AI 기본법, 정확히 무엇이 바뀌었나?

2026년 1월 22일은 한국 디지털 역사에 작은 기준점이 생긴 날입니다. 정식 명칭 ‘인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI 기본법)’이 이날부터 전면 시행됐습니다. EU가 AI법을 단계적으로 적용하고 있는 것과 달리 한국은 포괄적 적용을 먼저 선언한 첫 번째 나라입니다.

법의 핵심 구조는 두 축으로 나뉩니다. 첫째는 AI 산업을 육성하는 ‘진흥’ 조항으로, 전체 법 조항의 약 80%를 차지합니다. 과학기술정보통신부는 이 법이 족쇄가 아니라 진흥 수단이라고 강조하지만, 실무 현장에서는 나머지 20%의 ‘규제’ 조항에 더 민감하게 반응하고 있습니다. 그 핵심이 바로 AI 생성물 표시 의무와 고영향 AI 관리 체계입니다.

AI 생성물 표시 의무란 간단히 말해, AI가 만든 콘텐츠임을 이용자가 알 수 있도록 표기해야 한다는 것입니다. 텍스트·이미지·영상·음성 등 형식을 막론하고 생성형 AI를 활용해 만든 결과물이 대상입니다. 실제인지 아닌지 구분하기 어려운 딥페이크 생성물에는 특히 명확한 워터마크를 요구합니다. 반면 애니메이션이나 웹툰처럼 누가 봐도 AI임이 자명한 콘텐츠는 눈에 보이지 않는 디지털 워터마크로 대체할 수 있습니다.

▲ 목차로 돌아가기

의무 대상자는 ‘사업자’만 — 개인은 해당 없다?

가장 많은 사람이 오해하는 부분입니다. AI 기본법의 워터마크 의무는 개인 이용자에게는 적용되지 않습니다. 의무 주체는 명확히 ‘AI 사업자’로 제한됩니다. AI를 활용해 웹툰을 그리는 작가, AI로 유튜브 쇼츠를 만드는 인플루언서, 블로그에 AI 이미지를 올리는 일반인은 원칙적으로 규제 대상이 아닙니다.

사업자로 분류되는 경우는 크게 두 유형입니다. 하나는 챗GPT·제미나이처럼 생성형 AI 서비스를 직접 운영하는 플랫폼 사업자이고, 다른 하나는 AI 기능을 탑재해 콘텐츠를 대량 생산·유통하는 서비스 기업입니다. 카카오가 카나나 템플릿으로 만든 영상에 ‘カナナ’ 가시적 워터마크를 삽입하거나, 크래프톤이 스팀 플랫폼에 AI 사용 여부를 표기하는 사례가 대표적입니다.

다만 ‘사업자’의 기준이 아직 모호하다는 점은 주의해야 합니다. 스타트업얼라이언스 설문에서 국내 AI 스타트업 101개사 중 98%가 “대응 체계를 갖추지 못했다”고 답한 것은, 이 모호함이 얼마나 현장을 혼란스럽게 하는지를 보여줍니다. 내 서비스가 사업자에 해당하는지 불분명하다면, 1년의 계도기간 동안 과기정통부의 가이드라인을 면밀히 추적해야 합니다.

▲ 목차로 돌아가기

워터마크 3가지 방식 완전 비교

AI 기본법이 허용하는 AI 생성물 표시 방식은 크게 세 가지입니다. 각 방식은 콘텐츠 유형과 리스크 수준에 따라 선택이 달라집니다. 아래 표로 한눈에 비교해 보겠습니다.

가시적 워터마크는 직관적이지만 내구성이 약합니다. 이미지를 조금만 잘라내도 워터마크가 사라지고, 포토샵 한 번이면 흔적이 지워집니다. 반면 비가시적 워터마크는 육안으로는 보이지 않지만 할리우드 영화처럼 모든 프레임에 고유 ID가 암호화되어 있어 사후 추적이 가능합니다. 마크애니 최 고 대표의 설명에 따르면, 같은 영상을 네이버 TV에서 시청하면 네이버 TV와 시청자 ID가 동시에 비가시적 워터마크로 새겨집니다.

가장 진화한 형태가 C2PA 메타데이터입니다. 단순히 ‘AI가 만들었다’는 사실만이 아니라, 누가·언제·어떤 AI 도구로 만들었는지의 전체 이력(Provenance)을 암호화 서명과 함께 기록합니다. 이것이 국제 표준으로 자리 잡고 있는 이유이며, 삼성전자도 이미 C2PA 메타데이터를 채택하고 있습니다.

▲ 목차로 돌아가기

C2PA: 글로벌 표준이 AI 기본법 해법인 이유

C2PA(Coalition for Content Provenance and Authenticity)는 어도비, 마이크로소프트, 구글, 인텔이 공동 주도해 만든 오픈소스 콘텐츠 진위 확인 국제 표준입니다. 핵심 개념은 ‘디지털 콘텐츠의 출생 기록’입니다. 사진 한 장이 찍히는 순간부터 편집·게시·재배포에 이르는 모든 이력을 암호화 서명과 함께 메타데이터로 봉인합니다.

구글 제미나이로 생성한 이미지에는 이미 C2PA 메타데이터가 자동으로 삽입됩니다. 오픈AI 달리(DALL·E), 어도비 파이어플라이도 마찬가지입니다. 이 메타데이터를 Content Credentials Verify 사이트에서 확인하면 해당 이미지가 어느 AI로, 언제, 어떤 프롬프트로 만들어졌는지를 볼 수 있습니다.

마크애니 최 고 대표가 “한국만의 별도 표준을 만들면 갈라파고스 규제가 된다”고 경고한 것은 이 때문입니다. 현재 네이버도 C2PA 국내 최초 가입 기업으로 이름을 올렸고, 삼성전자는 자사 스마트폰 촬영 이미지에 C2PA 메타데이터를 탑재하는 작업을 진행 중입니다. AI 기본법 준수의 가장 현실적이고 비용 효율적인 경로는 C2PA를 채택하는 것입니다.

▲ 목차로 돌아가기

과태료 3,000만 원 — 진짜 무서운 건 따로 있다

AI 기본법 위반 시 최대 3,000만 원의 과태료가 부과됩니다. 그런데 정부는 최소 1년 이상의 계도기간을 운영하겠다고 밝혔습니다. 즉, 빨라도 2027년 1월 이전에는 실제 과태료 부과나 사실조사가 이뤄질 가능성이 낮습니다. 이 때문에 일부 기업이 “아직 1년 있으니 천천히”라는 안일한 자세를 취하고 있습니다.

하지만 진짜 리스크는 과태료가 아닙니다. 고영향 AI 해당 여부를 법원이 사후 판단하는 상황입니다. AI 기본법은 에너지·의료·채용·원자력·범죄수사·교통·교육 등 10개 영역을 고영향 AI로 지정했는데, 내 서비스가 이 범주에 해당하는지를 기업이 스스로 판단해야 합니다. 지금 판단을 안 해뒀다가 나중에 법적 분쟁이 생겼을 때 “고영향 AI였다”는 법원 판결이 나오면, 사전 대응 미비에 대한 책임이 훨씬 더 무거워집니다.

해외 AI 기업에 대한 실효적 제재가 어렵다는 점도 현실적 한계입니다. 국내 매출 100억 원, 글로벌 매출 1조 원, 일평균 이용자 100만 명 이상 중 하나를 충족하는 해외 사업자만 국내 대리인을 지정해야 하는데, 이 기준을 충족하는 기업은 구글·오픈AI 등 극소수에 불과합니다. 국내 기업만 규제 부담을 지는 비대칭 규제 문제는 계도기간이 끝나기 전 반드시 정비되어야 합니다.

▲ 목차로 돌아가기

지금 당장 쓸 수 있는 무료 도구 총정리

AI 기본법에 실질적으로 대응하기 위해 지금 바로 활용할 수 있는 공식 무료 도구들을 정리했습니다. 계도기간을 버티는 게 아니라, 이 기간을 선제적 신뢰 구축의 기회로 활용하는 기업이 결국 앞서갑니다.

개인 크리에이터라면 지금 당장 규제 대상이 아니더라도, 이미 생성형 AI 플랫폼들이 자동으로 C2PA 메타데이터를 삽입하고 있다는 사실을 인지해 두세요. 내가 AI로 만든 콘텐츠를 배포할 때 그 이력이 이미 파일 안에 암호화되어 있을 가능성이 높습니다. 이것이 투명성 시대의 기본값입니다.

▲ 목차로 돌아가기

Q&A 5가지 — 가장 많이 묻는 질문

▲ 목차로 돌아가기

마치며 — 규제가 아니라 신뢰의 인프라다

AI 기본법의 AI 생성물 표시 의무를 두고 ‘족쇄’냐 ‘진흥 도구’냐를 놓고 논쟁이 이어지고 있습니다. 저는 세 번째 관점을 제안하고 싶습니다. 이것은 신뢰의 인프라를 닦는 작업입니다.

AI가 만든 콘텐츠가 인터넷 전체를 뒤덮는 시대에, 진짜와 가짜를 구분하는 능력은 개인의 스킬이 아니라 시스템의 역량이 돼야 합니다. C2PA처럼 콘텐츠가 태어나는 순간부터 이력을 암호화하는 방식은 사후에 진위를 검증하려는 헛된 노력보다 훨씬 효율적입니다. 한국이 세계 최초로 AI 기본법을 전면 시행한 사실은, 그 법이 완벽하지 않더라도 디지털 신뢰를 선제적으로 설계하겠다는 의지의 표명으로 읽혀야 합니다.

계도기간이 1년 남아 있습니다. 이것을 미루는 시간으로 쓸 것인지, 아니면 C2PA 도입·가이드라인 숙지·고영향 AI 자체 진단의 1년으로 쓸 것인지가 2027년 이후의 분수령이 됩니다. 콘텐츠에 이력을 남기는 것이 귀찮은 작업처럼 느껴질 수 있습니다. 하지만 그 이력이 쌓일수록, 당신의 AI 생성물은 신뢰받는 콘텐츠로 인정받게 될 것입니다.

▲ 목차로 돌아가기