사람에게 보이는 ‘AI’ 표시는 켜졌다. 파일 속 표식은 넉 달 늦게 따라온다.

2026년 8월 2일 이후 유럽연합에서 새 챗봇과 대화를 시작하는 첫 화면에는 문지방 하나가 생겼다. 상대가 사람처럼 자연스럽게 답하더라도 시스템은 원칙적으로 사람이 아니라 AI와 상호작용하고 있음을 알려야 한다. 평균적인 이용자에게 이미 명백한 경우라는 좁은 예외가 있지만, 유럽위원회 지침은 첫 상호작용의 시작부터 분명하고 구별되며 접근 가능한 방식으로 알리는 것을 기준으로 잡았다.

같은 날 이미지·음성·영상에는 또 다른 문이 열렸다. 실제 사람·장소·사건처럼 보여 진짜라고 오인될 수 있는 딥페이크를 배포하는 쪽은 늦어도 사람이 처음 마주칠 때 알아볼 수 있게 밝혀야 한다. 화면 밖 메타데이터를 검사해야만 찾을 수 있는 표식으로는 충분하지 않다. 보이는 라벨이나 들리는 고지가 사람의 문을 맡는다.

그러나 파일 안쪽의 문은 모든 시스템에 동시에 닫히지 않았다. 생성형 AI 제공자는 합성 텍스트·음성·이미지·영상을 기계가 읽을 수 있고 AI 생성·변형임을 탐지할 수 있는 형식으로 표시해야 한다. 다만 2026년 8월 2일 전에 이미 시장에 나온 시스템은 이 제공자 의무를 12월 2일까지 맞출 수 있다. 사람이 보는 딥페이크 고지는 8월에 시작됐는데 오래된 생성 시스템의 내장 표식에는 넉 달의 좁은 유예가 생겼다.

이 차이를 이해하려면 ‘제공자’와 ‘배포자’를 갈라야 한다. 제공자는 AI 시스템을 설계해 시장에 내놓으며 출력에 기계 판독 표식을 넣을 책임을 진다. 배포자는 그 시스템을 사용해 딥페이크나 공익 사안의 텍스트를 사람에게 보여 주는 쪽이며, 사람이 알아볼 공개 고지를 맡는다. 한 회사가 두 역할을 할 수도 있지만 법의 질문은 파일을 만든 손과 세상에 내민 손을 따로 따라간다.

기계 표식과 사람 라벨도 같은 물건이 아니다. 기계 판독 표식은 파일이나 출력에 기술적 신호를 심어 자동 탐지를 돕는다. 딥페이크 배포 고지는 특정 도구를 켜지 않아도 사람이 알아볼 수 있어야 한다. 유럽위원회 FAQ는 배포자가 제공자의 숨은 기계 표식에만 기대서는 자신의 공개 의무를 채울 수 없다고 명시한다.

텍스트에는 신문과 플랫폼이 함께 읽어야 할 별도 경계가 있다. 생성형 AI로 만든 글을 정치·사법·공공서비스·기본권·보건·환경·경제·과학·문화처럼 공적 논쟁이 되는 사안을 알리기 위해 공개하면 배포자는 AI 생성·변형 사실을 분명히 표시해야 한다. 하지만 관련 지식과 전문 판단을 가진 사람이 내용을 실질적으로 검토하거나 책임 있는 편집 조직이 승인·수정·거부 권한을 행사하고, 누군가 최종 법적 책임을 지는 경우에는 그 라벨 의무의 예외가 가능하다.

맞춤법 검사나 문법 교정만 거친 것은 그 예외의 편집이 아니다. 위원회 지침은 내용의 사실과 출처를 검토하고 실질적인 이유로 바꾸거나 거절할 권한이 있어야 한다고 설명한다. 그러므로 ‘사람이 마지막에 클릭했다’와 ‘사람이 기사 내용을 책임지고 편집했다’ 사이에는 법이 요구하는 두께 차이가 있다.

감정을 읽거나 생체 특성으로 사람을 분류하는 AI도 조용히 배경에 머물 수 없다. 그 시스템에 노출된 사람에게 작동 사실을 알려야 하며 실시간뿐 아니라 나중에 자료를 분석하는 경우도 포함된다. 다만 위원회 설명상 이 고지가 곧 사용 목적의 모든 세부사항을 자동으로 공개한다는 뜻은 아니다. 작동을 알리는 문과 목적·적법성을 따지는 문은 다시 갈라진다.

예외도 출력의 모양을 따라간다. 표준적인 편집 보조, 짧은 숫자·기호·문자열, 소스코드, 사람에게 노출되지 않는 기계 간 출력 등은 제공자 표식 의무에서 벗어날 수 있다. 예술·풍자·허구 프로그램 속 딥페이크는 작품의 감상을 해치지 않는 적절한 방식으로 고지할 수 있다. 법이 모든 AI 흔적에 같은 스티커 한 장을 붙이는 체계가 아니라는 뜻이다.

시계가 더 복잡해진 까닭은 2026년 개정 규정이 한쪽은 미루고 다른 쪽은 남겼기 때문이다. 기존 생성 시스템의 Article 50(2) 기계표시는 12월 2일까지 유예됐고, Annex III의 독립형 고위험 AI 규칙은 2027년 12월 2일, 규제 제품에 들어간 고위험 AI 규칙은 2028년 8월 2일로 뒤로 갔다. 그렇다고 챗봇·딥페이크·공익 텍스트의 모든 투명성 의무가 함께 미뤄진 것은 아니다.

집행도 브뤼셀 한 방에서 모두 일어나지 않는다. Article 50은 주로 각 회원국의 시장감독기관이 맡고, AI Office는 같은 사업자가 범용 AI 모델과 그 시스템을 함께 제공하거나 매우 큰 온라인 플랫폼·검색엔진에 통합된 경우처럼 제한된 범위를 직접 본다. 위원회는 8월 2일부터 집행을 시작한다고 밝혔고 신고·내부고발 채널과 자발적 투명성 행동규범을 내놓았다.

행동규범에는 180곳이 넘는 조직이 처음 이름을 올렸지만 서명 자체가 모든 출력의 준수를 증명하지 않는다. 참여하지 않는 제공자·배포자도 다른 적절한 방법으로 의무를 입증할 수 있고, 위원회 설명상 더 많은 정보 요청을 받을 수 있다. 규범은 기술과 운영을 맞추는 공통 경로이지 법적 책임을 지워 주는 면허가 아니다.

AP는 시행 직전 독립 보도에서 브뤼셀 AI Office가 38명을 보강하고, 유럽 안팎의 AI 기업을 감시하며 신고 도구를 연다고 전했다. 이 보도는 집행기관이 실제 조직을 늘렸다는 독립 확인이지만, 특정 기업이 위반했다거나 어떤 라벨이 이미 모든 플랫폼에서 정확히 작동한다는 증거는 아니다.

8월 2일 전에 생성된 콘텐츠를 소급해 모두 표시할 의무도 없다. 위원회는 가능하면 자발적으로 표시하라고 권하지만, 법적 의무와 권고를 합쳐서는 안 된다. 오래된 콘텐츠, 오래된 시스템, 새로 배포된 딥페이크는 서로 다른 날짜와 역할표 위에 놓인다.

제목의 넉 달은 그래서 법 전체가 멈춘 시간이 아니다. 사람이 처음 만나는 챗봇과 딥페이크 앞의 고지는 이미 켜졌고, 8월 2일 전에 시장에 나온 생성 시스템이 출력 안에 심어야 할 기계 표식만 12월 2일까지 따라올 수 있다. 지금 달라진 것은 ‘AI면 표시’라는 한 문장이 완성된 일이 아니라, 누가 만들고 누가 보여 주며 사람과 기계 중 누가 읽는지에 따라 네 개의 문이 실제 집행 시계 위에서 따로 움직이기 시작했다는 점이다.