요구가 배상에서 코드로 옮겨갔어

7월 28일, 영국 노동당 하원의원 제스 아사토가 일론 머스크의 xAI를 상대로 제기한 소송에서 새 법원 신청서를 냈다는 사실이 보도됐어. 그런데 이번 신청의 내용이 특이해.

돈이 아니야. 사과도 아니야. 요구는 xAI가 **"실효적이고 영구적인 기술 조치(effective and permanent technical measures)"**를 실제로 구현하도록 하는 법원 명령이야. 즉 그록이 앞으로 자신에 대한 조작 이미지를 생성할 수 없게 만들라는 거지.

이게 왜 특이하냐면, AI 관련 소송 대부분이 사후 구제에 머물러 있었기 때문이야. 이미 생성된 콘텐츠를 내려라, 손해를 배상하라, 학습 데이터 사용료를 내라. 전부 결과물에 대한 요구였어. 그런데 아사토 측이 구하는 건 모델의 능력 자체에 대한 명령이야. 법원이 기술 회사에 "이 기능이 작동하지 않도록 만들라"고 명령할 수 있느냐는 질문이 정면으로 제기된 거지.

원고 본인의 말에 이 소송의 논리가 압축돼 있어.

"그록은 수천 명의 여성과 아동에게 해를 끼친 딥페이크 포르노와 성적 콘텐츠를 만들어냈다. 그 능력은 사고도 아니고 오용도 아니다. 설계 선택이었다."

이 사건에 얽힌 사람들

제스 아사토는 영국 노동당 소속 하원의원이야. 2026년 1월 초, 그록이 자신의 이미지를 조작한 콘텐츠가 유포되기 시작했어. 비키니 차림으로 합성된 사진부터, 클로로포름에 취해 성폭력에 노출되는 것처럼 묘사한 영상까지 만들어졌지. 공인이라는 이유로 이런 콘텐츠의 표적이 되는 일은 새롭지 않지만, 이번 사안의 차이는 그 제작이 누구나 쓸 수 있는 상용 AI 제품의 기본 기능으로 이뤄졌다는 점이야.

xAI는 머스크가 세운 AI 회사로, 그록은 X(구 트위터)에 통합돼 있어. 그록의 이미지·영상 생성 기능은 다른 상용 모델보다 콘텐츠 제약이 느슨한 것으로 알려져 있고, 회사도 이를 '검열 없는 AI'라는 방향성으로 내세워왔어. 그 방향성이 이번 소송에서 정확히 쟁점이 됐지. 아사토 측 주장의 핵심이 "느슨함은 실수가 아니라 의도된 제품 설계"라는 거니까.

원고 대리인단의 면면도 이 사건의 무게를 보여줘. 사무변호사는 데이터 권리 전문 로펌 AWO이고 라비 나이크가 대표 변호사를 맡았어. 법정변호사로는 마리 데메트리우 KC(브릭 코트 챔버스), 에드워드 크레이븐 KC와 로절린드 코민(매트릭스 챔버스)이 참여했어. KC(King's Counsel)는 영국 법조계 최상위 변호사 등급이야. 개인 명예훼손 사건이 아니라 선례를 만들려는 전략적 소송이라는 신호로 읽혀.

라비 나이크의 문장이 그 의도를 그대로 드러내.

"이 사건의 핵심은 하나의 원칙이다. AI 개발자는 자신이 도구를 설계한 방식에 대해 답해야 한다는 것."

무슨 일이 벌어졌나

시간순으로 정리하면 이래.

시점 내용
2026년 1월 초 그록으로 아사토 의원 이미지가 조작돼 유포
2026년 1월 12일 오프콤, 온라인안전법(OSA) 위반 여부로 X에 대한 정식 조사 개시
2026년 1월 말레이시아·필리핀 등 일부 국가에서 그록 접속 차단 (이후 해제)
2026년 1월 26일 유럽집행위원회, EU 내 불법 콘텐츠 유포 여부 조사 착수
2026년 2월 17일 아일랜드 데이터보호위원회(DPC) 조사 개시
2026년 6월 3일 아사토, 잉글랜드 고등법원에 청구 제기
2026년 7월 28일 '실효적·영구적 기술 조치' 명령을 구하는 신청 사실 보도

법적 청구 원인은 두 가지야. 데이터보호법 위반과 사생활 정보의 오용(misuse of private information). 여기서 흥미로운 건 명예훼손이 아니라 데이터 보호를 축으로 삼았다는 점이야. 조작된 이미지가 '거짓 사실의 적시'인지를 다투는 대신, 본인의 개인정보(얼굴·신원)가 동의 없이 처리됐다는 프레임을 택한 거지. 영국·EU의 데이터보호 체계에서는 이 축이 훨씬 강력한 무기야.

구하는 구제도 세 가지야. 위법 확인 선언, 손해배상, 그리고 향후 침해 방지를 위한 기술 조치 명령. 앞의 둘은 전형적이고, 세 번째가 이번 7월 신청의 초점이야. 문제된 이미지들은 이미 삭제된 상태인데도 소송이 계속되는 이유가 여기에 있어. 삭제는 이번 것만 없애고, 명령은 다음 것을 막는다는 논리야.

배경 수치도 짚고 갈게. 반디지털증오센터(CCDH)의 조사에 따르면 그록은 11일 동안 약 300만 장의 성적 이미지를 생성했고, 그중 약 2만 3,000장이 아동을 묘사한 것으로 추정됐어. 이 숫자가 개별 피해 구제로는 감당이 안 되는 규모라는 점이, 아사토 측이 '기술 조치 명령'으로 방향을 튼 이유를 설명해줘.

왜 데이터보호법이 더 강한 무기인지도 조금 더 풀어볼게. 명예훼손으로 가면 다퉈야 할 게 많아져. 조작된 이미지가 사실의 적시인지, 합리적인 사람이 이를 진실로 받아들일지, 원고의 평판이 실제로 훼손됐는지. 하나하나가 입증 부담이야. 반면 데이터보호 축은 질문이 훨씬 단순해. 본인의 개인정보가 처리됐는가, 그 처리에 적법한 근거가 있었는가. 얼굴은 개인을 특정하는 정보이고, 그걸로 이미지를 생성한 건 처리에 해당해. 동의가 없었다는 것도 다툼의 여지가 적어. 원고 대리인이 데이터 권리 전문 로펌인 것도 이 전략과 맞물려 있어.

그리고 데이터보호 축에는 실무적 이점이 하나 더 있어. GDPR 계열 법제는 '반대할 권리'와 '삭제할 권리'뿐 아니라 사전 조치 의무까지 포함한다는 점이야. 사후 배상만 다투는 구조가 아니라서, 예방 조치를 구하는 이번 신청과 논리적으로 잘 맞아떨어져.

각자 뭘 얻나 (그리고 뭘 잃나)

아사토 측이 노리는 것은 개인 구제를 넘어선 선례야. 삭제 명령은 이미 받을 수 있고, 손해배상도 액수가 크지 않을 가능성이 높아. 진짜 목표는 "AI 개발자가 설계 선택에 대해 법적 책임을 진다"는 원칙을 판결문에 남기는 것이야. 이 원칙이 서면 이후 유사 사건에서 원고들이 훨씬 유리해져.

xAI가 방어해야 하는 것은 훨씬 근본적인 지점이야. 만약 법원이 "특정 인물에 대한 이미지 생성을 영구적으로 차단하라"고 명령하면, 그건 모델 가중치나 필터 계층에 개인별 차단 목록을 유지하라는 요구가 될 수 있어. 기술적으로 완전한 차단은 어렵고, 우회 시도는 계속 나와. 회사 입장에서는 이행 불가능한 명령이라고 다툴 여지가 있어. 반대로 원고 측은 "완전할 필요는 없고 합리적 노력이면 된다"고 반박하겠지. 이 공방이 사건의 기술적 핵심이 될 거야.

기술적으로 무엇이 가능한지도 짚어둘 필요가 있어. 특정 인물의 이미지 생성을 막는 방법은 대략 세 가지야. 입력 프롬프트에서 이름을 걸러내는 방식, 출력 이미지를 얼굴 인식으로 검사해 차단하는 방식, 그리고 학습·파인튜닝 단계에서 해당 인물 관련 표현을 제거하는 방식. 앞의 둘은 구현이 쉽지만 우회도 쉬워. 이름 대신 묘사를 쓰거나 철자를 비틀면 뚫려. 세 번째는 근본적이지만 비용이 크고 완전하지 않아. 어떤 방식도 100%는 아니라는 게 이 쟁점의 핵심이고, 그래서 법원이 요구할 기준을 '완전 차단'으로 잡느냐 '합리적 노력'으로 잡느냐가 결론을 가르게 돼.

규제 당국이 얻는 것은 사법적 뒷받침이야. 오프콤은 이미 1월부터 온라인안전법 위반 여부를 조사 중이고, EU와 아일랜드도 각각 절차를 열었어. 규제 절차는 시간이 오래 걸리고 결과가 행정 제재에 그치는 경우가 많은데, 민사 판결이 먼저 나오면 규제 당국의 논거가 단단해져.

그런데 이 사건의 구조적 약점도 있어. 원고는 영국 의원이고 최상위 변호인단을 갖췄어. CCDH가 집계한 300만 장의 이미지에 등장한 사람들 대부분은 그런 자원이 없어. 선례가 만들어진다 해도, 그 선례를 활용하려면 고등법원 소송을 감당할 수 있어야 해. 개인 소송이 대규모 자동 생성 문제의 해법이 되기 어렵다는 지적은 타당해. 결국 규제와 입법이 따라와야 하는 사안이고, 이 소송의 실질적 가치는 그 입법 논의에 판례라는 재료를 공급하는 데 있을 가능성이 커.

과거에 이런 소송은 어떻게 됐나

기술적 조치를 명령한 선례는 이미 있어. 인터넷 서비스 사업자에 대한 차단 명령이 대표적이야. 영국 법원은 저작권 침해 사이트에 대한 접속 차단을 ISP에 명령해왔고, 유럽사법재판소도 유사한 명령의 적법성을 다뤄왔어. 핵심 법리는 **"완벽할 필요는 없고, 침해를 실질적으로 어렵게 만들면 된다"**였어. 아사토 측이 이 법리를 AI 모델에 끌어오려 할 가능성이 높아.

반대로 한계를 보여준 사례도 있어. 검색 결과 삭제를 다룬 '잊힐 권리' 판결 이후 실제 집행 과정은 지난했어. 삭제 요청은 폭증했고, 사업자가 자체 판단으로 처리하면서 기준의 일관성 문제가 계속 제기됐지. 개인별 차단 목록 방식이 규모에서 무너진다는 걸 보여준 사례야. 그록에 대한 명령이 나와도 같은 문제를 만날 가능성이 커.

그리고 가장 직접적인 참고 사례는 딥페이크 형사 입법이야. 영국은 동의 없는 AI 딥페이크 제작을 범죄화하는 법을 도입했어. 그런데 형사법은 제작자를 처벌하지 도구를 규율하지는 않아. 익명 사용자 수만 명을 개별 처벌하는 건 현실적으로 불가능하고, 그래서 책임의 화살이 도구 제공자 쪽으로 향하기 시작한 거야. 이번 소송은 그 전환의 시험대야.

또 하나. 플랫폼 면책 논리의 적용 가능성이 쟁점이 될 거야. 전통적으로 플랫폼은 사용자가 올린 콘텐츠에 대해 폭넓은 면책을 받아왔어. 그런데 그록은 사용자가 업로드한 게 아니라 제품 자체가 생성해. 아사토 측 주장의 힘이 여기서 나와. "설계 선택"이라는 표현을 반복하는 이유도 이 구분을 부각하기 위해서야. 생성형 AI가 기존 플랫폼 면책 틀에 들어맞지 않는다는 점은 여러 나라에서 동시에 제기되고 있는 문제고, 이 사건은 그 질문에 대한 초기 답 중 하나가 될 수 있어.

다른 진영은 어떻게 움직일까

오프콤과 영국 정부는 이미 강경 노선이야. 1월 12일 개시된 조사는 X가 온라인안전법상 의무를 지켰는지, 특히 중대한 서비스 변경 전에 요구되는 위험 평가를 실제로 수행했는지를 본다고 명시했어. 이 지점이 중요해. "결과가 나빴다"가 아니라 **"사전 절차를 밟았느냐"**를 묻는 구조라 입증이 상대적으로 쉽거든. 벌금과 서비스 제한까지 논의된 상태야.

EU와 아일랜드는 각각 디지털서비스법과 GDPR 축으로 접근하고 있어. 아일랜드 DPC는 xAI의 유럽 데이터 처리 감독 당국 역할을 하게 되는 구조라 실질적 영향력이 커.

다른 프런티어 랩들은 이번 사안에서 조용히 반사이익을 보고 있어. 오픈AI·구글·앤스로픽은 인물 이미지 생성에 훨씬 강한 제약을 걸어왔고, 그 제약이 그동안 "지나치게 보수적"이라는 비판을 받아왔거든. 그록 사태는 그 보수성이 규제 리스크 관리였음을 보여주는 사례가 됐어. 앞으로 기업 고객 영업에서 **"우리는 이런 사고가 구조적으로 불가능하다"**가 판매 논거가 될 가능성이 커.

아동 관련 콘텐츠는 별도 축이야. CCDH 집계에서 아동을 묘사한 이미지가 약 2만 3,000장으로 추정됐다는 부분은 민사 소송과 다른 차원의 문제야. 대부분의 나라에서 이 영역은 형사법과 즉시 삭제 의무가 걸리고, 플랫폼 면책 논리도 잘 통하지 않아. 오프콤 조사 대상에 아동 성착취물이 명시된 것도 그래서고. 민사 소송이 몇 년 걸리는 동안 실제 제재는 이 축에서 먼저 나올 가능성이 커.

xAI 쪽 대응은 두 갈래로 보여. 하나는 법정에서 이행 가능성과 관할을 다투는 것. 다른 하나는 제품 업데이트야. 머스크는 그록 4.6이 수주 내에, 이어 4.7이 나온다고 언급했어. 신규 버전에서 안전장치가 강화되면 회사는 "이미 자발적으로 조치했으니 명령이 불필요하다"고 주장할 수 있어. 소송 전략상 흔히 쓰이는 방식이야.

한국 상황도 참고할 만해. 한국은 성폭력처벌법에 허위영상물 제작·유포에 대한 처벌 조항을 두고 있고, 최근 몇 년간 딥페이크 피해 신고가 급증하면서 관련 규제 논의가 이어져 왔어. 다만 한국도 초점은 제작·유포자 처벌과 플랫폼의 삭제 의무에 맞춰져 있어. 도구를 만든 회사에 설계 책임을 묻는 구조는 아직 정착되지 않았지. 영국에서 이번 판결이 나오면 국내 논의에도 참고 자료로 들어올 가능성이 커. 특히 해외 서비스가 국내 이용자에게 피해를 입혔을 때 관할과 집행을 어떻게 할 것인지는 어느 나라에나 공통된 난제야.

그리고 오픈소스 이미지 모델이라는 근본적 변수가 남아. 상용 제품을 규제해도 로컬에서 돌아가는 오픈 모델은 규제 대상이 되기 어려워. 이 소송이 이겨도 문제 전체가 해결되지는 않는다는 뜻이야. 다만 규모의 차이는 있어. 수억 명이 쓰는 앱의 기본 기능과, 직접 세팅해야 하는 로컬 모델은 도달 범위가 완전히 달라.

그래서 뭐가 달라지는데

AI 제품을 만들고 있다면, 이번 사건에서 실무적으로 가져갈 건 사전 위험 평가 문서야. 오프콤 조사의 핵심 질문이 "중대한 변경 전에 위험 평가를 했느냐"라는 점을 봐. 결과가 나쁘게 나왔을 때 방어의 시작은 성능 지표가 아니라 평가를 했고 기록이 남아 있다는 사실이야. 이미지·영상 생성 기능을 붙이는 팀이라면 특히 그래.

법무·컴플라이언스 쪽이라면, 주목할 건 청구 원인의 선택이야. 명예훼손이 아니라 데이터보호법과 사생활 정보 오용을 골랐어. 생성형 AI로 인한 개인 피해를 다룰 때 이 조합이 유효한 경로로 정착할 가능성이 높아 보여.

AI 안전 논의를 따라가고 있다면, 이 사건은 '안전'이라는 말의 초점이 어디에 있는지를 다시 보게 해. 프런티어 랩들의 안전 담론은 대체로 모델의 위험한 능력, 통제 상실, 오남용 가능성 같은 큰 이야기에 맞춰져 있어. 그런데 실제로 지금 법정에 올라온 피해는 훨씬 구체적이고 일상적인 것이야. 추상적 위험을 논의하는 동안 구체적 피해가 먼저 도착했다는 게 이 사건의 또 다른 함의야.

개인 사용자라면, 현실적으로 알아둘 건 이거야. 이미 만들어진 이미지의 삭제는 상대적으로 받기 쉬운데, 생성 자체를 막는 건 아직 법적으로 확립되지 않았어. 이번 판결이 그 경계선을 정하게 돼.

제품 관리자라면, 이 사건이 던지는 실무 질문은 "우리 제품에서 가장 나쁜 사용 사례가 무엇이고, 그게 기본 설정에서 얼마나 쉬운가"야. 그록이 표적이 된 건 그 사용이 가능해서가 아니라 기본값에서 쉬웠기 때문이야. 같은 기능이라도 마찰을 어디에 두느냐가 법적 노출을 크게 바꿔.

AI 정책을 보고 있다면, 이 사건의 의미는 책임의 위치 이동이야. 지금까지 딥페이크 대응은 만든 사람을 처벌하는 방식이었는데, 도구가 대량 자동 생성을 가능하게 하면서 그 방식이 규모에서 무너졌어. 도구 제공자에게 설계 책임을 묻는 구조가 성립하는지가 지금 시험대에 올라 있어.

그냥 뉴스로 보는 사람이라면, 기억할 문장은 원고의 말 그대로야. "사고도 오용도 아니라 설계 선택이었다." 이 소송이 다투는 건 나쁜 사용자가 아니라 그런 사용을 가능하게 만든 제품 결정이야.

🥄 남은 궁금증 세 가지

— 법원이 진짜 "이 기능 막아라"라고 명령할 수 있어? 전례가 아예 없진 않아. 영국 법원은 ISP에 침해 사이트 차단을 명령해온 이력이 있고, 그 법리는 "완벽하지 않아도 실질적으로 어렵게 만들면 된다"는 거였어. 다만 그건 접속 차단이고 이번은 모델의 생성 능력이라 성격이 달라. xAI는 이행 불가능성을 다툴 거고, 이 쟁점이 사건의 기술적 핵심이 될 거야.

— 이미 이미지가 삭제됐는데 왜 소송을 계속해? 삭제는 이미 만들어진 것만 없애기 때문이야. 원고 측 논리는 명확해. 도구가 그대로면 내일 다시 만들어진다는 거지. 그래서 요구가 '삭제'에서 '생성 차단'으로 옮겨간 거고, 이 차이가 이번 사건의 전부야.

— 다른 AI도 이런 문제 있는 거 아니야? 정도가 달라. 주요 상용 모델 대부분은 실존 인물의 성적 이미지 생성에 강한 제약을 걸어두고 있고, 그 제약 때문에 "너무 보수적"이라는 비판도 받아왔어. 그록이 표적이 된 건 제약이 느슨한 상태로 수억 명이 쓰는 앱에 기본 탑재됐기 때문이야. 다만 로컬에서 돌리는 오픈 모델까지 규제로 막기는 어렵다는 점은 이 소송이 이겨도 남는 문제야.

참고 자료

소송은 진행 중이고 사실관계·절차는 법원 판단에 따라 달라질 수 있어.