무슨 일이 있었나요?
디스코드가 공식 블로그에 사용자의 연령대를 어떻게 확인하는지 설명하는 업데이트 글을 올렸어요. 글 제목이 '청소년에게는 더 안전하게, 성인에게는 똑같은 디스코드'인데요, 이 한 줄에 디스코드가 지금 하려는 일이 다 들어 있어요.
배경을 조금 설명드리면, 디스코드는 2026년 초에 '앞으로 전 세계 모든 사용자를 기본적으로 청소년으로 취급하겠다'고 발표했거든요. 이걸 teen-by-default라고 불러요. 이게 뭐냐면, 새 계정이든 기존 계정이든 일단 청소년용 보호 설정이 켜진 상태로 시작하고, 성인이라는 게 확인되어야 그 제한이 풀리는 방식이에요. 예전처럼 가입할 때 생년월일만 입력하는 건 누구나 거짓말할 수 있으니까, 이제는 좀 더 실질적인 방법으로 연령대를 가리겠다는 거죠.
핵심은 '정확한 나이'가 아니라 '연령대'
용어부터 짚고 갈게요. 디스코드는 연령 인증(age verification) 대신 연령 확인(age assurance)이라는 말을 써요. 미묘하지만 중요한 차이인데요. 인증은 '당신은 1998년 3월 5일생입니다'처럼 정확한 값을 증명하는 거고, 확인은 '당신은 성인 그룹에 속합니다' 정도만 알면 되는 거예요. 서비스 입장에서 진짜 필요한 건 생일이 아니라 '이 사람에게 성인 콘텐츠를 보여줘도 되나?'라는 예/아니오 판단이거든요. 필요한 정보만 최소한으로 다루겠다는 데이터 최소화 원칙이 여기서 나와요.
디스코드가 쓰는 방법은 크게 세 단계로 이해하면 돼요.
1단계는 추론이에요. 대부분의 사용자는 아무것도 안 해도 돼요. 계정을 만든 지 얼마나 됐는지, 어떤 서버에서 어떻게 활동하는지 같은 신호를 조합해서 '이 계정은 성인일 가능성이 높다'고 자동으로 판단하는 거예요. 10년 된 계정이 성인 커뮤니티에서 꾸준히 활동해 왔다면 굳이 얼굴을 찍으라고 할 필요가 없겠죠. 은행이 평소 소비 패턴을 보고 이상 거래를 잡아내는 것과 비슷한 접근이에요.
2단계는 얼굴 연령 추정이에요. 추론만으로 판단이 안 되거나, 사용자가 '나 성인인데 왜 청소년 설정이야?'라고 이의를 제기하면 이 단계로 가요. 카메라로 얼굴을 비추면 AI 모델이 '이 사람은 대략 25세 이상으로 보인다' 같은 추정을 해요. 신분증도, 이름이나 생일 같은 개인정보도 필요 없어요. 디스코드 설명에 따르면 이 처리는 사용자 기기 안에서 이뤄지고 얼굴 이미지는 서버에 저장되지 않아요. 2025년에 영국과 호주에서 먼저 테스트했던 방식인데, 이때 k-ID라는 연령 확인 전문 업체와 협력했어요.
3단계는 신분증 확인이에요. 얼굴 추정이 애매하게 나오거나(18세 근처처럼) 사용자가 직접 원하면 신분증을 제출할 수 있어요. 가장 확실하지만 가장 민감한 방법이라 마지막 수단으로 두고, 확인이 끝나면 신분증 이미지는 짧은 시간 안에 삭제한다고 밝히고 있어요.
핵심은 이 순서예요. 가장 덜 침해적인 방법부터 시도하고, 꼭 필요할 때만 더 강한 방법으로 넘어가는 구조. 최대한 많은 사람이 1단계에서 끝나도록 설계한 거죠.
청소년 설정이 켜지면 뭐가 달라지나
실제로 바뀌는 건 이런 것들이에요. 민감한 미디어가 자동으로 흐림 처리되거나 차단되고, 친구가 아닌 사람이 보내는 DM은 바로 오지 않고 메시지 요청으로 걸러지고, 성인 전용으로 표시된 채널이나 서버에는 들어갈 수 없어요. 성인으로 확인되면 이 제한이 풀리는데, 디스코드가 강조하는 건 '성인에게는 예전과 똑같은 디스코드'라는 점이에요. 성인의 경험을 바꾸는 게 아니라 청소년의 기본값을 바꾸는 거라는 메시지죠.
왜 지금 이렇게까지 하는 걸까
이건 디스코드만의 일이 아니에요. 전 세계적으로 '플랫폼이 미성년자를 실제로 구분하라'는 법이 잇따라 생기고 있거든요. 영국은 온라인안전법으로 2025년 7월부터 성인 콘텐츠 접근에 실질적인 연령 확인을 요구했고, 호주는 2025년 12월부터 16세 미만의 소셜미디어 계정 자체를 금지했어요. 미국은 유타, 텍사스 등 주 단위로 앱스토어가 연령을 확인하도록 하는 법이 생겼고, EU도 디지털서비스법 아래에서 미성년자 보호 가이드라인을 내놨어요. 나라마다 따로 대응하다 보면 시스템이 누더기가 되니까, 아예 전 세계 공통으로 '기본은 청소년'이라는 하나의 정책을 깔아버린 게 디스코드의 선택이에요.
다른 서비스들도 비슷한 길을 가고 있어요. 메타는 인스타그램에서 Yoti의 얼굴 연령 추정을 쓰고 있고, 로블록스는 2025년에 Persona와 함께 얼굴 추정 기반 연령 확인을 도입해서 확인된 연령대끼리만 자유롭게 채팅하게 만들었어요. 애플은 iOS 26부터 Declared Age Range API로 앱이 정확한 생일 없이 연령대만 받아갈 수 있게 했고, 구글 플레이도 비슷한 Age Signals API를 내놨어요. 흐름이 보이시죠? 정확한 나이 대신 연령대, 신분증 대신 추정, 플랫폼이 직접 묻기보다 OS나 스토어가 신호를 넘겨주기. 이 세 방향으로 업계가 수렴하고 있어요.
그런데 걱정되는 점도 있어요
디스코드가 개인정보 처리를 유독 자세히 설명하는 데는 이유가 있어요. 2025년 10월에 디스코드의 외부 고객지원 업체가 해킹당해서 약 7만 명의 신분증 사진이 유출된 사건이 있었거든요. '확인 후 삭제한다'고 해도 삭제되기 전 구간이 있고, 외부 업체를 거치는 순간 공격 표면이 넓어진다는 걸 보여준 사건이었죠. 그래서 얼굴 추정을 기기 안에서 처리하고 신분증을 최후의 수단으로 두는 설계는 프라이버시 배려를 넘어 보안 아키텍처 차원의 결정이라고 보는 게 맞아요.
행동 기반 추론에 대한 우려도 있어요. 알고리즘이 '당신은 성인 같지 않다'고 판단해서 갑자기 설정이 잠기면 꽤 불쾌하거든요. 얼굴 추정 모델이 특정 인종이나 연령대에서 더 부정확하다는 연구도 계속 나오고 있고요. 디스코드가 이의 신청 경로를 여러 개 열어둔 건 이런 오류 가능성을 인정한다는 뜻이기도 해요.
한국 개발자에게는 어떤 의미일까
한국은 이 분야에서 좀 특이한 나라예요. 휴대폰 본인인증이나 PASS 앱으로 실명과 생년월일을 확인하는 게 너무 당연해서 '연령 확인이 어렵다'는 감각 자체가 별로 없거든요. 그런데 이 방식은 통신사가 실명 가입자 정보를 갖고 있는 한국에서만 통해요. 글로벌 서비스를 만들면 이런 인프라가 없는 나라가 대부분이라, 디스코드처럼 추론과 얼굴 추정을 조합한 방식을 고민해야 해요.
실무적으로 챙겨볼 포인트는 이래요. 첫째, 사용자 모델에 생년월일 대신 연령대 필드를 두는 걸 고려해 보세요. 저장한 데이터가 적을수록 규제 대응이 쉬워져요. 둘째, iOS와 안드로이드의 연령 신호 API를 먼저 붙이면 직접 확인하는 비용을 크게 줄일 수 있어요. 셋째, 신분증처럼 민감한 데이터를 외부 업체에 넘긴다면 보관 기간과 삭제 정책을 계약 단계에서 확인하세요. 디스코드 유출 사건이 딱 그 지점에서 터졌으니까요. 넷째, 기본값은 안전하게 두고 성인 확인 시 풀어주는 구조는 국내 서비스의 청소년보호법 대응에도 그대로 쓸 수 있는 패턴이에요.
정리하면
디스코드는 '일단 모두를 청소년으로 보고, 가장 덜 침해적인 방법부터 차례로 성인임을 확인한다'는 원칙으로 연령 확인 시스템을 짰어요. 정확한 나이가 아니라 연령대만 다루고, 얼굴 추정은 기기 안에서, 신분증은 최후의 수단으로. 규제가 전 세계에서 동시에 강해지는 상황에서 앞으로 많은 서비스가 참고할 만한 구조예요.
여러분은 어떻게 생각하세요? 행동 패턴으로 나이를 추론하는 게 편리한 걸까요, 아니면 알고리즘이 나를 판단하는 게 불편한 걸까요? 한국식 휴대폰 본인인증과 비교하면 어느 쪽이 더 나은 접근이라고 보시나요?
🔗 출처: Hacker News