이슈 페이퍼 | AI·클라우드
생성형 AI의 투명성이 선언에서 운영 단계로 넘어갔다. 유럽연합 AI법 제50조의 투명성 의무가 2026년 8월 2일부터 적용되면서, 챗봇은 이용자가 AI와 대화 중임을 알려야 하고 생성·조작된 이미지·음성·영상에는 기계가 판독할 수 있는 표시가 필요해졌다. 딥페이크와 공익 사안에 관한 일부 AI 생성 문서는 사람이 알아볼 수 있는 표지도 요구된다. 이제 쟁점은 화면 구석에 “AI 제작” 문구를 붙이는 데 그치지 않는다. 모델 API, 클라우드 저장소, 편집도구, 배포 플랫폼을 지나도 출처 정보가 유지되는지까지 검증해야 한다.
법적 의무와 자율 코드의 역할은 다르다
유럽위원회가 마련한 「AI 생성 콘텐츠 투명성 실천규약」은 자발적 수단이지만 제50조 자체는 법적 의무다. 규약 서명자는 공통 절차를 통해 준수를 입증할 수 있고, 다른 방식을 택한 사업자는 그 조치가 충분하다는 점을 개별 시장감시 당국에 설명해야 한다. 규약은 제공자를 위한 생성물 표시·탐지 규칙과 배포자를 위한 딥페이크·특정 텍스트 라벨 규칙을 구분한다. 모델을 만든 회사와 콘텐츠를 실제로 공개한 조직의 책임이 동일하지 않다는 뜻이다.
이 구분은 클라우드 시장에서 특히 중요하다. 기업은 자체 모델보다 외부 모델 API, 관리형 AI 서비스, 여러 편집 애플리케이션을 조합하는 경우가 많다. 최초 생성 단계의 워터마크가 변환·압축·캡처 과정에서 사라지면 최종 배포자는 표시 의무를 충족하지 못할 수 있다. 반대로 플랫폼이 모든 콘텐츠를 AI 생성물로 추정해 과도하게 표시하면 인간 저작물의 신뢰까지 훼손한다. 책임은 한 사업자의 버튼이 아니라 공급망 전체의 기록 구조로 옮겨간다.
클라우드 아키텍처는 ‘표시’보다 ‘증거’를 저장해야 한다
실무적으로 필요한 첫 번째 요소는 생성 이벤트의 기록이다. 사용 모델과 버전, 생성 시각, 편집 단계, 표시 삽입 여부를 변경 불가능한 감사 로그로 남겨야 한다. 두 번째는 콘텐츠와 출처 메타데이터의 결합이다. 파일이 다른 저장소나 전송망으로 이동할 때 메타데이터만 떨어져 나가면 규정 준수는 끊긴다. 세 번째는 사람이 보는 라벨과 기계가 읽는 신호를 분리해 관리하는 것이다. 화면 표시가 유지돼도 자동 탐지 신호가 손상될 수 있고 그 반대도 가능하다.
네 번째는 예외 처리다. 풍자·예술·편집 목적, 법집행, 기존 시스템에 대한 전환 규정 등 적용 맥락이 다를 수 있다. 모든 생성물을 같은 등급으로 처리하면 오탐과 운영비가 늘어난다. 유럽위원회 안내에 따르면 2026년 8월 2일 이전 출시된 일부 시스템의 생성물 표시·탐지 의무에는 12월 2일까지 제한적 전환기간이 있지만, 새 시스템과 배포자의 다른 의무를 포괄적으로 미루는 유예는 아니다. 기업은 서비스별 출시 시점과 역할을 구분한 목록을 만들어야 한다.
신뢰 표시는 보안 기능이지만 만능 인증서는 아니다
출처 표시는 이용자가 조작 가능성을 판단하도록 돕지만 내용의 사실성을 보증하지 않는다. AI 표시가 있는 콘텐츠도 사실일 수 있고, 표시가 없는 콘텐츠도 합성됐을 수 있다. 공격자는 메타데이터를 제거하거나 진짜 콘텐츠에 가짜 표식을 붙일 수 있다. 따라서 표시 시스템에는 서명 검증, 키 관리, 변경 탐지, 철회 목록이 필요하다. 클라우드 사업자가 공통 도구를 제공하더라도 고객 조직은 누가 생성·편집·승인·배포했는지 권한을 분리해야 한다.
탐지 기술의 성능 공시도 중요하다. 탐지율만 제시하면 오탐률, 재인코딩 후 성능, 언어·매체별 편차가 숨겨질 수 있다. 규제기관과 이용자는 어떤 조건에서 신호가 사라지는지 알아야 한다. 독립 시험 세트, 변환 스트레스 테스트, 사고 신고와 수정 절차가 병행돼야 한다. 공개 표준을 활용하면 특정 클라우드에 종속되는 위험을 줄일 수 있지만, 표준을 지원한다는 선언과 실제 종단 간 호환성은 구별해야 한다.
한국 기업이 지금 준비할 운영 점검표
유럽 이용자에게 서비스를 제공하는 한국 기업은 소재지가 아니라 시장 제공 여부와 역할을 먼저 검토해야 한다. 모델 제공자, 시스템 제공자, 업무에 AI를 사용하는 배포자, 콘텐츠 플랫폼의 의무가 다르기 때문이다. 제품 목록마다 생성 기능, 입력·출력 형식, 출처표시 방식, 외부 API, 저장·편집 경로, 최종 공개 채널을 연결한 데이터 흐름도를 만들 필요가 있다. 계약서에는 하위 제공자의 표시 유지, 버전 변경 통지, 감사자료 제공, 사고 대응 책임을 포함해야 한다.
성과지표도 생성 건수보다 증거의 완전성을 봐야 한다. 표시 삽입률, 유통 후 보존율, 탐지 오탐·미탐률, 로그 누락률, 신고 처리시간을 측정하면 규정 준수와 사용자 신뢰를 함께 관리할 수 있다. 2026년의 변화는 AI 라벨을 디자인 요소로 추가하는 프로젝트가 아니다. 클라우드 공급망의 모든 단계가 생성 이력을 전달하는 데이터 거버넌스 프로젝트다. 표시는 출발점이고, 검증 가능한 추적성이 최종 목표다.
출처
- European Commission, “Code of Practice on Transparency of AI-generated Content”, 2026년 8월 업데이트, 확인 2026년 8월 15일 00:56(Asia/Seoul).
- European Commission, “Guidelines on transparency obligations for providers and deployers of AI systems”, 2026년 7월 20일, 확인 2026년 8월 15일 00:56(Asia/Seoul).
- European Commission, “Commission publishes Code of Practice on marking and labelling AI-generated content”, 2026년 6월 10일, 확인 2026년 8월 15일 00:56(Asia/Seoul).
- European Commission AI Act Service Desk, “Timeline for the Implementation of the EU AI Act”, 2026년 업데이트, 확인 2026년 8월 15일 00:56(Asia/Seoul).
대표 이미지는 2026년 8월 15일 이 글을 위해 생성한 독창적 편집 일러스트레이션이며 외부 보도사진을 사용하지 않았다.
의견을 남겨주세요