메타가 미국 51개 주 법무장관과 맺은 합의는 회사가 최소 121억 달러를 지급하도록 하는 내용으로, 이 금액이 이번 합의에 대한 헤드라인을 장악해 왔다. 하지만 Security Boulevard의 보도에 따르면, 이 돈이 메타에게는 가장 쉬운 부분일 수 있다. 유해 콘텐츠 제한부터 미성년자에게 연락할 수 있는 사람 제한까지, 합의에 포함된 모든 청소년 안전 조항은 메타가 자사 사용자 중 누가 18세 미만인지 확실하게 파악하는 데 달려 있다. 현재 그러한 역량은 입증되고 개인정보를 존중하는 방식으로 존재하지 않으며, 이는 이번 합의를 단순한 배상금 이상의 의미로 만든다. 바로 정착된 기술이 없는 연령 확인 의무화인 것이다.

메타의 합의가 돈 외에 실제로 요구하는 것

121억 달러로 표현되든 다른 보도에서 언급된 더 높은 180억 달러로 표현되든, 헤드라인을 장악한 숫자는 합의문에 숨겨진 운영상의 요구사항을 가리는 경향이 있다. 메타의 180억 달러 합의가 연령 확인을 시험대에 올리다에 대한 이전 보도에서 다루었듯이, 이번 합의는 단순한 재정적 처벌이 아니다. 메타는 자사 플랫폼 전반에서 미성년자와 성인을 구분하고, 제한된 메시징, 변경된 콘텐츠 피드, 제한된 광고 타겟팅과 같은 집행 조치를 정당화할 수 있을 만큼 충분한 신뢰도로 이를 수행하는 시스템을 구축하고 유지해야 할 의무를 진다.

이는 수표를 쓰는 것보다 훨씬 어려운 엔지니어링 문제다. 재정적 합의에는 명확한 종료 시점이 있다. 그러나 연령 확인 요구사항에는 종료 시점이 없다. 규제 기관과 법원이 준수 여부를 감사할 수 있는 방식으로, 수십억 개의 계정을 대상으로 대규모로 지속적인 연령 확인을 요구하기 때문이다. 근본적인 탐지 방법이 부정확하거나 일관되지 않다면, 메타는 분쟁을 해결하기 위해 체결한 바로 그 합의 조건을 이행하지 못해 다시 법무장관들 앞에 서게 될 위험이 있다.

연령 확인의 작동 방식과 수집되는 데이터

연령 확인(age assurance)은 플랫폼이 사용자의 나이를 추정하거나 확인하기 위해 사용하는 방법을 통칭하는 용어다. 실제로 이는 몇 가지 범주로 나뉜다. 쉽게 위조할 수 있고 실제 보호 기능이 거의 없는 자기 기재 생년월일, 운전면허증이나 여권 스캔본을 사용자가 제출해야 하는 정부 신분증 업로드, 신용카드를 성인 여부의 대략적인 지표로 사용하는 결제 수단 확인, 그리고 사용자 얼굴 사진이나 영상을 분석해 나이 범위를 추정하는 얼굴 나이 추정이 그것이다.

메타는 이미 이 스택의 일부를 실험하기 시작했다. 메타는 최근 이러한 도구에 대한 첫 번째 정확도 벤치마크라고 부르는 것을 발표했는데, 이는 연령 추정 시스템이 얼마나 자주 정확한 결과를 내는지 정량화하려는 시도로, 메타의 연령 확인 첫 정확도 벤치마크 보도에 자세히 다뤄져 있다. 별도로 메타는 대규모 시장에서 연령 확인 기능을 시범 운영해 왔으며, 인도 6억 사용자를 위한 WhatsApp의 연령 확인 출시 테스트도 포함된다. 이러한 각 파일럿은 얼굴 스캔, 신분증 문서, 또는 나이를 추론하는 데 사용되는 행동 신호 등 어떤 형태로든 생체 인식 또는 신원 데이터를 수집한다.

입증되지 않은 연령 탐지 기술의 개인정보 및 생체 인식 위험

여기서 이번 합의의 실제 비용이 드러난다. 달러가 아닌 데이터의 형태로 말이다. 법무장관들이 미성년자를 진정으로 보호하고 있다는 것을 확신시키기 위해, 메타는 청소년뿐만 아니라 더 많은 사용자로부터 더 많은 신원 확인 정보를 수집할 강한 유인이 있다. 얼굴 나이 추정은 실시간 또는 업로드된 사진을 필요로 한다. 신원 확인은 정부 문서 스캔을 필요로 한다. 둘 다 대부분의 소셜 미디어 계정에 이전에는 존재할 필요가 없었던 민감한 기록을 생성한다.

문제는 이러한 방법 중 어느 것도 메타가 운영하는 규모에서 정확성이나 보안이 입증되지 않았다는 점이다. 한 집단을 대상으로 훈련된 얼굴 추정 모델은 다른 집단을 잘못 판단할 수 있다. ID 업로드 시스템은 소셜 미디어 계정에 연결된 정부 문서의 허니팟을 만들어, 신원 도용이나 계정 탈취를 노리는 누구에게나 매력적인 표적이 된다. 그리고 합의가 메타가 어떤 방법을 사용해야 하는지 명시하지 않고 나이를 알아야 한다는 것만 요구하기 때문에, 메타는 사용자 개인정보를 가장 잘 보호하는 방법 하나에 전념하기보다 여러 개의 불완전한 시스템을 함께 겹쳐 사용할 유인이 있다.

청소년이나 개인정보 보호에 민감한 사용자가 이러한 감시 계층을 피할 수 있을까

현재로서는 메타가 광범위하게 출시한 이후 사용자(청소년 또는 성인)가 연령 확인 검사를 거부할 수 있다는 징후는 없다. 합의의 청소년 안전 조항은 사용자의 나이를 아는 것에 달려 있으므로, 메타가 방금 서명한 합의를 위반하지 않으려면 확인 절차를 선택 사항으로 만들 여지가 거의 없다. 메타 플랫폼을 사용하는 성인은 연령별 사용자 구분 시도가 궁극적으로 미성년자로 의심되는 계정뿐만 아니라 모든 계정에 영향을 미칠 것으로 예상해야 한다. 회사가 모든 사람의 연령 상태를 증명할 수 있는 방어 가능한 방법을 필요로 하기 때문이다.

이것이 당신에게 의미하는 바

페이스북, 인스타그램, WhatsApp 또는 메타의 다른 제품을 사용한다면, 앞으로 몇 달 안에 새로운 방식으로 나이를 확인하라는 요청을 받게 될 것으로 예상하라. 여기에는 얼굴 스캔, 신분증 업로드, 또는 결제 확인이 포함될 수 있다. 생체 인식 정보나 신원 문서를 제출하기 전에, 메타가 해당 데이터로 무엇을 할 것이라고 말하는지, 얼마나 오래 보관하는지, 그리고 확인 목적으로 제3자와 공유하는지 확인하라. 청소년 자녀를 둔 부모는 이러한 시스템이 기존의 자녀 보호 기능과 어떻게 상호작용하는지 면밀히 주의를 기울여야 한다. 부정확한 연령 탐지는 청소년 계정을 과도하게 제한하거나 플래그를 지정해야 할 계정을 놓칠 수 있기 때문이다.

핵심 요점

메타의 합의는 그 가격표로 기억될 수 있지만, 그 지속적인 영향은 회사가 준수 여부를 증명하기 위해 결국 얼마나 많은 신원 및 생체 인식 데이터를 수집하게 되는지로 측정될 것이다. 연령 확인 기술은 이번 합의가 요구하는 규모에서 아직 입증되지 않았으며, 이는 초기 출시가 불완전할 가능성이 높고 개인정보 보호 측면의 희생이 상당할 것임을 의미한다. 정보를 지속적으로 얻고자 하는 사용자는 메타의 정확도 벤치마크와 파일럿 프로그램에 대한 업데이트를 주시해야 한다. 이것들이 최종 시스템이 얼마나 침습적이 될지 알려줄 것이기 때문이다. 그때까지는 메타 앱에서 신분증 스캔이나 얼굴 확인을 요청받으면 민감한 개인 문서를 요청하는 다른 회사에 적용하는 것과 동일한 주의를 기울여라. 합의가 그 요청이 온다는 것을 보장할 뿐, 그 뒤에 있는 기술이 준비되어 있다는 것을 보장하지는 않기 때문이다.