.svg)
AI 솔루션 문의하기
인공지능기본법 딥페이크 표시 의무는 2026년 1월 22일 법 시행과 함께 적용되어, 인공지능사업자는 딥페이크 결과물을 이용자가 명확하게 인식할 수 있는 방식으로 표시해야 합니다. 실제와 구분하기 어려운 합성 영상·이미지·음성이 늘어나면서, 이용자가 그것이 가상의 결과물임을 알 수 있게 하자는 것이 이 의무의 취지입니다.
정식 명칭은 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법이며, 2025년 1월 공포되어 2026년 1월 22일부터 시행 중입니다. 이 법은 인공지능 산업 진흥과 함께, 고영향 인공지능과 생성형 인공지능에 대한 사업자 의무를 정하고 있습니다. 딥페이크 표시 의무는 이 가운데 투명성 확보 의무에 속합니다.
표시 의무는 인공지능을 개발하거나, 인공지능을 이용해 제품·서비스를 제공하는 인공지능사업자에게 부과됩니다. 생성형 인공지능 기능을 서비스에 넣어 고객에게 제공하는 기업이라면 의무 대상이 될 수 있으므로, 자사 서비스에 생성형 인공지능이 들어가 있는지부터 확인해야 합니다.
정부는 법 시행 이후 과태료 부과에 대해 최소 1년 이상의 계도기간을 운영하고 있습니다. 계도기간은 의무가 없다는 뜻이 아니라, 제재보다 안내와 개선을 먼저 하겠다는 뜻입니다. 의무 자체는 시행일부터 적용되므로, 계도기간 안에 표시 체계를 갖춰 두어야 합니다. 시행과 계도기간에 관한 내용은 대한민국 정책브리핑의 정부 발표 자료에서 확인할 수 있습니다.
인공지능기본법은 생성형 인공지능을 쓴다는 사실을 알리는 것, 생성형 인공지능 결과물임을 표시하는 것, 그리고 딥페이크 결과물은 이용자가 명확하게 인식하도록 표시하는 것을 요구합니다. 딥페이크는 일반 생성 결과물보다 표시 기준이 엄격합니다.
생성형 인공지능을 이용한 제품이나 서비스를 제공할 때는, 그 제품·서비스가 인공지능에 기반해 운용된다는 사실을 이용자에게 미리 알려야 합니다. 고객이 인공지능이 만든 결과를 받는다는 것을 알고 이용하게 하려는 것입니다.
생성형 인공지능이 만든 결과물에는 인공지능이 생성했다는 사실을 표시해야 합니다. 일반 생성 결과물은 사람이 바로 보지 못해도 기계가 읽을 수 있는 방식의 표시가 허용되는 범위가 있습니다.
실제와 구분하기 어려운 가상의 음향, 이미지, 영상, 즉 딥페이크 결과물은 이용자가 명확하게 인식할 수 있는 방식으로 고지하거나 표시해야 합니다. 사람 눈에 보이지 않는 비가시적 워터마크만으로는 이 의무를 이행한 것으로 보기 어렵습니다. 예술적·창의적 표현물의 일부인 경우에는 감상을 지나치게 방해하지 않는 방식으로 표시할 수 있도록 정하고 있습니다.
투명성 확보 의무는 정상적으로 인공지능 서비스를 제공하는 사업자가 이용자를 속이지 않도록 하는 규정입니다. 조문 원문은 국가법령정보센터에서, 세부 기준은 하위 법령과 정부 가이드라인에서 확인할 수 있습니다.
본인확인 기업이 합성 얼굴을 스스로 가려야 하는 이유는 표시 의무는 정상 사업자가 지키는 규칙이고, 본인확인을 속이려는 공격자는 표시를 하지 않기 때문입니다. 법이 시행되었다고 비대면 인증에 들어오는 합성 얼굴에 표시가 붙어 오지는 않습니다.
딥페이크로 타인 명의 계좌를 열거나 휴대폰을 개통하려는 사람은 처음부터 법을 어기려는 사람입니다. 이들이 쓰는 합성 영상에는 "인공지능 생성물"이라는 표시가 없고, 정상 서비스에서 만든 결과물이라도 표시를 잘라내거나 지운 뒤 쓸 수 있습니다. 표시가 없다는 것이 실제 얼굴이라는 증거가 되지 않습니다.
합성 얼굴이 본인확인에 들어오는 경로는 크게 두 가지입니다.
두 경로는 막는 방법이 다릅니다. 화면 재생은 카메라 앞의 물체가 실제 사람인지를 보는 라이브니스로, 영상 주입은 들어온 영상의 합성 여부를 보는 딥페이크 탐지와 촬영 경로 확인으로 대응합니다.
표시 의무가 있어도 본인확인 기업은 인증 시점에 카메라 앞의 얼굴이 실제 사람인지를 스스로 판단해야 합니다. 특히 가장 쉽게 시도할 수 있는 화면 재생 방식은, 띄운 영상이 딥페이크든 실제 녹화 영상이든 상관없이 화면을 카메라에 비춘다는 점에서 같은 공격입니다. 라이브니스의 원리와 적용 방식은 얼굴인식 라이브니스 글에 정리해 두었습니다.
알체라 eKYC 얼굴 인증은 앞에서 다룬 화면 재생 경로를 인증 단계에서 막습니다. 사용자가 촬영한 얼굴을 신분증 사진과 1:1로 대조하는 동시에, 라이브니스 검사로 카메라 앞의 얼굴이 사진, 화면에 띄운 영상, 마스크가 아닌 실제 사람인지 판별합니다. 공격자가 표시 없는 합성 영상을 휴대폰 화면에 띄워 비추더라도, 카메라 앞에 있는 것이 사람이 아니라 화면이라는 점에서 걸러집니다. 표시 의무에 기대지 않고 인증 시점에 실제 사람 여부를 직접 확인하는 구조입니다.
본인확인 기업은 인증으로 들어오는 합성 얼굴을 가려내는 체계와 자사 서비스가 만드는 생성형 결과물에 표시 의무를 지키는 체계를 함께 갖춰야 합니다. 앞의 것은 사기 방지, 뒤의 것은 법 준수의 영역입니다.
출력 사진, 화면에 띄운 사진이나 영상, 마스크처럼 카메라 앞에 물체를 비추는 공격은 라이브니스로 걸러냅니다. 비대면 인증에서 가장 흔한 시도이므로 얼굴 대조 단계에 함께 둡니다.
카메라를 거치지 않고 들어오는 합성 영상은 화면이나 종이의 흔적이 남지 않습니다. 영상 자체의 합성 흔적을 찾는 딥페이크 탐지와, 영상이 실제 기기 카메라에서 촬영되었는지 확인하는 촬영 경로 확인을 별도 계층으로 둡니다. 딥페이크 탐지 기술에 대한 내용은 위조 얼굴, 1초 만에 잡아내는 딥페이크 탐지 기술 글에서 자세히 다뤘습니다.
본인확인 기업도 고객 안내 영상에 인공지능 아바타를 쓰거나, 상담에 생성형 인공지능을 쓰는 등 생성형 인공지능을 서비스에 넣는 경우가 있습니다. 이 경우 회사는 인공지능사업자로서 표시 의무를 지게 될 수 있으므로, 아래를 점검합니다.
라이브니스 실패, 합성 의심 건은 정상 고객의 촬영 실패와 구분해 기록하고, 재시도를 제한한 뒤 별도 검토로 넘깁니다. 자사 서비스의 표시 이행 현황도 함께 기록하면, 계도기간이 끝난 뒤 점검이 들어올 때 이행 근거로 제시할 수 있습니다.
인공지능기본법 딥페이크 표시 의무는 정상 사업자가 지키는 투명성 규칙이며, 본인확인 기업은 이 의무를 지키는 것과 별개로 표시 없는 합성 얼굴을 스스로 가려낼 수 있어야 합니다. 대응 전에 아래 항목을 점검합니다.
.png)
.svg)
.svg)
