EU AI 콘텐츠 표시 의무, 워터마크만 넣으면 끝이 아니다

EU AI Act 제50조는 2026년 8월 2일부터 적용되며, 이미지에 눈에 보이는 워터마크 하나를 넣는 것만으로 모든 의무가 끝나지는 않는다. EU 집행위원회의 제50조 지침 이 구분하듯 제공자는 AI 상호작용 고지와 생성·조작 콘텐츠의 기계 판독 표시를, 배포자는 딥페이크와 일정한 공익 텍스트의 공개를 담당한다.

따라서 EU 이용자를 상대로 서비스를 제공하는 한국 기업은 회사 전체에 하나의 의무를 붙일 것이 아니라 기능과 콘텐츠별 역할부터 나눠야 한다. 자체 명의로 AI 시스템을 공급하는 제공자이면서 그 시스템으로 만든 광고 영상이나 공익 텍스트를 공개하는 배포자라면 두 종류의 의무가 함께 적용될 수 있다.

1. 제공자와 배포자는 서비스 흐름별로 구분한다

제공자는 AI 시스템을 개발하거나 개발을 맡긴 뒤 자신의 이름 또는 상표로 EU 시장에 출시하거나 서비스에 투입하는 주체다. EU 밖에 설립됐더라도 시스템을 EU 시장에 제공하거나 그 출력이 EU에서 사용되는 경우에는 적용 범위를 검토해야 한다. 한국 본사의 소재지만으로 대상이 아니라고 단정할 수 없다.

배포자는 개인적·비직업적 활동을 제외하고 자신의 권한 아래 AI 시스템을 사용하는 사업자나 기관이다. 법인의 지시와 통제 아래 직원 또는 외주 제작자가 생성형 AI를 사용한다면 법인이 배포자가 될 수 있으며, 작업자 각자가 자동으로 별도 배포자가 되는 것은 아니다.

실무에서는 자체 브랜드 챗봇, 외부 모델을 결합한 상담 서비스, 합성 광고, 고객사를 대신해 공개하는 콘텐츠를 각각 분리해 기록하는 편이 정확하다. 각 흐름에서 누가 시스템을 자기 명의로 제공하는지, 누가 결과물을 사용하고 공개하는지, EU 이용자나 EU 내 출력 사용과 어떤 관련이 있는지를 확인한다.

2. 챗봇 고지는 첫 상호작용부터 필요하다

자연인과 직접 양방향으로 소통하도록 설계된 챗봇, AI 에이전트, 음성 비서나 아바타의 제공자는 상대가 AI라는 사실을 알려야 한다. 고지는 늦어도 첫 상호작용 때 명확하고 구별 가능하게 제시돼야 하며 적용되는 접근성 요건도 충족해야 한다. 이용약관 안에만 묻어 두거나 대화가 끝난 뒤 알리는 방식으로는 이 시점 요건을 충족하기 어렵다.

평균적으로 충분한 정보를 갖고 주의 깊게 보는 사람이 이용 상황상 AI와 대화한다는 사실을 명백히 알 수 있다면 예외가 가능하다. 다만 이 예외는 제한적으로 해석되므로 제품명에 ‘AI’가 들어간다는 이유만으로 고지를 생략하기보다 진입 화면과 대화 화면에서 사람 상담원으로 오인할 가능성을 살펴야 한다.

백그라운드 처리나 기계 간 통신처럼 자연인과 직접 접촉하지 않는 기능은 같은 상호작용 고지의 대상이 아니다. 반대로 상담 과정에서 사람 상담원과 AI가 교대한다면 이용자가 AI와 직접 대화하기 시작하는 시점에 그 전환을 알아볼 수 있어야 한다.

3. 기계 판독 표시는 가시적 워터마크와 다른 의무다

합성 오디오·이미지·영상·텍스트를 생성하는 시스템의 제공자는 출력물이 AI로 생성되거나 조작됐음을 기계가 판독하고 탐지할 수 있도록 설계해야 한다. 기술적 수단은 가능한 범위에서 효과적이고 상호운용 가능하며 견고하고 신뢰할 수 있어야 하며, 콘텐츠 유형의 특성과 한계, 구현 비용, 일반적으로 인정되는 기술 수준도 고려할 수 있다.

화면 모서리의 ‘AI 생성’ 문구는 사람이 인식하는 공개에는 도움이 되지만 그 자체로 자동 탐지 가능성을 보장하지 않는다. 반대로 파일에 기계 판독 메타데이터나 출처 정보를 넣었다고 해서 딥페이크를 보는 사람에게 알려야 하는 배포자의 공개 의무까지 사라지는 것도 아니다. 이것이 워터마크 하나로 대응을 끝낼 수 없는 핵심 이유다.

다만 모든 출력이 표시 대상인 것은 아니다. 표준적인 편집을 보조하거나 배포자가 제공한 입력 데이터 또는 그 의미를 실질적으로 바꾸지 않는 기능에는 제2항 의무가 적용되지 않는다. 공식 지침은 짧은 숫자·기호·문자열, 소스 코드, 사람에게 노출되지 않는 기계 간 출력, 폐쇄형 산업·제품 개발 환경의 비최종 산출물 등도 범위 밖 사례로 설명하므로 기능 명칭보다 실제 출력과 사용 맥락을 기준으로 분류해야 한다.

4. 딥페이크와 공익 텍스트는 공개 단계에서 다시 판단한다

실제 또는 현실에 존재할 법한 인물, 사물, 장소, 주체나 사건과 매우 닮아 진짜처럼 오인될 수 있는 AI 생성·조작 이미지, 오디오 또는 영상은 딥페이크가 될 수 있다. 이를 업무상 공개하는 배포자는 늦어도 사람이 콘텐츠에 처음 노출될 때 생성·조작 사실을 명확하고 인지 가능한 방식으로 알려야 한다. 별도 기술 도구를 실행해야 확인되는 기계 판독 표시만으로는 충분하지 않다.

명백한 예술·창작·풍자·허구 또는 이와 유사한 작품에 포함된 딥페이크도 공개 의무 자체가 없어지는 것은 아니다. 다만 작품의 전시나 감상을 방해하지 않는 적절한 방식으로 생성·조작 사실을 알릴 수 있다.

대중에게 공익 사안의 정보를 제공할 목적으로 발행하는 AI 생성·조작 텍스트도 배포자의 공개 대상이다. 정치와 민주 절차, 공공서비스, 사법과 법집행, 기본권, 공공안전·보건, 환경, 소비자 안전 및 공적 논의와 관련된 경제·금융·과학·문화 사안 등이 포함될 수 있다.

이 텍스트가 실질적인 인간 검토 또는 편집 통제를 거쳤고 자연인이나 법인이 발행에 대한 최종 편집 책임을 진다면 라벨 의무의 예외가 가능하다. 관련 지식과 전문적 판단을 갖춘 사람이 내용 자체를 검토하거나 책임 있는 편집 주체가 승인·수정·거부 권한을 실제로 행사해야 한다. 맞춤법이나 문법만 확인하는 형식적 검수는 이에 해당하지 않으므로 검토 범위와 수정 내역, 최종 책임자를 남겨야 한다.

5. 적용일과 제한적 유예를 분리해 점검한다

제50조의 투명성 의무는 2026년 8월 2일부터 적용된다. 다만 집행위원회의 제50조 FAQ 에 따르면 그 전에 EU 시장에 출시된 시스템은 제50조 제2항의 기계 판독 표시·탐지 의무에 한해서만 2026년 12월 2일부터 준수하면 된다. 챗봇 고지나 배포자의 딥페이크·공익 텍스트 공개까지 미루는 포괄적 유예가 아니다.

2026년 8월 2일 전에 생성된 콘텐츠를 소급해 라벨링할 법적 의무는 없다. 기존 시스템에 제한적 유예를 적용하려면 모델의 일반 공개일이 아니라 해당 시스템이 EU 시장에 출시된 시점과 제2항 대상이라는 근거를 확인해 두는 것이 중요하다.

점검표는 다음 순서로 구성할 수 있다.

1. EU 시장에 제공하는 AI 기능과 EU에서 사용되는 출력을 서비스별로 목록화한다.
2. 각 흐름에서 제공자, 배포자 또는 두 역할 모두에 해당하는지 정한다.
3. 직접 상호작용 기능에는 첫 대화 시점의 명확하고 접근 가능한 고지를 배치한다.
4. 합성 콘텐츠 생성 시스템에는 기계 판독 표시와 탐지 수단을 구현하고 예외 판단을 기록한다.
5. 공개 단계에서 딥페이크와 공익 텍스트를 분류해 사람이 인식할 수 있는 공개 위치를 정한다.
6. 공익 텍스트 예외를 적용한다면 실질 검토 또는 편집 통제와 최종 편집 책임을 문서화한다.
7. 12월 2일 유예를 적용할 때는 EU 출시 시점과 제2항에만 한정된다는 근거를 보관한다.

집행위원회가 발표한 AI 콘텐츠 표시 행동규범 은 제공자의 기계 판독 표시와 배포자의 라벨링을 위한 실무 절차를 제시한다. 규범 참여는 자발적이지만 제50조의 법적 의무까지 선택 사항이 되는 것은 아니다.