생성형 AI 기업들을 상대로 제기된 저작권 집단소송이 현재 미국에서만 수십 건을 넘어섰습니다. 솔직히 처음 이 수치를 접했을 때 '이 정도까지 터졌나' 싶었습니다. AI를 업무에 활용하면서 편리함에 익숙해지다 보면 그 뒤에 쌓여가는 법적 지뢰밭은 잘 보이지 않습니다. 저작권, 딥페이크, 개인정보보호 — 세 가지 쟁점을 직접 부딪혀보고 나서야 이게 단순한 뉴스 이야기가 아님을 실감했습니다.
저작권과 딥페이크, 생각보다 훨씬 촘촘한 법적 그물
일반적으로 AI가 만든 이미지나 텍스트는 그냥 써도 된다고 알려져 있지만, 제가 직접 확인해보니 그 판단이 꽤 위험한 가정 위에 서 있었습니다. 핵심은 저작권(Copyright), 즉 창작자가 자신의 표현물에 대해 갖는 배타적 권리가 AI 학습 데이터 수집 단계에서부터 이미 충돌한다는 점입니다. 여기서 저작권이란 단순히 글이나 그림을 베끼지 말라는 이야기가 아니라, 학습 목적으로 수억 개의 창작물을 긁어모으는 행위 자체가 침해가 될 수 있느냐는 훨씬 근본적인 문제입니다.
AI 개발사들은 이에 대해 공정 이용(Fair Use)을 방패로 내세웁니다. 공정 이용이란 저작권자의 허락 없이도 교육·연구·비평 등 특정 목적의 이용을 제한적으로 허용하는 법리인데, 영리를 목적으로 한 대규모 상업적 학습에도 이 논리가 통할지는 현재 미국 연방법원에서 판례가 형성되는 중입니다(출처: 미국 저작권청). 제 경험상 이 쟁점은 판결이 나오기 전까지 실무자 입장에서 명확한 답을 내리기가 사실상 불가능합니다.
딥페이크 쪽은 조금 다른 결을 가지고 있습니다. 딥페이크(Deepfake)란 생성적 적대 신경망(GAN) 기술을 활용해 특정 인물의 얼굴이나 목소리를 다른 영상에 자연스럽게 합성하는 기법입니다. 쉽게 말해 당사자가 한 번도 하지 않은 말과 행동을 마치 실제처럼 만들어낼 수 있는 기술입니다. 유명인은 물론 일반인도 사진 몇 장만 있으면 피해자가 될 수 있다는 점이 가장 무섭습니다. 이는 초상권, 즉 개인이 자신의 얼굴이나 목소리가 무단으로 복제·배포되지 않을 권리를 정면으로 침해합니다. 이 초상권은 상업적 이용을 통해 경제적 손해를 입었을 때 추가로 적용되는 퍼블리시티권과도 밀접하게 연결됩니다.
저는 실제로 지인이 딥페이크 피해를 입는 과정을 가까이서 지켜봤는데, 최초 유포자를 특정하는 것 자체가 얼마나 어려운 일인지 그때 처음 실감했습니다. 현행 정보통신망법상 허위 사실로 타인의 명예를 훼손하면 형사 처벌 대상이 되지만, 이미 순식간에 퍼진 콘텐츠를 지우는 건 또 다른 싸움입니다. 때문에 각국에서 딥페이크 생성물에 대한 워터마크 의무화 논의가 빠르게 진행되고 있습니다.
- AI 학습용 데이터 무단 수집 → 저작권 침해 소송 리스크
- 공정 이용(Fair Use) 적용 여부 → 현재 미국 법원에서 판례 형성 중
- 딥페이크로 인한 초상권·퍼블리시티권 침해 → 민형사상 책임 동시 발생 가능
- 딥페이크 워터마크 의무화 → 각국 입법 논의 진행 중
개인정보보호, AI 쓸 때 가장 자주 놓치는 함정
AI 관련 법적 리스크 중에서 실제로 가장 자주 발생하는 사고는 저작권이 아니라 개인정보보호법 위반이라고 생각합니다. 저는 사내 업무에 생성형 AI를 도입하는 과정을 직접 검토하면서 이 부분에서 가장 많이 막혔습니다. 문제의 출발점은 간단합니다. AI 모델이 고도화되려면 대량의 데이터가 필요한데, 그 데이터 안에 이름·이메일·의료정보·금융기록 같은 민감 정보가 필터링 없이 섞여 들어가는 구조적 위험이 존재합니다.
유럽연합의 개인정보보호규정(GDPR)은 현재 전 세계에서 가장 강력한 개인정보 보호 법제로 꼽힙니다. GDPR이란 정보 주체의 명시적 동의 없이는 개인정보를 수집·처리하지 못하도록 하고, 위반 시 전 세계 연간 매출의 최대 4%를 과징금으로 부과하는 규정을 말합니다(출처: GDPR 공식 포털). 국내 개인정보보호법도 같은 방향으로 수집 목적 명확화와 최소 수집 원칙을 요구하고 있어, AI의 방대한 데이터 탐색 패러다임과 정면으로 부딪힙니다.
여기서 핵심 리스크를 하나 짚어야 합니다. 딥러닝 모델은 내부 구조가 외부에서 투명하게 파악되지 않는 블랙박스 문제를 안고 있습니다. 블랙박스 문제란 모델이 어떤 경로로 특정 정보를 저장하고 출력하는지 개발자도 완전히 통제하기 어려운 상태를 의미합니다. 실제로 임직원이 챗봇에 고객 데이터나 사내 기밀을 입력했다가, 그 내용이 모델 학습에 재활용되어 다른 사용자에게 노출되는 사고가 글로벌 기업에서 이미 발생한 바 있습니다. 제 경험상 이건 설마가 아니라 발생 확률의 문제입니다.
이런 이유로 많은 기업들이 외부 생성형 AI 사용을 전면 차단하거나, 데이터 재학습이 되지 않는 독립 폐쇄망 시스템을 별도 구축하는 방향으로 대응하고 있습니다. 정보 주체가 자신의 데이터 삭제를 요청할 수 있는 잊힐 권리(Right to be Forgotten)를 AI 시스템 내에 구현하는 것도 이제는 선택이 아니라 법적 의무로 가까워지고 있습니다. 여기서 잊힐 권리란 본인에 관한 개인정보가 더 이상 처리되거나 보관되지 않도록 삭제를 요구할 수 있는 권리를 말합니다. AI 시스템에 이를 반영하려면 기술적으로 상당한 수준의 설계가 필요한데, 솔직히 현재 대다수 서비스는 아직 거기까지 닿아있지 않습니다.
자주 묻는 질문
Q. AI로 만든 이미지를 블로그나 유튜브에 상업적으로 써도 괜찮은가요?
A. 일반적으로 유료 AI 서비스는 상업적 이용을 허가하는 경우가 많다고 알려져 있지만, 제 경험상 이것만으로 충분하지 않습니다. AI가 기존 저작물의 화풍이나 독창적 표현을 지나치게 유사하게 재현했다면, 서비스 약관과 별개로 원저작권자에게 침해 소송을 당할 위험이 남습니다. 사용 전 해당 서비스의 이용약관을 정확히 확인하는 것이 선행되어야 합니다.
Q. AI가 쓴 글을 제 이름으로 저작권 등록할 수 있나요?
A. 현행법상 저작물은 인간의 사상이나 감정을 표현한 창작물로 한정되어 있어, AI가 생성한 순수한 결과물은 저작권 등록이 원칙적으로 불가능합니다. 다만 사람이 초안을 상당 부분 수정하고 재구성하여 독창적인 편집 저작물로 만들었다면, 그 창작 기여 부분에 한해 제한적으로 보호받을 수 있습니다. 프롬프트를 얼마나 정교하게 설계했는지가 기준이 될 수 있다는 시각도 있지만, 아직 판례가 확립되지 않은 영역입니다.
Q. 사내 업무에 AI 챗봇을 쓸 때 가장 먼저 확인해야 할 게 뭔가요?
A. 제가 직접 도입 과정을 검토하면서 가장 먼저 확인한 건 '데이터 재학습 여부'입니다. 임직원이 입력한 데이터가 AI 모델의 학습에 재활용되지 않도록 설정되어 있는지를 반드시 점검해야 합니다. 기업 기밀이나 고객 개인정보가 다른 사용자의 답변으로 노출되는 사고는 이미 실제로 발생했고, GDPR 또는 국내 개인정보보호법 위반으로 이어질 수 있습니다.
Q. 딥페이크 피해를 입었을 때 법적으로 어떻게 대응할 수 있나요?
A. 민사상 불법행위에 따른 손해배상 청구와 함께, 허위 사실로 명예를 훼손한 경우 형법 및 정보통신망법 위반으로 형사 고소도 가능합니다. 문제는 최초 유포자 특정과 증거 보전이 시간 싸움이라는 점입니다. 피해 사실을 인지한 즉시 해당 콘텐츠의 URL과 화면 캡처를 공증 받아두는 것이 현실적으로 가장 중요한 초기 대응입니다.
결론
AI는 분명 강력한 도구입니다. 하지만 저작권, 딥페이크 초상권 침해, 개인정보보호법 위반이라는 세 가지 법적 지뢰는 기술의 발전 속도를 법 제도가 따라잡지 못하는 동안 사용자가 직접 짊어져야 할 리스크입니다. 제 경험상 가장 위험한 태도는 '남들도 다 쓰니까 괜찮겠지'라는 막연한 믿음입니다.
당장 실천할 수 있는 것부터 시작하는 것이 현실적입니다. 사용 중인 AI 서비스의 약관에서 데이터 재학습 설정을 확인하고, 생성 이미지를 상업적으로 쓰기 전 저작권 리스크를 점검하고, 딥페이크 피해가 의심되면 즉시 증거를 보전하는 것. 화려한 기능보다 이런 기본기가 훨씬 중요합니다. 법과 기술이 균형을 잡아가는 과도기일수록, 사용자 스스로가 가장 확실한 안전장치가 되어야 합니다.