정정 (2026년 10월 19일): 이 글에서 C2PA의 작동 방식(제거될 수 있으며 흔히 비가시적 워터마크와 함께 쓰이는 서명된 메타데이터), EU 인공지능법 제50조의 예외와 과징금, 미국의 상황(행정명령 14110은 2025년 1월 폐지되었고 현재는 캘리포니아 AI 투명성법이 적용됨), 중국의 표시 규정, 대한민국의 2024년 형사법 개정과 인공지능기본법상 표시 의무에 관한 내용을 바로잡았습니다.
이제는 정치 지도자가 한 번도 하지 않은 말을 그의 목소리로 수백만 명에게 들려주거나, CEO가 부패를 자백하는 것처럼 영상을 조작하거나, 평화로운 지역에서 폭탄이 터지는 극사실적 합성 뉴스를 만드는 데 몇 초면 충분합니다. 진실은 더 이상 스스로 증명되지 않으며, 검증 장치가 필요합니다.
법률과 기술이 한 가지 해법, 곧 '워터마크 의무화'로 모이는 것도 이 때문입니다. 워터마크는 이미지 모서리에 붙은 반투명 로고에 불과할까요? 유럽연합(EU), 미국, 중국은 이 위기에 어떻게 대응하고 있을까요? 무엇보다, 정치적 양극화가 극에 달한 튀르키예와 딥페이크 성폭력의 악순환 한가운데 있는 대한민국은 이 위기를 어떻게 관리해야 할까요? 이 글에서는 진실을 지키기 위한 방안을 짚어 봅니다.
1. 기술적 해부: 워터마크는 단순한 로고가 아니다
'워터마크'라고 하면 흔히 TV 방송사가 화면 모서리에 띄우는 반투명 로고(가시적 워터마크)를 떠올립니다. 그러나 AI 법에서 말하는 워터마크는 이런 것이 아닙니다. 눈에 보이는 로고는 악의적인 사용자가 간단한 자르기(crop)만으로 2초 만에 지울 수 있습니다. 법이 요구하는 것은 암호화된 비가시적(메타데이터) 워터마킹입니다.
세계 주요 기술 기업이 합의한 C2PA(콘텐츠 출처 및 진위 확인을 위한 연합) 표준은 AI가 이미지나 영상을 생성할 때, 그것이 AI 제작물임을 기록한 암호 서명된 출처 정보("콘텐츠 자격 증명(Content Credentials)")를 파일에 첨부합니다. 이 정보는 변조를 드러내도록 설계되어 있어, 파일을 편집하면 그 내역이 기록되거나 서명이 무효가 됩니다. 그러나 메타데이터이기 때문에 파일을 다시 인코딩하거나 화면을 캡처하면 제거될 수 있습니다. 그래서 C2PA는 픽셀이나 오디오 신호 자체에 심는 비가시적 워터마크(구글의 SynthID가 한 예입니다)와 함께 쓰이는 경우가 늘고 있으며, 메타데이터가 사라져도 이 워터마크를 통해 출처 정보를 되찾을 수 있습니다. 이러한 신호를 읽는 플랫폼은 콘텐츠에 표시를 붙일 수 있으며, 예를 들어 메타는 "AI 정보(AI info)" 표시를 보여 줍니다.
2. 유럽연합 모델: 골드 스탠더드 (EU AI Act)
EU 인공지능법(AI Act)은 워터마크 의무를 세계에서 가장 명확하고 구속력 있게 규정한 법률입니다. 이 법은 생성형 AI(Sora, Midjourney, DALL-E) 제공자에게 엄격한 "투명성 의무"를 부과합니다.
EU AI Act - 제50조 (투명성 의무)
법은 다음과 같이 명시합니다. 합성 오디오, 이미지, 영상 또는 텍스트 콘텐츠를 생성하는 AI 시스템의 제공자는 "AI 시스템의 출력이 기계 판독 가능한 형식(machine-readable)으로 표시되고 인위적으로 생성되거나 조작된 것으로 감지될 수 있도록 보장해야 합니다."
기술 기업(예: 미국의 OpenAI)이 워터마크 없이 유럽 시장에 알고리즘 서비스를 출시하거나 워터마크를 쉽게 지울 수 있는 허술한 시스템을 만들면, 최대 1,500만 유로 또는 전 세계 연간 매출액의 3% 중 높은 금액의 과징금이 부과될 수 있습니다. 다만 AI 시스템이 표준적인 편집을 보조하는 기능만 수행하거나, 입력 데이터를 실질적으로 변경하지 않거나, 범죄의 탐지·예방·수사·기소를 위해 법률로 허용된 경우에는 이 의무가 적용되지 않습니다. 풍자와 패러디는 별도의 규칙에서 다룹니다. 딥페이크를 게시하는 배포자(deployer)는 이를 공개해야 하지만(제50조 제4항), 명백히 예술적·창작적·풍자적·허구적인 작품이라면 작품의 전시나 감상을 방해하지 않는 방식으로 공개하면 됩니다.
3. 다른 주요국의 접근: 미국과 중국
다른 지역은 유럽만큼 엄격하지 않습니다. 미국과 중국은 각자의 정치·경제 구조에 맞는 다른 대응 방식을 발전시켰습니다.
워터마킹 규제에 대한 각국의 접근 방식
미국에서는 바이든 행정부의 행정명령(EO 14110)이 자발적 약속을 통해 기업에 콘텐츠 출처를 증명할 기술(워터마크) 개발을 권장했지만, 이 행정명령은 2025년 1월 폐지되었고 연방 차원의 구속력 있는 의무는 없습니다. 구속력 있는 규칙은 주에서 나옵니다. 캘리포니아 AI 투명성법은 2026년 8월 2일부터 대형 생성형 AI 제공자가 생성한 이미지·영상·오디오에 잠재적(latent) 출처 표시를 삽입하도록 요구합니다. 중국에서는 국가인터넷정보판공실(CAC)이 다른 부처와 함께 제정해 2025년 9월 1일부터 시행 중인 「AI 생성 합성 콘텐츠 표시 방법」이 AI 생성 콘텐츠에 눈에 보이는 명시적 표시와 파일 메타데이터에 심는 암묵적 표시를 모두 요구하며, CAC가 알고리즘 등록 제도와 함께 이를 집행합니다.
4. 임박한 위기: 튀르키예와 대한민국의 사례
AI의 파괴적 영향에 세계에서 가장 취약한 두 나라가 바로 튀르키예와 대한민국입니다. 그 이유는 다음과 같습니다.
- 대한민국의 K-Pop과 N번방 신드롬: 대한민국은 지금 텔레그램을 통한 대규모 딥페이크 성착취물 사태와 씨름하고 있습니다. 2024년 사태가 불거진 이후 학생과 교사부터 K-Pop 스타에 이르기까지 많은 여성의 얼굴이 손쉽게 구할 수 있는 AI 도구로 음란 영상에 합성되었습니다. 한국은 두 갈래로 대응했습니다. 2024년 성적 딥페이크를 소지·구입·저장·시청하는 행위를 처벌 대상으로 삼았고, 2026년 1월 22일 시행된 인공지능기본법은 생성형 AI 결과물에 표시를 하고 딥페이크임을 명확히 알리도록 의무화했습니다. 그러나 표시 의무도 형사 처벌도 이미 퍼진 콘텐츠의 피해를 되돌리지는 못하며, 사회적 불안과 불신은 여전히 큽니다.
- 튀르키예의 선거 및 양극화 역학: 튀르키예의 스마트폰·소셜 미디어 이용률은 기록적인 수준입니다. 정치적 양극화가 심한 나라에서 WhatsApp이나 X(트위터)로 몇 초 만에 퍼지는 "가짜 음성 녹음"이나 "편집된 집회 영상"은 하룻밤 사이에 수백만 유권자의 마음을 돌려놓을 수 있습니다. 불투명한 알고리즘이 튀르키예의 민주적 의사 형성을 위협하고 있습니다.
부르한 도우쉬 아이파를라르의 견해
사회가 단층선을 따라 갈라져 있고, 미디어 리터러시는 상대적으로 낮지만 신기술 수용은 매우 빠른 튀르키예나 대한민국 같은 나라에서 AI 워터마킹을 미국처럼 '기업의 자율'에 맡기거나 EU처럼 '더디게 움직이는 관료적 제재 절차'에 맡기는 것은 자멸을 부르는 일입니다.
'디지털 공증인'(암호화된 출처, Cryptographic Provenance) 시스템으로 전환해야 합니다. 이미지 모서리에 반투명 로고를 넣는 것은 악의적인 행위자에게는 장난에 불과합니다. 필요한 것은 이미지나 오디오의 메타데이터에 심어져, 누군가 변경하면 서명이 깨져 변경 사실이 드러나는 암호화된 출처(Cryptographic Provenance) 표준입니다. 대한민국의 딥페이크 성폭력 사건과 튀르키예의 정치적 허위 정보 위험은 매우 강력하고 국경을 넘어 적용되는 '업로드 필터(Upload Filter)' 법이 필요하다는 점을 보여 줍니다.
구체적으로 다음을 제안합니다. 튀르키예와 대한민국 국회를 통과할 새 인공지능·사이버 보안 법률에는 '워터마크가 없는 합성 콘텐츠 유포 죄'를 독립된 중대 형사 처벌 조항으로 두어야 합니다. X, 텔레그램, 메타, 틱톡 등 튀르키예와 한국에서 서비스하는 플랫폼은 C2PA 표준의 '디지털 공증인' 검증 장치를 시스템에 의무적으로 탑재해야 합니다. 사용자가 이미지나 오디오를 올리면 시스템이 백그라운드에서 파일의 출처(Provenance)를 확인해야 합니다. 암호화된 AI 워터마크가 감지되고 그 파일이 타인을 사칭하는 것이라면, 게시되기 전에 콘텐츠를 '격리'해야 합니다. 거짓이 몇 초 만에 수백만 명에게 퍼진 뒤에야 법정에서 진실을 가리는 것으로는 정의를 실현할 수 없습니다. 진실은 'Enter' 키를 누르는 첫 1밀리초에 알고리즘 장벽으로 지켜져야 합니다.
