C2PA, AI 이미지 출처 정보 확인과 남기는 법

C2PA는 이미지 · 영상 · 음성 파일에 어떤 기기 · 도구로 언제 만들고 어떻게 고쳤는지를 서명된 메타데이터로 붙이는 공개 기술 표준이고, 이 기록을 콘텐츠 자격 증명(Content Credentials)이라고 부릅니다. 일부 AI 생성 도구는 결과물에 이 기록을 자동으로 붙이지만, 편집 · 형식 변환 · 업로드 과정에서 빠질 수 있습니다. 그래서 납품 이미지는 기록을 일부러 지우지 않고, 빠질 때를 대비해 화면 표시 문구와 별도 작업 기록을 함께 남깁니다.

C2PA란 — 무엇을 기록하나요

C2PA(Coalition for Content Provenance and Authenticity, 콘텐츠 출처와 진위 연합)는 어도비 · Arm · 인텔 · 마이크로소프트 · 트루픽이 만든 표준 단체로, 리눅스 재단의 공동개발재단(Joint Development Foundation) 아래에서 운영됩니다. 표준은 사용료 없이 공개돼 있습니다. 기록에 들어갈 수 있는 것은 이렇습니다.

• 만든 방법 — 어떤 기기 · 소프트웨어로 만들었는지, AI로 생성했는지
• 날짜 · 시간 · 장소 — 언제, 어디서 만들었는지(넣을지는 붙이는 쪽이 고름)
• 편집 이력 — 이 표준을 지원하는 프로그램에서 고친 내용
• 재료 — 합성에 쓴 다른 파일(ingredient)과 그 파일의 기록

기록은 파일과 함께 디지털 서명돼, 파일이나 기록을 바꾸면 서명이 깨져 바뀐 사실이 드러납니다. 다만 표준 단체의 FAQ에 따르면 기본 규격은 개인정보 보호를 위해 만든 사람 · 회사를 밝히는 기능을 두지 않고, 이를 넣는 확장은 일부에서 따로 만들고 있습니다. 또 콘텐츠 자격 증명은 사용을 막는 저작권 보호 장치(DRM)가 아니고, 그 이미지가 "진짜"인지 판정해 주는 것도 아닙니다. 기록된 이력을 보여 줄 뿐입니다.

C2PA 워터마크와 차이는 무엇인가요

AI 생성 사실과 출처를 알리고 지키는 방법은 다섯 가지로 나눠 볼 수 있습니다. 견줄 것은 편집 · 업로드를 거친 뒤에도 남는지와 누가 확인할 수 있는지입니다.

서명된 메타데이터는 워터마크와 경쟁하는 방법이 아니라 함께 쓰는 방법입니다. 콘텐츠 자격 증명을 소개하는 CAI(콘텐츠 진위 이니셔티브)도 워터마크 · 서명된 메타데이터 · 디지털 지문을 묶어 쓰는 방식이라고 설명합니다. 광고 · 상세페이지에 넣는 표시 문구 예시는 AI 생성물 표시 글에 따로 있습니다.

C2PA content credentials 확인 방법은 무엇인가요

1. 확인 사이트에 올리기 — contentcredentials.org/verify 에 파일을 올리면 기록이 있는지, 만든 방법과 편집 이력이 무엇인지 보여 줍니다. 기록이 붙은 뒤 바뀐 부분이 있으면 그것도 표시됩니다.
2. 만든 회사의 확인 도구 쓰기 — 예를 들어 OpenAI는 openai.com/verify 웹 도구와 확인 API를 두고, 이미지마다 서명된 기록과 보이지 않는 워터마크(SynthID)를 따로 판정합니다.
3. 원본으로 확인하기 — 잘라 내거나 변환한 사본은 기록이 빠져 있을 수 있어, 처음 받은 원본 파일로 먼저 봅니다.

결과는 "있다 · 없다"만이 아닙니다. OpenAI 확인 API 문서는 기록의 상태를 신뢰됨(trusted) · 유효(valid) · 무효(invalid) · 없음(not_present)으로 나누고, 발급자 · 모델 · 생성 시각을 함께 돌려줍니다. 같은 문서는 "찾지 못함"이 그 회사가 만들지 않았다는 뜻이 아니라고 적습니다 — 메타데이터가 지워졌거나, 워터마크가 손상됐거나, 이전 모델로 만들었을 수 있고, 다른 회사 AI로 만든 것은 그 도구가 찾지 못합니다.

C2PA 메타데이터는 언제 지워지나요

표준 단체의 FAQ는 기록이 보통 파일 안에 들어 있지만 떼어질 수 있다고 적고, OpenAI 문서도 편집 · 변환 · 공유로 메타데이터가 사라질 수 있다고 적습니다. 작업 흐름에서 아래 지점마다 원본과 결과를 확인 사이트에 한 번씩 올려 보면, 어디서 사라지는지 찾을 수 있습니다.

납품 이미지는 어떻게 처리하나요

기준은 셋입니다 — AI 생성 기록은 남기고, 개인정보는 처음부터 넣지 않고, 기록이 빠질 때를 대비해 따로 적어 둡니다.

• 남길 것 — 생성 도구가 붙인 AI 생성 기록과 편집 이력. 어도비 생성형 AI 사용 지침(2026년 5월 15일 갱신)처럼 붙은 자격 증명을 지우거나 바꾸지 말라고 정한 도구도 있습니다.
• 넣지 않을 것 — 작업자 개인 이름 · 촬영 위치 같은 개인정보. CAI는 만든 사람 이름 같은 신원 정보는 언제나 선택 사항이어야 하고, 이용자가 넣을 정보의 종류를 고를 수 있다고 안내합니다. 자격 증명을 붙이는 단계에서 이 항목을 꺼 둡니다.
• 따로 적을 것 — 컷마다 도구 · 모델 · 날짜 · 원본 파일 이름, 그리고 납품 직전 확인 사이트 결과 캡처. 받은 이미지의 출처를 적는 표는 이미지 출처 기록 글의 양식을 함께 씁니다.

C2PA는 법으로 정해진 의무인가요

두 법 모두 원문에 C2PA라는 이름은 없고, 표시 의무의 주체와 방식만 정합니다. 내 사업이 의무 대상인지는 원문을 바탕으로 전문가에게 확인합니다.

• AI 기본법(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법) — 제31조 제2항은 생성형 AI나 이를 이용한 제품 · 서비스를 제공하는 인공지능사업자가 결과물이 생성형 AI로 만들어졌다는 사실을 표시하게 하고, 시행령 제23조 제2항은 사람이 인식할 수 있는 방법이나 기계가 판독할 수 있는 방법을 쓰되 기계 판독 방식이면 안내 문구 · 음성 등으로 한 번 이상 알리게 합니다. 파일에 심는 콘텐츠 자격 증명은 기계가 판독하는 방법의 하나로 볼 수 있습니다.
• EU AI법 — 제50조 제2항은 이미지 · 영상 · 음성 · 글을 생성하는 AI 시스템의 제공자가 결과물을 기계가 읽을 수 있는 형식으로 표시해 AI로 생성 · 조작됐음을 감지할 수 있게 하라고 정합니다. 2026년 8월 2일부터 적용되고, 그 전에 시장에 나온 시스템은 2026년 12월 2일까지 갖추게 했습니다(제111조 제4항, 2026년 7월 27일 기준 통합본). 딥페이크를 만드는 AI 시스템 이용자(deployer)의 공개 의무는 제50조 제4항에 따로 있습니다.

자주 묻는 질문

C2PA 기록이 없으면 AI로 만든 이미지가 아니라는 뜻인가요?

아닙니다. 모든 AI 도구가 기록을 붙이지는 않고, 붙였더라도 편집 · 변환 · 업로드 과정에서 빠질 수 있습니다. OpenAI 확인 도구 문서도 "찾지 못함" 결과가 그 회사의 AI로 만들지 않았다는 뜻은 아니라고 적습니다.

C2PA 기록이 있으면 실제 사진이라는 뜻인가요?

그것도 아닙니다. 콘텐츠 자격 증명은 기록된 만든 방법과 편집 이력을 보여 줄 뿐, 진짜인지 판정하지 않습니다. AI 도구가 기록을 붙였다면 AI로 만들었다는 사실이, 이 표준을 지원하는 카메라로 찍었다면 그 사실이 나타납니다. 판단은 그 기록을 보고 보는 사람이 합니다.

C2PA를 넣으려면 비용이 드나요?

표준 자체는 사용료가 없습니다. 기록에 서명하는 인증서는 표준 단체의 인증 프로그램을 거친 제품이 인증기관에서 받는 것이라, 비용은 도구를 만드는 회사 쪽에서 생깁니다. 이미지를 만드는 쪽은 이 표준을 지원하는 생성 · 편집 도구를 쓰고, 내보내기 설정에서 자격 증명 항목을 켜면 됩니다.

고객이 이미지 속 기록을 지워 달라고 하면 어떻게 하나요?

먼저 쓴 도구의 약관을 확인합니다. 붙은 자격 증명을 지우거나 바꾸지 말라고 정한 도구가 있어, 그런 도구로 만든 이미지는 지우지 않는 쪽으로 합의합니다. 고객이 걱정하는 것이 작업자 이름이나 위치 같은 정보라면, 그 항목만 넣지 않은 판으로 다시 내보내는 방법을 제안합니다.

오늘 할 일

최근 납품하거나 게시한 AI 이미지 한 장을 골라, 생성 도구에서 받은 원본과 실제 게시된 파일을 각각 확인 사이트에 올리고 결과를 두 줄로 적으십시오. 둘 사이에서 기록이 사라졌다면 그 사이의 내보내기 · 변환 · 업로드 단계가 점검할 지점입니다.