AI 텍스트 워터마크의 구조｜왜 Claude는 넣고 ChatGPT는 아직인가

안녕하세요, 주식회사 TIMEWELL의 하마모토입니다.

요즘 「Claude가 스쿼시를 넣었다」는 이야기를 자주 듣습니다. 일본어 음성 입력이면 「스카시(워터마크)」가 「스쿼시」로 들립니다. 아마 전자 워터마크 이야기일 겁니다. 화면에는 아무것도 나오지 않습니다. 그런데 복사해서 다른 곳으로 가져가면, 기계만 읽을 수 있는 표시가 따라갑니다. 그런 구조가 2026년 8월부터 Claude의 새 모델에 들어가기 시작했습니다¹.

솔직히 말하면, 저도 처음에는 「이미지 워터마크와 같은 것을 글에도 겹쳤구나」라고 생각했습니다. 다릅니다. 글의 워터마크는 로고를 옅게 놓는 이야기가 아닙니다. 다음 한 단어를 고를 때 주사위 눈에, 아주 작은 편향을 심는 이야기입니다. 오늘은 그 편향이 어떻게 만들어지고, 왜 이제야 구현이 한꺼번에 움직였는지, 그리고 ChatGPT나 Grok이 같은 것을 아직 내지 않는 이유를, 연구 쪽 일차 정보도 짚어 가며 씁니다.

계기는 Claude. 배경은 EU의 투명성 의무

Anthropic의 헬프 센터는 꽤 분명하게 적혀 있습니다. 2026년 8월 2일 이후 유럽에 투입하는 Claude 신규 모델은, 첫날부터 기계 가독 표시를 붙인다. 생성 텍스트에는 임베디드 워터마크를, 대응하는 파일에는 디지털 서명 있는 출처 메타데이터를 붙인다. 대상은 Claude 본체만이 아니라 API, Claude Code, Claude Cowork, 클라우드 경유까지. 지역도 유럽 한정이 아니라, Claude가 제공되는 모든 곳입니다¹.

기존 모델에는 유예가 있습니다. 2026년 8월 2일보다 전에 시장에 나온 생성 AI는, 기계 가독 마킹 적용이 2026년 12월 2일까지 미뤄져 있습니다. Anthropic 자신도 옛 모델에 대한 후처리를 진행 중이라고 적었습니다¹.

왜 이 날짜인가. 답은 EU AI Act(규칙 2024/1689) 제50조입니다. 제50조(2)는 음성·이미지·영상·텍스트를 합성하는 AI 시스템 제공자에게, 출력을 기계 가독 형식으로 표시하고, 인공적으로 생성 또는 개변된 것으로 검출 가능하게 할 것을 요구합니다. 2026년 8월 2일부터 적용입니다². 오늘은 그 가운데 「표시하라」는 한 문장이, 기술 세계에서 무엇을 움직였는지에 좁혀 씁니다.

여기서 중요한 것은, 조문이 「워터마크를 넣어라」고 쓰지 않았다는 점입니다. 기술 중립입니다. 전문 133항은 워터마크, 메타데이터 식별자, 출처 증명을 위한 암호 기술, 로그, 지문 등을 예시합니다. 요구되는 것은 「기술적으로 실행 가능한 범위에서, 유효·상호운용 가능·견고하고 신뢰할 수 있을 것」입니다. 공격 내성의 완전성까지는 요구하지 않습니다².

2026년 6월 10일에는 유럽연합 집행위원회와 AI Office가 「AI 생성 콘텐츠의 투명성에 관한 행동규범」 최종판을 냈습니다. 7월 말까지 약 190개 조직이 서명했습니다. 제1부(제공자 측) 예로 이름이 나온 것은 Aleph Alpha, Anthropic, Cohere, Google, Meta, Microsoft, Mistral, OpenAI 등입니다. xAI 이름은 2026년 8월 12일 갱신 공식 목록에 없습니다³. 서명은 임의입니다. 제50조 의무는 서명하지 않아도 남습니다.

제재금 이야기도 조문을 나눠 읽어야 합니다. AI Act 전체의 상한은 3,500만 유로 또는 전 세계 매출의 7%이지만, 제50조 클래스의 의무는 제99조 중단, 1,500만 유로 또는 3% 쪽입니다⁴. 어느 쪽이든, 연구 주제였던 워터마크가 2026년 여름에 「출하 항목」으로 격상된 사정은 여기에 있습니다.

보이지 않는 워터마크는, 다음 한 단어의 고르는 법에 심는다

AI 생성문을 가려내는 방법은 크게 세 가지뿐입니다. Google DeepMind의 SynthID-Text 논문이 이 정리를 분명하게 적었습니다⁵.

첫째는 검색입니다. 서비스 측이 생성한 글을 전부 저장해 두고 나중에 대조한다. 확실하지만, 모든 사용자 대화를 남긴다는 전제라 프라이버시 비용이 큽니다. 둘째는 사후 검출입니다. 통계나 분류기로 「AI 같음」을 잽니다. DetectGPT 계열이 이쪽입니다. 생성 측에 손을 대지 않아도 되는 대신, 영어를 모어로 하지 않는 사람의 글을 AI로 오판하기 쉽다는 편향이 반복해서 보고되어 왔습니다. 모델이 능숙해질수록 인간과의 차도 줄어듭니다.

셋째가 워터마크입니다. 생성하는 순간에 신호를 심습니다. 개입이 필요한 대신, 검출은 통계로 설명할 수 있습니다. 모델 본체를 넘기지 않아도, 비밀 키와 토크나이저만 있으면 제삼자가 검증할 수 있는 설계도 있습니다.

2023년 Kirchenbauer 등의 논문이 지금의 실무 어휘를 만들었습니다. LLM은 다음 토큰(말의 조각)을 고를 때 어휘 전체에 확률을 붙입니다. 직전 토큰과 비밀 키의 해시를 난수 씨앗으로 써서, 어휘를 그린 리스트와 레드 리스트로 나눕니다. 그린 쪽 토큰의 점수를 조금만 끌어올린 다음 주사위를 굴립니다. 검출하는 쪽은 같은 키로 리스트를 재현하고, 그린이 몇 개 들어 있는지를 셉니다. 워터마크가 없으면 그린 비율은 대략 절반. 들어 있으면 유의하게 늘어납니다. 이 차를 z 통계량으로 낼 수 있어서, 「AI 같음 80%」가 아니라 「이것이 우연일 확률은 100만분의 1 미만」이라고 말할 수 있는 것이 설계의 장점입니다⁶.

비유를 하나. 글의 워터마크는 종이에 옅은 로고를 찍는 작업이 아닙니다. 카지노 주사위에, 눈에 보이지 않는 편향을 심는 작업입니다. 한 번으로는 모릅니다. 수십 번 굴리면 6이 너무 많다는 것을 알아챕니다. 검출기는 그 편향을 세고 있을 뿐입니다.

그래서 다음 말이 거의 하나로 정해지는 자리에는 묻을 수 없습니다. 논문이 드는 예가 알기 쉬운데, 「Barack」 다음은 거의 확실히 「Obama」입니다. 여기를 억지로 다른 말로 밀면 문장이 깨집니다. 워터마크는 모델의 「망설임」에 기생합니다. 망설임이 적을수록 신호는 약해집니다. 이 제약을 논문은 스파이크 엔트로피라는 지표로 정식화했습니다⁶. 코드나 고유명사 연속, 짧은 인사문이 약한 것은 이 때문입니다.

Google DeepMind의 SynthID-Text는 같은 난수원 위에서 샘플링 방식을 바꿉니다. 토너먼트 방식입니다. 어휘 안에서 후보를 여러 번 내고, 비밀 채점 함수로 승자 전을 반복합니다. 살아남은 말은 비밀 점수가 높은 경향이 있습니다. 검출 측은 그 평균을 봅니다. 표준 설정은 30층입니다. Gemini 프로덕션 트래픽 약 2,000만 건에서 썸즈업 비율 차는 0.01%, 지연 증가는 0.57%. 품질을 거의 떨어뜨리지 않고 대규모에 올릴 수 있다는 것이 이 논문의 본령입니다⁵.

Berkeley의 Mark My Words는 방식을 품질, 검출에 필요한 길이, 개변 내성 세 축으로 때립니다. 실무에서 자주 쓰는 온도 범위라면 Kirchenbauer형이 가장 강하고, 영어로 대략 40단어, 50~60토큰이면 검출할 수 있습니다. 반면 코드 생성에서는 정답률이 떨어지고 검출도 불안정해집니다. GPT-3.5로 바꿔 쓰면, 최선의 방식에서도 60% 이상 확률로 워터마크가 떨어진다는 숫자도 나옵니다⁷.

Anthropic이 채택한 알고리즘의 속은, 이 글을 쓰는 시점에는 공개되어 있지 않습니다. 그린 리스트인지 토너먼트인지, 다른 방식인지. 헬프는 「텍스트 자체에 짜 넣는다」「의미와 품질은 바꾸지 않는다」「복사해도 남는 경우가 있다」고만 적었습니다¹. 다만 2023년 이후 연구가 공유하는 골격은 같습니다. 특수 문자를 숨기는 것이 아니라, 말을 고르는 통계에 신호를 갖게 하는 것.

파일 쪽은 별개입니다. Claude가 출력하는 SVG, PNG, JPG 등에는 C2PA라는 업계 표준의 서명 메타데이터가 붙습니다¹. 이것은 텍스트 워터마크가 아니라, 파일 봉투에 출처를 쓰는 방식입니다. 이미지를 스크린샷하면 떨어지기 쉽습니다. 그래서 이층으로 한다는 것이 유럽 행동규범의 읽기이기도 합니다.

ChatGPT와 Grok이 아직 텍스트에 넣지 않는 이유

「ChatGPT는 안 넣었는데 Claude만 먼저 냈다」로 읽으면 선악의 이야기가 되기 쉽습니다. 저는 그렇게 보지 않습니다. 각사가 안고 있는 제약이 다르다는 것이, 일차 정보에서 읽을 수 있는 범위입니다.

OpenAI는 2024년 5월 공식 블로그에서, 텍스트 워터마크 기법을 이미 갖고 있다고 적었습니다. 8월 추기에서는 국소적인 바꿔 쓰기에는 강한 반면, 번역, 다른 생성 모델로 다시 쓰기, 단어 사이에 특수 문자를 끼웠다가 나중에 지우는 식의 전체 개변에는 약하다고 인정했습니다. 악의 있는 상대에게는 쉽게 벗겨진다는 평가. 또 하나, 영어를 모어로 하지 않는 사람이 작문 보조로 쓰는 경우를, 워터마크가 부당하게 낙인찍을 우려가 있다고도 적었습니다⁸. 우선순위는 당시, 허위 정보가 더 위험하다고 보였던 이미지와 음성이었습니다.

2026년 8월 시점의 헬프를 봐도 상황은 크게 바뀌지 않았습니다. 이미지는 C2PA 메타데이터와 SynthID 워터마크 양쪽. 음성은 SynthID. 텍스트는 「모든 모달리티로 넓히는 것이 목표」라고만 적혀 있고, 출하 서술은 없습니다⁹. 행동규범에는 서명했습니다³. 서명한 것과, 텍스트 워터마크를 프로덕션에 올린 것은 다른 이야기입니다. 제50조는 기술 중립이므로, 텍스트를 다른 기계 가독 수단으로 표시하는 길도 있습니다. OpenAI가 어떤 수단으로 제50조(2)를 채울 생각인지는 헬프만으로는 확정할 수 없습니다. 적어도 「텍스트 워터마크를 넣지 않는다 = 위법」이라고는 쓸 수 없습니다.

Google은 2024년 시점에 SynthID-Text를 Gemini에 올리고 논문까지 냈습니다⁵. 텍스트 워터마크의 프로덕션 운용은, 사실 Claude가 세계 최초가 아닙니다. 대규모로 올리고 숫자를 공개한 것은 Google이 더 빠릅니다. 2026년 8월에 화제가 된 것은, 대화형 어시스턴트로 일상에서 쓰이는 Claude가 채팅 본문 자체에 표시를 넣기 시작했다는, 체감 쪽이라고 생각합니다.

Grok 쪽은 공식 설명이 아직 얇습니다. 유럽연합 집행위원회 서명자 목록(2026년 8월 12일 갱신)에 xAI는 없습니다³. Anthropic처럼 「텍스트에 임베디드 워터마크를 넣는다」는 헬프도, 이 글을 쓰는 시점에는 보이지 않습니다. 여기서부터는 추측을 섞지 않는 편이 낫습니다. 미서명이라서 의무가 없는 것은 아닙니다. EU를 향해 생성 AI를 내면 제50조는 남습니다. 서명은 「적합을 보여 주기 쉬운 길」이지, 의무 자체의 면제가 아닙니다. xAI가 다른 수단으로 표시하고 있는지, 기존 모델의 유예 기간을 쓰고 있는지, 앞으로 낼 것인지. 공개 정보만으로는 가를 수 없습니다.

제 짐작으로는, 지체의 본체는 「기술이 미완성」이 아니라 「텍스트는 이미지보다 거짓말을 하기 어렵다」는 점입니다. 이미지 워터마크는 화소에 신호를 흩뿌릴 수 있습니다. 텍스트는 말의 선택지 자체가 좁고, 바꿔 쓰기 한 번에 통계가 무너집니다. OpenAI가 2024년에 쓴 우려는, 2024년 Mark My Words나 워터마크 절취 논문과 방향이 같습니다. Jovanović 등은 공개 API를 제한된 횟수만 두드려도 비밀 워터마크 규칙을 근사할 수 있고, 비용은 50달러 미만, 제거 성공률은 80% 초과까지 뛴다고 보였습니다¹⁰. Zhang 등은 자연스러운 가정 아래에서는 강한 의미의 워터마크는 불가능하다고 증명했습니다¹¹.

그래서 「먼저 낸 회사가 옳고, 내지 않은 회사가 태만하다」는 구도는 저는 잡지 않습니다. 먼저 낸 회사는 규제 달력에 맞추고, 검출기와 한계 설명까지 세트로 냈습니다. 내지 않은 회사는, 깨지는 방식을 알고 나서 다른 수단을 찾고 있을 가능성이 있습니다. 둘 다, 현시점에서는 설명으로 성립합니다.

워터마크가 사라지는 곳, 듣지 않는 곳

Anthropic 자신이 한계를 먼저 적었습니다. 검출되어도 Claude가 원저자라는 뜻은 아닙니다. 교정, 번역, 요약, 파일 변환만 맡겨도 표시가 붙습니다. 검출되지 않아도 AI 생성이 아니라는 뜻은 아닙니다. 옛 모델, 대폭 편집, 번역, 다른 글과의 혼합, 너무 짧은 문장, 파일 메타데이터 박리. 모두 「표시 없음」이 됩니다¹.

연구 쪽 지도와 겹치면, 현장에서 듣지 않는 곳은 꽤 분명합니다. 짧은 글. 코드. 고유명사 연속. 구조화된 JSON. 작심한 공격자의 바꿔 쓰기. 오픈 웨이트 모델을 로컬에서 돌린 출력. 후자에는 원리적으로 제공자의 워터마크를 강제할 수단이 없습니다. SynthID-Text 논문 자신이 이 한계를 인정합니다⁵.

반대로 듣는 곳도 있습니다. 가벼운 복사 붙여넣기 억지. 플랫폼 쪽의 대규모 자동 분류. 자사가 자사 모델 출력을 나중에 줍는 출처 관리. 규제 대응으로서의 「기계 가독 마킹」. 숙제를 편하게 하려는 학생이 번역하고 다른 모델로 다시 쓰고 특수 문자를 끼우는 손수를 밟을 동기는 얇다, 가 Mark My Words의 정리입니다⁷. 완전한 방어는 아닙니다. 마찰로는 작동합니다.

워터마크 절취 논문이 까다로운 것은, 제거와 사칭이 동시에 가능해진다는 점입니다. 공격자가 혐오 발언에 「그 회사의 워터마크」를 붙여 유통시키면, 제공자에게 책임이 잘못 귀속됩니다¹⁰. 워터마크는 본인 확인이 아닙니다. 안전벨트에 가깝다고 저는 생각합니다. 사고를 막는 장치는 아닙니다. 없으면 피해가 확실히 커지는 종류의 장치일 겁니다.

한국어나 일본어 글에서는, 영어 연구 숫자를 그대로 믿지 않는 편이 낫다고도 느낍니다. 토큰화 단위가 다릅니다. 조사 하나로 끊김이 바뀝니다. 50~60토큰이면 검출할 수 있다는 영어 숫자가, 한국어로 몇 글자에 해당하는지는 공개 벤치마크가 아직 얇습니다. Claude의 검출기가 나오기 전까지, 현장은 「긴 본문일수록 남기 쉽고, 짧은 회신일수록 사라진다」 정도의 입자로 보는 것이 성실하다고 생각합니다.

현장이 가져야 할 기대값은 「안전벨트」

그렇다면 기업 쪽은 어떻게 자세를 잡을까. 저라면, 워터마크 단체를 감사의 근거로 삼지 않는 것부터 시작합니다. 채용 서류, 논문, 보도자료, 고객용 문서. 어느 것도 「검출기가 반응했다 / 하지 않았다」만으로 인사나 법무의 결론을 내서는 안 됩니다. 짧은 글은 반응하지 않습니다. 교정만 해도 반응합니다. 둘 다 공식에 적혀 있는 일입니다¹.

대신 가져야 할 것은 이층입니다. 텍스트 쪽의 통계적 표시와, 파일 쪽의 서명 메타데이터(C2PA). 유럽 행동규범이 미는 것도 이 겹침입니다. 이미지나 자료를 사외로 내는 경로에서는, 스크린샷이나 다시 저장으로 메타데이터가 떨어지는지를 먼저 보는 편이 낫습니다. 텍스트는 어느 모델로, 언제, 어느 프롬프트로 냈는지를 사내 로그로 남깁니다. 워터마크는 그 보조입니다. 주기록이 아닙니다.

생성 AI 글이 「AI 같다」는 느낌으로 판단하는 시대는 이미 끝나 가고 있습니다. 능숙한 모델일수록 인간과의 차는 줄어듭니다. 사후 검출기의 오판이 영어 비모어 화자를 다치게 해 온 역사도 있습니다. 그래서 제공자 측이 생성 시에 표시를 넣는 쪽으로 움직였습니다. 그 판단 자체는 타당하다고 생각합니다. 다만 표시의 의미를 과대평가하면 다음 사고가 납니다. 워터마크가 있는 글을 「나쁜 글」로 다루는 공기입니다. OpenAI가 2024년에 두려워한 것은 바로 거기입니다⁸.

개인적으로, 2026년 후반의 초점은 「누가 먼저 워터마크를 넣었는가」가 아니라 「검출 결과를 누가, 무엇에 써도 되는가」의 합의 형성이라고 생각합니다. 대학, 채용, 보도, 플랫폼. 용도마다 위양성 비용이 다릅니다. 행동규범 태스크포스가 2026년 9월부터 움직이기 시작한다고 집행위원회는 적었습니다³. 거기에 실무의 말을 올리는 쪽에, 일본과 한국의 기업도 서는 편이 낫습니다.

생성 AI 출력을 사내에서 어떻게 다루고, 어디까지 인간이 책임을 질 것인가. 그 설계가 워터마크보다 먼저 필요한 일입니다. TIMEWELL의 WARP에서는 모델 선정이나 프롬프트 이야기만이 아니라, 출력의 출처를 남기는 운용, 사내 규칙, 인력 쪽 리터러시까지 포함해 동행합니다. 「검출기를 넣으면 끝」인 이야기가 아니라고 느끼는 분은, 개별 상담부터 이야기해 주십시오.

보이지 않는 표시는 앞으로 평범한 인프라가 됩니다. 평범해진 뒤에 듣는 것은, 표시 자체보다 표시를 어떻게 읽을지의 작법 쪽입니다.

참고문헌

Footnotes

1. Anthropic, How Claude marks AI-generated content（Claude Help Center） ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

2. Regulation (EU) 2024/1689, Article 50 / Recital 133 ↩ ↩²

3. European Commission, Strong backing for the Code of Practice on Transparency of AI-generated Content（2026-07-31 공표, 2026-08-12 갱신） ↩ ↩² ↩³ ↩⁴

4. Regulation (EU) 2024/1689, Article 99 ↩

5. Dathathri, S. et al. (2024). Scalable watermarking for identifying large language model outputs. Nature 634, 818–823. DOI: 10.1038/s41586-024-08025-4 ↩ ↩² ↩³ ↩⁴

6. Kirchenbauer, J. et al. (2023). A Watermark for Large Language Models. ICML 2023. arXiv:2301.10226 ↩ ↩²

7. Piet, J. et al. (2025). Mark My Words: Analyzing and Evaluating Language Model Watermarks. IEEE SaTML 2025. arXiv:2312.00273 ↩ ↩²

8. OpenAI, Understanding the source of what we see and hear online（2024-05-07, 2024-08-04 갱신） ↩ ↩²

9. OpenAI Help, Provenance signals (Content Credentials, SynthID) in OpenAI-generated content ↩

10. Jovanović, N., Staab, R., & Vechev, M. (2024). Watermark Stealing in Large Language Models. ICML 2024. arXiv:2402.19361 ↩ ↩²

11. Zhang, H. et al. (2024). Watermarks in the Sand: Impossibility of Strong Watermarking for Generative Models. ICML 2024. arXiv:2311.04378 ↩