Executive Summary

주요 수치

출처: arXiv:2608.12979 §4·§6, EU 이사회

논문이 서두에 놓는 진단은 기술 이야기가 아닙니다. 디지털 콘텐츠의 양과 종류가 늘어나는 동안, 국가별 법적 정의와 분류 관행의 차이가 관할권을 넘는 협력과 자동 처리를 나란히 가로막아 왔습니다. 파일의 해시값은 어느 나라에서 계산해도 같습니다. 그 파일에 무엇이 담겼다고 적어 둔 라벨은 그렇지 않습니다.

차이가 가장 또렷하게 드러나는 자리는 CSAM과 CSEM의 경계입니다. INHOPE의 정의를 따르면 CSAM은 아동이 노골적인 성적 행위에 관여하거나 관여하는 것으로 표현된 이미지와 영상을 가리킵니다. CSEM은 미성년자가 등장하는 착취적이고 성애화된 콘텐츠를 폭넓게 포괄하는데, 그 가운데 상당 부분은 각국 법에서 불법 CSAM으로 분류되지 않을 수 있습니다. 같은 자료가 한 나라에서는 형사 처벌 대상이 되고 다른 나라에서는 판단이 갈리는 상태로 남습니다. PreventCSA@EU가 CSAM을 CSEM의 하위 클래스로 둔 것은 이 어긋남을 지우지 않고 구조 안에 적어 둔 결정입니다.

업계 표준 역시 특정 관할권의 법 위에 서 있습니다. 기술 기업 연합인 테크 코얼리션이 만들어 회원사들이 쓰는 분류 체계는 두 축의 행렬입니다. 한 축은 피해자의 외견상 연령을 나눠 사춘기 이전으로 보이면 A, 18세 미만이되 사춘기 이전은 아닌 것으로 보이면 B로 표시합니다. 다른 축은 묘사된 행위를 나눠 성행위가 포함되면 1, 성행위 자체는 없으나 미국 연방법상 아동 포르노그래피에 해당하는 경우를 2로 둡니다. 미국의 실종·착취아동방지센터에 신고할 때 널리 쓰이는 이 라벨은, 한 나라의 형법 문언이 국제적인 신고 체계의 기본 어휘가 된 사례입니다.

받는 쪽에서 보면 문제는 단순합니다. 넘어온 라벨의 뜻을 자기 체계의 어느 칸에 넣을지 확신할 수 없으면, 자동으로 처리하는 대신 사람이 다시 열어 판정해야 합니다. 탐지 모델을 훈련시킬 데이터셋을 여러 기관에서 모을 때도 같은 문제가 걸립니다. 라벨 체계가 어긋난 채로 합치면 학습 자료 자체가 흔들립니다.

이 문제를 다루는 가장 오래된 실무적 해법은 정의를 통일하는 것이 아니라 교집합만 떼어내는 것이었습니다. 인터폴이 운영하는 국제 아동성착취물 데이터베이스에는 Baseline이라는 분류가 따로 있습니다. 논문이 인용한 인터폴과 ECPAT의 보고서는 이 범주를 만든 이유를 CSAM의 정의가 관할권마다 다르기 때문이라고 명시합니다. 관련 법이 있는 모든 나라에서 예외 없이 불법으로 인정될 자료만 골라 두고, 그 해시값을 업계에 공유해 각자의 시스템에서 탐지하고 삭제하고 신고할 수 있게 하려는 장치입니다.

이 기준이 실린 문서는 인터폴과 ECPAT가 2016년부터 2018년까지 EU 재원으로 수행한 ICSE 데이터베이스 개선 사업의 보고서입니다. 연구진은 데이터베이스에 쌓인 자료 가운데 800개 계열을 무작위로 골라 직접 검토하면서 피해 아동의 연령과 성별, 성적 피해의 정도를 정리했습니다. 계열은 같은 피해자를 담고 있거나 같은 범행 현장에서 나온 자료처럼 수사의 관점에서 의미 있게 묶이는 단위를 말합니다. 논문은 이 보고서가 소개하는 여러 ICSE 용어 가운데 Baseline을 가장 중요한 추가로 꼽습니다.

어떤 자료가 여기에 들어가는지는 세 가지 요건으로 정해져 있고, 셋을 모두 충족해야 합니다.

• 인공적으로 생성된 이미지가 아니라 실존하는 아동을 담고 있을 것
• 사춘기 이전의 아동으로, 사춘기 징후가 없거나 가장 이른 단계에 그치며 12세에서 13세보다 어려 보일 것
• 아동이 성적 행위에 관여하거나 그것을 목격하는 상태이거나, 자료가 아동의 특정 신체 부위를 시각적으로 명백히 강조할 것

기준을 이렇게 좁게 잡은 대가는 분명합니다. Baseline 밖에 놓인 자료는 여전히 나라마다 다르게 판정됩니다. 그럼에도 이 방식이 작동한 이유는 완전한 합의를 기다리지 않고 부분 합의만으로 공유를 시작했기 때문입니다. 전부 맞추지 못해도 맞춘 만큼은 자동으로 흐르게 만드는 쪽을 택한 셈입니다.

이름을 맞추려는 시도는 해시를 나눠 쓰기 훨씬 전부터 있었습니다. 법 집행기관과 국제기구 대표들이 모인 기관 간 실무그룹이 2014년에 꾸려져 1년 넘게 용어를 검토했고, 그 결과가 2016년에 룩셈부르크 지침이라 불리는 용어 지침으로 나왔습니다. 이 작업이 필요했던 이유를 논문은 이렇게 정리합니다. 핵심 용어의 해석과 적용이 관할권과 기관마다 갈리면서 입법과 정책 수립이 복잡해졌을 뿐 아니라 자료 수집과 비교 연구, 효과 측정까지 함께 막혔다는 것입니다. 이름이 어긋나면 집행만 끊기는 것이 아니라 무엇이 얼마나 일어나고 있는지를 재는 일부터 어려워집니다. 지침은 온라인 그루밍이나 생중계되는 학대처럼 기존 정의가 담지 못하는 현상을 함께 짚으면서, 용어를 한 번 정하고 덮을 대상이 아니라 주기적으로 다시 볼 대상으로 규정했습니다.

INHOPE가 2023년에 보편 분류 스키마를 내놓은 것도 같은 문제 인식에서 출발했습니다. 논문은 이 스키마가 산업계와 비정부기구와 법 집행기관 사이에 공통의 언어를 만들려는 시도이며, 관할권마다 다른 CSAM의 법적 정의 문제를 다룸으로써 자료 교환을 원활하게 한다고 정리합니다. 버전 3은 자료 안에 담긴 것만 다루는 분류 요소, 합법성 자체를 좌우하지는 않지만 수사에 쓸모 있는 맥락을 담는 수사 요소, 등장 인물의 특성을 기술하는 인구학적 요소의 세 갈래로 구성돼 있습니다.

논문이 이 스키마를 출발점으로 삼은 이유는 분류의 쓸모가 판정에만 있지 않기 때문입니다. INHOPE는 구조를 하나로 맞추면 탐지에 쓸 기계학습을 실제로 배치할 수 있게 되고 자동 탐지기를 학습시킬 주석 데이터셋을 만드는 일도 뒷받침된다고 밝힙니다. 스키마를 들이는 기관에는 통합 지침과 각자의 신고 작업 흐름에 맞추는 작업, 교육을 함께 제공합니다. 쓰던 절차를 갈아엎으라는 요구가 아니라, 각자의 체계를 공통 기준에 대 보게 하는 계층에 가깝습니다.

PreventCSA@EU가 만들어진 목적은 학술 모델을 제안하는 데 있지 않습니다. 이 프로젝트가 실제로 만드는 것은 주석 붙은 해시 데이터베이스이고, 온톨로지는 그 데이터베이스에 무엇을 어떤 이름으로 적을지 정하는 의미 모델입니다. 요구사항은 그리스 경찰의 여러 담당 부서와 만나 수사 실무의 작업 흐름과 정보 교환 요건을 확인하는 과정에서 뽑아냈습니다.

모델은 다섯 개의 핵심 요소로 짜여 있습니다. 각 요소가 무엇을 담당하고 어디서 정의를 빌려 왔는지는 아래와 같습니다.

여기서 이 논문의 실제 기여가 되는 문장은 방법론 절에 있습니다. 정렬 과정은 UCS에 포함된 개념의 의미와 정의를 따랐고, 두 모델 사이에 구조적 동일성을 세우는 방식으로 진행되지 않았다는 것입니다. 라벨의 이름과 배치를 그대로 복사하는 대신, 같은 것을 가리키는지만 확인하고 내부 계층은 독자적으로 설계했습니다.

이 원칙이 결과로 드러난 자리가 Depiction 클래스입니다. UCS에서 사람에 관한 요소나 수사 요소로 분류돼 있던 라벨 여럿이 PreventCSA@EU에서는 Depiction의 하위 클래스가 됐습니다. 저자들이 밝힌 이유는 그 라벨들이 사람이나 수사 보고서라는 개념을 기술하는 것이 아니라 시각적 묘사의 특성을 기술하기 때문입니다. 자리를 옮겼지만 가리키는 대상은 같으므로, 두 체계 사이의 번역은 유지됩니다. 구조를 포기한 것이 아니라 구조의 일치를 정렬의 조건에서 빼낸 설계입니다.

같은 규칙이 적용된 자리가 하나 더 있습니다. 파일이 놓인 서버의 위치를 다루는 정보는 UCS에서 수사 관심 대상으로 묶인 라벨 부류와 맞물립니다. 그런데도 PreventCSA@EU에서는 Investigative Report 아래로 들어가지 않고, 독자적인 속성을 가진 Location 클래스에 수사 보고서와의 계층 연결 없이 놓였습니다. 수사에 쓰인다는 사실이 그 정보를 수사 보고서의 일부로 만들지는 않는다는 판단입니다. 반대 방향의 여지도 함께 열려 있습니다. CSEM 아래에는 UCS에 대응 라벨이 없는 클래스도 들어가는데, 그루밍이 그런 경우입니다. 상대에게 맞춘다는 것이 상대에게 없는 개념을 버린다는 뜻은 아닙니다.

데이터베이스 쪽 설계도 같은 절제를 따릅니다. 이 데이터베이스는 불법 콘텐츠 자체를 저장하지 않고 해시값과 그에 붙은 주석만 담습니다. 저장하는 해시는 MD5와 SHA-1과 SHA-256 같은 암호학적 해시에 PDQ와 PhotoDNA 같은 지각 해시를 더한 다섯 종류인데, IWF와 NCMEC와 Thorn과 ICCAM의 대조 시스템에 그대로 맞물리게 하려는 선택입니다. 외부에서 부르는 조회 API는 읽기 전용이라 저장된 해시를 수정하거나 주석을 달 수 없고, 존재 여부만 돌려줍니다. 권한이 낮은 이용자는 주석 정보에 접근하지 못한 채 조회 결과만 받습니다.

이 설계가 실제로 시험되는 자리는 기관 사이의 교환입니다. 논문이 드는 시나리오에서 그리스 경찰은 신뢰 관계에 있는 다른 법 집행기관이나 협력 기관과 해시값과 주석을 주고받습니다. 밖에서 들어온 자료는 CSV 파일이나 API 호출을 통해 한 건씩 또는 묶음으로 반입되는데, 데이터베이스에 실리기 전에 온톨로지에 비추어 의미가 맞는지 검사를 통과해야 합니다. 내보내는 쪽에서는 표준 JSON 형식으로 주석 정보를 건네줍니다. 의미 모델이 문서로만 남지 않고 반입의 관문 자리에 놓여 있습니다.

상호운용성을 다루는 논문이 정작 자신이 맞춘 상대를 보여 주지 못합니다. INHOPE의 보편 분류 스키마는 사용 제한이 걸려 있어 공개돼 있지 않고, 세부 내용을 논문에 실을 수 없습니다. 저자들은 INHOPE로부터 개념 분석과 설계를 위한 접근 승인을 받았고, 정렬된 라벨들을 실제 명칭 대신 서술로만 설명합니다. 접근을 원하는 쪽은 INHOPE에 공식 요청을 넣어 승인을 받아야 합니다.

저자들은 이 제한이 무엇을 뜻하는지도 함께 적어 두었습니다. 방법론과 개념적 틀은 이해에 충분할 만큼 제시했지만, 이런 제약이 독립적인 검증의 범위를 제한할 수 있다는 것입니다. 표준의 접근을 통제하는 관행에는 그 나름의 이유가 있습니다. 라벨 목록 자체가 회피의 단서가 될 수 있는 도메인이기 때문입니다. 그 대가로 이 정렬이 제대로 됐는지는 같은 승인을 받은 사람만 확인할 수 있는 상태가 됩니다.

검증의 규모도 그 사정과 무관하지 않습니다. 운영 쪽 검증은 그리스 경찰이 쓸 주석 인터페이스를 통해 이뤄졌습니다. 화면은 미디어와 수사, 콘텐츠, 인물의 세 구획으로 나뉘어 있고 다섯 개 핵심 요소가 그 안에서 각각 채워집니다. 콘텐츠 구획의 입력 항목에는 Baseline 해당 여부가 들어 있어, 앞에서 본 국제 최소 기준이 주석 화면의 칸 하나로 나타납니다. 의미 쪽 검증은 해시 데이터베이스에서 작은 표본을 뽑아 RDF 트리플로 바꾸고 Virtuoso 트리플스토어에 올린 뒤 두 개의 질의를 던지는 방식이었습니다. 콘텐츠 통계 질의가 돌려준 결과 표는 네 행이었고, 그중 한 행이 Baseline으로 분류된 항목이었습니다. 헤라클리온 중심에서 반경 40킬로미터 안을 찾는 지리 질의는 두 건을 돌려주었고, 600킬로미터 밖에 있던 한 건은 조건에 걸려 빠졌습니다.

논문이 호환 대상으로 지목하는 EU센터 데이터베이스는 아직 만들어지지 않았습니다. 저자들의 문장에도 조건절이 붙어 있습니다. 아동성착취방지규정이 채택된다면 세워질 EU센터의 데이터베이스를 염두에 둔 설계라는 것입니다.

미리 맞춰 둔다는 말은 이 프로젝트에서 빈말이 아닙니다. 요구사항을 뽑는 단계부터 저자들은 그리스 경찰의 업무 요건과 나란히 준비 중인 유럽 규제 틀을 함께 살폈고, 아동성착취방지규정에 따라 세워질 EU센터 데이터베이스와 나중에 연결될 수 있도록 하는 것을 설계 조건의 하나로 적어 두었습니다. 아직 없는 상대에 맞추는 일이 설계 문서의 요건 목록에 들어가 있는 셈입니다.

그 조건절이 여전히 조건절인 이유는 협상 상황에 있습니다. 2025년 12월 9일 시작된 3자 협상은 2026년 6월 말 다섯 번째 회의에서도 합의에 이르지 못한 채 9월로 넘어갔습니다. 쟁점은 사업자의 탐지를 자발적인 것으로 둘지 사법 승인을 거친 명령으로도 강제할 수 있게 할지입니다. 정작 EU센터와 관련된 조항 자체는 직권 검색 문제를 빼고 대부분 잠정 합의에 이르렀습니다. 만들 기관에는 대체로 동의하면서, 그 기관에 무엇을 보내야 하는지에서 갈리고 있습니다.

그 사이 현장에서는 법적 근거가 잠시 사라지기도 했습니다. 사업자의 자발적 탐지를 허용하던 임시 규정은 연장 협상이 결렬되면서 2026년 4월 3일 만료됐고, 유럽의회가 7월 9일 표결로 되살릴 때까지 넉 달 동안 비어 있었습니다. 되살아난 규정은 2028년 4월 3일까지 적용되며 종단 간 암호화 서비스는 대상에서 빠졌습니다. 형법 쪽은 별도 트랙에서 먼저 움직였습니다. 2026년 6월 22일 잠정 합의된 아동성착취 지침은 범죄의 정의를 넓히고 형량과 공소시효를 손봤는데, 회원국이 자국 형법에 반영하는 데 3년이 주어집니다.

이 일정표를 놓고 보면 그리스 프로젝트의 순서가 왜 이렇게 짜였는지가 보입니다. 정의가 수렴하는 데는 최소 3년이 걸리고, 연결할 인프라는 아직 서지 않았습니다. 그동안 할 수 있는 일은 인프라가 생겼을 때 곧바로 붙을 수 있도록 이름을 미리 맞춰 두는 것입니다. 법을 통일하는 것이 아니라, 법이 다른 채로도 시스템끼리는 말이 통하게 만드는 쪽을 택한 설계입니다. 저자들이 결론부에서 공통 어휘의 채택이 이 차이를 완화하는 데 도움이 될 것으로 본다고 쓴 문장의 뜻이 여기에 있습니다.

규제 대응을 준비하는 조직에도 같은 순서가 적용됩니다. 금지 항목을 문서에 적는 것과 그 금지가 시스템에서 실제로 집행되는 것 사이에는 분류 체계가 놓여 있습니다. 다음 세 가지는 도메인과 무관하게 점검할 수 있는 항목입니다.

• 파트너사나 규제기관과 주고받는 라벨 가운데, 뜻이 같은지 확인된 것은 몇 개입니까. 이름이 같다는 것만으로는 확인이 되지 않습니다.
• 그 라벨의 정의를 누가 쥐고 있습니까. 외부 표준을 따르고 있다면 그 표준이 바뀔 때 어디로 통보가 오는지 답할 수 있어야 합니다.
• 구조를 맞추려다 의미를 잃고 있지는 않습니까. 상대 시스템의 계층을 그대로 복사하는 것보다, 같은 것을 가리키는지 확인하고 자기 계층은 따로 세우는 편이 오래갑니다.

같은 축의 이전 글로는 자동으로 만든 온톨로지의 품질 문제를 다룬 GraphRAG 온톨로지 자동 구축, 비정형 자료를 공통 스키마로 옮기는 시맨틱 레이어 파이프라인, 준비도의 조건을 정리한 AI-Ready Data의 조건이 있습니다. 논문 원문은 arXiv:2608.12979에서 볼 수 있습니다.

학술 논문

• 1.Tzortzakakis, E.; Kokolaki, E.; Daskalaki, E.; Fragopoulou, P. (2026). "Semantic Intelligence Against CSAM: The PreventCSA@EU Ontology Framework for Classification and Investigation." arXiv:2608.12979.
• 2.Daskalaki, E.; Kokolaki, E.; Fragopoulou, P. (2025). "Hashing in the Fight Against CSAM: Technology at the Crossroads of Law and Ethics." Journal of Cybersecurity and Privacy, 5, 92. doi.org/10.3390/jcp5040092

업계·표준 문서

• 3.INHOPE (2025). "Launching Version 3 of the Universal Classification Schema."
• 4.ECPAT International (2016). Terminology Guidelines for the Protection of Children from Sexual Exploitation and Sexual Abuse (Luxembourg Guidelines). Bangkok, Thailand.
• 5.Interpol; ECPAT (2018). Towards a Global Indicator of Unidentified Victims in Child Sexual Exploitation Material: Summary Report.
• 6.The Tech Coalition (2023). Industry Classification System.

EU 규제 동향

• 7.Council of the European Union (2026-06-22). "Combatting Child Sexual Abuse: EU Agrees Stronger Criminal Law Rules and Enhanced Support to Victims."