본문 저자: 자오쉬안

AI 기업의 저작권 리스크는 종종 모델이 입을 열기도 전에 이미 시작된다.

AI 창업자와 소통하다 보면, 많은 팀이 저작권 리스크가 존재한다는 사실 자체를 모르는 것이 아니다. 그들이 진짜 혼란스러워하는 것은 리스크가 정확히 어느 단계에서 발생하느냐이다. 어떤 이들은 회사가 단지 서드파티 기초 모델을 호출할 뿐이므로 책임은 업스트림(상위) 공급자에게 있다고 생각한다. 또 다른 이들은, 자료가 고객이나 공개 네트워크, 또는 유료 데이터베이스에서 왔기 때문에 출처 자체에는 문제가 없다고 본다. 나아가 RAG는 검색일 뿐이고, 모델이 원문을 대량으로 출력하지도 않으므로 저작권 침해에 해당하지 않을 것이라고 설명하는 팀도 있다.

이러한 주장이 완전히 틀린 것은 아니지만, 보통 데이터 사용 체인 속의 한 고리만 설명할 뿐이다. 회사가 투자 실사, 대형 고객 감사, 혹은 권리자의 컴플레인을 받는 단계에 이르면, 상대방이 진짜 따져 묻는 것은 대개 다음과 같다. 자료를 어디서 입수했는가? 누가 그 자료를 회사에 넘겨줄 권한을 가졌는가? 회사가 얻은 것은 열람 권한인가, 아니면 복제·슬라이싱·학습·장기 보관 권한인가? 이 자료들이 어느 지식 베이스나 모델 버전에 편입되었는가? 권리자가 사용 중단을 요구할 경우, 회사는 정확히 찾아내어 삭제할 수 있는가?

2026년 7월 20일, 미국 연방법원은 Anthropic과 일부 저자·출판사 등 권리자가 체결한 15억 달러 규모의 집단 소송 화해를 최종 승인했다. 먼저 짚고 넘어갈 점은, 이 15억 달러는 법원이 Anthropic에 지급을 명령한 침해 배상금도 아니고, AI 기업이 서적을 학습에 이용하는 것에 대한 단일 라이선스 비용도 아니라는 사실이다. 이 사건에서 진짜 주목할 점은, 법원이 데이터 취득, 데이터베이스 구축, 모델 학습 및 후속 이용을 분리하여 심사했다는 것이다. 한 단계에서 페어 유즈(공정 이용)를 주장할 수 있다고 해서, 데이터 사용 체인 전체가 자동으로 합법화되지는 않는다.

법원이 학습은 인정했는데, Anthropic은 왜 15억 달러를 지불했나

Anthropic 사건에서 법원은, 본 사건의 구체적 사실관계 하에서 서적을 모델 학습에 사용하는 것은 이용자에게 원서의 대체품을 제공하기 위함이 아니라, 언어 구조와 통계적 관계를 분석하기 위한 것이므로, 해당 학습은 변환적 성격을 가지며 공정 이용에 해당할 수 있다고 판단했다. 법원은 또한 좁은 의미의 디지털화 방식도 지지했다. 즉, 종이책을 구매한 후 디지털 파일로 스캔하고 해당 원본을 폐기하는 행위로서, 복제물 수량이 증가하지 않고 외부에 유출되지 않았다면, 이러한 형식 변환 역시 지지될 수 있다는 것이다.

그러나 불법 복제 사이트에서 대량의 전자책을 다운로드하여 영구적인 범용 데이터베이스에 저장하는 경우, 결론은 달라진다. 법원은 이러한 자료가 장래에 ‘학습에 사용될 수 있다’는 이유만으로, 프런트엔드의 불법 다운로드와 장기 보관 행위까지 일괄적으로 공정 이용으로 간주하는 것을 거부했다. 다시 말해, 학습 목적의 변환성이 데이터 취득 방식 자체의 문제를 자동으로 해결해 주지는 않는다.

그렇다고 해서 이 판결이 법원이 Anthropic에게 불법 복제 책임을 지라는 최종 판결을 내린 것과 동일한 의미는 아니다. 관련 책임과 배상은 원래 계속 심리가 필요했으며, 사건은 이후 화해로 종결되었다. Anthropic이 15억 달러를 지급하기로 한 것은, 더 정확히 말하면, 집단 소송, 법정 배상, 재판 및 항소심의 불확실성에 대한 집약된 가격을 지불한 것이지, 법원에 ‘AI 학습 비용’을 낸 것이 아니다.

이것은 요리사가 요리책의 구조와 어법을 연구하는 것과, 불법 사이트에서 요리책 전체를 다운로드하여 자신의 자료 저장고에 영구 보관하는 것은 같은 일이 아니라는 의미로 이해할 수 있다. 전자는 작품을 어떻게 배우고 사용할지 논하는 것이지만, 후자는 먼저 자료가 어디서 왔고, 왜 복제할 수 있으며, 왜 장기 보관할 수 있는지를 답해야 한다.

데이터 취득, 반입 복제, 클리닝 및 슬라이싱, 모델 학습 혹은 지식 베이스 저장, 검색 출력, 장기 보관은 하나의 체인 위에 있는 각기 다른 단계다. 그중 한 단계에 법적 근거가 있다고 해서 체인 전체에 문제가 없다고 추정해서는 안 된다.

그림 1｜AI 데이터 사용 체인 속 저작권 리스크 노드

서드파티 모델 사용이 데이터 책임까지 상위 업체로 넘어가는 것은 아니다

많은 AI 스타트업은 기초 모델을 직접 학습시키지 않고, API를 통해 서드파티 모델을 호출한 뒤 자체적으로 산업 지식 베이스, RAG 시스템, 에이전트 또는 수직형 애플리케이션을 구축한다. 이러한 모델은 기업이 기초 모델을 직접 학습할 때 발생하는 일부 리스크를 확실히 줄여 주지만, 기업이 데이터를 직접 처리하는 과정에서 생기는 책임까지 모델 공급자에게 함께 이전시켜 주지는 않는다.

기업은 먼저 ‘데이터’와 ‘저작물’을 구분해야 한다. 단순 사실, 수치, 공식 및 범용 정보는 저작권법상 저작물을 구성하지 않을 수 있지만, 동일한 데이터 묶음 속에 기사, 이미지, 보고서, 개인정보, 영업비밀, 플랫폼 데이터 권익 및 계약상 제한이 동시에 포함될 수 있다. 따라서 특정 데이터를 AI 시스템에 투입할 수 있는지를 판단할 때, ‘저작권이 있는가’만 물어서는 안 되고, 데이터가 구체적으로 무엇을 포함하는지, 기업이 어떤 방식으로 취득했는지, 현재의 용도가 허가 범위 내에 있는지를 계속해서 따져야 한다.

RAG 역시 저작권의 사각지대가 아니다. 하나의 산업 보고서가 RAG 시스템에 들어가려면, 일반적으로 다운로드, 형식 변환, 클리닝, 슬라이싱, 벡터화 및 지식 베이스 저장 과정을 거친다. 모델이 최종적으로 몇 줄의 요약만 출력하더라도, 앞선 기술적 처리 과정에서 복제가 발생할 수 있으며, 데이터베이스 계약이나 고객의 허가 범위를 넘어설 수도 있다. 반대로, 지식 베이스에 보호받는 저작물이 포함되어 있다고 해서 모든 검색 출력이 반드시 침해를 구성하는 것도 아니며, 구체적인 복제 방식, 출력 내용 및 허가 범위에 따라 개별적으로 판단해야 한다.

따라서, “우리는 단지 RAG를 할 뿐”이라는 말은 데이터 검토를 대체할 수 없으며, 서드파티 모델을 호출한다고 해서 기업이 직접 지식 베이스를 구축하고, 고객 자료를 처리하며, 제품을 지속적으로 개선하는 과정에서 발생하는 책임까지 대신 지는 것은 아니다.

중국 AI 기업이 가장 쉽게 오해하는 세 가지

데이터가 저작물에 해당하지 않는다고 해서 마음대로 사용할 수 있는 것은 아니다

일부 콘텐츠가 저작권법의 보호를 받지 않더라도, 개인정보, 영업비밀, 플랫폼 규칙, 데이터베이스 권익 및 계약상 의무와 관련될 수 있다. 기업은 특정 자료에 대해 ‘저작권이 없다’고 판단했다는 이유만으로 다른 제약이 존재하지 않는다고 바로 단정해서는 안 된다.

공개적으로 보거나 유료로 구매하는 것이 곧 학습에 사용할 수 있다는 의미는 아니다

공개적으로 접근할 수 있다는 것은 이용자가 특정 조건 하에서 콘텐츠를 접할 수 있다는 뜻일 뿐이지, 대량 다운로드, 복제, 슬라이싱, 미세 조정 또는 상업적 지식 베이스에 장기간 저장할 수 있다는 것을 당연히 의미하지는 않는다. 데이터베이스 계정을 구매하는 것은 열람실 입장권을 구매하는 것과 더 유사하다. 일반적으로는 조회와 열람을 허용하지만, 소장 자료 전체를 기업 지식 베이스로 옮겨오는 것은 허용하지 않을 수 있다.

《저작권법》 제29조는, 라이선스 계약에서 명시적으로 허용하지 않은 권리는 저작권자의 동의 없이 상대방이 이를 행사할 수 없도록 규정하고 있다. 따라서 ‘출처가 합법적’인 것과 ‘현재 용도에 대한 허가를 받는 것’은 별개의 문제다. 읽을 수 있는 것, 다운로드할 수 있는 것, 내부적으로 사용할 수 있는 것, 지식 베이스를 구축할 수 있는 것, 모델 학습에 사용할 수 있는 것은 본래 동일한 권리 세트가 아니다.

《생성형 인공지능 서비스 관리 잠정 방법》을 적용받지 않는다고 해서 다른 컴플라이언스 의무가 없는 것은 아니다

일부 사내 지식 베이스, 기업 자체 사용 도구 혹은 특정 B2B 서비스는 해당 방법의 직접적인 적용 대상이 아닐 수 있지만, 관련 사업은 여전히 저작권, 개인정보, 데이터 보안, 부정경쟁방지 및 고객 계약과 플랫폼 조항의 규제를 받는다.

공정 이용은 ‘혁신’만 보이면 찍고 들어갈 수 있는 만능 출입 카드가 아니다

Anthropic 사건에 적용된 것은 미국 저작권법으로, 중국에 그대로 적용할 수 없다. 《저작권법》 제24조는 공정 이용에 해당하는 구체적인 상황을 열거하고 있으며, 중국은 현재 상업적 AI 학습에 보편적으로 적용되는 텍스트 및 데이터 마이닝 예외 조항을 아직 마련하지 않았다.

이것이 모든 AI 학습이 반드시 침해를 구성한다는 의미는 아니다. 오히려 기업이 단순히 ‘학습에 혁신성이 있다’거나 ‘모델이 원문을 출력하지 않았다’, ‘사용이 원저작물을 대체하지 않는다’는 논리만으로 곧바로 공정 이용 결론을 내릴 수 없다는 의미다. 기술 처리 과정에서 저작물 복제가 발생했는지, 복제가 어느 단계에서 발생했는지, 모델, 지식 베이스 또는 최종 출력물이 식별 가능한 저작물 표현을 보존 및 표시하고 있는지, 그리고 관련 행위가 현행법이 규정한 구체적 사유에 포섭될 수 있는지를 구체적으로 판단해야 한다.

최고인민법원은 이미, 대규모 언어 모델 학습 말뭉치 사용 및 인공지능 생성 콘텐츠 침해 등 새로운 유형의 사건을 신중하게 심리해야 한다고 제안했다. 이는 국내의 판단 기준이 여전히 형성 과정에 있으며, 기업이 핵심 제품과 데이터 자산을 아직 불확실한 공정 이용 항변에 전적으로 기대어 구축해서는 안 된다는 점을 시사한다.

기존 데이터 처리 방법: 신규 유입을 통제한 후, 기존 데이터를 정리하라

이미 일정 기간 운영해 온 스타트업에게 가장 현실적인 문제는 흔히 ‘앞으로 어떻게 할 것인가’가 아니라, 과거에 이미 시스템에 유입된 데이터를 어떻게 할 것인가이다. 많은 기업이 제품을 당장 중단하고 지식 베이스를 비우고 다시 학습시키는 것은 불가능하므로, 거버넌스 방안은 법적 리스크, 기술 비용, 비즈니스 연속성을 동시에 고려해야 한다.

더 현실적인 순서는, 먼저 새로운 고위험 데이터의 유입을 중단하고, 그다음 과거에 쌓인 데이터를 전수 조사하는 것이다. 그리고 나서 출처, 계약 및 사용 기록을 보존한 뒤, 격리, 대체 또는 삭제 여부를 결정한다. 기업은 먼저 데이터 목록을 작성하여, 데이터의 출처, 취득 시기, 제공 주체, 계약 및 플랫폼 조항, 사용 목적, 저장 위치, 그리고 어느 지식 베이스, 미세 조정 작업 또는 모델 버전에 편입되었는지 기록할 수 있다.

고위험 데이터는 우선적으로 처리해야 한다. 여기에는 불법 복제 사이트나 출처를 알 수 없는 파일, 공급자가 권리 관계 증명을 제공할 수 없는 데이터, 명백히 고객 허가 범위를 초과하여 사용된 자료, 그리고 페이월, 크롤링 방지 조치 또는 접근 통제를 회피하여 취득한 콘텐츠가 포함된다. 이러한 행위는 저작권 및 계약적 리스크 외에도, 해당 조건을 충족할 경우 부정경쟁 책임을 발생시킬 수 있다.

개선 조치가 ‘계속 사용’과 ‘즉시 삭제’ 두 가지 선택지뿐인 것도 아니다. 기업은 먼저 신규 유입을 중단하고 접근을 제한하여 의심스러운 데이터를 운영 환경으로부터 격리시킨 후, 실제 상황에 따라 허가를 추가로 확보하거나, 컴플라이언스 데이터로 대체하거나, 지식 베이스를 재구축하고 재미세조정할 수 있다. 정말 삭제가 필요할 때는 관련 파일, 슬라이스 데이터, 벡터 기록 및 백업 사본을 찾아낼 수 있도록 하고, 완전한 내부 승인 및 개선 작업 기록을 보존해야 한다.

이러한 조치들이 과거의 행위를 자동으로 합법하게 만들어 주지는 않지만, 리스크가 계속 확대되는 것을 막을 수 있으며, 후속 투자, 고객 감사 또는 분쟁 처리 과정에서 회사가 문제를 식별하고, 영향을 제한하며, 복구를 완료할 수 있는 능력을 갖추고 있음을 입증해 줄 수 있다.

그림 2｜기존 데이터 정리를 위한 5단계 경로

신규 리스크 통제는 데이터 관리 대장 한 장으로 시작할 수 있다

자원이 제한된 스타트업에게 데이터 거버넌스는 처음부터 방대한 규정 준수 시스템을 구축할 필요가 없습니다. 가장 실용적인 출발점은 비즈니스, 기술, 법무 부서가 공동으로 관리하는 데이터 대장을 먼저 구축하는 것입니다.

각 데이터 배치마다 최소한 다음 사항을 기록해야 합니다: 제공자, 출처, 근거가 되는 계약 또는 플랫폼 약관, 허용된 사용 시나리오, 금지된 사용 시나리오, 포함된 제품·지식 베이스·모델 버전, 보관 기간, 그리고 민원 발생·라이선스 만료·협력 종료 시 데이터 반출 방법.

계약서에도 실제 기술 시나리오를 명시해야 합니다. ‘데이터 출처가 적법하다’거나 ‘공급자가 권리 침해가 없음을 보증한다’는 식의 포괄적 약정보다는, 데이터를 다운로드·복제·정제·포맷 변환·분할·지식 베이스 구축·검색·파인튜닝·평가·모델 최적화에 사용할 수 있는지 여부를 명확히 하고, 해당 제품, 사용 주체, 기간 및 제3자 권리 주장 처리 방식을 기재해야 합니다.

기업은 또한 해당 자료가 어느 지식 베이스나 모델 버전에 포함되었는지 파악하고, 개별적으로 격리·대체·삭제가 가능한지 알아야 합니다. 위치를 특정할 수 없는 데이터는 민원이 발생하면 손실을 막기 어렵고, 분리·반출이 불가능한 데이터는 투자 유치, 인수합병, 대형 고객 실사 시 불확실성을 크게 높입니다.

중국 AI 기업이 Anthropic 판결에서 가장 주목해야 할 점은 ‘훈련은 공정 이용에 해당한다’는 단편적인 결론이나 15억 달러라는 금액이 아니라, 법원이 데이터 사용의 각 단계를 분리하여 심사한 점입니다. 자료의 출처, 복제가 허용되는 이유, 어떤 목적으로 데이터베이스에 편입되었는지, 그리고 왜 장기 보관해야 하는지를 따져봤습니다.

공정 이용은 데이터 출처의 위법성을 면해주는 면책 스티커가 아니며, 출처가 적법하다고 해서 마음대로 훈련·검색·장기 보관할 수 있다는 의미도 아닙니다. 서드파티 모델을 호출하면 기초 훈련 리스크 일부를 줄일 수 있지만, 기업이 자체적으로 지식 베이스를 구축하고 고객 자료를 처리하며 제품을 최적화할 때 발생하는 책임까지 해결해 주지는 못합니다.

ZachXBT: Blockchain Bandit 공격자는 다중 서명 주소로 51,000 ETH(약 1억 7,220만 달러)를 수집했습니다.

인기 기사