기업 홈페이지에 새 이미지가 올라왔다. 담당자는 “AI로 만든 이미지”라고 설명하지만, 이미지는 다운로드되고 잘려서 메신저와 SNS로 퍼진다. 누군가 색을 바꾸거나 다른 문구와 합성한 뒤 다시 올릴 수도 있다. 나중에 그 파일만 받은 사람이 “누가 만들었고 무엇을 바꿨나?”라고 물으면, 이미지의 겉모습만으로는 답하기 어렵다.
이때 자주 등장하는 기술이 C2PA(Content Credentials)다. 콘텐츠 생성과 수정의 이력을 기계가 검증할 수 있는 형태로 묶어 배포하려는 표준이다. 2026년 4월 공개된 C2PA 2.4 규격에는 AI 사용 정보를 구조화해 표현하는 c2pa.ai-disclosure 항목도 추가됐다. 그렇다고 C2PA가 “이 사진이 현실을 그대로 보여준다”거나 “표시된 설명이 모두 사실이다”를 보증하는 것은 아니다. 기업이 도입하려면 기술의 역할과 한계를 먼저 분리해야 한다.
출처 정보는 ‘진실 판정’이 아니라 ‘이력의 증거’다
콘텐츠 자격증명(Content Credential)은 이미지·영상·문서 등에 관한 출처 진술(assertion), 그 진술을 묶은 서명된 기록(manifest), 원본 콘텐츠와 기록의 결합 정보로 이해하면 쉽다. 예를 들어 어느 도구로 만들었는지, 어떤 편집을 거쳤는지, 생성형 AI가 개입했는지 같은 정보를 담을 수 있다. 검증자는 서명과 결합 관계를 확인하고, 기록이 변조되지 않았는지 판단한다. 공식 기술 문서는 assertion·claim·서명으로 이루어진 구조를 설명한다.
중요한 구분이 있다. 서명이 유효하다는 것은 기록된 진술이 특정 서명 주체에 의해 붙었고 그 뒤 변조되지 않았다는 기술적 판단이다. 진술의 내용이 사실이다는 별도 판단이다. 예를 들어 누군가 “오늘 촬영한 현장 사진”이라는 설명을 붙여 정당한 키로 서명해도, 실제 촬영 날짜나 장면의 사실성까지 암호학이 확인해 주지는 않는다. C2PA의 설계 원칙 자체가 기록의 검증과 가치 판단을 구분한다.
따라서 사이트의 배지도 “진짜 이미지” 대신 “출처 기록 있음”, “서명 검증됨”, “AI 생성으로 공개됨”처럼 검증된 사실만 표현해야 한다. 콘텐츠가 주장하는 사실 여부는 취재, 근거 검토, 현장 확인 등 다른 절차가 필요하다.
2026년 AI 공개 항목은 무엇을 더해 주나
C2PA 2.4는 c2pa.ai-disclosure라는 기계 판독 가능한 공개 항목을 정의한다. 기존의 생성·편집 행동 기록과 디지털 출처 유형을 보완해, 사용한 모델 정보나 사람이 얼마나 관여했는지 같은 구조화된 설명을 담을 수 있다. 규격에는 사람 관여 수준의 예로 자동 생성, 프롬프트로 유도한 생성, 인간 검토 후 승인 같은 구분이 제시된다. 하지만 규격에 항목이 생긴 것과 모든 제작 도구·플랫폼이 그 항목을 자동으로 기록한다는 것은 다른 이야기다. 구현과 배포 경로를 확인해야 한다. 관련 필드는 C2PA 2.4의 AI Disclosure 절에 정의돼 있다.
실무에서 필요한 질문은 “우리 제작 도구가 어떤 진술을 생성하는가?”, “담당자가 AI 사용 여부를 언제 확인하는가?”, “최종 파일에 서명이 붙는가?”, “사용자가 볼 수 있는 화면은 그 내용을 정확히 설명하는가?”다. 하나라도 빠지면 AI 이미지 투명성은 홍보 문구 수준에 머물 수 있다.
자격증명이 없으면 가짜일까? 그렇지 않다
콘텐츠 자격증명은 자발적 참여 방식이므로, 기록이 없다는 사실만으로 위조·AI 생성이라고 결론 내릴 수 없다. 오랜 사진, 지원하지 않는 카메라에서 나온 파일, 서명 기능을 사용하지 않은 편집 도구의 결과물은 기록이 없을 수 있다. 더구나 게시 과정에서 이미지가 리사이즈되거나 재인코딩되고, 메신저가 메타데이터를 제거하거나, 화면 캡처로 다시 저장되면 원래 있던 기록도 사라질 수 있다.
C2PA 공식 해설은 출처 메타데이터가 제거될 수 있음을 인정하고, 콘텐츠의 지문·워터마크 같은 보조 결합 방식으로 별도 저장된 기록을 다시 찾는 접근을 설명한다. 그러나 이는 모든 캡처나 변환에서 언제나 복원된다는 보증이 아니다. “검증 정보 없음”은 미확인 상태이지, 거짓 판정이 아니다.
웹사이트의 이미지 처리 과정이 기록을 끊을 수 있다
기업 사이트에서는 원본 이미지를 그대로 보여주지 않는다. 업로드 후 자동으로 크기를 줄이고, WebP나 AVIF로 변환하고, 썸네일을 만들고, CDN이 다시 최적화한다. 이 과정에서 기존의 서명된 기록이 새 파일에 그대로 유효한지, 옮겨졌는지, 제거됐는지 확인하지 않으면 운영자는 출처 기능을 제공한다고 생각하지만 실제 공개 파일은 검증할 수 없는 상태가 된다.
여기서 핵심은 원본 파일의 검증 결과를 파생 파일에 자동으로 복사해 표시하지 않는 것이다. 크기 변경·크롭·재압축은 픽셀을 바꾸므로 원본과 파생 파일의 결합 관계를 다시 다뤄야 한다. 사용 중인 변환 도구가 출처 이력을 이어 붙이는지 확인하고, 그렇지 않다면 원본 보존·변환 이력 기록·최종 파일 서명 같은 별도의 발행 단계가 필요하다. 서명 지원이 없는 도구에서 무심코 이미지를 다시 저장하는 것만으로도 사용자에게 보이는 검증 가능성이 달라질 수 있다.
검증 테스트는 관리자가 올린 원본만이 아니라 실제 브라우저가 내려받는 URL에 대해 해야 한다. 데스크톱의 큰 이미지, 모바일 썸네일, CDN 변형본, SNS 공유 이미지가 모두 같은 출처 정보를 제공하는지 각각 확인한다. 모두 지원하지 못한다면 어느 형식에서 검증 가능한지 명시하는 편이 정직하다.
누가 서명했는지와 무엇을 공개할지는 별도 설계다
검증된 서명이라고 해도 서명 주체가 누구인지, 그 주체를 신뢰할 이유가 있는지 확인해야 한다. 신뢰 목록에 포함된 제작 도구가 파일을 생성했다는 것과 특정 직원·회사·취재원이 실제로 내용을 승인했다는 것은 서로 다를 수 있다. 검증 화면에서는 서명 검증 상태, 확인된 서명 주체, 공개된 제작·편집 진술을 구분해 보여줘야 한다. 익숙한 브랜드 이름이 보인다는 이유만으로 내용까지 사실로 승격시키면 안 된다.
출처 기록은 프라이버시도 건드린다. 제작자 실명, 촬영 위치, 원본 파일명, 고객사 정보가 의도치 않게 드러나면 문제가 될 수 있다. 내부 승인 흐름에는 필요한 세부 정보가 있어도 공개 파일에는 최소한만 남길 수 있다. 공개 범위·보존 기간·삭제 요청 절차는 법무·보안·콘텐츠 담당자가 함께 정해야 한다. 이는 C2PA를 붙이느냐의 문제가 아니라 무슨 진술을 누구에게 공개할 것인가의 문제다.
우리 회사에 적용한다면: 작은 파일럿의 순서
- 대상 콘텐츠를 정한다. 보도자료 이미지, 제품 이미지, AI 생성 삽화처럼 출처 설명의 가치가 높은 자산부터 고른다.
- 제작 사실을 분류한다. 촬영, 완전 AI 생성, AI 편집, 사람의 최종 검토 등 실제 제작 과정을 내부 기록으로 남긴다.
- 발행 파이프라인을 그린다. 원본 저장 → 편집 → 크롭·형식 변환 → CDN → SNS 공유의 각 단계에서 기록의 유효성을 확인한다.
- 검증 가능한 최종 파일을 만든다. 지원 도구와 신뢰할 수 있는 서명 방식을 선택하고, 공개 URL의 파일을 독립적인 검증 도구로 재확인한다.
- 모호하지 않은 UI를 만든다. 검증됨, 검증 실패, 기록 없음, 사실 확인 필요를 한 종류의 배지로 합치지 않는다.
- 예외를 연습한다. 캡처, 메타데이터 제거, 잘못된 서명, 오래된 파일, 담당자 변경이 생겼을 때 사용자에게 어떻게 설명할지 정한다.
이 글의 커버와 본문 그림은 생성형 AI로 제작한 뒤 게시용 WebP로 변환하고 사람이 검토했다. 이 이미지에 C2PA 서명이 붙어 있거나 공개 파일에서 콘텐츠 자격증명이 검증된다고 주장하지 않는다. 바로 이런 차이를 분명히 표시하는 것이 출처 투명성의 출발점이다. 오늘 당장 서명 인프라를 도입하지 않더라도, 제작 방식·수정 이력·승인 담당자·최종 배포 파일을 일관되게 기록하면 이후 검증 체계를 붙일 토대가 된다.
결론은 단순하다. C2PA는 “AI 이미지 탐지기”가 아니라 콘텐츠의 제작 이력을 검증 가능한 형태로 전하는 인프라다. 확인할 수 있는 기록을 늘리되, 그 기록이 말하지 않는 사실까지 보증하는 척하지 않아야 한다. 출처 신뢰는 서명 기술, 운영 절차, 정직한 사용자 설명이 함께 만들어 낸다.
#C2PA #ContentCredentials #콘텐츠자격증명 #AI이미지 #생성형AI #디지털출처 #콘텐츠출처 #미디어진위 #AI투명성 #이미지메타데이터 #웹사이트운영 #기업AI #콘텐츠검증
