EU AI Act 제50조 딥페이크 라벨링 의무화 — TikTok·Meta·Google 플랫폼 준수 경쟁과 2026년 8월 D-90 카운트다운

EU AI Act 제50조란 무엇인가: 라벨링 의무의 법적 구조

EU AI Act 제50조는 AI 생성 콘텐츠의 투명성을 의무화하는 핵심 조항입니다. 조항은 크게 두 계층의 의무자를 규정합니다. 첫 번째는 '제공자(providers)' — AI 시스템을 개발하고 출시하는 OpenAI, Google, Meta, Stability AI 같은 기업들입니다. 이들은 자신의 모델이 생성한 콘텐츠에 기계 판독 가능한 마킹을 삽입해야 합니다. 두 번째는 '배포자(deployers)' — TikTok, YouTube, Instagram처럼 AI 시스템을 이용해 콘텐츠를 유통하는 플랫폼입니다. 이들은 AI 생성 콘텐츠를 사용자에게 보여줄 때 인간이 읽을 수 있는 라벨(label)을 표시해야 합니다. 의무가 적용되는 콘텐츠 유형은 구체적입니다: ①딥페이크 — 실재하는 사람을 그들이 하지 않은 말이나 행동을 하는 것처럼 묘사한 영상·음성, ②공익 사안에 관한 텍스트 출판물. 단, 예술적·풍자적·창작적 목적의 콘텐츠는 최소한의 비침해적 표시만 요구됩니다.

2차 초안이 1차 초안과 가장 크게 달라진 점은 '라벨링 체계의 단순화'입니다. 1차 초안에서는 'AI 생성(AI-generated)'과 'AI 보조(AI-assisted)'를 구별하는 분류 체계가 있었지만, 2차 초안에서는 이 구분이 완전히 삭제됐습니다. 법률 전문가들은 이를 '현실적 타협'으로 평가합니다. AI 생성과 AI 보조의 경계가 점점 흐려지는 현실에서, 이 구분을 강제하면 오히려 혼란을 초래할 수 있다는 논리입니다. 대신 2차 초안은 아이콘, 라벨, 고지문의 디자인과 배치에 관한 최소 통일 기준을 도입했습니다. 플랫폼은 이 최소 기준 안에서 자신의 브랜드와 UX에 맞게 표시 방식을 설계할 수 있습니다. 그러나 비판자들은 '최소 기준'의 유연성이 오히려 소비자 혼란을 초래할 수 있다고 우려합니다.

2단계 기술 의무: 워터마킹과 메타데이터의 결합

2차 실천 강령 초안의 핵심은 '2단계 기술적 마킹(two-layer technical marking)' 의무입니다. 1단계는 디지털 서명된 메타데이터입니다. AI 콘텐츠 제공자는 자신의 모델이 생성한 영상·음성·이미지에 콘텐츠 출처 정보 — AI 생성 여부, 생성 시점, 생성 도구 — 를 디지털 서명과 함께 메타데이터로 삽입해야 합니다. 이 방식은 C2PA(Coalition for Content Provenance and Authenticity) 표준을 따릅니다. 2단계는 지각 불가 워터마킹(imperceptible watermarking)입니다. 눈이나 귀로는 감지되지 않는 방식으로 콘텐츠 내에 신호를 삽입해, 콘텐츠 일부만으로도 AI 생성 여부를 탐지할 수 있도록 합니다. 중요한 점은 '일부 조각(fragment)'으로도 탐지가 가능해야 한다는 요구입니다 — 딥페이크 영상이 잘려나가거나 재편집되더라도 워터마크가 살아남아야 한다는 의미입니다. 선택적 의무로는 핑거프린팅(fingerprinting)과 로깅(logging)이 있어, 콘텐츠 생성 이력을 추적하고 이상 거래 패턴을 식별할 수 있습니다.

플랫폼 현황: TikTok 선두, Meta 조사 중, Google 소극적

플랫폼별 준수 현황은 크게 다릅니다. TikTok은 가장 앞선 사례입니다. 2025년 1월 C2PA 콘텐츠 자격증명(Content Credentials) 통합을 완료한 TikTok은, DALL-E·Midjourney·Adobe Firefly 등 주요 AI 도구가 출력물에 삽입한 C2PA 마커를 자동 감지해 'AI 생성' 라벨을 자동으로 부착합니다. 창작자가 라벨 표시를 하지 않아도 플랫폼이 먼저 탐지합니다. 2026년 4월 현재 이 시스템으로 처리된 AI 생성 영상은 13억 건을 넘어섰습니다. TikTok의 커뮤니티 가이드라인은 딥페이크를 두 범주로 나눕니다: 당사자 동의 없이 실재 인물을 묘사한 딥페이크는 라벨로도 허용 불가한 절대 금지, 적절한 라벨과 맥락이 있으면 허용되는 조건부 허가.

Meta의 상황은 더 복잡합니다. Meta는 자사 AI 도구(Meta AI)로 생성한 광고 콘텐츠에 자동으로 라벨을 부착하고, 선거 관련 광고에는 AI 사용 여부를 신고하도록 의무화하고 있습니다. 그러나 2025년 10월 유럽위원회는 Meta가 DSA(디지털서비스법)를 위반했을 가능성이 있다는 예비 조사 결과를 발표했습니다. 핵심 혐의는 두 가지입니다: 첫째, 비영어권 시장에서 콘텐츠 모더레이션 투자가 현저히 부족해 혐오 표현·딥페이크 등 유해 콘텐츠가 방치됐다. 둘째, 콘텐츠 모더레이션 실태와 인권 영향 평가에 관한 투명성 보고서가 불충분하다. 투명성 보고서를 발행하면서도 실질적 투명성을 결여하는 '보여주기식 자율규제'의 전형적 문제가 드러났습니다.

Google의 대응은 가장 소극적입니다. Google은 AI 콘텐츠 탐지 분류기(AI content detection classifier)에 투자하고 있다고 밝혔지만, 현재 주된 방식은 여전히 창작자의 자기신고(self-disclosure)와 C2PA 메타데이터 확인입니다. 즉, AI 도구가 C2PA 마커를 삽입하지 않거나, 사용자가 직접 라벨을 달지 않으면 Google 플랫폼에서는 AI 콘텐츠가 식별되지 않을 수 있습니다. YouTube에는 별도의 '초상 탐지(Likeness Detection)' 시스템이 있어 유명인 딥페이크를 탐지하지만, 일반인을 대상으로 한 딥페이크에는 적용되지 않습니다. 비판자들은 'Google이 AI 콘텐츠 라벨링을 진지하게 다루지 않는 한, 딥페이크 포르노 피해자는 플랫폼에서 보호받지 못한다'고 지적합니다.

'라벨 붙이면 합법'의 함정: 불법 딥페이크와 합법 딥페이크의 경계

EU AI Act 제50조의 가장 중요한 — 그러나 자주 간과되는 — 원칙은, 라벨링 의무가 적법한 딥페이크에만 적용된다는 점입니다. 비동의 성적 딥페이크(NCII), 명예훼손, 혐오 표현, 선거 허위정보를 담은 딥페이크는 라벨을 붙여도 합법화되지 않습니다. 이런 콘텐츠는 삭제 대상이지 라벨링 대상이 아닙니다. 그러나 현실에서는 이 경계가 흐릿합니다. 풍자·패러디·예술 표현의 이름으로 만들어진 딥페이크가 사실상의 명예훼손이나 NCII로 기능하는 사례가 많습니다. 플랫폼이 콘텐츠의 '합법성'을 실시간으로 판단하기는 어렵습니다. 결국 '라벨 표시가 됐는가'라는 형식적 기준이 '실질적 피해가 있는가'라는 실체적 기준을 대체하는 위험이 존재합니다.

이 문제는 딥페이크 피해자에게 가장 직접적으로 영향을 미칩니다. 피해자가 자신의 딥페이크 이미지를 발견했을 때, 해당 콘텐츠에 'AI 생성' 라벨이 붙어 있다면 플랫폼은 '투명성 의무를 준수했다'며 추가 조치를 거부할 수 있습니다. 실제로 일부 플랫폼에서는 'AI 라벨이 붙은 콘텐츠는 신고 대상이 아니다'라는 잘못된 인식이 퍼지고 있습니다. EU 위원회도 이 위험을 인식하고 있어, 실천 강령 초안에 '라벨 표시가 불법성을 면제하지 않는다'는 원칙을 명시했습니다. 그러나 이 원칙이 실제 콘텐츠 모더레이션 현장에서 어떻게 적용될지는 여전히 불분명합니다.

자율규제에서 의무 준수로: 2026년 8월 이후의 과제

2026년 8월 2일 시행 이후, EU AI Act 제50조 위반에 대한 제재는 구체적입니다. GPAI(범용 AI) 모델 제공자에 대한 감독·집행 권한은 2026년 8월 2일부터 유럽 AI 오피스(European AI Office)에 부여됩니다. 위반 시 최대 전 세계 연간 매출의 3%, 또는 1,500만 유로 중 높은 금액의 과징금이 부과됩니다. 그러나 실제 집행 준비는 아직 미흡합니다. 2026년 4월 현재, EU 27개 회원국 중 단일연락창구(single point of contact)를 지정한 국가는 8개국에 불과합니다. 라벨링 코드의 최종 확정도 6월이 되어야 이루어집니다. 즉, 8월 2일이 됐을 때 집행 준비가 실질적으로 갖춰져 있을지는 불투명합니다.

전문가들은 '자율규제의 실패'와 '강제 규제의 집행 준비 부족'이 동시에 존재하는 위험한 공백 기간이 이어질 수 있다고 경고합니다. 플랫폼은 제도적 의무를 피하기 위해 자발적 프레임워크의 형식만 취하고, 실질적인 딥페이크 탐지·삭제 시스템은 구축하지 않는 방식으로 대응할 수 있습니다. 이를 막으려면 규제 당국의 조기 집행 의지와, 플랫폼의 준수 현황을 독립적으로 감사할 수 있는 메커니즘이 필요합니다. 특히 딥페이크 피해자 보호 관점에서는, 라벨링 의무 준수 여부와 별개로 비동의 성적 딥페이크에 대한 신속한 삭제 의무가 병행되어야 합니다. EU의 디지털서비스법(DSA)은 이미 이 의무를 포함하고 있습니다만, AI Act 제50조 시행으로 플랫폼이 '라벨 부착'에만 집중할 경우, 실질적 삭제 의무가 후순위로 밀릴 수 있습니다. 8월 2일까지 남은 94일, 플랫폼과 규제 당국이 어떤 준비를 하느냐가 수백만 명 딥페이크 피해자의 보호 수준을 결정합니다.