 해야 하나요?
- 기능 분류: 모든 생성·편집 기능이 제5조 제1a항의 의도된 목적이나 예견 가능·재현 가능한 결과에 해당하는지 점검합니다.
- 마케팅 정비: 앱마켓 소개, 광고, 인플루언서 홍보에서 '옷 벗기기', '투시' 같은 문구를 없앱니다.
- 안전장치 문서화: 실존 인물 사진 편집 제한, 분류기, 이용 제한, 신고 체계를 갖추고 시험 결과를 기록합니다. 레드팀 테스트도 기록하고 통제된 환경에서 진행합니다.
- 기존 생성형 시스템: 8월 2일 전 출시 여부를 확인하고, 표시 방식과 탐지 수단을 정하며, 실천강령 서명 여부를 결정합니다. 상위 모델의 표시에 의존한다면 계약상 보장과 시험 자료를 확보합니다.
- 앱마켓·플랫폼: 단순 유통은 제5조의 '출시·서비스 개시·사용'에 바로 해당하지 않을 수 있지만, 시장감시 당국의 조치와 DSA 및 지침 제23조에 따른 삭제 명령이 가능합니다. 개발자 정책에 (ba)·(bb)호를 반영하고 누드화 홍보 앱을 걸러 내야 합니다.
자주 묻는 질문
EU AI법은 딥페이크 앱을 금지하나요?
네, 2026년 12월 2일부터 금지합니다. 식별 가능한 사람의 사실적 성적 이미지·영상·음성을 명시적 동의 없이 생성하는 AI 시스템의 출시·사용이 금지됩니다. 누드화 전용 앱은 의도된 목적으로 바로 해당하고, 범용 도구는 그런 결과가 예견·재현 가능한데 적절한 안전장치가 없을 때 해당합니다.
딥페이크 처벌 기준은 나라마다 어떻게 다른가요?
한국은 성폭력처벌법 제14조의2로 합성 자체를 7년 이하 징역으로 처벌하고 소지·시청도 처벌합니다. EU는 AI법으로 도구를 금지하고, 지침 2024/1385로 공개 행위의 범죄화를 요구합니다. 튀르키예는 전용 조항 없이 형법상 사생활, 성희롱, 모욕, 개인정보 조항을 적용하며, 아동 합성물은 제226조 제3항으로 처벌합니다.
AI 생성물 표시 의무화는 언제부터인가요?
EU에서는 2026년 8월 2일부터 적용되며, 그 전에 출시된 생성형 시스템은 12월 2일까지 기계 판독 가능한 표시와 탐지 수단을 갖춰야 합니다. 8월 2일 이전에 생성된 콘텐츠는 소급 표시할 필요가 없습니다. 한국에서는 인공지능기본법 제31조가 생성형 AI 결과물 표시 의무를 둡니다.
범용 이미지 생성 AI도 금지 대상인가요?
자동으로 금지되지는 않습니다. 상당한 기술적 수정 없이 성적 합성물이 예견 가능하고 재현 가능하게 만들어지는데, 이를 막고 오용을 시정할 합리적이고 적절한 안전장치가 없을 때만 금지 대상입니다. 데이터 정제, 거부 학습, 출력 필터, 신고 체계를 갖추고 기록해 두는 것이 중요합니다.
부르한 도우쉬 아이파를라르의 견해
새 금지는 보도가 주는 인상보다 좁고, 그래서 더 설득력이 있습니다. 이용자 모두를 범죄자로 만들지도, 이미지 생성을 막지도 않습니다. 대신 실존 인물을 예측 가능하게, 반복적으로 '벗길' 수 있는 모델을 방어 장치 없이 파는 것을 금지하는 설계 의무를 부과합니다. '합리적으로 예견 가능하고 재현 가능한'이라는 기준은 사실상 생성형 모델의 제품 안전 기준이며, 한 이용자가 무엇을 해냈는지가 아니라 제공자가 무엇을 알고 무엇을 했는지를 묻습니다.
한계도 분명합니다. 집에서 앱을 쓰는 개인은 AI법의 정의상 적용 대상 밖일 가능성이 크고, 한국은 제작과 소지를 처벌해 그 공백을 메웁니다. 튀르키예는 아동 합성물에 대해서는 제226조 제3항이라는 탄탄한 조항이 있지만, 성인에 대해서는 다른 피해를 전제로 만든 조항들을 끌어다 써야 합니다. 저는 지침 제5조와 한국 제14조의2를 참고해 식별 가능한 사람의 성적 합성물 제작과 유포·유포 협박을 직접 규정하는 조항이 필요하다고 봅니다. 삭제는 넓은 행정 기한보다 제9/A조처럼 단시간 내 법관의 심사를 받는 구조가 바람직합니다. EU 이용자를 상대하는 한국 개발사에게 EU 기준은 이제 설계의 기본선입니다.
이 글은 일반적인 정보 제공을 위한 것이며 법률 자문이 아닙니다. 규정 (EU) 2026/1744(EU 관보 2026년 7월 24일), 2026년 7월 27일자 EU AI법 통합본, 지침 2011/93/EU 및 (EU) 2024/1385, 집행위원회의 실천강령(2026년 6월 10일)·적정성 의견(7월 8일)·제50조 가이드라인(7월 20일), mevzuat.gov.tr의 튀르키예 법률 통합본, law.go.kr의 한국 법령을 2026년 10월 20일 기준으로 확인했습니다. EU 법령 인용은 비공식 번역이며, 튀르키예 법안은 언론 보도에 근거합니다. 새 금지 조항의 해석과 튀르키예 법원의 형법 제134조·제136조 적용 방식은 아직 불확실합니다. 구체적 사안은 개별 검토가 필요합니다.
