메타버스는 오랫동안 기술의 미래로 불려 왔다.

가상공간에서 사람들은 아바타를 통해 일하고, 친구를 만나고, 공연을 즐기고, 쇼핑을 하고, 경제활동을 한다. 현실에서 경험할 수 있는 사회·문화·경제 활동의 상당 부분이 디지털 공간으로 옮겨갈 수 있다는 기대는 메타버스를 단순한 게임이나 온라인 커뮤니티보다 더 큰 산업으로 만들었다.

그러나 기술이 현실과 가까워질수록, 위험 역시 현실을 닮아간다.

욕설과 모욕, 성희롱과 스토킹, 개인정보 침해, 재산상 피해는 이미 메타버스 안에서 발생하고 있다. 여기에 XR, 트래킹, 햅틱 기술처럼 시각과 청각을 넘어 움직임과 촉각까지 구현하는 기술이 결합되면, 가상공간에서의 행위가 현실 이용자에게 더 직접적이고 심각한 침해로 이어질 가능성도 커진다.

강성용의 논문 「안전한 메타버스 사회를 위한 윤리 및 행정규제」는 이 문제를 단순히 “가해자를 처벌해야 한다”는 방식으로 접근하지 않는다. 연구는 메타버스 내 침해를 사후 처벌보다 사전 예방의 관점에서 바라본다. 그리고 메타버스에서 안전을 지켜야 할 주체를 세 범주로 나눈다.

첫째는 아바타를 직접 조종하는 이용자다. 둘째는 그 이용자를 업무상 통제하거나 고용하는 법인 또는 개인이다. 셋째는 이용자들이 활동하는 공간과 규칙을 설계·운영하는 메타버스 플랫폼 사업자다.

이 논문의 핵심은 명확하다. 안전한 메타버스는 착한 이용자에게만 의존해서는 안 된다. 이용자의 행동을 유도하는 조직, 위험한 행동을 가능하게 하거나 억제하는 플랫폼 구조, 그리고 이를 관리하는 법과 제도가 함께 작동해야 한다.

아바타는 행위자처럼 보이지만, 책임의 주체는 아니다

메타버스에서 침해는 대개 아바타의 행동으로 나타난다.

상대방 아바타를 따라다니고, 성적 행동을 연상시키는 동작을 하며, 욕설을 퍼붓고, 가상재화를 빼앗거나 사기 거래를 시도하는 것은 화면 속 아바타다. 하지만 논문은 아바타 자체를 도덕적 비난이나 법적 책임의 주체로 볼 수 없다고 설명한다.

아바타는 스스로 판단하고 선택하는 존재가 아니기 때문이다. 아바타는 윤리적 기준을 이해하거나, 자신의 행동이 타인에게 어떤 피해를 줄지 자율적으로 판단하지 않는다. 결국 아바타의 행동은 이를 조종하는 현실의 자연인이 선택한 행동이다.

따라서 메타버스에서 발생한 침해의 첫 번째 책임 주체는 아바타 조종자다.

이용자는 자신의 아바타가 수행하는 가상 행위가 현실의 타인에게 어떤 결과를 가져올 수 있는지 이해할 의무가 있다. 특히 몰입형 기술이 결합된 환경에서는 단순한 가상 행동이 현실의 불쾌감, 공포, 심리적 압박, 더 나아가 신체적 침해로 이어질 수 있다는 점을 인식해야 한다.

논문은 이를 단순한 예절의 문제가 아니라 ‘학습 의무’의 문제로 확장한다. 이용자가 자신이 사용하는 플랫폼의 기술적 특성과 위험을 이해하지 못한 채 행동한다면, 현실 침해와 가상 행동의 연결고리 자체를 인식하지 못할 수 있기 때문이다.

메타버스 윤리는 이용자에게 “남에게 피해를 주지 말라”고 말하는 데서 끝나지 않는다. 자신이 어떤 기술 환경 안에 들어와 있으며, 아바타를 통한 행동이 현실에서 어떤 영향을 만들 수 있는지 학습하도록 요구해야 한다는 것이다.

개인의 일탈만으로 설명할 수 없는 메타버스 범죄

논문은 메타버스 내 침해를 개인 이용자의 행위로만 해석하지 않는다.

특정 이용자가 기업이나 조직의 업무를 수행하는 과정에서 아바타를 사용한다면, 그 조직 역시 책임에서 자유로울 수 없다는 문제의식이다. 예를 들어 기업이 메타버스에서 고객 상담, 교육, 홍보, 판매, 전시, 행사 운영을 수행하고, 직원이 아바타를 통해 이용자와 상호작용하는 상황을 생각해볼 수 있다.

이 경우 직원이 가상공간에서 타인에게 침해를 가했다면, 책임은 직원 개인에게만 머물러야 할까.

연구는 아바타 조종자를 통제하는 고용주나 법인도 윤리적 책임의 주체가 될 수 있다고 본다. 법인은 단순한 서류상 존재가 아니라, 조직문화와 교육, 보상체계, 업무 목표, 내부 통제, 감시와 신고 체계를 통해 구성원의 행동에 영향을 미치는 주체라는 것이다.

기업이 과도한 실적 목표를 부여하거나, 공격적 영업을 장려하거나, 가상공간에서의 행동 기준을 충분히 교육하지 않는다면, 이는 직원의 침해 행위를 유인하는 구조가 될 수 있다. 반대로 윤리 가이드라인, 위험행동 예방교육, 내부 감시와 신고 체계, 위반 시 제재 기준을 마련한다면 조직은 침해를 억제하는 역할을 할 수 있다.

이 논문은 이를 현실의 금융·의료·회계·보험 산업에서 이미 적용되는 내부통제 논리와 연결한다. 침해 가능성과 피해 규모가 큰 분야에서는 개인의 선의에만 맡기지 않고, 조직이 구성원을 관리하고 위험을 통제하도록 법적 의무를 부과해 왔다는 것이다.

메타버스가 기업 활동의 공간이 될수록, 조직의 책임 역시 현실의 업무공간처럼 논의돼야 한다는 주장이다.

플랫폼은 단순한 중개자가 아니라 ‘위험 환경의 설계자’다

논문의 가장 중요한 문제의식은 플랫폼 사업자의 역할에 있다.

메타버스 사업자는 단순히 이용자들이 접속하는 공간을 제공하는 기업이 아니다. 누가 가입할 수 있는지, 어떤 행동이 가능한지, 어떤 표현이 허용되는지, 신고가 접수되면 어떤 조치가 이뤄지는지, 반복 가해자를 어떻게 차단하는지를 결정하는 운영자다.

플랫폼은 이용자의 행동을 직접 통제하지 않더라도, 이용자의 행동이 발생하는 환경을 설계하고 통제한다.

논문은 이를 ‘침해 야기 환경을 통제하는 주체’라고 표현한다.

플랫폼 사업자는 서비스 구조와 기술적 특성을 가장 잘 알고 있는 주체다. 이용자가 어떤 방식으로 상호작용하는지, 어떤 기능이 성희롱이나 스토킹, 사기, 개인정보 침해에 악용될 수 있는지, 어떤 데이터가 위험 행동을 탐지하는 데 활용될 수 있는지 가장 먼저 알 수 있는 위치에 있다.

따라서 플랫폼은 단순히 문제가 발생한 뒤 계정을 정지하는 수준을 넘어, 침해를 유발하는 구조를 사전에 분석하고 줄이는 책임을 져야 한다.

논문은 이와 관련해 플랫폼 사업자에게 요구될 수 있는 의무를 여러 단계로 제시한다. 가장 기본적인 단계는 이용자에게 서비스의 구조와 위험성을 명확히 알리는 일이다. 플랫폼에서 어떤 행동이 금지되는지, 어떤 제재가 따르는지, 위험 상황이 발생했을 때 어떻게 신고할 수 있는지를 명확히 고지해야 한다.

위험 수준이 높아지면 플랫폼의 의무도 강화된다. 신고 시스템과 모니터링 체계를 구축하고, 반복적이거나 고위험 행동을 조기에 탐지하며, 피해 확산을 막기 위해 신속하게 제재해야 한다. 나아가 매우 심각한 침해가 예상되는 환경에서는, 특정 침해 행위 자체가 기술적으로 발생하기 어렵도록 서비스 설계를 바꾸는 방식까지 검토할 수 있다.

‘개인 공간’은 안전 기능의 설계 원리가 될 수 있다

논문은 가상현실 게임 ‘퀴브이아르(QuiVr)’ 사례를 소개한다.

이 게임에서는 한 이용자가 다른 이용자의 아바타 신체 부위에 손을 뻗는 방식으로 성적 불쾌감을 유발하는 문제가 발생했다. 이후 개발자는 다른 이용자의 손이 일정 거리 안으로 접근하면 손 모양이 사라지도록 ‘개인 공간’ 기능을 확대 적용했다.

중요한 것은 이 조치가 사후 처벌이 아니라 사전 설계의 변화였다는 점이다.

가해자를 찾아내고 제재하는 것도 필요하다. 하지만 애초에 특정 유형의 침해가 쉽게 발생하지 않도록 인터페이스와 상호작용 방식을 바꾸는 것은 더 근본적인 대응이 될 수 있다.

이런 방식은 오늘날 플랫폼 산업에서 말하는 ‘안전 설계’, 즉 safety by design의 논리와 맞닿아 있다. 서비스가 성장한 뒤 문제가 생기면 대응하는 것이 아니라, 서비스 기획과 개발 단계에서부터 위험을 예측하고 이를 줄이는 장치를 넣는 방식이다.

다만 논문은 기술적 제한이 언제나 정답은 아니라고 경고한다. 메타버스의 핵심 가치는 현실감, 자유로운 상호작용, 창의적 활동에 있다. 모든 위험 행동을 차단하기 위해 아바타의 움직임과 상호작용을 과도하게 제한한다면, 메타버스가 제공하려 했던 경험 자체가 훼손될 수 있다.

따라서 규제는 위험의 정도와 발생 가능성에 비례해야 한다. 낮은 위험에는 정보 제공과 이용자 교육, 중간 위험에는 신고·감시·제재 체계, 높은 위험에는 기술적 제한과 강한 법적 의무를 적용하는 단계적 접근이 필요하다는 것이다.

모든 윤리적 의무가 법적 의무가 되어야 하는 것은 아니다

논문은 메타버스 윤리와 규제를 이야기하면서도, 규제 만능주의를 경계한다.

모든 윤리적 의무를 법으로 강제하면 안전은 높아질 수 있다. 그러나 지나친 규제는 기술 발전과 산업 혁신, 이용자의 자유로운 표현과 상호작용을 위축시킬 수 있다. 특히 메타버스는 아직 기술과 산업 구조가 빠르게 변화하는 분야인 만큼, 지나치게 구체적이고 경직된 규제가 오히려 새로운 서비스와 실험을 막을 가능성도 있다.

이 때문에 논문은 행정규제의 대상이 되는 의무를 ‘핵심적인 의무’로 한정해야 한다고 본다.

위험의 정도와 발생 가능성이 낮은 플랫폼이라면 사업자의 자율규제와 시장의 선택에 맡길 수 있다. 이용자들이 안전하지 않은 플랫폼을 떠나고, 안전 기능을 갖춘 플랫폼을 선택한다면 시장 역시 일정한 규율 기능을 할 수 있다는 논리다.

그러나 아동·청소년 성착취, 심각한 개인정보 침해, 현실의 신체적 피해 가능성처럼 피해 규모와 회복의 어려움이 큰 영역은 다르다. 이런 경우에는 사업자의 자율성이나 시장의 선택만으로 대응하기 어렵다. 위험이 현실화된 뒤에는 이미 피해가 되돌릴 수 없는 수준으로 커질 수 있기 때문이다.

결국 규제의 핵심은 ‘얼마나 많이 규제할 것인가’가 아니라, ‘어떤 위험에 어떤 수준의 의무를 부과할 것인가’에 있다.

메타버스 규제는 국경 앞에서 멈춘다

메타버스 규제의 또 다른 난점은 초국적성이다.

국내 이용자가 국내에서 피해를 입었다 하더라도, 플랫폼 사업자는 해외에 본사를 두고 있을 수 있다. 서버는 다른 국가에 있고, 가해자는 제3국에 있으며, 운영정책은 글로벌 본사의 기준에 따라 결정될 수 있다.

이런 환경에서 한 국가가 자국 플랫폼에만 강한 안전 의무를 부과하면 역설이 발생할 수 있다. 국내 사업자는 규제 비용을 부담하는 반면, 해외 사업자는 그렇지 않을 수 있다. 이용자가 해외 플랫폼으로 이동하면, 국내 규제가 오히려 국내 산업의 경쟁력을 떨어뜨리고 안전하지 않은 해외 플랫폼의 영향력을 키우는 결과로 이어질 수도 있다.

논문은 이를 ‘기울어진 운동장’의 문제로 설명한다.

해결책으로는 두 가지 방향이 제시된다. 하나는 일정한 경우 해외 플랫폼에도 국내 규제를 적용하는 역외 관할이다. 다른 하나는 여러 국가가 공통의 안전 기준을 도입하도록 국제 규범과 협약을 만드는 방식이다.

다만 역외 적용은 현실적으로 쉽지 않다. 해외 플랫폼이 한국 시장을 포기하거나 서비스를 제한할 수 있고, 국가 간 법적 충돌도 발생할 수 있기 때문이다. 결국 장기적으로는 아동 보호, 성착취 방지, 개인정보 보호, 디지털 안전처럼 국가 간 공통 가치에 기반한 국제 협력이 필요하다는 결론으로 이어진다.

DAO 메타버스는 누구에게 책임을 물을 것인가

논문은 탈중앙화 자율조직, 즉 DAO 기반 메타버스가 등장할 때 생기는 새로운 규제 공백도 지적한다.

전통적인 플랫폼은 운영회사와 책임자가 비교적 분명하다. 문제가 생기면 정부는 사업자에게 의무를 부과하고, 이용자는 사업자에게 신고와 보호를 요구할 수 있다.

하지만 DAO 방식의 메타버스에서는 플랫폼 운영과 코드 변경 권한이 특정 기업이나 대표가 아니라 토큰 보유자와 참여자들에게 분산될 수 있다. 이 경우 누가 플랫폼 운영자인지, 누가 안전 의무를 이행해야 하는지, 누가 규제 위반의 책임을 져야 하는지가 불분명해진다.

플랫폼의 규칙을 바꿀 수 있는 사람은 수천 명일 수 있고, 이들은 여러 국가에 흩어져 있으며, 참여자 구성도 계속 바뀔 수 있다. 국가가 이 모든 사람에게 동일한 행정 의무를 부과하는 것은 현실적으로 어렵다.

논문은 DAO가 법인격을 갖고 규제 대상이 될 수 있도록 제도화하는 방안도 언급한다. 그러나 법인격을 원하지 않는 DAO까지 강제로 포섭하기는 어렵다. 결국 특정한 운영 주체를 찾기 어려운 탈중앙화 메타버스에서는 사전 규제의 효과가 제한될 수 있고, 실제 침해가 발생한 뒤 직접 행위자인 아바타 조종자를 대상으로 형사법을 집행하는 방식에 의존할 수밖에 없다는 한계가 남는다.

메타버스 안전은 기술 문제가 아니라 거버넌스 문제다

강성용의 논문은 메타버스 안전을 단순한 콘텐츠 관리나 금칙어 필터링의 문제로 보지 않는다.

누가 행동하는가.
누가 행동을 통제하는가.
누가 위험한 환경을 설계했는가.
누가 위험을 예측할 수 있었는가.
누가 예방 조치를 취할 능력을 가지고 있었는가.

이 질문들이 메타버스 거버넌스의 출발점이 된다.

이용자는 자신의 아바타가 타인에게 침해를 가하지 않도록 행동해야 한다. 기업과 조직은 자신의 구성원이 가상공간에서 위험한 행동으로 나아가지 않도록 교육하고 통제해야 한다. 플랫폼 사업자는 위험을 유발하는 서비스 구조를 분석하고, 신고·감시·제재·기술 설계를 통해 위험을 줄여야 한다.

그리고 정부는 이 모든 책임을 법으로 과도하게 대체하는 대신, 위험의 크기와 발생 가능성에 따라 필요한 수준의 의무를 설계해야 한다.

메타버스가 현실을 확장하는 공간이라면, 그 안의 책임도 현실보다 가벼워서는 안 된다.

가상공간에서 자유를 확대하는 기술은 결국 현실의 인간을 보호할 수 있을 때 지속가능하다. 안전한 메타버스는 더 많은 기능을 제공하는 플랫폼이 아니라, 자유와 보호, 혁신과 책임 사이의 균형을 설계할 수 있는 플랫폼에서 시작된다.