AI가 만든 콘텐츠에 표시를 붙이는 일은 왜 갑자기 의무가 됐을까요?
AI 콘텐츠 표시 대응의 출발점은 이것이 마케팅 선택이 아니라 법정 의무가 됐다는 사실을 인정하는 데 있습니다. 2026년 1월 22일 국내에서 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법, 이른바 AI 기본법이 시행되면서 생성형 AI 결과물에는 사람이 알아볼 수 있는 가시적 표시와 기계가 읽을 수 있는 비가시적 표시를 붙여야 합니다. 같은 흐름에서 국제 표준인 C2PA 콘텐츠 크리덴셜은 2026년 1월 기준 6,000곳이 넘는 회원과 제휴사를 확보했고, 4월에 2.4 버전 명세가 공개되며 카메라·생성 모델·플랫폼을 잇는 사실상의 기준선이 됐습니다. 다만 현장 혼란을 고려해 1년 이상의 계도기간이 운영되므로, 지금은 과태료를 피하는 기간이 아니라 파이프라인을 정비할 시간으로 보는 편이 맞습니다.
목차
- AI가 만든 콘텐츠에 표시를 붙이는 일은 왜 갑자기 의무가 됐을까요?
- 메타데이터가 업로드 한 번에 사라지던 날
- 출처를 잃어버린 콘텐츠가 만든 산업 문제
- AI 기본법의 표시 의무는 어떤 구조인가요?
- 표시 기술은 세 갈래로 나뉩니다
- 해외 규제는 어디까지 와 있나요?
- 기술이 못 하는 일도 분명히 있습니다
- 기업이 올해 안에 밟아야 할 4단계
- FAQ
- 같이 읽으면 좋은 것들
메타데이터가 업로드 한 번에 사라지던 날
지난 분기에 한 소비재 기업의 콘텐츠 파이프라인을 점검한 적이 있습니다. 이 회사는 상품 상세 이미지의 절반 이상을 생성형 모델로 만들고 있었고, 담당 팀은 이미 대응을 마쳤다고 보고한 상태였습니다. 생성 도구가 C2PA 메타데이터를 자동으로 심어주니 문제없다는 설명이었습니다.
실제로 원본 파일을 열어보니 서명된 크리덴셜이 정상적으로 들어 있었습니다. 그런데 같은 이미지를 자사 커머스 화면에서 내려받아 확인하자 그 정보가 흔적도 없이 사라져 있었습니다. 원인은 단순했습니다. 이미지 최적화 단계에서 리사이즈와 포맷 변환을 거치는데, 그 과정에서 EXIF를 포함한 부가 정보를 통째로 제거하도록 오래전에 설정해둔 규칙이 남아 있었던 겁니다. 페이지 용량을 줄이려 넣은 설정이 표시 의무를 무력화하고 있었습니다.
더 흥미로운 건 그다음이었습니다. 팀에서 "그러면 화면에 AI 생성이라는 문구만 띄우면 되지 않나"고 물었는데, 그것만으로는 절반의 대응입니다. 법은 가시적 표시와 기계가 인식할 수 있는 표시를 함께 요구하는 방향으로 설계돼 있고, 실무에서 문제가 되는 순간은 대개 콘텐츠가 원래 맥락에서 떨어져 나가 다른 곳에 재게시됐을 때이기 때문입니다. 화면 문구는 캡처 한 번으로 떨어져 나가지만, 파일 안에 새겨진 서명은 함께 이동합니다.
출처를 잃어버린 콘텐츠가 만든 산업 문제
지금까지 디지털 콘텐츠 유통은 출처를 따로 관리하지 않는 구조 위에서 작동해 왔습니다. 이미지든 영상이든 한 번 업로드되면 누가 언제 무엇으로 만들었는지는 파일 밖의 맥락, 그러니까 게시물 본문이나 계정 정보에만 남았습니다. 그 맥락은 복사와 재게시를 몇 번 거치면 사라집니다.
생성형 모델이 사진과 구분하기 어려운 결과물을 대량으로 만들어내면서 이 구조의 비용이 드러났습니다. 기업 입장에서 손실은 두 갈래로 나타납니다. 하나는 자사 브랜드를 사칭한 합성 콘텐츠가 유통되는데 이를 증명할 수단이 없다는 것이고, 다른 하나는 자사가 만든 진짜 콘텐츠조차 AI 합성물이 아니냐는 의심을 받는다는 것입니다. 진위를 다투는 비용이 광고비만큼 커지는 상황입니다.
여기서 나온 접근이 판별에서 증명으로의 전환입니다. 결과물을 뜯어보고 AI가 만들었는지 알아맞히는 탐지 방식은 모델이 좋아질수록 정확도가 떨어집니다. 반대로 만들어지는 순간에 누가 무엇으로 만들었는지를 서명해 붙여두면, 나중에 판별할 필요 없이 검증만 하면 됩니다. C2PA가 택한 것이 이 방향입니다.
AI 기본법의 표시 의무는 어떤 구조인가요?
대한민국 정책브리핑이 정리한 시행 내용에 따르면, 인공지능사업자가 생성형 AI 또는 이를 이용한 제품·서비스를 제공하는 경우 그 결과물이 생성형 AI로 만들어졌다는 사실을 표시해야 합니다. 표시 방법은 두 가지로 갈립니다.
| 구분 | 방법 | 예시 |
|---|---|---|
| 가시적 표시 | 사람이 인식할 수 있는 형태 | 화면 내 문구·로고, 이미지 위 배지, 안내 문장 |
| 비가시적 표시 | 기계가 인식할 수 있는 형태 | 파일 메타데이터, 보이지 않는 워터마크 |
세계 첫 AI 규제법으로 시행됐다는 보도가 나올 만큼 국제적으로도 주목받았지만, 실무자 입장에서 더 중요한 것은 적용 범위와 시점입니다. 사업자 의무를 정리한 실무 해설을 보면 법은 2026년 1월 22일부터 시행되되 현장 혼란을 막기 위해 1년 이상의 계도기간이 운영되며, 실질적인 제재가 발생하는 시점은 빨라도 2027년 이후로 전망됩니다.
계도기간을 유예로만 읽으면 곤란합니다. 표시 체계를 나중에 붙이려면 이미 유통된 콘텐츠를 소급해서 정리해야 하는데, 이 작업의 비용이 처음부터 파이프라인에 넣는 비용보다 훨씬 큽니다. 게다가 국내법만의 문제도 아닙니다. 해외 플랫폼에 콘텐츠를 올리는 기업이라면 각 플랫폼이 자체적으로 요구하는 표시 정책을 동시에 만족시켜야 합니다.
표시 기술은 세 갈래로 나뉩니다
C2PA 콘텐츠 크리덴셜 - 파일에 붙는 이력서
C2PA는 콘텐츠의 생성과 편집 이력을 암호학적으로 서명해 파일 안에 담는 개방형 표준입니다. 어떤 도구로 만들었는지, 이후 어떤 편집을 거쳤는지가 서명된 기록으로 쌓이고, 검증 도구로 열면 서명자와 변조 여부를 확인할 수 있습니다. C2PA 2.4 기술 명세는 2026년 4월에 공개됐습니다.
채택 범위도 촬영 기기까지 내려왔습니다. 라이카와 소니, 니콘, 캐논의 일부 기종은 촬영 시점에 서명을 남기고, 삼성 갤럭시 S26 계열도 이 대열에 합류했습니다. 생성 쪽에서는 오픈AI가 생성 미디어에 C2PA 메타데이터를 넣고 있고, 구글은 제미나이와 검색, 크롬 전반에서 검증 기능을 확대하고 있습니다.
보이지 않는 워터마크 - 픽셀에 새기는 신호
메타데이터는 떨어져 나갈 수 있다는 약점이 있습니다. 그래서 이미지 픽셀 값이나 음성 파형 자체에 사람 눈에 띄지 않는 패턴을 심는 방식이 병행됩니다. 구글의 SynthID가 대표적이고, 크기 조정이나 압축, 일부 편집을 거쳐도 신호가 살아남도록 설계됩니다. 다만 이 방식은 해당 사업자의 검출기가 있어야 확인할 수 있어 개방형 검증에는 한계가 있습니다.
지문과 해시 - 원본 대조 방식
콘텐츠에서 특징값을 뽑아 데이터베이스에 등록해두고 유통 중인 파일과 대조하는 방식입니다. 이미 저작권 보호 분야에서 오래 쓰였고, 원본을 보유한 기업이 자사 콘텐츠의 무단 변형을 추적할 때 유효합니다. 대신 등록되지 않은 콘텐츠는 확인할 수 없습니다.
세 방식은 서로 대체재가 아니라 보완재입니다. C2PA가 공개한 자료에서도 서명 기반 이력과 워터마크를 함께 쓰는 계층적 접근이 권장됩니다.
해외 규제는 어디까지 와 있나요?
국내법만 보고 대응 범위를 정하면 해외 사업에서 다시 손을 대야 합니다. 유럽연합의 AI법은 투명성 조항을 통해 사람과 상호작용하는 AI 시스템과 합성 콘텐츠에 대한 고지 의무를 규정하고 있고, 딥페이크에 해당하는 결과물에는 별도의 공개 요건을 둡니다. 미국은 연방 차원의 단일 법률 대신 주별 입법과 플랫폼 자율 규제가 병행되는 구조인데, 선거 관련 합성 콘텐츠처럼 위험이 큰 영역부터 표시 요구가 강화되는 흐름은 공통적입니다.
| 축 | 한국 AI 기본법 | EU AI법 | 미국 |
|---|---|---|---|
| 접근 | 생성형 결과물 표시 의무 명시 | 투명성 의무와 위험 등급 결합 | 주별 입법·플랫폼 정책 중심 |
| 표시 방식 | 가시적·비가시적 병행 | 기계 판독 가능 표시 강조 | 플랫폼별 상이 |
| 집행 시점 | 2026년 시행, 계도기간 운영 | 조항별 단계 적용 | 영역별 개별 시행 |
세부 문구는 다르지만 세 축이 요구하는 실체는 비슷합니다. 결과물이 생성형 AI에서 나왔다는 사실을 이용자가 알 수 있게 하고, 기계가 읽을 수 있는 형태로도 남기라는 것입니다. 그래서 국가별로 따로 대응하기보다 C2PA처럼 여러 규제가 공통으로 인정하는 표준을 축으로 삼고, 국가별 차이는 가시적 표시 문구 수준에서 조정하는 설계가 운영 부담을 가장 크게 줄여줍니다.
실무에서는 시점 관리도 중요합니다. 규제는 조항마다 적용 시기가 다르고 가이드라인이 뒤따라 나오는 경우가 많아, 법 시행일 하나만 캘린더에 적어두면 놓치는 항목이 생깁니다. 분기마다 소관 부처의 고시와 해설서를 확인하고, 변경 사항을 콘텐츠 운영 가이드에 반영하는 담당자를 지정해 두는 편이 안전합니다. 실제로 표시 의무 대응에서 가장 흔한 실패는 기술을 못 갖춘 경우가 아니라, 도입해두고 관리 주체를 정하지 않아 몇 달 만에 설정이 원래대로 되돌아간 경우였습니다.
기술이 못 하는 일도 분명히 있습니다
가장 흔한 오해는 표시 체계를 갖추면 위조가 불가능해진다는 기대입니다. 그렇지 않습니다. C2PA 서명은 "이 파일은 서명 이후 변조되지 않았다"를 증명할 뿐, 서명이 없는 콘텐츠가 가짜라는 뜻은 아닙니다. 수많은 정상 콘텐츠에 아직 서명이 없기 때문에 서명 부재를 위조의 증거로 삼을 수 없습니다.
스크린샷도 골칫거리입니다. 화면을 촬영하거나 캡처하면 파일 구조가 새로 만들어지면서 메타데이터가 통째로 사라집니다. 픽셀에 심은 워터마크는 이 과정에서도 일부 살아남지만, 강한 크롭이나 재생성 모델을 한 번 더 거치면 신호가 약해집니다.
플랫폼 단의 처리도 변수입니다. 많은 서비스가 업로드 이미지의 부가 정보를 자동으로 제거합니다. 개인정보 보호와 용량 절감이라는 정당한 이유에서 시작된 관행이지만, 출처 정보까지 함께 날아갑니다. 최근 주요 플랫폼이 C2PA 정보를 보존하도록 정책을 바꾸고 있으나 아직 전면적이지는 않습니다.
기업이 올해 안에 밟아야 할 4단계
1단계 - 생성 지점을 목록화합니다
사내에서 생성형 AI가 어디에 쓰이는지 전수 조사합니다. 마케팅 이미지, 고객센터 응답, 사내 교육 자료, 상품 설명까지 포함합니다. 표시 의무의 출발점은 무엇이 생성물인지 아는 것입니다.
2단계 - 유통 경로에서 정보가 사라지는 구간을 찾습니다
앞서 사례처럼 이미지 최적화, CDN 변환, CMS 업로드 단계에서 메타데이터가 제거되는지 확인합니다. 원본과 최종 게시본을 각각 검증 도구에 넣어 비교하면 금방 드러납니다.
3단계 - 가시적 표시의 문구와 위치를 표준화합니다
부서마다 다른 문구를 쓰면 소비자 혼란과 내부 관리 비용이 함께 커집니다. 표현과 노출 위치, 영상의 경우 표시 지속 시간까지 가이드로 정합니다.
4단계 - 기록을 남길 수 있는 체계를 만듭니다
어떤 모델로 언제 만들었고 어떤 검수를 거쳤는지 로그로 남깁니다. 분쟁이 생겼을 때 방어의 근거가 되고, 내부 감사에도 쓰입니다. 이 단계가 AI 거버넌스 체계와 자연스럽게 맞물립니다.