노트

AI 사진 앱과 개인정보 보호법: BIPA, CUBI, GDPR, EU AI법

최종 수정: 2026년 8월 22일

일리노이주, 텍사스주, 워싱턴주, GDPR, EU AI법은 얼굴에 손대는 앱마다 각각 다른 규칙을 정하고 있고, 어겼을 때 치르는 대가도 저마다 다르다.

얼굴을 촬영해 무언가를 그려 넣는 앱에는 다섯 개의 법이 걸린다. 일리노이주는 수집 전에 서면 동의서를 요구한다. 텍사스주와 워싱턴주는 고지를 요구하되 집행은 주 정부에 맡긴다. GDPR은 얼굴 템플릿을 특별 범주 데이터로 다룬다. EU AI법은 2026년 8월 2일부터 완성된 이미지에 기계가 읽을 수 있는 표시를 넣도록 요구한다.

이 중 어느 것도 메이크업 앱을 염두에 두고 만든 법은 아니지만, 지금은 전부 메이크업 앱에도 적용된다.

나에게 어떤 법이 적용될까

이 법들은 문제가 생겼을 때 무엇이 벌어지는지가 서로 다르다. 피해를 입증하지 않아도 받을 수 있는 정액 배상, 입증해야만 받을 수 있는 배상, 규제 당국만 제기할 수 있는 소송, 아니면 개인이 청구할 권리 자체가 없는 경우까지 있다.

일리노이주 BIPA는 얼굴 앱 실행 전에 서면 동의서를 요구할까

그렇다. 다만 정확한 표현은 동의(consent)가 아니라 릴리즈(release)다. 제15조(b)는 민간 기업이 무엇을 수집하고 얼마나 오래 보관하는지 서면으로 고지한 다음, 생체 식별 정보나 생체 정보를 수집하기 전에 서면 릴리즈를 받도록 요구한다. 아무도 읽지 않는 이용약관 화면에 묻혀 있는 동의 체크박스는 이 법이 말하는 것이 아니다. 제10조는 생체 식별 정보를 망막 또는 홍채 스캔, 지문, 음성 지문, 손이나 얼굴 형태 스캔으로 정의하며 사진 자체는 여기서 제외한다. 그 사진에서 추출한 얼굴 형태 스캔은 다른 것이며, 이 법이 규제하는 대상은 바로 그것이다.

보관에는 별도 규정이 있다. 제15조(a)는 수집 목적이 달성되거나, 마지막 상호작용 이후 3년이 지나거나, 둘 중 먼저 오는 시점에 생체 정보를 파기하는 서면 정책을 공개하도록 요구한다. 제15조(c)는 별도로 생체 식별 정보의 판매, 임대, 거래, 영리 이용을 동의 예외 없이 금지한다.

일리노이주는 이 목록 중 규제 당국이 아니라 개인이 직접 소송을 제기할 수 있는 유일한 관할이며, 정액 배상액이 피해 입증과 무관하게 정해지는 유일한 곳이기도 하다. 제20조는 피해를 입은 모든 사람에게 주 법원이나 연방 법원에 소송을 제기할 권리를 준다. 과실 위반에는 1,000달러 또는 실손해액 중 큰 금액을, 고의 또는 무모한 위반에는 5,000달러 또는 실손해액 중 큰 금액을 정액 배상하고 변호사 비용도 지급한다. 2024년 8월 2일 발효된 개정으로 이 배상액이 쌓이는 방식이 좁아졌다. 같은 생체 정보를 같은 수신자에게 반복해서 수집하거나 공개해도 이제는 건마다가 아니라 한 건의 위반으로 계산되며, 이는 스캔 횟수마다 위반으로 보는 해석 때문에 실제 피해보다 훨씬 큰 배상액이 나오던 문제를 막기 위한 것이다.

텍사스주 CUBI는 BIPA와 어떻게 다르고, 그 차이는 왜 중요할까

동의 요건은 비슷해 보인다. 제503.001조는 상업적 목적으로 생체 식별 정보를 수집하기 전에 당사자에게 알리고 동의를 받도록 요구하며, 실종자나 사망자 신원 확인을 위한 동의, 요청받은 거래의 완료, 법적 요건, 법 집행 영장이라는 네 가지 좁은 예외를 제외하면 판매, 임대, 공개를 금지한다. 수집된 식별 정보는 합리적 기간 내, 늦어도 수집 목적이 끝난 후 1년 이내에 파기해야 한다.

텍사스주가 주지 않는 것은 스스로 집행할 방법이다. CUBI에는 개인 소송 제기권이 없다. 오직 텍사스주 검찰총장만 소송을 제기할 수 있고, 벌칙은 위반 1건당 최대 25,000달러의 민사 벌금인데 이는 얼굴을 촬영당한 개인이 아니라 주 정부에 귀속된다. BIPA를 위반한 기업은 자신이 위반한 그 사람들에게 책임을 지지만, CUBI를 위반한 기업은 검찰총장이 들여다보기로 결정할 때만 책임을 진다. 이 차이가 BIPA는 집단소송을 몰고 오고 CUBI는 대체로 그렇지 않은 이유다.

워싱턴주에서는 내 얼굴 정보 때문에 소송을 걸 수 있을까

걸 수 없다. RCW 19.375.020은 기업이 상업적 목적으로 누군가의 생체 식별 정보를 데이터베이스에 등록하기 전에 고지하고, 동의를 받거나 이후 이용을 막을 수단을 제공하도록 요구한다. 이는 BIPA의 서면 릴리즈보다는 낮은 기준이다. 유사한 예외를 제외하면 판매와 공개를 제한하고, 보관은 필요한 만큼으로 한정한다. 하지만 RCW 19.375.030은 이 장이 "오직 검찰총장에 의해서만" 소비자보호법에 따라 집행될 수 있다고 명시한다. 이 법이 개인이 쥔 권리인지, 아니면 주 정부가 언젠가 집행할 수도 있는 규칙인지를 가르는 축에서 워싱턴주는 일리노이주보다는 텍사스주에 가깝다.

GDPR에서 셀피는 생체 정보에 해당할까

경우에 따라 다르며, 표현이 구체적이다. 제4조(14)는 생체 정보를 신체적 특징에 대한 특정 기술적 처리에서 나오는, 고유 식별을 가능하게 하거나 확인해 주는 개인정보로 정의하며 얼굴 이미지를 그 예로 든다. 카메라 롤에 손대지 않고 그냥 담겨 있는 사진도 식별 가능한 개인과 관련되므로 어차피 제4조(1)에 따른 개인정보이지만, 그 사람을 식별할 수 있는 형태, 예를 들어 특정 얼굴에 룩을 매번 정확히 렌더링하기 위해 만든 얼굴 형태 템플릿으로 처리됐을 때 비로소 생체 정보가 된다.

제9조는 고유 식별에 쓰이는 생체 정보를 특별 범주로 다룬다. 예외가 적용되지 않는 한 처리는 금지되며, 소비자 앱에 맞는 예외는 제9조(2)(a)의 명시적 동의로, 제6조가 다루는 일반 개인정보의 통상적 동의보다 기준이 높다. GDPR은 EU 국경에서 멈추지도 않는다. 제3조(2)는 소재지와 무관하게 EU 거주자에게 재화나 서비스를 제공하는 모든 기업에 적용된다. EU에 사무소가 없는 미국 기업도 EU 거주자가 그 제품을 쓰는 순간 이 법의 적용을 받는다.

GDPR은 텍사스주나 워싱턴주와 달리 소송을 허용하지만, BIPA와는 조건이 다르다. 제82조는 정보주체에게 위반으로 인한 물질적 또는 비물질적 손해에 대한 배상 청구권을 주며, 제79조에 따라 법원을 통해 이를 행사한다. BIPA의 1,000달러나 5,000달러 같은 정액 기준은 없다. 청구인은 절차상 흠결만이 아니라 실제 손해를 입증해야 한다.

EU AI법은 AI 사진에 AI라는 표시를 요구할까

2026년 8월 2일부터는 그렇다. 모델을 운영하는 제공자에게 해당하는 이야기다. 제50조(2)는 합성 음성, 이미지, 영상, 텍스트를 생성하는 AI 시스템의 제공자가 결과물을 기계가 읽을 수 있는 형식으로, 인공적으로 생성 또는 조작됐음이 탐지 가능하도록 표시하게 한다. 이 의무는 소비자 앱이 자기 화면에서 스스로 밝히는 것과는 별개로, 모델 제공자의 결과물에 걸리는 것이다. 이 시행일은 제113조에 정해져 있고, 유럽위원회 자체가 밝힌 단계적 시행 일정 요약도 제50조를 포함한 투명성 의무가 2026년 8월 2일부터 적용되며, 생체 인식 시스템의 고위험 이용에 대한 별도 기한은 2027년 12월 2일이라고 확인하고 있다.

관련된 또 다른 의무는 시스템을 만드는 쪽이 아니라 배치하는 쪽에 걸린다. 제50조(4)는 딥페이크에 해당하는 이미지, 음성, 영상 콘텐츠를 생성하거나 조작하는 AI 시스템의 배치자가 그것이 인공적으로 생성 또는 조작됐음을 공개하도록 요구한다. 특정 렌더링 사진이 이 법이 정의하는 딥페이크에 해당하는지는 이 페이지가 판단할 문제가 아니다. 다만 확실한 것은, 모델 제공자에게 걸린 표시 의무가 선택 사항이 아니며, 2026년 8월 2일은 더 이상 미래의 날짜가 아니라는 점이다.

Looksmith가 스스로에 대해 밝히는 것

이 페이지는 얼굴을 촬영하는 앱 전반에 다섯 개 법이 요구하는 내용을 설명할 뿐, Looksmith가 그 요건을 충족하는지에 대한 주장은 아니다. Looksmith는 Mirable Labs, Inc.가 만드는 iOS 앱으로, 곧 출시될 예정이며 아직 출시되지 않았다. 동의, 보관, 공개, 학습 데이터 이용에 관해 Mirable Labs가 밝히는 내용은 개인정보처리방침에, 계정을 규율하는 약관은 /terms에 있다. 이 페이지가 요약한 법 내용을 회사에 대한 요약으로 받아들이지 말고 해당 문서를 직접 읽기를 권한다. 두 문서 중 무엇이든 불명확한 부분이 있으면 /help에서 물을 수 있고, Mirable Labs가 누구인지는 /about에 나와 있다.

다섯 개의 다른 법 아래 흐르는 하나의 패턴

이 다섯 개 법은 모두 같은 질문에 답하되, 규제 대상 기업을 얼마나 신뢰하는지에 따라 답이 달라진다. 일리노이주는 얼굴을 촬영당한 당사자에게 구제 수단을 바로 넘기고, 그 금액은 입증 가능한 피해와 무관하게 정해진다. 텍사스주와 워싱턴주는 같은 구제를 나서서 움직여야만 하는 주 정부 기관을 거치게 한다. GDPR은 통상적인 동의보다 더 많은 것을 요구하면서도, 실제 피해를 입증할 수 있을 때만 소송을 허용한다. EU AI법은 피해가 다운스트림, 즉 누군가 이미지를 보고도 그것이 만들어진 것임을 알아채지 못하는 지점에 있다고 가정하기 때문에, 그 이미지를 만든 거래가 아니라 파일 자체를 규제한다.

앱이 무엇을 해야 하는지만 놓고 보면 이 법들은 다 비슷하게 들린다. 당사자에게 알리고, 무언가를 받아내고, 데이터를 영원히 갖고 있지 말라는 것이다. 하지만 앱이 그렇게 하지 않았을 때 무슨 일이 벌어지는지를 놓고 보면 전혀 비슷하지 않다. 사진을 올리기 전에 따져봐야 할 것은 앞의 읽기가 아니라 뒤의 읽기다.

이 법들 중 앱이 내 얼굴을 오용했을 때 실제로 나를 보호해 주는 것은 무엇일까

일리노이주 BIPA가 가장 강력하다. 여기서 다룬 법 중 피해 입증 없이도 배상하는 유일한 법이기 때문이다. GDPR도 제79조와 제82조를 통해 소송을 허용하지만, 손해를 입증할 수 있어야만 가능하다. 텍사스주와 워싱턴주는 집행 권한을 전적으로 주 검찰총장에게 넘기며, 집행되지 않는 규칙은 보호가 아니라 약속에 불과하다. EU AI법이 보호하는 것은 더 좁다. 당신의 데이터가 아니라 합성 이미지를 실제 이미지와 구별할 수 있는 능력이며, 여기에는 개인 청구권이 따라오지 않는다. 자체 생체정보법이 없는 주에 산다면 이 중 어느 것도 당신을 보호해 주지 않는다는 것도 알아둘 만하다.