챗GPT와 로블록스가 나란히 유럽연합(EU)의 월평균 이용자 수 ‘4,500만 명’ 이상을 넘어섰다. 단순한 이용자 수 기록처럼 보이지만 EU에서는 이야기가 조금 다르다. 일정 규모 이상의 온라인 서비스를 별도로 관리하는 ‘디지털서비스법(Digital Services Act·DSA)’의 강화 규제 대상이 될 수 있기 때문이다.

규제 대상이 되는 게 뭐 그리 큰일인가 싶을 수도 있다. 하지만 DSA의 강화 규제는 생각보다 훨씬 강력하다. 공식 지정 이후에는 플랫폼 운영 전반에 까다로운 의무가 추가되고, 이를 위반할 경우 최악에는 해당 사업자의 전 세계 연간 매출액의 최대 6%에 달하는 과징금까지 부과될 수 있다.

플랫폼 운영 방식까지 들여다보는 DSA, 심하면 매출 6% 과징금까지?

DSA는 EU에서 서비스를 제공하는 온라인 중개 서비스와 플랫폼의 책임을 규정한 법이다. 소셜미디어뿐 아니라 온라인 장터, 콘텐츠 공유 플랫폼, 앱스토어, 검색엔진 등 다양한 온라인 서비스에 적용되며, 2022년 발효된 이후 2024년 2월부터 전면 적용되고 있다.

일반 온라인 플랫폼에도 불법 콘텐츠 신고 절차를 마련하고, 게시물이나 계정을 삭제·제한했을 경우 그 이유를 설명하는 등 다양한 의무가 적용된다.

하지만 여기서 서비스 규모가 커지면 규제도 한층 강화된다.

DSA 제정 당시 EU 인구의 약 10%에 해당하는 4,500만 명 이상의 월평균 이용자를 보유한 플랫폼이나 검색엔진은 EU 집행위원회의 지정을 거쳐 각각 ‘초대형 온라인 플랫폼(VLOP)’과 ‘초대형 온라인 검색엔진(VLOSE)’이 될 수 있다.

VLOP·VLOSE가 되면 사업자는 불법 콘텐츠뿐 아니라 기본권 침해, 미성년자 보호, 선거와 공공안전, 성별 기반 폭력, 공중보건, 정신·신체적 안녕 등에 영향을 미칠 수 있는 ‘시스템적 위험’을 직접 분석하고 대응 방안을 마련해야 한다.

예를 들어 추천 알고리즘이나 서비스 설계가 이러한 위험을 키운다고 판단되면 이를 변경해야 할 수도 있다. 이어서 내부에 규제 준수 기능을 구축하고 매년 독립적인 외부 감사를 받아야 하고, EU 당국과 일정 요건을 충족한 연구자에게 관련 데이터도 제공해야 한다.

대응 기간도 정해져 있다. EU 집행위원회가 VLOP나 VLOSE로 지정하면 해당 서비스에는 4개월의 준수 기간이 주어진다. 4개월이 지났다고 곧바로 과징금이 부과되는 것은 아니지만, 이후 DSA 위반이 확인될 경우 제재를 받을 수 있다. 이때 과징금 상한이 전 세계 연간 매출의 6%다.

현재 VLOP·VLOSE에는 구글 검색, 유튜브, 구글플레이, 애플 앱스토어, 아마존 스토어, 페이스북, 인스타그램, 틱톡, X, 링크드인, 빙 등 세계적인 서비스가 지정돼 있다. 올해 1월에는 이용자가 4,500만 명을 넘어선 왓츠앱의 채널 기능과 관련해 왓츠앱 역시 VLOP로 지정됐다.

정말 ‘철퇴’ 휘두를까? 이미 수억 유로 과징금 나왔다

그렇다면 전 세계 매출의 최대 6%까지 과징금을 부과할 수 있다는 DSA의 강력한 제재가 실제 현장에서도 집행되고 있을까?

DSA에 따른 거액의 과징금은 이미 현실화되고 있다. EU 집행위원회는 지난 7월 20일 알리익스프레스가 자사 플랫폼에서 불법·위험·위조 상품이 판매될 위험을 충분히 평가하고 완화하지 않았다며 5억5,000만 유로(약 8,954억 원)의 과징금을 부과했다.

이외에도 X가 2025년 12월 1억2,000만 유로(약 1,953억 원), 테무가 올해 5월 2억 유로(약 3,256억 원)의 DSA 과징금을 받은 바 있다.

즉, 실제로 수억 유로 규모의 제재가 이뤄지고 있는 만큼 대형 서비스 입장에서는 신경을 곤두세울 수밖에 없다.

그럼 스팀·Xbox 등 다른 유명 서비스들은?

이쯤 되면 자연스럽게 궁금해지는 부분이 있다. 로블록스 외 다른 유명 게임 서비스들은 어떤 상황일까.

대표적인 PC 게임 유통 플랫폼인 스팀은 현재 VLOP·VLOSE 명단에 포함돼 있지 않다. EU 지역에 표시되는 밸브의 DSA 고지를 토대로 알려진 2025년 하반기 스팀의 EU 월평균 활성 이용자는 약 3,110만 명으로, 기준인 4,500만 명보다 약 1,390만 명 적다.

마이크로소프트가 공개한 수치도 기준에 미치지 않는다. 2026년 6월 30일까지 최근 6개월 기준 PC 앱스토어는 약 2,400만 명, PC 게임스토어는 약 300만 명, 콘솔 스토어는 약 400만 명, Xbox 웹사이트 스토어는 약 100만 명이다.

에픽게임즈 역시 마찬가지다. 2025년 8월 기준 최근 6개월간 EU 월평균 활성 서비스 이용자는 에픽게임즈 스토어 웹사이트가 약 1,430만 명, 모바일 앱이 약 160만 명으로 모두 4,500만 명에 미치지 않는다.

이외에 소니와 닌텐도도 DSA에 따른 투명성 자료를 공개하고 있다. 소니는 자사 온라인 서비스인 ‘SIENE Online Services’, 닌텐도는 ‘Nintendo Switch Online’을 대상으로 2026년 2월 최신 DSA 투명성 보고서를 냈다. 다만 두 보고서에는 EU 월평균 활성 이용자 수가 별도로 기재돼 있지 않다.

결과적으로 현재 스팀과 Xbox 관련 서비스, 에픽게임즈 스토어, 플레이스테이션 관련 서비스, Nintendo Switch Online 등 주요 게임 서비스는 모두 EU 집행위원회의 VLOP·VLOSE 명단에 포함돼 있지 않다.

EU만 이러는 건 아니다…영국은 최대 ‘전 세계 매출 10%’

한편, 온라인 서비스의 콘텐츠와 이용자 안전에 대한 책임을 강화하는 움직임은 EU만의 이야기가 아니다.

대표적인 곳이 영국이다. 영국은 ‘온라인안전법(Online Safety Act)’을 통해 이용자끼리 콘텐츠를 공유하거나 메시지를 주고받을 수 있는 서비스와 검색 서비스 등에 불법 콘텐츠 및 아동 보호 관련 의무를 부과하고 있다.

제재 수준은 오히려 EU보다 높은 부분도 있다. 영국 방송통신 규제기관 오프콤(Ofcom)은 온라인안전법상 의무를 심각하게 위반한 사업자에게 1,800만 파운드(약 341억 원) 또는 해당 기업의 적격 전 세계 매출 10% 가운데 더 큰 금액까지 과징금을 부과할 수 있다. 심각한 위반이 계속되면 영국 내 접속 차단까지 추진할 수 있다.

일정 규모 이상의 서비스는 기능에 따라 별도의 카테고리로 분류해 추가 의무도 부과한다.

로블록스는 대규모 이용자 간 서비스를 대상으로 하는 ‘카테고리 1’ 게임 서비스로 분류돼 있다. 같은 카테고리에는 페이스북, 인스타그램, 레딧, 틱톡, X, 유튜브 등도 포함된다.

스팀과 포트나이트, Xbox 네트워크는 일정 규모 이상의 이용자를 보유하면서 다른 이용자에게 직접 메시지를 보낼 수 있는 서비스를 대상으로 하는 ‘카테고리 2B’에 포함돼 있다.

챗GPT 검색도 빠지지 않았다. 오프콤은 일정 규모 이상의 검색 서비스를 대상으로 하는 ‘카테고리 2A’에 ChatGPT Search를 포함했다. 다만 해당 분류는 챗GPT의 검색 기능과 검색 결과에 관한 추가 의무를 의미하고, 검색 콘텐츠에 해당하지 않는 챗봇 기능 전체에 추가 의무가 적용되는 것은 아니다.

호주 역시 온라인 게임 서비스를 직접 들여다보고 있다.

호주 온라인안전위원회(eSafety)는 지난 4월 로블록스, 마인크래프트, 포트나이트, 스팀에 법적 집행력이 있는 투명성 자료 제출 통지를 보내 아동 대상 그루밍과 성적 착취, 폭력적 극단주의 선전 등에 각 업체가 어떻게 대응하고 있는지를 조사했다.

특히 로블록스에는 보다 구체적인 조치가 내려졌다. eSafety는 로블록스가 제출한 ‘법원 집행 가능한 이행 약속(court-enforceable undertaking)’을 받아들였으며, 이에 따라 로블록스는 모르는 성인이 부모 동의 없이 16세 미만 이용자에게 접촉하는 것을 막고 아동 계정의 기본 설정을 강화해야 한다.

독립된 제3자 감사기관을 통해 아동 안전 조치와 연령 추정 시스템의 효과도 검증하기로 했다. 로블록스에는 이를 시행할 3개월의 기간이 주어졌으며, 약속을 지키지 않을 경우 eSafety가 법원에 이행 명령 등을 요청할 수 있다.