EU '챗 컨트롤'법, 밀실에서 다시 부활하나 — 모든 메신저를 스캔하겠다는 발상

'아동 보호'라는 명분, 그런데 모든 메시지를 들여다본다면

EU(유럽연합)에서 'Chat Control(챗 컨트롤)'이라 불리는 법안이 다시 추진되고 있어요. 정식으로는 아동 성착취물(CSAM) 탐지 규정인데요. 명분은 '온라인에서 아동 성착취물 유통을 막자'예요. 누가 봐도 옳은 목적이죠. 문제는 그걸 이루겠다는 방법이에요. 모든 메신저 앱(WhatsApp, Signal, 텔레그램 등)이 사용자가 주고받는 메시지와 사진을 의무적으로 스캔하도록 강제하겠다는 거거든요. 이번에 특히 우려가 큰 건, 이 민감한 논의가 공개 토론이 아니라 사실상 비공개(밀실) 협상으로 굴러가고 있다는 점이에요. 여러 차례 무산됐던 안이 슬그머니 되살아나는 모양새라, 프라이버시 진영이 다시 반대 운동에 불을 붙이고 있습니다.

핵심은 '클라이언트 사이드 스캐닝'이에요

여기서 꼭 알아야 할 기술이 두 개 있어요. 먼저 E2EE(종단간 암호화)인데요, 이게 뭐냐면 보내는 사람과 받는 사람만 내용을 읽을 수 있고 중간의 서버 운영사조차 못 들여다보게 암호로 잠가두는 방식이에요. 우리가 메신저를 믿고 쓰는 이유의 핵심이죠.

그런데 챗 컨트롤이 요구하는 건 '클라이언트 사이드 스캐닝(CSS)'이에요. 이게 뭐냐면, 메시지가 암호로 잠기기 '직전'에 바로 당신 휴대폰 안에서 내용을 미리 검사하는 거예요. 암호화 자체는 안 깨지만, 잠그기 전에 이미 다 들여다보니까 사실상 E2EE의 약속을 우회하는 셈이죠. 검사 방식은 알려진 불법 이미지와 대조하는 해시 매칭, 그리고 새로운 의심 콘텐츠를 잡아내는 AI 분류기를 섞어 씁니다.

왜 위험하다고 하냐면

첫째, AI 분류기는 오탐(false positive)을 피할 수 없어요. 가족끼리 보낸 아기 목욕 사진 같은 게 잘못 걸리면, 평범한 사람의 사적 대화가 당국에 통째로 넘어갈 수 있죠. 둘째, 한 번 '모든 기기에 검사 장치를 심는' 인프라가 깔리면, 검사 대상이 슬그머니 늘어나는 건 시간문제예요(오늘은 아동 보호, 내일은 정치적 콘텐츠). 셋째, 보안 전문가들이 한목소리로 지적하듯, 이건 결국 모든 기기에 백도어(뒷문)를 심는 것과 같아서 시스템 전체를 더 취약하게 만들어요.

업계는 이미 한 번 겪었어요

사실 비슷한 일이 있었죠. 애플이 2021년에 기기 내 CSAM 스캐닝을 도입하겠다고 했다가, 거센 반발에 결국 계획을 접었어요. Signal과 WhatsApp은 '그런 법이 통과되면 우리는 차라리 유럽에서 서비스를 접겠다'고 강하게 맞섰고요. 영국의 온라인 안전법(Online Safety Act)에서도 같은 논쟁이 벌어졌습니다. 암호학자 수백 명이 '기술적으로 안전한 클라이언트 사이드 스캐닝은 존재하지 않는다'는 공개서한을 낸 적도 있어요.

한국 개발자에게 주는 의미

메신저나 통신 앱을 만드는 분이라면 강 건너 불이 아니에요. E2EE를 설계 철학으로 삼느냐 마느냐, 규제가 들어왔을 때 '우리는 기술적으로 못 들여다본다'고 말할 수 있는 구조를 갖췄느냐가 곧 사업의 운명을 좌우하니까요. 한국도 통신 감청·실명제 같은 논의를 오래 겪어왔기에, 이 사안은 남 일이 아닙니다. '프라이버시 바이 디자인(처음부터 사생활 보호를 전제로 설계)'이라는 원칙을 평소 코드에 어떻게 녹일지 고민해둘 필요가 있어요.