8월 2일 자정, 워터마크가 '옵션'에서 '법'으로 바뀌었어

새크라멘토에서 기자회견 같은 건 없었어. 8월 2일 일요일 자정을 지나면서 캘리포니아 주 법전의 한 줄이 조용히 살아났을 뿐이야. 캘리포니아 사업직업법전(Business and Professions Code) 제22757조 이하, 이른바 'California AI Transparency Act'라고 불리는 조문 묶음이 드디어 operative — 그러니까 실제로 지켜야 하는 상태 — 가 된 거지. 법 자체는 2024년 9월에 이미 개빈 뉴섬 주지사 서명을 받아 법전에 올라가 있었어. 그런데 실제로 지켜야 하는 날짜만 계속 뒤로 밀려 있었던 거야. 그 날짜가 그저께 도착했고, 어제부터는 안 지키면 돈이 나가기 시작해.

숫자로 말하면 이래. 캘리포니아에서 월 100만 명 이상이 쓰는 생성형 AI 시스템을 만든 회사라면, 이제 세 가지를 갖춰야 해. 누구나 무료로 쓸 수 있는 AI 콘텐츠 탐지 도구를 공개할 것, 사용자가 원하면 결과물에 눈에 보이는 AI 표시를 붙일 수 있게 해줄 것, 그리고 이미지·영상·음성 결과물에는 기계가 읽을 수 있는 잠재 워터마크를 심어둘 것. 어기면 위반 건당 5,000달러, 그리고 위반이 계속되는 날마다 하루가 각각 별개의 위반으로 계산돼. 이 마지막 문장이 이 법의 진짜 이빨이야. 5,000달러는 빅테크한테 점심값이지만, 5,000달러 곱하기 콘텐츠 수 곱하기 날짜 수는 얘기가 완전히 달라지거든.

그리고 이 8월 2일이라는 날짜, 우연이 아니야. 원래 이 법의 시행일은 2026년 1월 1일이었어. 그런데 2025년 10월 13일 서명된 개정법 AB 853이 시행일을 8월 2일로 미뤘지. 왜 하필 8월 2일이냐면, 같은 날 EU AI법 제50조의 투명성 의무가 발효되거든. 캘리포니아가 브뤼셀과 시계를 맞춰버린 거야. 미국 주 하나가 유럽연합의 규제 캘린더에 자기 시행일을 정렬시킨 건, 규제 지리학에서 꽤 상징적인 장면이야. 컴플라이언스 팀 입장에서는 두 관할권의 마감이 같은 날이니 한 번에 처리하라는 신호이기도 하고.

그래서 이 글에서 풀 질문은 이거야. 이 법은 정확히 누구한테 걸리고, '월 100만 명'은 어떻게 세는 걸까? 왜 텍스트는 빼놓고 이미지·영상·음성만 규제할까? 하루 5,000달러라는 벌금 구조는 실제로 어떻게 작동하고, 누가 소송을 걸 수 있을까? 2027년과 2028년에 또 무슨 의무가 켜지길래 지금 얘기해야 할까? 그리고 가장 중요한 질문 — 캘리포니아 프라이버시법이 그랬듯이, 이 법도 미국 전국 표준이 되어버릴까, 아니면 워싱턴 D.C.의 선점(preemption) 시도에 갈려나갈까?

이 판에 서 있는 사람들

먼저 법을 만든 쪽. 조시 베커(Josh Becker) 상원의원이 SB 942의 저자야. 지역구가 실리콘밸리를 포함한 캘리포니아 13선거구라는 점이 재밌지 — AI 회사들의 뒷마당에 사는 의원이 AI 회사들한테 워터마크를 강제한 셈이거든. 2024년 8월, 그의 사무실은 "테크 업계가 SB 942에 대한 반대를 전면 철회했다"는 보도자료를 냈어. 그 보도자료에 따르면 협상을 통해 업계 우려를 반영하면서도 법안의 핵심 목표는 지켰다고 해. AB 853로 이 법을 확장한 건 버피 윅스(Buffy Wicks) 하원의원이야. 윅스는 원래 SB 942를 소셜미디어 플랫폼과 카메라 제조사까지 끌고 들어가는 훨씬 야심찬 버전을 밀었고, 결국 상당 부분을 관철시켰어.

반대편에는 업계 단체들이 있었어. TechNet, NetChoice, CCIA(컴퓨터통신산업협회), 캘리포니아 상공회의소가 초기 반대 연합을 구성했지. 이들의 논리는 두 갈래였어. 하나는 "이건 연방 차원에서 통일적으로 다뤄야 할 문제다", 다른 하나는 "콘텐츠 출처(provenance)와 워터마킹 기술은 아직 미성숙해서 법으로 못 박기엔 이르다"였고. 두 번째 논리는 사실 완전히 틀린 말은 아니었어. 2024년 당시만 해도 워터마크는 스크린샷 한 번, JPEG 재압축 한 번에 날아가는 경우가 흔했거든. 그런데 이 연합은 2024년 8월 협상 끝에 반대를 거뒀고, Chamber of Progress만 끝까지 주지사에게 거부권 행사를 요구하는 서한을 보냈어.

규제를 실제로 집행할 쪽은 누구냐면, 캘리포니아 주 법무장관(Attorney General), 그리고 **시 검사(city attorney)와 카운티 카운슬(county counsel)**이야. 이 대목이 은근히 중요해. 미국 AI 규제에서 지방 검사급까지 집행 권한을 나눠준 사례는 흔치 않거든. 게다가 승소한 원고에게는 변호사 비용과 소송 비용까지 청구할 수 있게 해놨어. 즉 로스앤젤레스 시 검사가 혼자 판단해서 특정 AI 회사를 겨냥할 수 있고, 이겼을 때 비용 회수까지 된다는 뜻이야. 집행 주체가 분산되어 있으면 예측 가능성은 떨어지지만 압박은 훨씬 커져.

기술 쪽 주인공은 사람이 아니라 표준이야. **C2PA(Coalition for Content Provenance and Authenticity)**가 만든 콘텐츠 크리덴셜(Content Credentials) 규격이 사실상 이 법의 기술적 기본값 역할을 해. 법 조문에 "C2PA"라는 단어가 박혀 있진 않지만, "널리 인정되는 산업 표준"을 요구하는 문구가 결국 여기를 가리키거든. C2PA는 2025년 중반에 적합성 인증 프로그램(Conformance Program)과 공식 트러스트 리스트를 출범시켜서, 이제는 실제로 테스트를 통과한 제품 목록이 공개돼. 그리고 구글 딥마인드의 SynthID 같은 픽셀 단위 워터마크가 메타데이터가 벗겨졌을 때의 2차 방어선 역할을 하고.

마지막으로 규제 대상. OpenAI, 구글, 메타, 어도비, 미드저니 같은 이름들이 명단에 오르내려. 이 중 OpenAI는 2026년 5월 19일 C2PA 적합성 확보와 SynthID 워터마크 도입을 공식 발표하고 openai.com/verify라는 공개 검증 도구를 리서치 프리뷰로 내놨어 — 타이밍상 캘리포니아 시행일을 겨냥한 준비로 보는 시각이 많아. 구글은 SynthID 검증을 제미나이에 붙여놨고 검색과 크롬으로 확장 중이라고 밝혔지. 반대로 미드저니는 C2PA 크리덴셜도, 알려진 픽셀 워터마크도 없는 상태로 시행일을 맞았다고 일부 매체가 보도했는데, 이건 단일 매체 보도라 단정하긴 이르고 회사 측 공식 입장은 확인되지 않았어.

법이 실제로 요구하는 것 세 가지, 그리고 빠진 하나

첫 번째 의무는 탐지 도구야. 조문상 covered provider는 "무료로, 공개적으로 접근 가능한" AI 탐지 도구를 제공해야 해. 이 도구는 어떤 콘텐츠가 자기 회사 생성형 AI로 만들어졌거나 변형됐는지 사용자가 확인할 수 있게 해줘야 하고, 시스템 출처 정보(system provenance data)를 출력하되 개인정보는 노출하면 안 돼. 그리고 직접 업로드와 API 접근을 둘 다 지원해야 해. 이게 EU AI법과 비교했을 때 캘리포니아만의 독특한 지점이야. EU는 "표시해라"까지는 요구하지만 "검증 도구를 세상에 공개해라"까지는 요구하지 않거든. 캘리포니아는 라벨링뿐 아니라 검증 인프라를 사업자 부담으로 깔라고 한 거야.

두 번째는 가시적(manifest) 표시. 조문은 이걸 사용자 선택 옵션으로 규정해. 즉 모든 AI 이미지에 강제로 워터마크 로고가 박히는 게 아니라, 사용자가 원하면 붙일 수 있는 기능을 제공사가 반드시 준비해둬야 한다는 뜻이야. 표시 문구는 "명확하고 눈에 띄며, 해당 매체에 적합하고, 합리적인 사람이 이해할 수 있어야" 해. 이 '옵션' 구조는 협상의 흔적이야 — 업계는 강제 라벨이 제품 경험을 망친다고 반발했고, 입법자는 기능 제공 의무로 타협한 거지. 실무적으로는 "AI로 생성됨" 배지를 붙이는 토글 하나를 UI에 넣는 정도로 충족되지만, 그 토글이 없으면 위반이야.

세 번째가 진짜 핵심인 잠재적(latent) 워터마크. 이건 옵션이 아니라 무조건이야. 이미지·영상·음성 결과물에는 눈에 안 보이지만 기계가 읽을 수 있는 정보를 심어야 하고, 그 정보에는 제공사 이름, 시스템 이름과 버전, 생성 시각, 고유 식별자가 담겨야 해 — 직접 담거나, 그 정보로 연결되는 영구 링크 형태로. 그리고 이 표식은 "영구적이거나 제거하기가 극도로 어려워야" 한다고 조문이 못 박고 있어. '극도로 어려워야'라는 표현이 법률 문언으로는 꽤 애매한데, 실무적으로는 메타데이터만 붙여놓고 끝내면 안 된다는 뜻으로 읽히지. 스크린샷 한 번에 날아가는 건 이 기준을 못 맞출 가능성이 크거든.

그리고 빠진 하나 — 텍스트. 조문은 가시 표시와 잠재 표시 의무를 모두 "이미지, 영상, 또는 음성 콘텐츠, 또는 이들의 조합"에 한정해. 챗GPT가 써준 에세이, 클로드가 뽑아준 보고서, 제미나이가 만든 마케팅 카피에는 이 법이 아무것도 요구하지 않아. 이건 기술적 현실 인정이야. 텍스트 워터마킹은 통계적 토큰 편향을 심는 방식이라 문장을 조금만 고쳐 쓰거나 다른 모델로 재작성하면 신호가 사라지고, 오탐(false positive)이 학생 과제 채점 같은 데서 실제 피해를 낸 전례도 있고. 하지만 결과적으로 이 법의 커버리지에는 큰 구멍이 남았어. 선거 허위정보, 가짜 뉴스 기사, 대량 스팸 — 텍스트가 무기인 영역은 그대로 무규제야.

라이선시(licensee) 조항도 놓치면 안 돼. covered provider가 자기 모델을 제3자에게 라이선스했는데 그 제3자가 표시 기능을 꺼버렸다면, 제공사는 그 사실을 알게 된 시점부터 96시간 안에 라이선스를 철회해야 해. 그리고 라이선시는 철회된 시스템 사용을 즉시 중단해야 하고. API로 모델을 재판매하는 생태계 전체가 이 조항 하나로 묶이는 구조야.

항목 내용 확인 근거
법 이름 California AI Transparency Act (SB 942), AB 853으로 개정 leginfo 법안 원문
법전 위치 Business and Professions Code §22757 이하 AB 853이 §22757.1~22757.6 개정·신설
시행일 2026년 8월 2일 (원래 2026년 1월 1일) AB 853, §22757.6 개정
적용 대상 월 100만 명 이상 방문자·이용자를 가진 공개 생성형 AI 시스템 제작사 §22757.1 covered provider 정의
의무 ① 무료·공개 AI 탐지 도구 (업로드 + API 지원) §22757.2
의무 ② 가시적 AI 표시를 붙일 수 있는 사용자 옵션 제공 §22757.3
의무 ③ 이미지·영상·음성에 잠재적 기계판독 워터마크 삽입 §22757.3, 텍스트는 대상 제외
라이선시 관리 표시 기능 무력화 인지 시 96시간 내 라이선스 철회 §22757.3
벌칙 위반 건당 5,000달러, 위반 지속 시 하루마다 별개 위반 §22757.4
집행 주체 주 법무장관 + 시 검사 + 카운티 카운슬, 승소 시 변호사비 청구 가능 §22757.4
2027-01-01 대형 온라인 플랫폼(월 순이용자 200만+)·GenAI 호스팅 플랫폼 의무 개시 AB 853 신설 §22757.3.1, §22757.3.2
2028-01-01 캡처 기기(카메라·마이크 등) 제조사 잠재 표시 의무 개시 AB 853 신설 §22757.3.3

누가 이득 보고 누가 손해 보는지

가장 명확한 승자는 이미 C2PA에 투자한 회사들이야. 어도비는 콘텐츠 크리덴셜을 사실상 창시한 진영이고, 파이어플라이는 처음부터 이 메타데이터를 기본 탑재해왔어. OpenAI는 5월에 C2PA 적합성과 SynthID를 동시에 발표하면서 준비를 마쳤고, 구글은 SynthID라는 자체 기술 스택을 갖고 있는 데다 그 기술을 OpenAI가 채택하게 만드는 데까지 성공했지. 이 회사들 입장에서 8월 2일은 새로운 부담이 아니라 이미 지출한 비용이 경쟁 우위로 전환되는 날이야. 규제 준수 비용을 미리 낸 쪽이 아직 안 낸 쪽보다 유리해지는 전형적인 구조지.

가장 확실한 패자는 중견 생성 AI 스타트업이야. 월 이용자 100만 명이라는 기준선이 얼마나 낮은지 생각해봐. 요즘 반쯤 바이럴 탄 이미지 생성 앱이면 몇 달 만에 넘기는 숫자야. 그런데 그 기준을 넘는 순간 요구되는 건 탐지 도구 운영, API 제공, 워터마크 파이프라인 구축, 라이선시 감시 체계까지 — 다 합치면 전담 엔지니어 몇 명과 상시 인프라 비용이 필요한 일이야. 게다가 100만 명을 "어떻게 세느냐"에 대한 세부 규정이 명확하지 않아서, 애매한 구간에 걸친 회사들은 컴플라이언스를 할지 말지부터 판단해야 해. 이 불확실성 자체가 소규모 사업자에게는 비용이야.

오픈소스 진영은 좀 더 복잡한 위치에 있어. 2027년 1월 1일부터 켜지는 'GenAI 호스팅 플랫폼' 조항은 소스코드나 모델 가중치를 다운로드 가능하게 제공하는 웹사이트를 겨냥해. 조문상 이런 플랫폼은 요구되는 표시 기능이 없는 생성형 AI 시스템을 알면서(knowingly) 배포하면 안 돼. 문제는 모델 가중치를 받아서 로컬에서 돌리는 사람한테 워터마크를 강제할 방법이 사실상 없다는 거야. 코드 몇 줄만 지우면 되니까. 그래서 이 조항은 실질적으로 배포 허브에 심사 부담을 지우는 방향으로 작동할 가능성이 커. 오픈 웨이트 생태계 입장에서는 2027년이 진짜 시험대야.

일반 사용자는 표면적으로 수혜자야. 이론상 이제 이미지 하나를 받았을 때 그게 어느 모델에서 언제 나왔는지 무료 도구로 확인할 수 있게 되니까. 다만 현실은 조금 다르게 굴러갈 거야. 각 제공사가 자기 모델의 결과물만 검증하는 도구를 각각 따로 내놓기 때문에, 출처를 모르는 이미지를 검증하려면 도구를 여러 개 순회해야 해. 실제로 OpenAI도 자사 Verify 도구가 자사 시스템에서 나온 이미지만 확인 가능하다고 명시하고 있어. 통합 검증 창구가 없는 상태에서의 '검증권'은 반쪽이지.

그리고 조용한 패자가 하나 더 있어 — 텍스트 기반 허위정보의 피해자들. 이 법은 딥페이크 이미지와 합성 음성을 겨냥해 설계됐고, 그건 정당한 우선순위야. 하지만 지금 선거판과 여론 조작에서 실제로 대량 생산되는 건 텍스트거든. 가짜 리뷰, 봇 계정 게시물, 자동 생성 뉴스 사이트. 이 법이 8월 2일부터 하는 일 중에 그 문제를 건드리는 건 하나도 없어. 입법자들도 이걸 알고 있고, 기술이 성숙하면 텍스트를 넣겠다는 게 공개된 입장이지만, 그 '언젠가'가 언제일지는 아무도 모르는 상태야.

캘리포니아는 전에도 이랬거든 — 성공한 선례와 실패한 선례

성공 사례 1번은 두말할 것 없이 CCPA야. 2018년에 통과되고 2020년에 시행된 캘리포니아 소비자 프라이버시법은, 연방 프라이버시법이 끝내 안 나오는 사이에 미국의 사실상 전국 표준이 됐어. 논리는 단순해. 인구 4,000만 명짜리 시장을 위해 별도의 데이터 파이프라인을 운영하는 게 전국 통합 운영보다 비싸거든. 그래서 대부분의 기업은 캘리포니아 기준을 전국에 적용해버렸어. 그 다음엔 다른 주들이 따라왔지. 2021년 콜로라도와 버지니아, 2022년 코네티컷과 유타, 그 뒤로 델라웨어·인디애나·아이오와·몬태나·오리건·테네시·텍사스까지. 이걸 '캘리포니아 효과'라고 부르고, SB 942의 지지자들이 정확히 노리는 시나리오야.

성공 사례 2번은 좀 더 오래된 얘긴데 자동차 배출가스 기준이야. 캘리포니아는 1970년 연방 대기청정법에서 예외적으로 독자 기준 설정 권한을 인정받았고, 그 기준이 결국 미국 자동차 산업 전체의 설계 제약이 됐어. 자동차 회사가 캘리포니아용 엔진과 나머지 49개 주용 엔진을 따로 만들 수는 없었으니까. 여기서 배울 교훈은 이거야 — 제품 아키텍처에 박히는 규제는 관할권을 넘어 확산된다. 워터마크는 정확히 그런 종류의 규제야. 이미지 생성 파이프라인에 프로버넌스 삽입 단계를 한 번 넣으면, 그걸 캘리포니아 IP 주소일 때만 켜는 게 오히려 더 복잡하거든.

이제 실패 사례. 첫 번째는 **캘리포니아의 나이 적합 설계법(AADC, AB 2273)**이야. 2022년에 통과된 이 법은 아동 대상 온라인 서비스에 데이터 보호 영향평가와 기본 설정 의무를 부과했는데, NetChoice가 수정헌법 1조 위반으로 소송을 걸었고 연방 법원에서 상당 부분 집행이 막혔어. 교훈은 명확해 — 캘리포니아가 법을 만든다고 해서 그 법이 실제로 작동한다는 보장은 없다는 것. 특히 표현의 자유와 얽히는 순간 미국 헌법은 아주 무거운 장애물이 돼. SB 942도 "정부가 사업자에게 특정 표시를 강제한다"는 구조라 강제 발언(compelled speech) 논쟁의 소지가 있어.

두 번째 실패 사례는 좀 다른 결이야 — 쿠키 동의 배너. GDPR이 요구한 동의 취득은 원칙적으로는 옳았지만, 실제로 세상에 남긴 건 모두가 반사적으로 '수락'을 누르는 팝업 지옥이었지. 규제가 요구한 형식은 충족됐는데 규제가 의도한 결과는 안 나온 전형적 사례야. AI 워터마크도 같은 함정에 빠질 수 있어. 모든 이미지에 프로버넌스가 붙어 있지만 아무도 확인 안 하고, 확인해도 뭘 봐야 할지 모르고, 정작 나쁜 놈들은 워터마크 없는 오픈 웨이트 모델을 로컬에서 돌리는 상황. 프로버넌스 표준의 진짜 승부처는 법 조문이 아니라 뷰어 UX에 있다는 얘기가 업계에서 계속 나오는 이유야.

반대 진영은 어떻게 나올까

가장 큰 카운터 플레이는 이미 시작됐어. 2025년 12월 11일, 트럼프 대통령이 "인공지능에 관한 국가 정책 체계 확립(Ensuring a National Policy Framework for Artificial Intelligence)" 행정명령에 서명했어. 이 명령은 연방 탈규제 정책과 배치되는 주 AI법을 선점(preemption)하겠다는 방향을 담고 있고, 법무장관에게 AI 소송 태스크포스를 만들어 주법을 연방 법원에서 다투라고 지시했지. 태스크포스는 2026년 1월 10일부터 가동됐고, 상무장관은 3월 11일까지 '부담스러운 주법' 목록을 만들어 회부하도록 되어 있었어. FTC도 같은 날짜까지 진실한 산출물의 변경을 요구하는 주법이 연방법에 의해 선점되는 경우를 다루는 정책 성명을 내도록 지시받았고.

그런데 2026년 8월 현재, 연방 차원의 법률적 선점은 아직 성립하지 않았어. 의회가 주 AI법을 선점하는 법률을 통과시키지 않았고, 행정명령만으로는 주법을 무효화할 수 없거든. 그래서 지금 상황은 "행정부가 소송으로 압박하지만 주법은 일단 효력을 유지하는" 어중간한 균형 상태야. 로펌들의 분석도 대체로 일치해 — 단기적으로 캘리포니아 AI법들이 즉시 무력화될 가능성은 낮다는 거지. 다만 소송 리스크 자체가 기업의 컴플라이언스 투자 판단을 흐리게 만드는 효과는 이미 발생하고 있어. "어차피 몇 달 뒤 뒤집힐 법에 왜 엔지니어를 붙이느냐"는 내부 논쟁이 어디서나 벌어지고 있거든.

업계의 두 번째 카드는 기술적 불가능 항변이야. TechNet과 CCIA가 2024년에 폈던 논리 — 워터마킹 기술이 미성숙하다 — 는 소송에서도 다시 나올 수 있어. 특히 "영구적이거나 제거하기 극도로 어려워야 한다"는 조문 문구는 공격 포인트가 될 만해. 현존하는 어떤 워터마크도 결연한 공격자를 상대로 완전하지 않거든. 적대적 워터마크 제거 기법에 관한 연구는 계속 나오고 있고, 크롭·리사이즈·재압축·생성적 재구성을 조합하면 상당수 워터마크가 손상돼. 사업자 입장에서는 "우리는 최선을 다했다"는 방어선을 어디에 그을지가 실무의 핵심 쟁점이 될 거야.

세 번째 카드는 다른 주의 다른 규칙이야. 텍사스와 콜로라도, 일리노이도 각자의 AI법을 갖고 있고 세부 요구사항은 서로 달라. 업계는 이 파편화를 근거로 연방 통일 기준을 요구해왔지. 여기엔 전략적 계산이 깔려 있어 — 파편화가 심할수록 "연방이 정리해달라"는 요구에 명분이 생기고, 연방 기준은 대체로 주 기준보다 느슨하게 만들어지는 경향이 있거든. 이건 프라이버시 입법 전쟁에서 이미 10년 넘게 반복된 패턴이야.

마지막으로, 가장 조용하지만 효과적인 카운터 플레이는 선택적 준수야. 대형 제공사들은 이미 컴플라이언스를 마쳤거나 마치는 중이야. 그러면 남는 건 준수하지 않은 중소 사업자들인데, 이들은 개별적으로 집행 우선순위가 낮아. 법무장관실의 리소스는 유한하고, 시 검사들이 AI 워터마크 사건을 최우선으로 다룰 이유도 딱히 없지. 그래서 초기 몇 달은 "법은 있는데 집행은 거의 없는" 상태가 이어질 가능성이 높아. 첫 집행 사례가 언제 어느 회사를 상대로 나오느냐가 이 법의 실질적 무게를 결정할 거야. 그때까지는 다들 서로 눈치만 보는 거지.

그래서 뭐가 달라지는데

개발자라면 지금 확인할 게 명확해. 첫째, 우리 제품이 캘리포니아에서 월 100만 명을 넘는지. 넘는다면 이미 시계가 돌고 있어. 둘째, 이미지·영상·음성을 생성하거나 변형하는 기능이 있는지 — 텍스트만 다룬다면 이 법의 표시 의무는 해당 없어. 셋째, C2PA 매니페스트 서명 파이프라인과 픽셀 워터마크 중 무엇을 쓸 건지. 실무 표준은 점점 '둘 다'로 수렴하고 있어. 메타데이터는 정보량이 많지만 벗겨지기 쉽고, 픽셀 워터마크는 정보량이 적지만 변형에 강하니까 서로 보완하거든. 넷째, 탐지 도구는 UI뿐 아니라 API도 제공해야 한다는 점. 이걸 놓치는 팀이 꽤 있을 거야.

투자자라면 시선을 둘 곳은 두 군데야. 하나는 컴플라이언스가 진입장벽으로 작동하는 구간. 워터마크·프로버넌스 인프라를 SaaS로 파는 회사들, C2PA 서명 키 관리와 검증 서비스를 하는 회사들은 규제 캘린더가 곧 매출 캘린더야. 특히 2027년 1월 대형 플랫폼 의무와 2028년 1월 캡처 기기 제조사 의무가 순차적으로 켜지면 수요가 계단식으로 올라가는 구조지. 다른 하나는 리스크 쪽 — 포트폴리오사 중에 이미지·음성 생성으로 빠르게 크는 회사가 있다면, 100만 명 문턱을 넘는 순간 예상 못 한 엔지니어링 부채가 생긴다는 점을 봐둬야 해.

일반 사용자한테 당장 체감될 변화는 솔직히 크지 않아. 이미지 생성기에서 "AI로 생성됨" 표시를 켜는 토글이 하나 늘어난 정도, 그리고 검증 사이트가 몇 개 생긴 정도일 거야. 다만 중장기적으로 의미 있는 변화는 입증 책임의 이동이야. 지금까지는 "이거 AI야?"라는 질문에 아무도 답할 수 없었어. 앞으로는 적어도 주요 모델에서 나온 콘텐츠에 대해서는 확인 가능한 경로가 생기고, 확인이 안 되는 콘텐츠는 그 자체로 신호가 돼. 프로버넌스가 없다는 사실이 의심의 근거가 되는 세계가 조금씩 만들어지는 거지.

기업과 기관 입장에서는 컴플라이언스 항목이 하나 늘었다기보다 AI 거버넌스 문서에 항목이 하나 더 붙는 상황이야. 캘리포니아에 이용자가 있는 서비스라면 SB 942, 프론티어 모델을 개발한다면 SB 53(2026년 1월 1일 시행, 10^26 FLOPs 초과 학습 모델 대상, 프레임워크 공개와 중대 안전 사고 보고 의무, 위반 시 건당 최대 100만 달러), EU 시장이 있으면 AI법 제50조. 이 세 개의 요구사항 집합이 부분적으로 겹치니까 컴플라이언스를 각각 따로 짜는 건 낭비야. 프로버넌스 데이터 스키마를 한 벌 만들어서 세 규제 모두에 매핑하는 접근이 훨씬 효율적이지.

마지막으로 언론·교육·법정 같은 검증 수요가 큰 영역. 이 법이 만든 무료 탐지 도구는 이론적으로 이 사람들이 가장 많이 쓸 물건이야. 다만 앞서 말했듯 각 제공사 도구가 자기 콘텐츠만 검증하니까, 실무에서는 결국 여러 도구를 묶어주는 중간 계층이 필요해질 거야. 그 중간 계층을 누가 만들지 — 정부인지, 표준 단체인지, 스타트업인지 — 가 앞으로 1~2년의 흥미로운 관전 포인트야. 참고로 EU AI법 제50조도 같은 8월 2일에 발효됐지만, EU는 탐지 도구 제공 의무 없이 표시 의무 위주라 접근 방식이 달라. 검증 인프라를 사업자에게 깔라고 요구한 건 캘리포니아 쪽이 더 나아간 부분이야.

🥄 남은 궁금증 세 가지

— 그래서 나랑 무슨 상관이야? 한국에서 챗GPT나 미드저니를 쓰는 사람한테 직접적인 법적 의무는 없어. 다만 제공사들이 캘리포니아 때문에 파이프라인을 바꾸면 그 변화는 전 세계 사용자한테 똑같이 적용될 가능성이 커. 앞으로 받는 AI 이미지에 눈에 안 보이는 출처 정보가 붙어 있을 거란 얘기야.

— 이게 왜 하필 지금이야? 원래 올해 1월 1일이 시행일이었는데 AB 853이 8월 2일로 미뤘어. 그 날짜가 EU AI법 제50조 발효일과 같다는 게 핵심이야. 규제 마감을 한 날로 몰아서 기업들이 한 번에 대응하게 만든 의도적 정렬로 읽히지.

— 텍스트는 왜 뺐어? 나중에 넣을까? 텍스트 워터마킹은 재작성 한 번에 신호가 날아가고 오탐 피해도 커서, 지금 기술로는 법으로 강제하기 어렵다는 판단이 깔려 있어. 입법자들이 나중에 확대할 여지는 열어뒀지만 구체적 일정은 확인되지 않았어. 단정하긴 일러.

참고 자료

수치는 발표 시점 기준이라 바뀔 수 있어.