어제부터 'AI가 만들었다'고 안 쓰면 벌금이에요 — EU AI법 50조 전면 시행 총정리

어제, 인터넷의 규칙 하나가 조용히 바뀌었어요

혹시 어제부터 유럽 쪽 서비스에서 "이 콘텐츠는 AI가 만들었습니다" 같은 문구를 더 자주 보셨나요?

2026년 8월 2일, EU에서 AI가 만든 콘텐츠에 표시를 붙이는 것이 법적 의무가 됐어요. 권고가 아니라 의무입니다. 안 지키면 벌금이 나오고, 그 금액이 회사 전체 매출의 몇 퍼센트 단위예요.

그리고 이건 유럽만의 이야기가 아닙니다. 한국 회사가 만든 서비스라도 유럽 이용자를 대상으로 하면 그대로 적용돼요. 오늘은 이 이야기를 차근차근 풀어볼게요.

무슨 일이 있었나 — 8월 2일이라는 날짜

EU AI법(AI Act)은 2024년에 통과됐지만, 모든 조항이 한꺼번에 발효되지는 않았어요. 조항마다 시행일이 다르게 설계돼 있었습니다.

그중 제50조 '투명성 의무'가 2026년 8월 2일부터 적용되기 시작했어요. 이날이 원래부터 예정돼 있던 날짜였고, 예정대로 발효됐습니다.

이 조항이 특별한 이유가 있어요. 세계 최초로 딥페이크 공개 의무를 법으로 강제한 사례거든요. 지금까지는 플랫폼의 자율 규제나 업계 가이드라인 수준이었습니다.

EU AI법이 뭔가요 — 위험도로 줄 세운 법

EU AI법의 기본 발상은 단순해요. AI를 위험도에 따라 등급으로 나누고, 등급마다 다른 규제를 적용하는 것입니다.

가장 위험한 등급은 아예 금지돼요. 사회적 점수 매기기나 특정 유형의 생체 감시 같은 것들이 여기 들어갑니다. 그 아래 고위험 등급은 채용, 신용 평가, 의료처럼 사람의 삶에 직접 영향을 주는 영역이에요. 엄격한 요건이 붙습니다.

그리고 오늘 이야기의 주인공인 '투명성 위험' 등급이 있어요. 위험하다기보다는 사람이 헷갈릴 수 있는 영역이에요. 챗봇, 딥페이크, 생성 콘텐츠가 여기 속합니다.

3년에 걸친 계단식 시행

법이 통과되자마자 전부 적용됐다면 업계가 감당하지 못했을 거예요. 그래서 EU는 계단을 만들었습니다.

금지 항목이 가장 먼저, 그다음 범용 AI 모델 관련 의무, 그리고 2026년 8월 2일에 투명성 의무가 켜졌어요. 고위험 시스템 관련 의무는 그 뒤로도 이어집니다.

기업 입장에서는 준비할 시간을 준 거지만, 반대로 말하면 "몰랐어요"가 통하지 않는 구조이기도 해요. 날짜가 2년 전부터 공개돼 있었으니까요.

50조 '투명성 의무'의 정체

50조를 한 문장으로 줄이면 이래요. "사람이 AI와 상대하고 있거나 AI가 만든 것을 보고 있다면, 그 사실을 알 수 있어야 한다."

내용을 검열하겠다는 게 아니에요. AI가 만든 이미지를 금지하지도, 챗봇 운영을 막지도 않습니다. 다만 "이게 사람이 만든 건지 AI가 만든 건지"를 알 권리를 보장하겠다는 취지예요.

의무는 크게 네 갈래로 나뉩니다. 하나씩 볼게요.

의무 ① 챗봇은 자기가 AI라고 밝혀야 해요

첫 번째는 가장 직관적이에요. AI 시스템이 사람과 직접 상호작용할 때는, 상대가 AI라는 사실을 알 수 있게 설계해야 합니다.

고객센터 채팅창, 음성 상담원, 안내 봇 전부 해당돼요. 대화가 시작되는 시점에 알 수 있어야 하고, 꼭꼭 숨겨진 약관 밑줄이 아니라 명확하게 알려야 합니다.

예외는 하나 있어요. 상황상 합리적으로 알아차릴 수 있는 경우는 면제됩니다. 대놓고 로봇 아이콘에 "AI 상담"이라고 적혀 있는 화면이라면 굳이 또 고지할 필요는 없다는 뜻이에요.

의무 ② 생성형 AI는 '기계가 읽는 표시'를 넣어야 해요

두 번째는 제공자, 즉 AI 모델을 만들어 서비스하는 쪽의 의무예요.

생성형 AI가 만들어낸 텍스트, 이미지, 오디오, 영상에는 기계가 읽을 수 있는 표시가 들어가야 합니다. 사람 눈에 보이는 워터마크가 아니라, 프로그램이 검사했을 때 "이건 AI 생성물이다"를 확인할 수 있는 신호예요.

여기가 이번 규정에서 기술적으로 가장 까다로운 지점이기도 해요. 뒤에서 다시 다루겠지만, 법이 요구하는 수준을 기술이 아직 못 따라가고 있다는 지적이 계속 나오고 있습니다.

그 표시는 눈에 보이지 않아요

'기계가 읽는 표시'라는 말이 낯설 텐데요. 두 가지 방식을 떠올리면 이해가 쉬워요.

하나는 파일에 붙는 꼬리표예요. 사진 파일에 촬영 날짜나 카메라 정보가 들어가는 것처럼, "이 파일은 언제 어떤 방식으로 만들어졌다"는 기록을 붙이는 방식입니다.

다른 하나는 내용물 자체에 숨기는 방식이에요. 픽셀의 밝기를 사람 눈에 안 보일 만큼만 미세하게 조정해서 규칙적인 무늬를 심어두는 겁니다. 지폐의 숨은 그림과 비슷한 발상이죠.

의무 ③ 딥페이크는 사람 눈에 보이게 표시해야 해요

세 번째는 배포하는 쪽, 즉 AI를 가져다 쓰는 사람이나 기업의 의무입니다.

딥페이크를 공개할 때는 사람이 명확하게 알아볼 수 있는 방식으로 표시해야 해요. 기계가 읽는 신호와는 별개예요. 이건 눈에 보여야 합니다.

여기서 헷갈리기 쉬운 게 있어요. 앞의 ②번이 "AI 서비스를 만든 회사"의 몫이라면, ③번은 "그 결과물을 세상에 내놓는 사람"의 몫이에요. 둘 다 걸리는 경우도 많습니다.

딥페이크의 법적 정의는 생각보다 넓어요

'딥페이크'라고 하면 유명인 얼굴을 바꿔치기한 영상만 떠올리기 쉬운데요. 법에서 다루는 범위는 훨씬 넓습니다.

핵심 기준은 "진짜처럼 보이는가"예요. 실제 인물, 사물, 장소, 사건과 닮았고 진짜라고 오인될 수 있는 AI 생성·조작 콘텐츠라면 대상이 됩니다.

그러니까 실존하지 않는 사람의 사실적인 초상 사진, 있지도 않았던 사건의 현장 사진, 실제 인물의 목소리를 흉내 낸 음성 전부 포함될 수 있어요. 얼굴 합성만 딥페이크가 아니라는 뜻입니다.

의무 ④ 공익 사안을 다루는 AI 글도 표시 대상이에요

네 번째는 텍스트 쪽입니다. 공익에 관한 사안을 다루는 AI 생성 글을 공개할 때도 표시 의무가 붙어요.

정치, 선거, 보건, 재난, 사회 현안처럼 사람들의 판단에 영향을 주는 주제가 여기 해당합니다. AI가 쓴 기사나 논평이 사실처럼 유통되는 상황을 막으려는 취지예요.

이 조항이 특히 민감한 건, 지금 온라인 콘텐츠 상당수가 이미 AI의 도움을 받아 만들어지고 있기 때문이에요.

'사람의 편집 감독 없이'라는 단서

다행히 조건이 붙어 있어요. 표시 의무가 걸리는 건 사람의 편집 검토나 편집 책임 없이 공개되는 경우입니다.

기자가 AI로 초안을 만든 뒤 직접 사실 확인을 하고 자기 이름으로 내보낸다면, 그건 사람이 편집 책임을 지는 콘텐츠예요. 반면 AI가 쓴 글이 사람 손을 거치지 않고 자동으로 게시되는 파이프라인이라면 표시 대상이 됩니다.

즉 이 조항은 "AI를 쓰지 마라"가 아니라 "사람이 책임지든지, 아니면 밝히든지"에 가까워요.

예외는 어디까지인가요

규제가 넓다 보니 예외가 궁금해지죠. 크게 두 가지가 있어요.

첫째, 개인이 사적으로 만들어 쓰는 콘텐츠는 대상이 아니에요. 친구들끼리 장난으로 만든 이미지를 단톡방에 올리는 것까지 법이 쫓아가지는 않습니다.

둘째, 예술적·창작적·풍자적·허구적 작품에는 완화된 기준이 적용돼요. 영화의 CG 장면마다 경고 문구를 띄우게 하면 작품이 성립하지 않으니까요.

예술과 풍자 — 다만 조건부예요

다만 이 예외에는 중요한 단서가 붙습니다. 관객을 오도하지 않는 경우에 한해서예요.

영화관에서 보는 특수효과는 아무도 실제 사건이라고 믿지 않죠. 그런데 같은 기술로 만든 영상을 뉴스 화면처럼 편집해서 SNS에 올린다면 이야기가 완전히 달라집니다.

풍자도 마찬가지예요. 누가 봐도 풍자인 형식이라면 괜찮지만, 진짜 발언처럼 유통되도록 만들어졌다면 예외로 보호받기 어렵습니다. 장르 이름표가 아니라 실제 효과가 기준이라는 뜻이에요.

벌금은 얼마인가요

이제 가장 궁금하실 부분이죠. 금액이 상당합니다.

보도된 수치를 보면 기업에 대한 과징금은 최대 1,500만 유로 또는 전 세계 연매출의 3% 중 큰 금액까지 갈 수 있어요. 우리 돈으로 대략 240억 원 수준입니다.

EU 기관·기구에 대해서는 최대 75만 유로로 별도 기준이 적용돼요.

숫자가 자료마다 다른 이유

여기서 솔직하게 짚고 갈 부분이 있어요. 자료마다 벌금 액수가 다르게 나옵니다. 어떤 자료는 1,500만 유로·3%로, 어떤 자료는 750만 유로·1.5%로 적고 있어요.

이유는 AI법의 과징금 체계가 위반 유형별로 층이 나뉘어 있기 때문이에요. 금지 항목 위반, 일반 의무 위반, 당국에 부정확한 정보를 제공한 경우 등에 각각 다른 상한이 적용됩니다.

실무적으로 중요한 건 정확한 숫자보다 "매출 비율로 계산되는 규모"라는 점이에요. 큰 회사일수록 액수가 커지는 구조라, 규모가 클수록 무시하기 어렵습니다.

유예 기간 — 12월 2일이라는 두 번째 시계

8월 2일이 전부는 아니에요. 시계가 하나 더 돌고 있습니다.

8월 2일 이전에 이미 시장에 나와 있던 시스템에는 기계 판독 표시 의무에 대해 2026년 12월 2일까지 전환 기간이 주어졌어요.

즉, 기존 서비스를 운영 중이라면 넉 달의 여유가 있는 셈이에요. 반대로 지금 새로 내놓는 서비스는 처음부터 지켜야 합니다. 이 구분을 놓치면 곤란해질 수 있어요.

역외 적용 — 한국 기업도 남 일이 아니에요

여기가 이번 규정에서 가장 중요한 부분일지도 모르겠어요.

이 의무는 EU 밖 기업에도 적용됩니다. 회사가 서울에 있든 샌프란시스코에 있든, 서비스나 광고가 EU 이용자를 향하고 있다면 그대로 걸려요.

GDPR 때 이미 한 번 겪은 구조예요. 그때도 "우리는 유럽 회사가 아닌데요"라는 항변은 통하지 않았습니다. 기준은 회사 위치가 아니라 이용자 위치거든요.

어떤 서비스가 걸리나요

구체적으로 떠올려 볼게요.

유럽에서도 접속되는 AI 이미지 생성 서비스, 유럽 이용자를 응대하는 고객센터 챗봇, 유럽어 버전을 제공하는 AI 콘텐츠 자동 생성 플랫폼, 유럽 시장을 겨냥한 AI 광고 소재가 모두 검토 대상이에요.

반대로 국내 이용자만을 대상으로 하고 유럽어 지원도 없고 EU 결제도 받지 않는 서비스라면 직접 적용 범위 밖일 가능성이 큽니다. 다만 이 판단은 실제 운영 형태를 봐야 하는 문제라, 애매하다면 법률 자문을 받아보시는 게 안전해요. 저는 변호사가 아니라 일반적인 정보를 정리해 드리는 것뿐입니다.

기술 ① C2PA — 파일에 붙는 출생증명서

이제 기술 이야기를 해볼게요. EU가 제시한 실행 방향은 두 가지를 겹쳐 쓰는 것입니다.

첫 번째가 C2PA예요. 콘텐츠 출처와 진위를 위한 연합이 만든 표준으로, 파일에 암호학적으로 서명된 이력을 붙입니다.

언제 만들어졌는지, 어떤 도구로 편집됐는지, AI가 관여했는지가 기록돼요. 서명이 붙어 있어서 누군가 내용을 고치면 검증에 실패합니다. 파일에 딸려 다니는 출생증명서라고 생각하면 편해요.

기술 ② 워터마크 — 픽셀 속에 숨긴 무늬

두 번째는 비가시 워터마크예요. 대표적으로 구글 딥마인드의 SynthID가 알려져 있습니다.

이 방식은 파일 바깥이 아니라 내용물 안쪽에 신호를 심어요. 픽셀, 오디오 샘플, 텍스트 토큰에 직접 패턴을 넣습니다.

장점이 분명해요. 압축하거나 잘라내거나 다시 인코딩해도 살아남을 확률이 메타데이터보다 훨씬 높습니다. 파일 형식을 바꿔도 내용물이 남아 있는 한 신호도 남아요.

왜 두 가지를 같이 쓰라고 할까요

EU가 제시한 실행 지침은 둘을 겹쳐 쓰는 다층 접근을 권합니다. 왜 하나로 안 될까요?

서로의 약점이 정확히 반대이기 때문이에요. C2PA는 정보가 풍부하고 신뢰할 수 있지만 쉽게 벗겨집니다. 워터마크는 잘 안 벗겨지지만 담을 수 있는 정보가 적고 검출 도구가 제한적이에요.

우산과 방수 재킷을 같이 챙기는 것과 비슷해요. 하나만으로는 비를 다 막기 어려우니까요.

냉정한 한계 ① 캡처 한 번이면 사라져요

여기서부터는 불편한 이야기예요. 법이 요구하는 수준을 기술이 아직 못 따라가고 있습니다.

C2PA의 가장 큰 약점은 메타데이터가 너무 쉽게 사라진다는 것이에요. 스크린샷을 찍으면 그 순간 날아갑니다. SNS에 업로드하면 플랫폼이 이미지를 재처리하면서 지워버리는 경우도 많고, 파일 형식을 변환해도 사라져요.

문제는 가짜 정보가 가장 빠르게 퍼지는 경로가 정확히 그 경로라는 점이에요. 캡처해서 다시 올리고, 또 캡처해서 퍼뜨리는 방식이요. 정작 필요한 순간에 증명서가 없는 셈입니다.

냉정한 한계 ② 워터마크도 지워집니다

그럼 워터마크는 안전할까요? 아쉽게도 그렇지 않아요.

연구자들은 워터마크 제거 공격을 계속 발표하고 있습니다. 공개된 한 사례에서는 이미지 품질을 거의 떨어뜨리지 않으면서 워터마크 신호의 91%를 제거했다고 보고됐어요.

구조적인 문제도 있습니다. 주요 워터마크 기술이 각 회사의 독자 규격이라는 점이에요. 검출하려면 그 회사가 만든 도구가 필요합니다. C2PA처럼 누구나 쓸 수 있는 공개 표준이 아직 없어요.

실제 사례: 200장 중 36장만 표시가 있었어요

수치로 보면 더 선명해집니다. 한 이미지 생성 모델 출시 직후 진행된 조사에서, AI 생성 이미지 200장 중 워터마크가 확인된 건 36장뿐이었어요.

18%입니다. 나머지 82%는 AI가 만든 게 분명한데도 기술적으로 확인할 방법이 없었다는 뜻이에요.

이 숫자가 말해주는 건 하나예요. 법이 시행됐다고 해서 내일부터 인터넷의 AI 콘텐츠에 전부 꼬리표가 붙는 건 아니라는 것. 규정과 현실 사이에는 아직 큰 간격이 있습니다.

냉정한 한계 ③ 표시가 없다고 'AI 아님'은 아니에요

이건 특히 조심해야 할 부분이에요. 검증 도구가 "신호를 찾지 못했습니다"라고 답했다고 해서, 그게 "사람이 만든 진짜 콘텐츠입니다"라는 뜻은 아닙니다.

신호가 안 잡히는 이유는 여러 가지예요. 워터마크 도입 전에 만들어진 콘텐츠일 수도, 메타데이터가 중간에 벗겨졌을 수도, 워터마크가 손상됐을 수도, 아예 표시를 안 하는 생성기에서 나왔을 수도 있어요.

그래서 실무 원칙은 이렇게 정리돼요. 표시가 있으면 강한 단서, 표시가 없으면 아무 정보도 없음. 없는 것을 근거로 판단하면 안 됩니다.

접근성 관점 — '보이게'가 진짜 핵심이에요

여기서 꼭 짚고 싶은 부분이 있어요. 50조는 딥페이크를 "명확하고 인지 가능하게" 표시하라고 요구합니다. 이 표현이 접근성 관점에서 아주 중요해요.

영상 구석에 회색 배경 위 회색 글씨로 8픽셀짜리 문구를 넣어두면, 저시력 이용자에게 그 표시는 존재하지 않는 것과 같습니다. 화면 낭독기가 읽지 못하는 이미지 형태의 표시도 마찬가지고요.

제대로 하려면 충분한 크기, 높은 명도 대비, 화면 낭독기가 읽을 수 있는 텍스트 대체가 함께 가야 해요. "표시했다"가 아니라 "누구나 알아볼 수 있게 표시했다"가 기준이 되어야 합니다.

앞으로 지켜볼 지점

세 가지로 정리해 볼게요.

하나, 첫 제재 사례. 법이 만들어진 것과 실제로 집행되는 것은 다른 문제예요. 첫 과징금이 어디에, 어떤 기준으로 나오는지가 실질적인 기준선이 됩니다.

둘, 12월 2일. 기존 서비스의 전환 기간이 끝나는 날이에요. 그때 얼마나 많은 서비스가 실제로 준비를 마쳤는지가 드러납니다.

셋, 공개 워터마크 표준. 지금 가장 큰 기술적 공백이에요. 특정 회사 도구 없이도 누구나 검출할 수 있는 표준이 나오지 않으면, 표시 의무는 서류상 의무로 남을 위험이 있습니다.

핵심 정리

길었으니 짧게 묶어볼게요.

· 언제부터 — 2026년 8월 2일, EU AI법 제50조 투명성 의무가 발효됐어요.

· 무엇을 해야 하나 — 챗봇은 AI임을 밝히고, 생성형 AI는 기계 판독 표시를 넣고, 딥페이크는 사람 눈에 보이게 표시하고, 편집 감독 없는 공익 사안 AI 글도 표시해야 합니다.

· 예외 — 개인의 사적 이용, 그리고 관객을 오도하지 않는 예술·풍자·허구 작품이에요.

· 벌금 — 위반 유형에 따라 다르지만 최대 1,500만 유로 또는 전 세계 매출의 3% 수준까지 보도됐어요.

· 유예 — 8월 2일 이전 출시된 시스템은 기계 판독 표시에 한해 12월 2일까지 전환 기간이 있어요.

· 역외 적용 — 한국 기업이라도 EU 이용자를 대상으로 하면 적용됩니다.

· 기술적 현실 — C2PA는 캡처 한 번에 벗겨지고, 워터마크는 91% 제거 연구가 나와 있으며, 조사에서 실제 표시 비율은 200장 중 36장이었어요. 규정과 현실의 간격이 아직 큽니다.

여러분은 어떻게 보셨나요?

AI 표시 의무, 반가우신가요 아니면 과하다고 느끼시나요? 저는 "표시가 없다고 진짜인 건 아니다"라는 부분이 가장 중요하다고 생각해요. 표시 제도가 오히려 잘못된 안심을 줄 수도 있으니까요.

혹시 유럽 이용자를 대상으로 서비스를 운영하고 계신다면, 어떤 부분이 가장 막막하신지 댓글로 알려주세요. C2PA 적용 방법이나 접근성 기준에 맞는 표시 디자인 같은 주제는 따로 한 편을 써도 좋을 것 같아요. 읽어주셔서 고맙습니다.

이 글은 일반적인 정보 정리이며 법률 자문이 아니에요. 실제 준수 여부는 전문가와 상의해 주세요.

출처

· 유럽연합 집행위원회 AI법 안내: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
· 제50조 투명성 규정 해설: https://artificialintelligenceact.eu/transparency-rules-article-50/
· Euronews (2026-08-02): https://www.euronews.com/my-europe/2026/08/02/ai-generated-label-becomes-mandatory-in-the-eu-for-companies
· 표시·라벨링 실행규범 초안 발표: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-first-draft-code-practice-marking-and-labelling-ai-generated-content
· Tech Times (워터마킹 기술 격차): https://www.techtimes.com/articles/321174/20260721/eu-finalizes-ai-disclosure-rules-watermarking-mandate-outpaces-technology.htm
· Article 50 실무 해설: https://compliance-kit.eu/en/knowledge/transparency-art-50-eu-ai-act
· 챗봇·딥페이크 적용 정리: https://hard2bit.com/en/blog/ai-act-article-50-ai-transparency-chatbots-deepfakes/
· SynthID-Image 논문: https://arxiv.org/pdf/2510.09263
· 오픈AI 콘텐츠 출처 표시: https://openai.com/index/advancing-content-provenance/