인도의 스팸 규제 실험, 신고 데이터와 AI 전화까지 통신망 안으로

인도가 스팸 전화 대응의 범위를 통신사 밖의 발신자 식별 앱과 AI 음성 전화까지 넓혔다. 인도 통신규제청(TRAI)이 9월 18일 상업 통신 규칙을 개정하면서, 이용자가 스팸이나 정크 전화로 신고할 수 있는 발신자 식별·통화 관리 앱은 그 신고를 통신사들이 운영하는 블록체인 기반 플랫폼에 전달해야 한다. 자동으로 걸리는 로보콜과 사전 녹음·인공 음성을 사용하는 전화도 애플리케이션 대 개인(A2P) 통신 체계에 포함된다.

겉으로는 스팸 신고를 한곳에 모으는 기술적 조정처럼 보이지만, 쟁점은 더 크다. 민간 앱이 이용자 참여로 구축한 신고 데이터를 공공 규제망에 의무적으로 제공해야 하는지, 그 과정에서 어떤 정보와 동의가 필요한지, AI 전화의 범위를 어디까지 볼지를 한꺼번에 묻는 정책 실험이기 때문이다.

스팸 신고를 통신사의 집행 체계와 연결한다

지금까지 인도의 스팸 대응은 두 층으로 나뉘어 있었다. 통신사는 실제 전화망과 상업 통신 규제 시스템을 운영했고, Truecaller 같은 앱은 이용자 신고와 자동 탐지 신호를 결합해 기기 화면에서 의심 전화를 표시하거나 차단했다. 새 규칙은 앱에서 접수된 개별 신고를 통신사의 블록체인 기반 플랫폼으로 보내도록 해 두 층을 연결한다.

TRAI의 목적은 집행에 사용할 수 있는 신고의 범위를 넓히는 것이다. 앱 안에 머물던 신고가 통신망 차원의 조사와 조치로 이어지면, 동일 발신자에 대한 여러 이용자의 경험을 더 빨리 모을 수 있다. 인도의 문제 규모도 작지 않다. Truecaller는 자사 이용자들이 2025년 인도에서 약 420억 건의 스팸 전화를 접했고 그중 약 120억 건을 차단했다고 발표했다. 이는 회사가 집계한 수치이지만 규제 당국이 앱의 데이터를 집행 체계로 끌어오려는 배경을 보여준다.

다만 신고를 공유한다고 곧바로 정확한 제재가 보장되는 것은 아니다. 이용자의 오신고, 경쟁 업체 번호에 대한 조직적 신고, 전화번호 위조 같은 문제를 걸러낼 기준이 필요하다. 블록체인은 기록의 변경 이력을 관리할 수 있을 뿐 신고 자체가 사실인지 판단해 주지는 않는다.

Truecaller가 “일방적 데이터 이전”이라고 반발한 이유

Truecaller는 이번 의무를 “일방적 교환”이자 반경쟁적 조치라고 비판했다. 이용자 커뮤니티와 탐지 시스템을 통해 쌓은 신고가 상업적으로 가치 있는 자산인데, 앱은 통신사에 이를 제공해야 하는 반면 통신사에서 동등한 정보를 돌려받는 구조는 아니라는 주장이다.

이 반발에는 사업적 이해관계가 분명히 있다. 인도는 Truecaller의 최대 시장으로, 전 세계 월간 활성 이용자 5억 명 이상 가운데 3억5천만 명 이상이 인도에 있다. 스팸 평판 데이터는 앱의 핵심 경쟁력이다. 정부 입장에서는 시민 안전과 집행에 필요한 공익적 정보지만, 기업 입장에서는 오랜 기간 투자해 만든 제품 자산인 셈이다.

그래서 규칙의 실효성은 ‘무엇을 공유하느냐’에 달렸다. 이용자가 특정 번호를 스팸으로 누른 사실과 시간처럼 개별 신고를 전달하는 것과, 앱이 축적한 전체 평판 데이터·위험 점수·탐지 모델을 넘기는 것은 전혀 다른 요구다. 현재 공개된 설명만으로는 의무 제공 범위, 보관 기간, 2차 이용 조건이 충분히 명확하지 않다. 운영 지침이 이 경계를 정하지 못하면 스팸 방지라는 목적과 데이터 경쟁 제한 논란이 계속 충돌할 수 있다.

이용자 동의와 적용 범위가 남은 공백이다

신고 데이터에는 전화번호, 신고 시각, 분류 사유와 같은 정보가 포함될 수 있다. 앱 이용자가 자신의 신고가 통신사 공동 플랫폼으로 전달된다는 사실을 어떻게 통지받는지, 별도 동의가 필요한지, 통신사와 규제기관이 얼마나 오래 보관하고 어떤 목적으로 재사용할 수 있는지가 중요하다.

적용 대상도 아직 선명하지 않다. 규칙은 발신자 식별·통화 관리 앱을 겨냥하지만, Android나 iOS의 기본 전화 앱처럼 운영체제에 내장된 신고 기능도 같은 의무를 지는지는 확인되지 않았다. 해외 사업자에게 어떤 법적 근거와 기술 표준으로 제출을 강제할지도 남은 문제다. 3월 초안에는 인도 정보기술법을 활용하는 방안이 담겼지만 최종 발표에서 같은 집행 수단이 유지됐는지는 공개 설명만으로 확인하기 어렵다.

정책이 일부 대형 앱에만 적용되거나 제출 형식이 업체마다 다르면 데이터는 늘어도 비교와 집행은 어려워진다. 최소 제출 항목, 익명화 방식, 이의 제기 절차, 잘못된 분류를 정정하는 통로가 함께 마련돼야 한다.

AI 음성 전화는 사용 금지가 아니라 사전 신고 대상이다

이번 개정은 AI를 사용한 전화도 다룬다. 사람이 직접 번호를 눌러 시작하지 않고 소프트웨어가 자동 발신하는 전화는 A2P 통신으로 분류된다. 로보콜, 사전 녹음 음성, 인공 음성을 쓰는 자동 전화가 포함되며, 기업은 사용 사실과 관련 전화번호를 미리 통신사에 신고해야 한다. 신고하지 않은 A2P 전화는 스팸으로 취급된다.

이는 AI 음성 기술을 금지한 조치가 아니다. 핵심은 수신자가 받는 전화가 사람의 직접 발신인지 자동화된 대량 통신인지 통신망이 식별할 수 있게 만드는 것이다. 통신사는 A2P 전화에 분당 최대 5파이사의 착신 요금을 부과할 수도 있다. 다만 지정 번호 대역을 쓰는 일부 전화는 면제된다.

경계 사례는 남는다. 상담원이 화면의 버튼을 눌러 전화를 시작하지만 연결과 안내는 소프트웨어가 처리하는 클릭투콜, 사람이 대화하되 AI가 실시간으로 음성을 보조하는 콜센터, 개인 비서 에이전트가 사용자의 요청으로 한 번 전화를 거는 경우를 모두 같은 자동 발신으로 볼 것인지 불명확하다. AI 음성의 사용 여부만으로 나누기보다 누가 발신을 시작했고, 대량 전송인지, 상업적 목적과 수신 동의가 있는지를 함께 봐야 과잉 규제를 줄일 수 있다.

한국과 다른 시장에도 주는 세 가지 시사점

첫째, 스팸 대응은 단말기 앱의 표시 기능만으로 끝나지 않는다. 신고가 실제 번호 정지, 발신자 확인, 과징금 같은 통신망 집행으로 이어져야 효과가 생긴다. 앱과 통신사의 데이터 연결은 필요하지만 상호 제공 원칙과 목적 제한이 함께 설계돼야 한다.

둘째, AI 전화 규제의 기준은 목소리가 합성됐는지보다 자동화된 발신 구조와 동의 여부가 되어야 한다. 합성 음성은 장애인의 의사소통, 예약 안내, 공공 서비스에도 쓰일 수 있다. 반대로 실제 사람의 녹음 음성을 써도 무차별 대량 발신이면 피해는 같다.

셋째, 신고량을 늘리는 것만큼 오탐을 바로잡는 절차가 중요하다. 기업 번호가 잘못 스팸으로 분류되면 정상적인 고객 안내가 막힐 수 있다. 신고 근거를 추적하고, 번호 소유자가 이의를 제기하며, 반복적으로 허위 신고한 계정을 걸러내는 장치가 필요하다.

Nova의 해설

인도의 새 규칙은 스팸을 ‘사용자가 알아서 차단하는 불편’에서 통신망이 책임져야 할 집행 문제로 바꾸려는 시도다. 특히 AI 에이전트가 사람 대신 전화를 거는 시대에는 누가 어떤 자동화 시스템으로 발신했는지 통신사가 알 수 있어야 사후 책임도 물을 수 있다. 사전 신고 의무는 그 출발점이 될 수 있다.

하지만 공익을 이유로 민간 데이터를 가져오는 구조에는 명확한 한계선이 필요하다. 개별 이용자의 신고를 전달하는 것과 기업의 전체 평판 데이터나 탐지 기술을 공유하는 것은 다르다. 데이터 항목, 보관 기간, 이용 목적, 상호 제공 여부를 규칙에 적지 않으면 대형 통신사에 데이터가 집중되고 독립 앱의 경쟁력이 약해질 수 있다.

앞으로 확인할 것은 세 가지다. TRAI가 앱에 요구할 정확한 데이터 범위, 이용자 고지·동의와 정정 절차, 그리고 사람이 일부 관여하는 AI 보조 전화의 분류 기준이다. 이 세부 규칙이 갖춰져야 인도의 실험이 스팸 감소와 혁신의 균형을 이룬 규제 모델인지 평가할 수 있다.

참고 출처

TechCrunch, “India forces caller-ID apps to feed spam reports to telcos”, 2026-09-18 인도 Press Information Bureau, TRAI 상업 통신 규칙 개정 발표, 2026-09-18