클로드 워터마크는 AI가 쓴 글을 증명할 수 있을까?
어떻게 숨겨지고, 어디서 깨지며, 왜 EU가 면제한 번역에 오히려 강하게 남는가
지금 AI 규제에서 가장 이상한 장면은 거대한 딥페이크 사건도, 선거 조작도 아니다.
번역이다.
2026년 7월 20일, 유럽연합 집행위원회는 AI Act Article 50의 투명성 의무에 관한 최종 가이드라인을 발표했다. 이 문서는 AI가 만든 콘텐츠 가운데 무엇을 기계가 읽을 수 있는 방식으로 표시해야 하는지 구체적으로 설명한다. 흥미로운 것은 번역이다.
가이드라인은 AI가 생성한 번역을 Article 50(2)의 마킹 의무가 적용되지 않는 사례로 분류한다. 반면 요약이나 의미·구조를 바꾸는 재작성은 다르게 취급한다. 공익적 정보를 담은 텍스트에 적용되는 Article 50(4)의 가시적 표시 문제에서도 비슷한 기준이 나온다. 사람이 쓴 글을 AI가 번역하고, 그 번역본을 다시 인간이 실질적으로 검토한 경우는 예외의 구체적인 사례로 제시된다.
법이 번역을 중요하지 않게 본다는 뜻은 아니다.
오히려 반대다.
번역본 자체에 대해 적절한 인간 검토와 편집 책임이 있어야 한다. 법이 보고 있는 것은 단순히 “AI가 단어를 골랐는가”가 아니다. 의미가 실질적으로 바뀌었는가, 인간이 내용을 검토했는가, 누가 최종적으로 책임지는가를 본다.
그런데 Claude의 워터마크는 전혀 다른 것을 본다.
Anthropic은 8월 14일 「How Claude’s text watermark works」라는 글에서 아주 명확하게 설명했다.
Claude가 번역한 글에는 워터마크가 들어간다.
이유는 간단하다.
번역에서는 최종 문장의 모든 단어를 Claude가 선택하기 때문이다.
법은 어떤 경우의 번역을 표시 의무에서 제외한다.
Claude는 바로 그 번역에 강한 생성 흔적을 남길 수 있다.
이것은 법의 모순은 아니다. AI Act는 최소한의 법적 의무를 정할 뿐이고, Anthropic은 그보다 넓은 범위에서 워터마크를 적용할 수 있다. 실제로 Anthropic은 지역별로 지속적으로 구분 적용할 방법이 아직 없어 새 워터마크를 출시 시점에는 전 세계에 적용한다고 설명한다.
하지만 둘 사이의 어긋남은 중요한 것을 드러낸다.
법과 워터마크가 같은 글에서 서로 다른 변수를 보고 있다는 사실이다.
워터마크는 글 뒤에 몰래 붙이는 꼬리표가 아니다
Claude의 새로운 텍스트 워터마크는 숨은 문자도, 파일에 붙는 메타데이터도 아니다.
Anthropic은 Claude가 Google DeepMind의 SynthID-Text 계열을 사용한다고 공식 확인했다. 기본 원리는 생성 순간에 작동한다. 언어모델은 다음 단어를 하나씩 선택한다. 어떤 순간에는 정답이 사실상 하나뿐이다. 그러나 많은 문장에서는 뜻을 거의 바꾸지 않으면서 선택할 수 있는 표현이 여러 개 존재한다.
“흐린 날이었다.”
“잿빛 하늘이었다.”
“구름이 낮게 깔렸다.”
문맥에 따라 몇 가지 표현이 모두 자연스러울 수 있다.
Claude의 워터마크는 바로 이런 선택의 여백을 이용한다. 비밀키와 앞선 문맥을 이용해 무작위 선택의 출처를 바꾸고, 수백 번의 작은 선택에 통계적 패턴을 남긴다. 사람은 읽어도 알 수 없다. 하지만 같은 키를 가진 검출기는 긴 문장에 축적된 선택 패턴을 보고 Claude가 관여했을 가능성을 계산할 수 있다.
그래서 워터마크는 모든 문장에서 똑같이 강하지 않다.
사실을 정확하게 말해야 하는 문장에서는 선택지가 줄어든다.
코드에서도 그렇다.
문법과 구두점 몇 곳만 고치는 proofreading에서는 Claude가 실제로 새로 고르는 단어 자체가 적다. Anthropic은 이런 경우 워터마크가 검출되지 않을 수도 있다고 설명한다.
반대로 번역에서는 다르다.
생각과 논증은 인간에게서 왔더라도 목표 언어의 거의 모든 표현을 Claude가 다시 선택한다.
Anthropic이 직접 밝힌 대로, 이 경우 워터마크가 붙는다.
여기서 하나의 구분이 필요해진다.
워터마크의 강도는 대략 모델이 얼마나 많은 언어적 선택을 했는가, 그리고 그 선택에 얼마나 많은 표현의 자유가 있었는가에 영향을 받는다.
저자성은 그렇지 않다.
한국어로 논문을 쓴 연구자는 영어 논문의 저자인가
한 연구자가 있다고 하자.
한국어로 5,000단어의 논문을 직접 썼다.
연구 질문을 세웠다.
이론을 만들었다.
데이터를 분석했다.
어떤 결과를 받아들이고 어떤 해석을 버릴지 결정했다.
논문의 구조와 결론까지 완성했다.
그런 다음 Claude에게 영어 번역을 맡겼다.
최종 영어 문장의 단어 대부분은 Claude가 선택했을 것이다.
그리고 그 영어 원고에는 Claude의 워터마크가 강하게 남을 수 있다.
그렇다면 지적 기여도 Claude의 것이 되는가.
학술출판은 이미 연구 기여를 그렇게 단순하게 보지 않는다.
CRediT taxonomy는 연구 기여를 Conceptualization, Methodology, Formal Analysis, Writing – Original Draft, Writing – Review & Editing 등 14개의 역할로 구분한다. CRediT 자체가 법적 저자 자격을 정하는 제도는 아니지만, 적어도 현대 연구가 “누가 몇 개의 단어를 입력했는가”만으로 이루어지지 않는다는 사실은 잘 보여준다.
여기에 워터마크의 중요한 한계가 있다.
워터마크가 강해지는 방향과 인간의 지적 기여가 커지는 방향은 같은 축이 아닐 수 있다.
번역은 그 극단적인 사례다.
Claude가 선택한 단어의 비중은 매우 높아진다.
그러나 연구 질문, 개념, 방법, 분석, 논증과 책임의 상당 부분은 그대로 인간에게 남아 있을 수 있다.
반대 상황도 생각할 수 있다.
AI가 초기 논증과 구조에 상당히 관여했지만 이후 인간이 표현을 전면적으로 다시 구성했다면 최초 모델의 워터마크는 약해지거나 사라질 수 있다. Anthropic 역시 모든 단어가 다시 쓰이는 수준의 완전한 rewrite에서는 워터마크가 제거된다고 인정한다.
따라서 앞으로 검증해야 할 질문은 단순하지 않다.
“워터마크가 정확한가?”
그보다 먼저 물어야 한다.
워터마크 강도와 인간의 지적 기여 사이에는 실제로 어떤 관계가 있는가?
지금 가장 중요하게 보는 가설은 이것이다.
두 변수는 단조롭게 함께 움직이지 않을 가능성이 있다.
어떤 구간에서는 거의 독립적일 수 있다.
번역과 같은 조건에서는 오히려 서로 반대 방향으로 움직이는 것처럼 보일 수도 있다.
이것은 철학적 말장난이 아니다.
실험할 수 있는 명제다.
워터마크는 지울 수 있는가
가능하다.
하지만 여기에서 흔히 논의가 잘못된 방향으로 간다.
워터마크를 없애는 방법을 목록으로 만드는 것은 어렵지 않다. 더 중요한 질문은 왜 동일하거나 유사한 의미를 유지하면서 생성 흔적만 달라질 수 있는가이다.
이미 상당한 공격 연구가 존재한다.
Jovanović, Staab, Vechev는 ICML 2024에서 여러 LLM 워터마킹 방식에 대해 워터마크를 약화시키는 scrubbing뿐 아니라, 원래 없던 워터마크를 만들어내는 spoofing까지 가능하다는 것을 보였다. 연구 대상이 현재 Claude의 구체적 구현은 아니지만, 비밀키 기반 워터마크라고 해서 생성 provenance가 곧 불변의 증거가 되는 것은 아니라는 사실을 보여준다.
2025년 Cheng 등의 연구는 최근 일곱 가지 텍스트 워터마킹 방식에 대한 rewriting 공격에서 매우 높은 성공률을 보고했다. 역시 Claude의 현재 구현을 직접 파훼한 결과는 아니다. 중요한 것은 더 일반적인 원리다. 워터마크의 강인성은 절대적인 성질이 아니다. 어떤 변형에 대해 강한가라는 조건이 붙는다.
더 심각한 것은 제거보다 위조다.
워터마크가 있는 AI 글을 인간 글처럼 보이게 만드는 것만 문제라면 false negative의 문제다.
하지만 인간 글이나 다른 출처의 텍스트에 특정 생성기의 흔적처럼 보이는 신호를 만들어낼 수 있다면 문제는 달라진다.
그때 provenance 신호는 단순히 불완전한 증거가 아니다.
경우에 따라 적극적으로 오도될 수도 있는 증거가 된다.
그렇다고 워터마크가 무용하다는 뜻은 아니다.
오히려 그 반대다.
워터마크가 무엇을 증명할 수 있는지 정확하게 제한해야 한다는 뜻이다.
정확한 워터마크도 나쁜 증거일 수 있다
Anthropic은 이 지점을 상당히 정직하게 적어 놓았다.
Claude watermark가 검출된다는 것은 Claude가 어느 시점에 그 콘텐츠의 작성 또는 처리에 관여했을 가능성을 의미한다.
그것은 “Claude가 이 글을 썼다”와 “Claude가 이 글을 크게 편집했다”를 구별하지 못한다.
그리고 ownership이나 authorship에 관해서는 아무것도 결정하지 않는다.
중요한 차이다.
기술은 완벽하게 작동하면서도 우리가 묻는 질문에는 틀린 증거가 될 수 있다.
체온계가 39도를 정확하게 측정했다고 해서 그 숫자만으로 질병의 원인을 확정할 수 없는 것과 비슷하다.
측정 오류와 추론 오류는 다르다.
워터마크 논쟁에서도 두 개를 구분해야 한다.
검출기가 잘못 측정하는 문제.
그리고
검출기는 정확하게 측정했는데 인간이 그 결과에서 너무 많은 것을 추론하는 문제.
후자가 앞으로 훨씬 커질 수 있다.
Floridi가 최근 출판에서 provenance와 authorship을 구분하며 detection보다 answerability를 중심에 놓자고 주장한 이유도 여기에 있다. Susser, Thickstun, Vidan 역시 워터마크를 개별 사람을 판정하는 forensic oracle보다 정보 생태계를 이해하기 위한 제한된 도구로 보자고 제안한다.
그러므로 “워터마크는 저자를 판정할 수 없다”는 말 자체는 이제 새로운 주장이 아니다.
그다음이 중요하다.
사람들이 워터마크를 의식하기 시작하면 무슨 일이 생기는가
여기서 문제의 성질이 바뀐다.
어떤 대학이 공지합니다.
“워터마크가 검출된 논문은 추가 심사를 하겠습니다.”
어떤 출판사가 말한다.
“AI provenance가 일정 수준 이상이면 저자에게 소명을 요구하겠습니다.”
어떤 기업이 지원자의 글을 같은 방식으로 검사하기 시작한다.
그 순간 워터마크는 더 이상 이미 존재하는 세계를 관찰하는 장치가 아니다.
사람들은 그 규칙을 안다.
그리고 행동을 바꾼다.
어떤 모델을 사용할지 바꾼다.
어느 단계에서 AI를 사용할지 바꾼다.
번역, 교정, 초안, 재작성 사이의 선택도 달라진다.
즉 측정기준이 작성 행위 안으로 들어온다.
머신러닝에서는 이와 비슷한 문제를 performative prediction이라고 부른다. Perdomo와 동료들은 예측이 실제 의사결정에 사용되기 시작하면 사람들이 그 예측에 반응하고, 결국 예측하려던 데이터의 분포 자체가 변할 수 있음을 formalize했다.
워터마크에서도 같은 질문이 생긴다.
제도가 워터마크를 평가기준으로 사용하기 전의
“AI 사용과 워터마크의 관계”
와
그 기준을 모든 작성자가 알고 난 뒤의
“AI 사용과 워터마크의 관계”
는 같은가.
같다고 보장할 이유가 없다.
이 문제에서 가장 주목하는 지점도 여기다.
워터마크의 증거가치는 워터마크를 사용하는 제도와 독립적이지 않을 수 있다.
판정 기준이 배포되면 행동이 변한다.
행동이 변하면 관찰되는 신호의 분포가 변한다.
그 결과 처음 측정했던 detector performance가 실제 제도 환경에서도 같은 의미를 유지한다고 장담하기 어려워진다.
역설적으로 말하면,
워터마크를 저자성 단속에 강하게 사용할수록, 워터마크와 저자성 사이의 관계 자체가 더 불안정해질 수도 있다.
이건 앞으로 실험해야 할 문제다.
유럽연합도 텍스트 워터마크의 한계를 알고 있다
EU의 최종 Code of Practice를 읽어보면 흥미로운 숫자가 하나 등장한다.
200 tokens.
현재 기술 수준에서 200토큰 미만의 자유형 텍스트는 안정적으로 워터마크하기 어려운 “very short text”로 취급한다. 200토큰을 넘는 자유형 텍스트에는 워터마크를 적용하도록 하지만, 긴 텍스트보다 신뢰도가 낮을 수 있다는 사실도 명시한다.
더 중요한 조항이 있다.
자유형 텍스트 watermark detector의 reliability와 robustness가 낮아 오도하거나 낮은 신뢰도의 결과를 낼 수 있는 경우, 검출 결과 접근을 verified expert users에게 제한할 수 있다.
그 대상에는 규제기관뿐 아니라 언론, fact-checker, 독립 연구자, 교육·연구기관, 시민사회가 포함된다.
말하자면 EU의 규제 설계 자체가 이미 알고 있다.
텍스트 워터마크 detector는 아무 숫자나 보여주고 누구에게나 “판정하십시오”라고 넘길 종류의 계기가 아니다.
그래서 detector를 공개하느냐 마느냐보다 더 중요한 질문이 있다고 본다.
그 숫자에 어떤 제도적 지위를 줄 것인가.
감정 AI에서 저자성 AI로
오랫동안 감정 AI를 연구하며 붙잡아온 질문이 하나 있다.
AI가 사람의 감정을 얼마나 정확하게 읽는가만으로는 충분하지 않다는 것이다.
시스템의 판단이 정확하더라도 그 해석이 학교, 상담, 조직이나 공공기관에서 인간 자신의 설명보다 먼저 효력을 갖기 시작하면, 정확도의 문제와 별개의 권한 문제가 생긴다.
이것을 감정의 해석권과 interpretive authority의 문제로 연구해왔다.
워터마크에서도 비슷한 구조가 나타난다.
그러나 중요한 차이가 있다.
감정의 경우 당사자는 그 경험을 살아내는 사람이라는 특별한 지위를 가진다.
저자성에서는 “내가 썼다”는 자기진술만으로 사실이 확정되지 않는다. 대필도 가능하고 공동작업도 있으며, 기여는 여러 단계에 걸쳐 나뉠 수 있다.
따라서 저자의 말을 무조건 믿자는 이야기가 아니다.
오히려 반대다.
기계의 신호도, 저자의 진술도, 버전 기록도, 실제 기여 내역도 각자의 증거적 지위를 가져야 한다.
워터마크에는 증거의 지위가 필요하다. 판결의 지위가 아니라.
그렇다면 어떻게 써야 하는가
워터마크를 없앨 필요는 없다.
잘 쓰면 매우 유용한 provenance technology가 될 수 있다.
다만 세 가지 경계를 세워야 한다.
첫째, 워터마크를 기관의 저자성 판정에 사용한다면 검출률 하나만 공개해서는 안 된다. 텍스트 길이, 표현의 자유도, 일반적인 편집·번역 조건에서의 robustness, confidence calibration, spoofing 가능성을 함께 제시해야 한다.
둘째, watermark detection 하나만으로 입증책임을 뒤집어서는 안 된다. “마크가 검출됐으니 이제 인간이 자신이 저자임을 증명하라”는 구조는 provenance signal이 실제 측정하는 범위를 넘어선다.
셋째가 가장 중요하다.
detector는 배포한 뒤 다시 검증해야 한다.
사람들이 판정 기준을 모를 때의 성능과, 대학·출판사·기업이 그 기준을 실제 평가에 사용한 뒤의 성능은 다를 수 있기 때문이다.
우리는 AI detector를 정적인 온도계처럼 생각하는 경향이 있다.
그러나 평가 대상이 인간이라면 온도계가 공개되는 순간 사람은 온도계를 보기 시작한다.
그때부터 측정은 행동의 일부가 된다.
그래서 직접 시험하려 한다
Anthropic은 Claude watermark detector API를 곧 제공할 예정이라고 밝혔다. 구체적 구현은 아직 결정 중이다.
API가 연구 접근이 가능한 형태로 제공되면 먼저 확인하고 싶은 것은 “Claude를 잡아낼 수 있는가”가 아니다.
그건 Anthropic도 이미 시험하고 있을 것이다.
보고 싶은 것은 다른 관계다.
실제 인간의 지적 기여가 달라질 때 watermark score는 함께 움직이는가.
동일한 연구내용을 두고 인간이 Conceptualization과 Methodology, 원 논증을 통제한 조건과 모델이 substantive structure에 더 깊게 관여한 조건을 나눈다.
그리고 Claude가 최종 언어 표현을 거의 하지 않는 조건과, 충실한 번역처럼 최종 언어 표현을 거의 전부 담당하는 조건을 교차한다.
텍스트 길이는 맞춘다.
모든 조건은 200토큰을 넘긴다.
기여의 평가는 임의의 새 척도를 만들기보다 학술출판에서 이미 쓰이는 CRediT role을 이용한다.
그 뒤 watermark signal이 정말 지적 기여를 따라 움직이는지, 아니면 주로 표면적 언어 실현의 정도를 따라 움직이는지 본다.
그리고 두 번째 실험에서는 사람들에게 detector가 제도적으로 사용된다는 조건을 알려준 뒤 어떤 AI workflow를 선택하는지 본다.
판정규칙이 알려지는 순간 행동의 분포가 달라지는지를 보는 것이다.
결과는 아직 없다.
그래서 지금은 결론 대신 가설로 남겨둔다.
하지만 이것은 검증할 수 있다.
그리고 검증해야 한다.
완벽한 워터마크를 상상해보자
마지막으로 가장 강한 경우를 생각해보자.
파훼할 수 없는 워터마크가 만들어졌다.
오탐도 없다.
Claude가 어느 문장에 관여했는지 100퍼센트 정확하게 알아낸다.
그렇다면 저자성 문제는 해결되는가.
아니다.
누가 질문을 만들었는지,
누가 논증을 세웠는지,
누가 자료를 해석했는지,
누가 어떤 문장을 받아들이고 버렸는지,
누가 최종 주장에 책임지는지는 여전히 남는다.
완벽한 워터마크는 완벽한 provenance signal일 수 있다.
그렇다고 완벽한 authorship detector가 되는 것은 아니다.
여기에 지금 논쟁의 핵심이 있다.
우리가 경계해야 할 것은 실패한 워터마크만이 아니다.
성공한 워터마크를 잘못 읽는 사회다.
정확한 측정이 잘못된 인간 질문을 향하는 순간, 정확성은 더 이상 진실의 동의어가 아니다.
주요 근거
Anthropic. “How Claude’s text watermark works.” 14 August 2026. Claude가 SynthID-Text 계열을 사용하며, 번역에는 워터마크가 적용되고 proofreading·짧은 텍스트·제약적인 문장에서는 검출력이 약해질 수 있음을 공식 설명한다. 또한 watermark가 ownership이나 authorship을 판단하지 않는다고 명시한다.
European Commission. Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of the AI Act, C(2026) 5054 final, 20 July 2026. Article 50 투명성 의무의 적용범위와 예외를 설명한다.
European Commission. Code of Practice on Transparency of AI-generated Content, 2026. 자유형 텍스트의 200-token 기준과 text-watermark detector의 reliability·robustness 한계, verified expert access 구조를 규정한다.
Dathathri, S. et al. “Scalable watermarking for identifying large language model outputs.” Nature 634, 818–823 (2024). Claude가 채택한 SynthID-Text 계열의 기반 연구.
Jovanović, N., Staab, R. & Vechev, M. “Watermark Stealing in Large Language Models.” ICML 2024. 워터마크 scrubbing과 spoofing 가능성을 실증한다.
Cheng, Y. et al. “Revealing Weaknesses in Text Watermarking Through Self-Information Rewrite Attacks.” 2025. 여러 최신 watermark scheme의 transformation robustness 한계를 분석한다.
Floridi, L. “AI and the Future of Publishing: Not Detection, but Answerability.” Philosophy & Technology 39, 129 (2026). DOI 10.1007/s13347-026-01148-8.
Susser, D., Thickstun, J. & Vidan, G. “From Forensics to Ecosystems: Rethinking Watermarks for Generative AI Oversight.” 2026. 워터마크를 개별 판정도구보다 정보 생태계의 governance instrument로 재해석한다.
Perdomo, J. et al. “Performative Prediction.” ICML 2020. 의사결정에 사용되는 예측이 행동과 데이터 생성분포 자체를 변화시키는 문제를 formalize한다.
CRediT Contributor Role Taxonomy. 연구 기여를 Conceptualization, Methodology, Writing – Original Draft, Writing – Review & Editing 등을 포함한 14개 역할로 구분한다.