불과 1년 남짓 사이에, 온라인에서 나이를 확인하는 일은 아무 생각 없이 누르던 체크박스에서 수백만 달러 벌금이 걸린 법적 의무로 바뀌었다. 2025년 12월 10일, 호주는 세계 최초로 16세 미만의 소셜미디어 계정을 국가 차원에서 금지했다 [출처: eSafety Commissioner, 2025]. 그보다 다섯 달 앞선 2025년 7월 25일, 영국은 성인물을 비롯한 고위험 콘텐츠에 "매우 효과적인 연령 확인"을 시행하기 시작했다 [출처: Ofcom, 2025]. 유럽연합 집행위원회(European Commission)는 공용 연령확인 앱 설계도를 공개했고 [출처: European Commission, 2025], 미국에서는 연방대법원이 수십 년 만에 처음으로 주(州)의 연령확인 의무를 합헌으로 인정했다 [출처: U.S. Supreme Court, 2025].
인터넷이 30년 동안 피해 온 사안치고는 놀랄 만큼 빠른 움직임이다. 동시에 이 논쟁은 서로 딴 이야기를 하기 쉬운 주제이기도 하다. 성격이 전혀 다른 두 질문이 뭉뚱그려지기 때문이다. 하나는 법이 '통과'됐는지와 실제로 '작동'하는지의 구분이고, 다른 하나는 아동 보호가 모두의 나이를 확인하는 데 드는 프라이버시·표현의 자유 비용을 정당화하는가의 문제다. 이 글은 그 갈래를 분리해 두려 한다. 새 규제가 실제로 무엇을 규정하는지, 지금까지의 근거가 무엇을 보여 주는지, 그 바탕의 기술이 실제로 얼마나 정확한지를 나눠 살핀다.
이 글에서 다룰 내용은 다음과 같다.
- 1년 남짓 만에 쏟아진 규제의 벽
- '법이 통과됐다'가 '법이 작동한다'와 다른 이유
- 반대편 장부: 프라이버시, 표현의 자유, 데이터
- 기술이 15세와 16세를 구별할 수 있는가
- 앞으로 무엇을 지켜볼 것인가
1년 남짓 만에 쏟아진 규제의 벽
2025~2026년의 두드러진 점은 한 나라가 움직였다는 사실이 아니라, 여러 주요 관할권이 동시에 나섰고 그 설계가 서로 눈에 띄게 달랐다는 데 있다.
호주: 세계 최초의 16세 미만 금지
호주는 가장 멀리 나아갔다. 온라인안전개정법(Online Safety Amendment (Social Media Minimum Age) Act 2024)에 따라 '연령 제한 소셜미디어 플랫폼'은 16세 미만의 계정 생성·유지를 막기 위한 "합리적 조치(reasonable steps)"를 취해야 하며, 이는 2025년 12월 10일부터 시행됐다 [출처: eSafety Commissioner, 2025]. 시행 시점에 지목된 플랫폼에는 페이스북(Facebook), 인스타그램(Instagram), 스레드(Threads), 틱톡(TikTok), 스냅챗(Snapchat), 레딧(Reddit), 엑스(X), 유튜브(YouTube), 트위치(Twitch), 킥(Kick)이 포함된다 [출처: eSafety Commissioner, 2025]. 조직적 미준수에는 최대 5,000만 호주달러(약 3,300만 미국달러)의 벌금이 부과될 수 있다 [출처: eSafety Commissioner, 2025].
두 가지 설계 선택이 중요하다. 첫째, 이 법은 금지를 우회한 아동이나 부모에게는 벌금을 물리지 않는다. 의무는 전적으로 플랫폼에 있다 [출처: NPR, 2025]. 둘째, 이 법은 나이를 증명하는 유일한 방법으로 정부 발급 신분증이나 인증된 디지털 ID를 제출하도록 강요하는 것을 명시적으로 금지한다. 신분증을 선택지로 제공하더라도 "합리적 대안"이 반드시 함께 있어야 한다 [출처: eSafety Commissioner, 2026]. 규제 당국은 단일 신분증 확인이나 맨몸의 자기신고 어느 쪽도 아닌, 여러 단계를 겹치는 "연속 검증(successive validation)" 또는 "폭포수(waterfall)" 방식을 기대한다 [출처: eSafety Commissioner, 2026].
영국: "매우 효과적인 연령 확인"
영국은 콘텐츠 기반의 길을 택했다. 2025년 7월 25일부터, 포르노나 아동에게 유해하다고 판단되는 콘텐츠를 담은 서비스는 온라인안전법(Online Safety Act)에 따라 "매우 효과적인 연령 확인(highly effective age assurance)"을 적용해야 한다 [출처: Ofcom, 2025]. 규제기관 오프컴(Ofcom)은 한 가지 방법을 강제하지 않는다. 대신 자격을 갖출 수 있는 방법의 비확정 목록을 제시하는데, 얼굴 나이 추정, 사진-신분증 대조, 오픈뱅킹, 이동통신망 확인, 신용카드 확인, 디지털 신원 서비스 등이 여기에 든다. 그리고 어떤 방법이든 기술적으로 정확하고, 견고하며, 신뢰할 수 있고, 공정해야 한다고 규정한다 [출처: Ofcom, 2025]. "나는 18세다"라고 스스로 체크하는 방식은 더 이상 인정되지 않는다. 벌금은 최대 1,800만 파운드 또는 전 세계 매출의 10%에 이르며, 최후 수단으로 법원 명령에 의한 접속 차단이 있다 [출처: Ofcom, 2025].
유럽연합: 프라이버시 우선 설계도
유럽연합의 접근은 프라이버시 공학에 가장 크게 기댄다. 2025년 7월 14일, 유럽연합 집행위원회는 미성년자가 접근할 수 있는 플랫폼에 높은 수준의 프라이버시·안전·보안을 요구하는 디지털서비스법(Digital Services Act, DSA) 제28조 1항을 뒷받침하기 위해, 화이트라벨 연령확인 "설계도(blueprint)"—흔히 '미니 지갑'이라 불린다—를 공개했다 [출처: European Commission, 2025]. 핵심은 데이터 최소화다. 이용자는 이름이나 생년월일 등 다른 정보를 전혀 드러내지 않고도 18세 이상임을 증명할 수 있고, 그 증명을 발급한 주체는 그것이 어느 웹사이트에서 쓰였는지 통보받지 않는다 [출처: European Commission, 2025]. 곧 나올 EU 디지털 신원지갑(EU Digital Identity Wallet)과 같은 규격 위에 지어졌으며, 덴마크·프랑스·그리스·이탈리아·스페인이 먼저 시범 도입하고 있다 [출처: European Commission, 2025].
미국: 연방대법원의 판단
미국의 변화는 법원을 통해 왔다. 2025년 6월 27일, 프리스피치연합 대 팩스턴(Free Speech Coalition v. Paxton) 사건에서 연방대법원은 콘텐츠의 3분의 1 이상이 "미성년자에게 유해한 성적 표현물"인 사이트가 방문자의 나이를 확인하도록 한 텍사스주 법(H.B. 1181)을 6 대 3으로 합헌 판단했다 [출처: U.S. Supreme Court, 2025]. 결정적으로 다수의견은 엄격심사(strict scrutiny)가 아니라 중간심사(intermediate scrutiny)를 적용했다. 이는 그런 법을 유지하기 더 쉽게 만드는 낮은 헌법적 문턱이자, 종전 판례에서 벗어난 것이다 [출처: Congressional Research Service, 2025]. 케이건(Kagan) 대법관이 집필하고 소토마요르(Sotomayor)·잭슨(Jackson) 대법관이 가담한 반대의견은, 이 법이 콘텐츠 기반이므로 엄격심사를 받아야 한다고 보며 성인의 보호받는 표현에 대한 부담을 경고했다 [출처: U.S. Supreme Court, 2025]. 20개가 넘는 주가 비슷한 법을 두고 있어, 이 판결의 파장은 텍사스를 훌쩍 넘어선다 [출처: Congressional Research Service, 2025].
'법이 통과됐다'가 '법이 작동한다'와 다른 이유
이 무더기 법들을 문제가 해결되고 있다는 증거로 읽고 싶은 유혹이 있다. 바로 그 지점에서 신중함이 필요하다. 법을 통과시킨 것은 사실이고, 아동에 대한 해악을 줄이는 것은 주장이다. 둘을 뭉뚱그려서는 안 된다.
지금까지의 근거로 보면 그 주장은 아직 결론이 나지 않았다. 2026년 5월 학술지 프런티어스(Frontiers)에 글을 실은 연구진은 소셜미디어 연령 제한이 청소년의 안녕을 개선한다는 직접적 증거가 거의 없다고 지적했고, 정작 이 금지의 표적인 16세 미만을 포함한 제한 실험은 단 하나도 없었다는 점을 짚었다 [출처: Frontiers, 2026]. 존재하는 연구들도 효과가 약하고 엇갈리며, 상당수는 이득이 없거나—단절로 외로움이 커지는 등—오히려 해가 있다고 보고한다. 연구진의 직설적 요약은 이렇다. "우리는 청소년 정신건강 위기를 금지로 빠져나올 수 없다" [출처: Frontiers, 2026].
초기의 현실 신호도 비슷하게 조심스럽다. 호주 시행을 살핀 분석가들은 아동의 큰 다수가—널리 인용되는 수치는 약 85%다—2025년 12월 금지 직후에도 여전히 제한 대상 플랫폼에 접근하는 것으로 보였고, 어린 이용자들이 실제로 사용을 멈췄다는 징후는 거의 없었다고 전했다 [출처: The Conversation, 2026]. 이 중 어느 것도 법이 무용하다는 증명은 아니다. 시행은 이제 막 시작됐고 행동은 달라질 수 있다. 다만 이는 "수백만 개의 계정이 삭제됐다"—호주 플랫폼들이 초기 몇 주 만에 약 470만 개의 16세 미만 계정 접근을 제한했다 [출처: eSafety Commissioner, 2026]—는 것이 결과가 아니라 활동을 측정한다는 뜻이다. 계정 하나가 삭제된 것과 아동 하나가 더 안전해지거나 해악 하나가 피해진 것은 같지 않으며, 정직한 평가라면 그 둘을 갈라 놓아야 한다.
이 중 무엇도 법을 낳은 근본적 우려를 없애지는 않는다. 소셜미디어가 수면·집중력·정신건강에 미치는 영향에 대한 부모의 걱정은 실재하고 널리 공유되며, 조치를 바라는 여론도 커지고 있다—다음 절에서 보듯이. 요점은 더 좁다. 법의 시행은 근거의 끝이 아니라 시작이라는 것이다.
반대편 장부: 프라이버시, 표현의 자유, 데이터
'무언가를 하자'는 데 대한 지지는 폭넓다. 퓨리서치센터(Pew Research Center)가 2026년 5월 26일부터 6월 1일까지 미국 성인 9,750명을 조사한 결과, 56%가 16세 미만의 소셜미디어 이용을 전면 금지하는 데 찬성했다. 85%는 미성년자에 대한 부모 동의 요구에 찬성했고(2023년 81%에서 상승), 78%는 플랫폼 이용 전 연령 확인에 찬성했다(71%에서 상승) [출처: Pew Research Center, 2026]. 이는 진짜 대중적 지지이며, 이 논쟁이 변방의 관심사가 아닌 이유다.
그러나 모두의 나이를 확인하는 일에는 성인과 아동 모두에게 돌아가는 비용이 따르고, 시민자유 단체들은 그 비용이 과소 계상되고 있다고 주장한다. 전자프런티어재단(Electronic Frontier Foundation, EFF)은 이렇게 잘라 말한다. "모든 연령확인 시스템은 본질적으로 감시 시스템이다." 누가 충분히 나이가 들었는지 확인하는 장치가, 누가 무엇을 방문했는지 기록하는 장치가 될 수도 있기 때문이다 [출처: Electronic Frontier Foundation, 2025]. 익명으로 읽고 말할 자유는—감시받지 않고 정보를 찾게 해 주기에 오랫동안 보호받아 왔다—신원 증명을 먼저 요구하는 관문 앞에서 더 어려워진다.
데이터 보안 위험은 가정이 아니다. 한 연령확인 절차와 얽힌 유출 사고로 정부 발급 신분증 이미지 약 7만 건이 노출됐는데, 이는 훨씬 큰 규모로 탈취된 데이터의 일부였다 [출처: Electronic Frontier Foundation, 2026]. 불편하지만 단순한 논리다. 서비스가 수집하도록 요구받는 민감한 신원 데이터가 많을수록, 그 서비스는 더 크고 더 매력적인 표적이 된다. EU 설계도의 데이터 최소화 설계—나이만 증명—와 호주의 정부 신분증 강요 금지가 주목되는 이유가 바로 이것이다. 벌집(honeypot)을 짓지 않고 안전이라는 이득을 얻으려는 시도이기 때문이다. 모든 구현이 그 기준에 부합하는지는 열린 질문이다.
팩스턴 판결의 반대의견이 짚은 표현의 자유 차원도 있다. 성인에게 합법인 콘텐츠에 나이 관문을 세우면, 성인마저 그 접근 자체를 꺼리게 만들 수 있다. 이 입장들을 함께 붙드는 공정한 길은, 양쪽이 모두 실재함을 받아들이는 것이다—아동 보호라는 이익과 프라이버시·표현이라는 비용. 그리고 각 시스템을, 어느 한쪽이 허구인 척하는 대신, 첫째를 얼마나 잘 실현하면서 둘째를 얼마나 잘 줄이는지로 평가하는 것이다.
기술이 15세와 16세를 구별할 수 있는가
정책의 바닥에는 흔히 손사래 치며 넘어가는 공학적 질문이 놓여 있다. 시스템은 실제로 누군가의 나이를 얼마나 정확히 추정할 수 있는가? 여기서는 마케팅 주장과 측정된 성능이 갈리므로, 업체 브로슈어가 아니라 독립적 시험을 보는 편이 낫다.
미국 국립표준기술연구소(NIST)는 연령 추정·확인을 위한 상시 벤치마크인 얼굴분석기술평가(Face Analysis Technology Evaluation, FATE)를 운영한다 [출처: NIST, 2026]. 결과는 나아지고 있지만, 이 논쟁에 중요한 단서가 붙는다. NIST는 평균절대오차(MAE)가 대략 3.5년을 넘으면 주의가 필요한 수준으로 표시하며, 선도적인 알고리즘조차 몇 년의 오차 범위를 지니는데 이 오차는 문턱 나이 부근에서 커지고 지역·성별 등 인구집단에 따라 다르다 [출처: NIST, 2026]. 몇 년의 오차 범위는 어떤 사람이 8세인지 40세인지 가늠할 때는 사소하지만, 법적 경계선이 정확히 16세나 18세일 때는 결정적이다. 그리고 이 법들이 선을 긋는 지점이 바로 거기다.
실질적 결과는 양방향으로 나타난다. 오차 범위가 있다는 것은 일부 미성년 이용자는 통과되고(허위 승인) 일부 성인은 잘못 차단된다(허위 거부)는 뜻이다. 오프컴이나 호주 eSafety 같은 규제 당국이 어떤 단일 방법도 맹신하지 않고 여러 단계를 겹치는 "폭포수" 확인을 밀어붙이는 이유가 이것이다 [출처: eSafety Commissioner, 2026]. 그리고 의도적 우회가 있다. 영국의 2025년 7월 규제가 발효된 지 몇 시간 만에, 프라이버시 기업 프로톤(Proton)은 영국 VPN 가입이 1,400% 넘게 급증했다고 밝혔다. 이용자들이 다른 나라에서 접속하는 것처럼 보이게 하는 도구를 쓴 것이다 [출처: Proton, 2025]. VPN이 나이 추정 자체를 무력화하지는 않지만, 지역 단위로 적용되는 규제를 통째로 비껴간다. 문서상 강력한 확인도 실제로는 우회될 수 있음을 일깨우는 대목이다.
이 중 무엇도 연령 확인이 무가치하다는 뜻은 아니다. 잘 설계된 다층 시스템은 마찰을 유의미하게 높인다. 다만 정직한 표현은 확률적이라는 것이다. 이 도구들은 확률을 바꿀 뿐 생일에서 깔끔하게 선을 긋지 못하며, 그렇지 않다고 가정하는 정책은 과잉 약속을 하게 된다.
앞으로 무엇을 지켜볼 것인가
앞으로 2년은 많은 이론을 데이터로 바꿔 놓을 것이다. 눈여겨볼 만한 몇 가지가 있다.
- 계정 수가 아니라 결과. 플랫폼이 계정을 몇 개 삭제했는지가 아니라, 청소년의 안녕과 실제 접근을 측정하는 독립적·종단적 연구를 지켜보라. eSafety에 대한 호주의 월별 보고가 초기 시험대다.
- 프라이버시 보존 설계가 이기는가. EU 미니 지갑과 호주의 신분증 강요 금지 규정은, 신원 데이터를 쌓아 두지 않고도 나이를 확인할 수 있다는 데 건 베팅이다. 데이터를 많이 모으는 쉬운 길을 택한 서비스에서 유출이 계속된다면, 데이터 최소화 방식으로 표준화하라는 압력이 커질 것이다.
- 미국에서 법적 경계가 어디에 정착하는가. 팩스턴 이후 싸움은 중간심사가 어디까지 늘어나는지로 옮겨 간다. 성인 콘텐츠에 국한될지 아니면 일반 소셜미디어로 확장될지, 그리고 이미 존재하는 20여 개 주법을 하급심이 어떻게 다룰지가 관건이다.
- 우회를 하나의 지표로. VPN 채택률, 나이 추정의 허위 승인율, 미성년 이용의 지속성은 모두 측정 가능하다. 이 수치들이 높게 유지된다면, "법이 통과됐다"와 "법이 작동한다"는 여전히 다른 두 문장으로 남을 것이다.
흐름의 방향은 분명하다. 온라인에서 나이를 확인하는 일은 예외가 아니라 기본값이 되어 가고 있으며, 인터넷을 좀처럼 발맞춰 규제하지 않는 민주주의 국가들 전반에서 그렇다. 아직 분명하지 않은 것은, 이 세대의 규제가 사회가 받아들일 만하다고 판단하는 프라이버시·표현의 비용을 치르면서 아동을 실제로 지켜 낼지, 아니면 대체로 문제를 이리저리 옮기는 데 그칠지다. 사실과 효과의 근거와 상충관계를 각기 다른 칸에 나눠 두는 것이야말로, 어느 쪽인지 가려낼 유일한 방법이다.