8월 2일부터 적용된 EU의 AI Act(인공지능법) 투명성 의무에 맞춰, Anthropic은 이날 이후 출시되는 Claude 모델에 기계가 확인할 수 있는 표시를 적용하기 시작했다. 텍스트에는 눈에 보이지 않는 워터마크가 들어가고, PNG·JPG·SVG 등 지원되는 파일에는 “Claude가 만들거나 처리한 파일”이라는 출처 정보를 메타데이터에 남긴다. 이 정보에는 위조나 변조 여부를 확인할 수 있도록 전자 서명도 함께 붙는다.
적용 지역도 EU에 한정되지 않는다. Anthropic은 지역에 따라 워터마킹 여부를 안정적으로 구분하기 어렵기 때문에, 해당 표시 기능을 전 세계에 적용하고 있다고 설명한다. 8월 2일 이전에 출시된 모델에도 앞으로 몇 달에 걸쳐 순차적으로 적용할 예정이다.
그렇다면, 텍스트에는 워터마크를 어떻게 남기는 것일까.
사진에는 픽셀이 있고 영상에는 프레임이 있기 때문에, 눈에 띄지 않는 변화를 넣을 수 있는 물리적인 단위가 존재한다. 하지만 글은 다르다. 문장은 결국 단어의 배열이고, 독자가 읽는 단어는 모두 그대로 드러나 있다.
글에는 숨길 픽셀이 없다
Claude의 텍스트 워터마크는 구글 딥마인드가 2024년 네이처 논문으로 발표한 AI 생성 텍스트 식별 기술인 SynthID-Text를 변형한 방식이다. 흔히 생각하는 것처럼 보이지 않는 특수문자나 기호를 문장에 심는 것이 아니라, 모델이 다음 단어를 선택하는 과정에 일정한 패턴을 남긴다.
이 원리를 이해하려면 먼저 언어 모델이 문장을 만드는 방식을 볼 필요가 있다. 언어 모델은 앞에 나온 내용을 바탕으로 다음에 올 단어를 하나씩 고르는데, 매 순간 정답이 하나만 있는 것은 아니다. 예를 들어 “The weather today was cold and…”(오늘 날씨는 춥고…)라는 문장 뒤에는 ‘sugary’(달콤한)보다 ‘overcast’(흐린)나 ‘grey’(잿빛인)가 훨씬 자연스럽지만, 둘 중 어느 하나만 가능한 것은 아니다. 일반적인 샘플링 방식에서는 이런 후보마다 다음에 등장할 확률을 계산하고, 그 확률을 바탕으로 어느 정도 무작위성을 섞어 하나를 선택한다.
텍스트 워터마크는 이 선택 과정에 작은 규칙을 하나 더 얹는다. 특정 단어에 미리 점수를 매겨두거나 ‘grey’를 반복해서 쓰게 만드는 방식은 아니다. Anthropic의 설명에 따르면, 모델이 다음 단어를 고를 때 앞서 나온 몇 개의 단어와 Anthropic만 알고 있는 비밀 키를 함께 사용해 선택에 필요한 값을 만든다. 따라서 같은 ‘grey’라도 앞의 문맥이 달라지면 선택될 가능성은 달라질 수 있다.
원형인 SynthID-Text에서는 이 과정이 더 구체적으로 공개돼 있다. 문맥과 비밀 키를 이용해 매 순간 새로운 값을 만들고, 후보 단어들에 점수를 부여한 뒤 그 점수를 선택에 반영한다. Claude가 사용하는 변형 방식의 세부 알고리즘은 공개되지 않았지만, 자연스러운 후보들 사이의 선택 과정에 비밀 키를 이용한다는 기본 원리는 같다.
그래서 완성된 글을 눈으로 봐서는 워터마크를 알아차리기 어렵다. 특정 단어나 문장이 일정하게 반복되는 것이 아니기 때문이다. 하지만 같은 비밀 키를 가진 쪽에서는 완성된 글을 다시 분석해, 실제 단어 배열이 그 키를 사용했을 때 예상되는 선택과 얼마나 잘 맞아떨어지는지 계산할 수 있다.
사람이 쓴 글이라면 이런 일치는 대체로 우연의 범위 안에서 나타난다. 반면 워터마크가 적용된 글에서는 비밀 키를 사용했을 때 예상되는 선택과 실제 단어 배열의 일치가 통계적으로 더 높게 나타난다. 글이 길수록 비교할 수 있는 선택도 많아지기 때문에 신호는 더 뚜렷해지고, 이를 바탕으로 Claude가 그 텍스트 생성에 관여했을 가능성을 판단한다.
Anthropic은 이 원리를 모노폴리에 비유한다. 주사위를 굴리는 대신 원주율의 자릿수인 3, 1, 4, 1, 5를 차례대로 읽어 말을 움직인다고 생각해보자. 게임하는 사람에게는 평범한 이동처럼 보이지만, 나중에 전체 기록과 원주율을 함께 놓고 보면 특정 규칙을 따랐다는 사실을 확인할 수 있다. 텍스트 워터마크도 개별 단어가 아니라 선택이 누적된 전체 기록에서 신호가 드러난다는 점에서 비슷하다.
이 방식의 장점은 워터마크를 남기면서도 문장의 품질을 크게 건드리지 않을 수 있다는 데 있다. Anthropic은 자체 내부 테스트에서 워터마킹이 Claude가 생성한 글의 내용과 창의성, 가독성에 영향을 주지 않았다고 밝혔지만, 시험 규모나 세부 수치는 공개하지 않았다.
보다 구체적인 공개 자료는 원형인 SynthID-Text 쪽에 있다. 구글 딥마인드는 워터마킹을 적용한 모델과 적용하지 않은 모델을 실제 Gemini 서비스 트래픽에 투입해 약 2천만 개의 응답을 비교했고, 이용자 평가에서 통계적으로 유의미한 차이를 찾지 못했다. 별도의 사람 평가에서도 문법, 관련성, 정확성, 유용성, 전반적인 품질에서 유의한 차이가 나타나지 않았다. 적어도 공개된 실험 결과에서는 워터마킹을 적용한 답변의 품질 저하가 확인되지 않았다.
이 기술이 갑자기 등장한 것도 아니다. SynthID-Text가 속한 계열은 적어도 2022년 스콧 애런슨이 제안한 생성형 텍스트 워터마킹 방식까지 거슬러 올라간다. 세부 알고리즘은 서로 다르지만, 모델이 단어를 선택하는 과정에 비밀 키를 이용한 규칙을 넣고 나중에 그 흔적을 통계적으로 검증한다는 기본 발상은 이어지고 있다.
결국 텍스트 워터마크의 핵심은 문장에 무언가를 숨기는 데 있지 않고, 단어 선택의 흔적을 통계적으로 남기는 데 있다.
흔적을 남기는 방식이 다르다
텍스트 워터마크는 단어를 고르는 과정에 흔적을 남기지만, PNG·JPG·SVG 같은 지원되는 파일에는 별도의 출처 정보를 메타데이터에 기록한다. 같은 “AI가 관여했다는 표시”라도 흔적을 남기는 위치와 방식이 다른 것이다.
사용자가 Claude에서 이런 파일을 만들거나 처리하면, 해당 파일에는 C2PA 형식의 출처 정보가 남는다. 여기에는 해당 파일이 Claude를 거쳤다는 사실이 담기고, 그 정보가 이후 위조되거나 변조됐는지 확인할 수 있도록 전자서명이 함께 붙는다.
C2PA는 AI 전용 기술은 아니다. 디지털 콘텐츠가 어디에서 만들어졌고 어떤 과정을 거쳤는지를 기록하기 위한 개방형 산업 표준으로, 이를 지원하는 도구에서는 파일에 담긴 출처 정보와 서명이 유효한지 확인할 수 있다. 이미지의 픽셀 안에 보이지 않는 신호를 숨기는 것이 아니라, 파일에 출처와 처리 이력을 함께 기록하는 방식에 가깝다.
그런데 두 방식은 내구성에서 오히려 반대되는 모습을 보인다. 텍스트 워터마크는 글을 그대로 복사해 다른 문서에 붙여도 단어 배열이 유지되는 한 신호가 함께 따라간다. 워드에 붙이든 노션에 붙이든 단순한 복사와 붙여넣기만으로 사라지지는 않는다. 떼어낼 별도의 문자나 표식이 있는 것이 아니라, 이미 선택된 단어들의 배열 자체가 신호이기 때문이다.
반면 C2PA 정보는 메타데이터이기 때문에 포맷을 바꾸거나, 메타데이터를 보존하지 않는 프로그램에서 다시 저장하거나, 화면을 캡처해 새로운 이미지로 만들면 사라질 수 있다. Anthropic도 포맷 변환, 재저장, 스크린샷 등을 C2PA 정보가 유실될 수 있는 경우로 설명한다.
결국 텍스트 워터마크가 콘텐츠를 만드는 과정에 남긴 보이지 않는 제작 패턴이라면, C2PA는 콘텐츠와 함께 따라다니는 서명된 이력서, 출처 기록이라고 볼 수 있다.
얼마나 고치면 사라질까
물론 텍스트 워터마크가 어떤 변화에도 그대로 남는 것은 아니다. 단순한 복사와 붙여넣기처럼 단어 배열이 유지되는 경우에는 신호가 따라가지만, 문장 자체를 수정하면 워터마크의 통계적 패턴도 영향을 받을 수 있다.
Anthropic도 이런 한계를 인정한다. 일부 표현을 고치는 정도라면 워터마크가 여전히 탐지될 수 있지만, 모든 단어가 바뀌는 수준으로 다시 쓰면 신호는 사라질 수 있다고 설명한다. 그리고 여기서 한 가지 질문을 덧붙인다. 그렇게까지 다시 쓴 글을 여전히 AI가 생성한 글이라고 볼 수 있느냐는 것이다.
탐지 가능성은 편집 정도뿐 아니라 글의 길이와 성격에도 영향을 받는다. 짧은 글에서는 비교할 수 있는 단어 선택의 수가 적어 통계적으로 판단할 근거가 부족할 수 있다. 반대로 글이 길어질수록 확인할 수 있는 선택이 많아지고, 우연으로 보기 어려운 패턴이 있는지도 더 분명하게 판단할 수 있다.
모든 문장에서 같은 강도로 신호가 생기는 것도 아니다. 사실관계가 강하게 정해져 있는 문장에서는 선택할 수 있는 표현 자체가 적다. Anthropic이 든 예는 뉴턴의 대표작이다. “Isaac Newton's most famous work was called Principia…”라는 문장 뒤에는 ‘Mathematica’가 사실상 정답이다. 다른 단어를 선택하면 내용이 달라지기 때문에 워터마크가 개입할 여지가 거의 없다.
교정과 번역을 비교하면 이 성격이 더 분명해진다. 사람이 쓴 글을 Claude에게 넘겨 맞춤법이나 문법만 고치게 했다면 최종 문장의 상당수 단어는 여전히 사람이 선택한 것이므로, 탐지할 만큼의 신호가 남지 않을 수도 있다. 반면 번역은 원문의 생각과 내용이 사람에게서 나왔더라도 번역문의 단어를 실제로 고르는 것은 Claude다. 같은 원문을 바탕으로 한 작업이라도 Claude가 최종 단어 선택에 얼마나 많이 관여했느냐에 따라 탐지 가능한 신호가 남을 여지는 달라질 수 있다.
이 때문에 워터마크가 검출되지 않았다고 해서 반드시 사람이 혼자 쓴 글이라는 뜻은 아니다. 글이 짧거나 사실 위주의 문장이 많을 수도 있고, Claude가 일부만 교정했거나 다른 AI가 작성했을 수도 있다. 반대로 워터마크가 검출됐다고 해서 Claude가 처음부터 끝까지 그 글을 썼다는 뜻도 아니다. 사람이 쓴 원문을 Claude가 크게 고쳤거나 번역했을 가능성도 있기 때문이다.
결국 워터마크가 보여주는 것은 글의 저자가 누구인지가 아니라, 최종 텍스트의 단어 선택에 Claude가 어느 정도 관여했는가에 가깝다.
텍스트 워터마크는 어떻게 확인할까
기존에도 AI가 쓴 글을 가려내려는 서비스는 있었다. 흔히 ‘AI 디텍터’라고 불리는 도구들이다. 이들은 문장의 통계적 특징이나 AI가 자주 사용하는 표현을 분석해 해당 글이 AI로 작성됐을 가능성을 추정한다. Anthropic도 예를 들어 AI 모델이 “this isn’t X, it’s Y” 같은 구문을 자주 사용하거나 ‘quietly’라는 단어를 예상보다 많이 쓰는 경향을 언급한다.
Claude의 워터마크를 확인하는 방식은 다르다. 문체를 보고 AI다운 글인지 추측하는 것이 아니라, 글이 만들어질 때 사용했던 비밀 키를 다시 적용해 실제 단어 배열이 그 키를 사용했을 때 예상되는 선택과 얼마나 잘 맞아떨어지는지를 계산한다. 앞에서 살펴본 것처럼 워터마크는 매 순간의 단어 선택에 통계적 흔적을 남기기 때문에, 같은 키를 가진 쪽에서는 완성된 글을 다시 분석해 그 흔적이 우연 이상으로 반복되는지를 확인할 수 있다.
따라서 기존 AI 탐지 서비스가 Claude의 워터마크를 같은 방식으로 확인할 수는 없다. Anthropic의 비밀 키를 가지고 있지 않기 때문이다. 문체의 특징을 보고 “AI가 쓴 것 같다”고 추정하는 것과, 생성 과정에 남겨진 워터마크 신호를 키로 검증하는 것은 서로 다른 방식이다.
현재 그 키를 가진 쪽은 Anthropic이다. 하지만 일반 이용자가 자신의 글을 직접 검사할 수 있는 도구는 아직 공개되지 않았다. Anthropic은 8월 14일 공식 설명에서 워터마크 탐지 API를 곧 제공할 예정이라고 밝혔지만, 구체적인 출시 시점은 제시하지 않았다.
이 점은 EU 인공지능법의 취지와도 연결된다. 제50조 2항은 AI가 만든 텍스트·음성·이미지·영상에 기계가 읽을 수 있는 표시를 남기는 것뿐 아니라, 그 결과물이 인공지능으로 생성되거나 조작됐는지를 탐지할 수 있도록 해야 한다고 규정한다. EU의 실행규약 역시 생성 콘텐츠의 표시와 탐지를 함께 다루는 기술적 수단을 요구한다.
결국 텍스트 워터마크의 핵심은 단순히 신호를 남기는 데서 끝나지 않는다. 그 신호를 실제로 읽을 수 있어야 비로소 검증 수단으로 기능할 수 있다.
워터마크를 남겼지만, 볼 수 없다
문제는 워터마크가 이미 적용되고 있는데도, 정작 일반 이용자는 자신의 글에 그 신호가 남아 있는지 직접 확인할 수 없다는 데 있다. Anthropic은 탐지 API를 제공할 예정이라고 밝혔지만, 구체적인 출시 시점조차 아직 제시하지 않았다.
이 상태에서는 워터마크가 존재한다는 사실과 그것을 검증할 수 있다는 사실 사이에 간극이 생긴다. Claude가 글에 관여했다면 신호가 남아 있을 수 있지만, 이용자는 그 신호가 실제로 남아 있는지, 편집 뒤에도 유지됐는지, 혹은 이미 탐지하기 어려울 정도로 약해졌는지를 스스로 확인할 수 없다.
이 점은 투명성이라는 목적과도 맞닿아 있다. AI가 만든 결과물에 출처의 흔적을 남기는 것만으로는 충분하지 않다. 그 흔적을 확인할 방법과 결과를 해석할 기준이 함께 제공돼야 실제 투명성의 수단으로 기능할 수 있다.
글에는 숨길 픽셀이 없다.
Anthropic은 워터마크를 설명하면서 한 가지를 되물었다. 모든 단어를 바꿔 쓴 글도 여전히 AI가 쓴 글이라고 할 수 있느냐고.
그렇다면 반대로 물을 수도 있다.
표시를 남겼지만, 정작 그 표시를 이용자가 읽을 수 없다면 그것을 충분한 투명성이라고 말할 수 있을까.
