C2PA란? 콘텐츠 자격 증명(Content Credentials)의 구조·확인 방법·디지털 워터마크와의 차이

인터넷에서 본 사진이 정말 카메라로 찍은 것인지, AI로 만들어지거나 가공된 것인지. 이런 의문에 '만들어진 경위의 기록'으로 답하려는 것이 C2PA입니다. ChatGPT로 만든 이미지나 Google Pixel로 찍은 사진에도 이 정보가 붙게 되었고, SNS에서도 라벨로 표시되기 시작했습니다. 이 글에서는 C2PA의 구조, 지원 서비스, 확인 방법, 한계, SynthID 같은 디지털 워터마크와의 차이를 2026년 10월 9일 기준 공식 정보를 바탕으로 정리합니다.

C2PA란

C2PA(Coalition for Content Provenance and Authenticity)는 디지털 콘텐츠의 이력(어디에서 왔는지)과 진정성을 보여 주기 위한 기술 표준을 만드는 단체이자, 그 표준 규격의 이름입니다. 2021년 2월 Adobe, Arm, BBC, Intel, Microsoft, Truepic이 설립했습니다.

C2PA 규격에 따라 붙는 이력 정보는 일반적으로 Content Credentials(콘텐츠 자격 증명)라고 불립니다. 식품의 성분 표시처럼, 콘텐츠가 '언제, 누구에 의해, 어떤 도구로 만들어지고 어떻게 편집되었는지'를 확인할 수 있게 하는 것입니다.

2026년 10월 기준 C2PA 운영위원회에는 Adobe, Amazon, BBC, Google, Meta, Microsoft, OpenAI, Publicis Groupe, Sony, TikTok, Truepic의 11개사가 이름을 올리고 있습니다. 일반 회원으로는 캐논, 니콘, 후지필름, NHK, NTT 도코모 등 일본 기업·단체도 참여하고 있습니다.

C2PA와 CAI의 관계

C2PA와 자주 함께 등장하는 것이 CAI(Content Authenticity Initiative)입니다. CAI는 2019년 Adobe가 시작한 활동으로, C2PA 규격을 구현하기 위한 오픈소스 도구를 제공하며 보급을 추진하고 있습니다. C2PA는 '규격을 만드는 단체', CAI는 '규격을 퍼뜨리는 단체'라는 역할 분담입니다.

구조: 서명이 붙은 '이력 기록'을 파일에 첨부한다

C2PA에서는 콘텐츠에 매니페스트라고 불리는 이력 기록을 붙입니다. 매니페스트에는 다음과 같은 정보가 들어갑니다.

• 어서션: 생성이나 편집 작업, 사용한 도구나 AI, 촬영한 카메라 등 개별 정보
• 클레임: 어서션을 묶어 작성자(발행자)가 전자 서명한 것
• 콘텐츠의 해시값: 파일 내용으로 계산한 값. 내용이 바뀌면 일치하지 않게 되므로 변조를 알아챌 수 있다

전자 서명에는 인증서가 쓰이기 때문에, 기록을 누가 붙였는지 확인할 수 있습니다. 편집을 거듭하면 이전 매니페스트를 이어받아 새 기록이 추가되어, 편집 이력을 추적할 수 있습니다.

메타데이터가 사라졌을 때의 대비

매니페스트는 파일의 부가 정보로 저장되기 때문에 스크린샷이나 재저장으로 사라질 수 있습니다. 이 약점을 보완하기 위해 C2PA 규격에는 디지털 워터마크나 핑거프린트(내용으로 계산한 특징값)를 단서로 보관해 둔 매니페스트를 찾아낼 수 있게 하는 구조(Durable Content Credentials)도 정해져 있습니다.

최신 규격

2026년 4월 공개된 규격 버전 2.4에서는 AI 이용을 나타내기 위한 전용 항목이 추가되었고, HTML 문서나 Markdown 등의 텍스트에도 이력을 심을 수 있게 되었습니다. 또한 2025년부터는 규격에 올바르게 대응한 제품을 인증하는 적합성 프로그램도 시작되었습니다.

주요 지원 현황

각사 공식 정보에서 확인한 주요 지원 현황은 다음과 같습니다.

• OpenAI: ChatGPT 등에서 생성한 이미지에 Content Credentials를 붙이고 있습니다. 이미지와 오디오에는 Google의 SynthID 워터마크도 함께 넣고 있습니다.
• Google: Pixel 10 카메라로 찍은 모든 JPEG 사진에 Content Credentials를 붙이며, Google 포토에서 확인할 수 있습니다. 검색의 '이 이미지 정보'에서도 C2PA 정보를 활용하고 있습니다. YouTube에서는 편집하지 않고 카메라로 촬영한 동영상에 '카메라로 촬영됨'이라고 표시됩니다.
• Microsoft: Azure OpenAI로 생성한 모든 이미지에 자동으로 Content Credentials를 붙이고 있습니다.
• Adobe: Content Credentials를 붙이거나 확인할 수 있는 'Adobe Content Authenticity' 앱과 Chrome 확장 프로그램을 제공하고 있습니다.
• SNS: LinkedIn은 C2PA 정보가 있는 이미지·동영상에 아이콘을 표시합니다. TikTok과 Meta(Facebook, Instagram, Threads)는 C2PA 정보를 읽어, 다른 서비스에서 만든 AI 생성 콘텐츠에도 라벨을 붙이고 있습니다.
• 카메라·스마트폰: 라이카의 M11-P는 2023년 Content Credentials를 내장한 최초의 카메라로 발표되었습니다. 삼성의 Galaxy S25 시리즈는 AI로 편집한 이미지에 Content Credentials를 붙입니다.
• 전송 인프라: Cloudflare는 이미지 변환 시 Content Credentials를 유지하는 기능을 제공하고 있습니다.

C2PA 정보를 확인하는 방법

파일에 C2PA 정보가 붙어 있는지는 다음 방법으로 확인할 수 있습니다.

• Verify 사이트: CAI가 운영하는 확인 사이트(contentcredentials.org/verify)에 이미지 등을 업로드하면 이력 기록을 보여 줍니다.
• 브라우저 확장 프로그램: Adobe의 Chrome 확장 프로그램을 쓰면 웹 페이지의 이미지 정보를 확인할 수 있습니다.
• 각 서비스의 표시: Google 포토의 상세 정보, 검색의 '이 이미지 정보', LinkedIn의 'CR' 아이콘, Meta나 TikTok의 AI 라벨 등으로 확인할 수 있습니다.
• OpenAI 확인 도구: OpenAI의 이미지·오디오인지는 openai.com/verify 에서 확인할 수 있습니다.

C2PA의 한계와 주의점

C2PA는 강력한 구조이지만 다음과 같은 한계가 있습니다.

• 정보가 사라지기 쉽다: 스크린샷을 찍거나 파일을 변환하면 이력 정보가 사라질 수 있습니다. 많은 서비스에서는 업로드할 때 부가 정보가 제거됩니다.
• 정보가 없다 = 가짜, 는 아니다: C2PA 지원은 선택 사항입니다. YouTube도 라벨이 없다고 해서 변조되었다는 뜻은 아니라고 명시하고 있습니다.
• 진위를 보증하는 것은 아니다: C2PA가 보여 주는 것은 '누가 어떻게 만들었다고 기록하고 있는가'라는 이력입니다. 내용 자체가 올바른지는 보여 주지 않습니다.
• 구현상의 결함이 생길 수 있다: 니콘 카메라에서는 2025년 실제 촬영 이미지가 아닌 것에 서명할 수 있는 문제가 발견되어, 관련 서비스가 중단되었다고 보도되었습니다.
• 보급은 아직 진행 중: 적합성 프로그램에서 인증받은 제품은 아직 일부에 그칩니다.

디지털 워터마크(watermark)와의 차이

AI 콘텐츠의 출처를 보여 주는 방법에는 C2PA 외에 Google의 SynthID 같은 디지털 워터마크(watermark)가 있습니다.

• C2PA: 파일에 붙이는 서명된 기록. 생성부터 편집까지의 자세한 경위를 알 수 있지만, 부가 정보가 사라지면 함께 없어진다
• 디지털 워터마크: 이미지의 픽셀이나 오디오의 파형 등에 심는 보이지 않는 신호. 부가 정보가 사라져도 남기 쉽지만, 알 수 있는 것은 '지원하는 AI로 만들어졌는지' 정도

이 둘은 서로 보완하는 관계이며, OpenAI와 Google은 둘을 함께 쓰고 있습니다. 디지털 워터마크에 대해서는 'SynthID란', 각 방식의 차이는 'AI 워터마크(디지털 워터마크) 비교'에서 자세히 설명합니다.

규제의 움직임

AI로 만든 콘텐츠의 표시를 요구하는 규제도 C2PA 보급을 뒷받침하고 있습니다.

• EU: AI법 제50조에서 생성형 AI 제공자에게 출력을 AI로 만든 것이라고 기계로 판별할 수 있는 형태로 표시할 의무를 정했습니다. 제50조는 2026년 8월 2일부터 적용되고 있습니다. 다만 2026년 AI법 개정(디지털 옴니버스)에 따라, 같은 날 이전에 시장에 출시된 AI 시스템에 한해 기계 판별 가능한 표시 의무에 2026년 12월 2일까지 유예가 주어졌습니다. 구체적인 방법을 제시하는 행동 강령은 2026년 6월에 마련되었습니다.
• 미국 캘리포니아주: AI 투명성법(SB 942)은 2025년 개정법(AB 853)으로 시행일이 2026년 8월 2일로 변경되었습니다. 대규모 생성형 AI 제공자에게 이미지·동영상·오디오에 보이지 않는 표시를 심고 무료 확인 도구를 제공하도록 요구합니다.
• 일본: 일본에서는 웹사이트나 콘텐츠 발신자를 확인할 수 있게 하는 기술 'Originator Profile(OP)'의 실증이 언론사 등의 참여로 진행되고 있습니다.

정리

C2PA는 콘텐츠가 만들어지고 편집되기까지의 경위를 서명된 기록으로 파일에 남기는 국제 표준입니다. OpenAI, Google, Microsoft, Adobe 등 대기업이 지원하며, 카메라와 SNS로도 확산되고 있습니다.

다만 정보는 사라질 수 있고, 정보가 없다는 것이 가짜라는 증명은 되지 않습니다. C2PA 표시는 판단의 단서 중 하나로 삼고, 디지털 워터마크 확인이나 출처 확인과 함께 쓰는 것이 현실적입니다.

출처

• C2PA(공식 사이트)
• C2PA 설립 발표(C2PA, 2021년 2월)
• C2PA 회원 목록(C2PA)
• C2PA 규격 버전 2.4(C2PA)
• 적합성 프로그램(C2PA)
• Content Authenticity Initiative(CAI)
• Pixel 10의 Content Credentials 지원(Google, 2025년 9월)
• '카메라로 촬영됨' 라벨 안내(YouTube 고객센터)
• Azure OpenAI의 Content Credentials(Microsoft Learn)
• Facebook과 Instagram의 AI 생성 이미지 라벨 표시(Meta, 2024년 2월)
• AI 생성 콘텐츠 자동 라벨링(TikTok, 2024년 5월)
• Cloudflare Images의 Content Credentials 유지(Cloudflare, 2025년 2월)
• Our approach to EU text provenance rules(OpenAI, 2026년 10월 5일)
• EU AI법 제50조
• Originator Profile(OP 기술연구조합)
• AI법 개정(디지털 옴니버스) 합의(유럽의회, 2026년 5월)
• Google 생성형 AI 콘텐츠의 투명성과 C2PA(Google, 2024년 9월)
• LinkedIn의 Content Credentials 표시(LinkedIn 고객센터)
• Adobe Content Authenticity Chrome 확장 프로그램(Adobe 도움말)
• 라이카 M11-P의 Content Credentials 지원(CAI, 2023년 10월)
• Galaxy S25 시리즈 발표(Samsung)
• 니콘 Z6III의 C2PA 문제에 관한 보도(PetaPixel, 2025년 9월)
• 캘리포니아주 AB 853 법안 원문(캘리포니아주 의회)