저작권 정보가 붙어 있던 코드를 생성형 인공지능(AI)이 학습한 뒤 같거나 비슷한 코드를 만들었는데, 그 결과물에는 원작자의 이름과 저작권 표시가 없다면 ‘삭제한 것’일까. 미국 연방항소법원은 “그렇지 않다”고 판단했다.
미 제9항소법원은 9월 16일 ‘도 대 깃허브 사건(Doe v. GitHub, Inc., No. 24-7700)’에서 오픈소스 개발자들이 깃허브(GitHub)와 마이크로소프트(Microsoft), 오픈AI(OpenAI)를 상대로 제기한 디지털밀레니엄저작권법(Digital Millennium Copyright Act·DMCA) 제1202조(b) 청구를 기각한 1심 판단을 유지했다.
재판부는 “AI가 생성한 결과물에 원작자의 저작권 관리 정보(Copyright Management Information·CMI)가 없다는 사실만으로 기존 저작물에서 그 정보를 ‘제거’했다고 단정할 수는 없다”고 설명했다. 이 판결은 ‘생성형 AI와 DMCA 책임에 대한 연방항소법원의 첫번째 판단‘으로 알려졌다. 사건명의 ‘도(Doe)’는 원고의 실제 이름은 아니다. 신원을 감추기 위한 가명이다.
로이터는 9월 16일 “제9순회항소법원이 AI가 생성한 결과물에서 저작권 정보가 빠진 것을 문제 삼은 개발자들의 DMCA 청구 기각을 유지했다”고 보도했다. 매체는 “AI가 만든 코드가 일반적인 의미의 저작권 침해에 해당하는지는 판단하지 않았다”고 설명했다.
깃허브는 ‘개발자들의 거대한 공동 코드 창고’
깃허브는 개발자들이 소스코드를 저장하고 다른 개발자와 공유·관리하는 플랫폼이다. 개별 프로젝트가 저장되는 공간을 ‘리포지터리(repository)’라고 부른다. 서가 하나하나에 서로 다른 책이 꽂혀 있듯 수많은 공개 리포지터리에 각종 소프트웨어 코드가 올라가 있다.
‘오픈소스’라고 해서 아무 조건 없이 가져다 써도 된다는 뜻은 아니다. 상당수 오픈소스 라이선스는 코드를 사용하거나 수정할 수 있도록 허용하는 대신 원작자의 이름이나 저작권, 라이선스 조건 등을 함께 표시하도록 요구한다.
깃허브 코파일럿은 개발자가 코드를 작성할 때 AI가 다음 코드를 제안하거나 코드 덩어리를 만들어주는 프로그래밍 보조 도구다. 오픈AI의 코덱스는 자연어 지시 등을 바탕으로 코드를 생성하는 AI 모델이다. 이 사건에서 법원은 두 시스템이 관련 쟁점에서 비슷하게 작동한다고 보고 주로 ‘코파일럿’으로 통칭했다.
원고들은 깃허브에 저작권이 있는 오픈소스 코드를 공개한 프로그래머들이다. 이들은 “자신들의 공개 코드를 포함한 대규모 코드 자료가 AI 학습에 사용됐고, 코파일럿이 그 코드와 같거나 유사한 결과물을 생성하면서 원본에 있던 개발자 이름, 저작권 표시, 라이선스 조건 등 저작권 관리 정보(CMI)를 제거했다”고 주장했다.
핵심은 “저작권 정보가 없다“와 “있던 정보를 지웠다“의 차이
CMI는 말하자면 저작물에 붙어 있는 ‘저작권 이름표’다. 저작물 제목, 저작자나 저작권자의 이름, 저작권 표시, 이용 조건 등이 포함될 수 있다.
DMCA 제1202조(b)는 권한 없이 이런 정보를 고의로 제거하거나 변경하는 행위 등을 금지한다. 예를 들어 사진 밑에 사진작가의 이름이 붙어 있는데 사진을 복제하면서 그 부분만 잘라냈다면 전형적인 CMI 제거 문제가 생길 수 있다.
그런데 생성형 AI에서는 문제가 복잡해진다. 원고들의 주장을 단순화하면 다음과 같다.
“원본 코드 + 개발자 이름·저작권 표시 → AI 학습 → 같거나 비슷한 코드 생성 → 개발자 이름·저작권 표시 없음“
여기서 의문이 생긴다. 원본 코드에는 저작권 정보가 있었는데 AI가 만든 같거나 비슷한 코드에는 없다. 그렇다면 AI가 처리하는 과정 어딘가에서 그 정보를 지운 것 아닌가.
제9순회항소법원은 이 전체 과정을 하나의 행위로 보지 않았다. AI가 원본 코드를 학습하는 단계와 학습을 마친 AI가 결과물을 생성하는 단계를 구분했다.
쉽게 말해 “저작권 정보가 없다“와 “있던 저작권 정보를 지웠다“는 것은 법적으로 같은 말이 아니라는 판단이다.
“원본에는 있었는데 AI 결과물에는 없다…왜 삭제가 아닌가”
복사기에 비유하면 차이가 더 분명해진다.
A라는 사람이 자기 이름과 저작권 표시가 붙은 문서를 만들었다. 누군가 그 문서를 복사하면서 A의 이름과 저작권 표시 부분만 잘라낸 뒤 복사본을 배포했다면 원래 붙어 있던 ‘저작권 이름표’를 떼어냈다고 볼 수 있다.
반면 여러 문서를 읽고 학습한 사람이 나중에 별도의 글을 썼는데 그 글에 원저자들의 이름을 적지 않았다고 하자. 새 글에 이름이 없다는 사실만으로 그 사람이 원본 문서에 붙어 있던 이름을 ‘제거했다’고 말하기는 어렵다.
재판부는 원고들이 소장에서 설명한 코파일럿의 작동 방식을 후자에 가깝다고 봤다. 코파일럿은 저장된 원본 코드를 찾아 그대로 꺼내 보여주는 검색엔진이 아니라, 학습한 코드의 통계적 패턴을 이용해 프롬프트에 맞는 결과물을 생성하는 시스템이라는 것이다.
미국 로펌 헤인스분(Haynes Boone)의 판결 분석에 따르면, 재판부는 DMCA 제1202조(b)의 ‘제거(remove)’와 ‘변경(alter)’을 이미 존재하는 저작물에 붙어 있는 CMI에 대한 적극적인 행위로 해석했다. 새로 생성된 결과물에 CMI가 처음부터 들어 있지 않은 것과 기존 저작물에서 CMI를 떼어내는 것은 다르다는 것이다.
판결은 검색엔진과의 차이도 언급했다. 만약 코파일럿이 검색엔진처럼 저장돼 있던 원고의 코드를 찾아 반환하면서 CMI만 빠뜨렸다면 ‘제거’ 주장이 성립할 여지가 있다. 그러나 법원은 원고들이 설명한 코파일럿이 기존 저작물을 검색해 반환하는 방식이 아니라 학습한 패턴을 바탕으로 결과물을 생성하는 방식이라는 점에 주목했다.
그렇다면 AI가 ‘공부하기 전’ 이름표를 떼었다면?
여기서 더 중요한 문제가 생긴다.
AI가 결과물을 만들 때 저작권 정보를 표시하지 않은 것이 아니라, AI를 학습시키기 위해 데이터를 준비하는 과정에서 원본 코드에 붙어 있던 개발자 이름이나 저작권 표시를 실제로 제거했다면 어떻게 될까.
이 차이가 이 사건의 ‘입력 단계 이론(input theory)’과 ‘출력 단계 이론(output theory)’이다.
입력 단계는 이렇게 표현할 수 있다.
원본 코드 + CMI → CMI 제거 → AI 학습
이 경우에는 기존 저작물에 실제로 붙어 있던 정보를 떼어내는 행위가 존재한다.
반면 재판부가 판단한 출력 단계는 이렇다.
원본 코드 + CMI → AI 학습 → AI가 별도 결과물 생성 → 결과물에 CMI 없음
제9항소법원은 “(두 번째 경우에는) 결과물에 CMI가 없다는 사실만으로 원본에서 CMI를 제거했다고 단정할 수 없다”고 판단했다.
그러나 첫 번째 문제에는 결론을 내리지 않았다. 원고들은 항소심에서 학습 데이터를 만드는 과정에서 CMI가 제거됐다는 ‘입력 단계’ 논리도 제시했지만, 재판부는 원고들이 1심에서 이 주장을 적절하게 제기·유지하지 않아 항소심에서 포기된 쟁점으로 봤다.
따라서 이번 판결을 ‘AI 학습 과정에서 저작권 정보를 삭제해도 괜찮다는 판결’로 읽어서는 안 된다. 법원이 판단한 것은 AI 결과물에 원작자의 CMI가 나타나지 않았다는 사실만으로 DMCA가 금지하는 CMI ‘제거’가 성립하느냐는 문제다. 학습 데이터를 만드는 과정에서 원본에 붙어 있던 CMI를 실제로 제거했을 때도 같은 결론이 나오는지에 대해서는 판단이 이뤄저지 않았다.
원본과 “완전히 같아야 한다“는 1심 판단은 수정
제9항소법원은 원고들의 DMCA 청구를 기각한 1심의 결론은 유지했지만, 1심이 제시한 ‘동일성 요건’은 그대로 받아들이지 않았다.
1심 캘리포니아 북부연방법원은 원고 코드와 코파일럿 결과물이 ‘동일(identical)’해야 DMCA 제1202조(b)의 CMI 제거 청구가 성립할 수 있다고 판단했다. 그러나 항소법원은 법에 별도의 ‘동일성 요건(identicality requirement)’이 있는 것은 아니라고 봤다.
쟁점은 원본과 결과물이 완전히 동일한지가 아니라, 기존 저작물에 붙어 있던 CMI가 실제로 제거됐는지 여부라는 것이다.
예를 들어 저자 이름이 표시된 100쪽짜리 책을 복제하면서 저자 이름을 삭제하고 본문 한 단어만 바꿨다고 하자. 원본과 복제본이 완전히 같지 않다는 이유만으로 CMI를 제거하지 않았다고 할 수는 없다. 항소법원도 원본을 조금 수정했다는 이유만으로 CMI 제거 책임을 피할 수는 없다고 설명했다.
그렇다고 원본과 결과물이 얼마나 비슷한지가 중요하지 않다는 뜻은 아니다. 둘이 사실상 같은데 원본에 있던 저자 이름이나 저작권 표시만 빠져 있다면, 원본을 복제하는 과정에서 CMI가 제거됐다고 볼 수 있는 중요한 근거가 된다. 반대로 내용과 구조에 상당한 차이가 있다면 기존 저작물에서 CMI를 떼어낸 것이 아니라 CMI가 붙어 있지 않은 별도의 결과물을 만들었다는 판단에 무게가 실릴 수 있다.
따라서 ‘동일성’은 CMI 제거 청구가 성립하기 위해 반드시 충족해야 하는 요건이 아니라는 것이다. 다만 원본과 결과물이 얼마나 같거나 다른지는 CMI가 실제로 제거됐는지를 판단하는 근거가 될 수 있다.
그래도 AI가 비슷한 코드를 만들면 저작권 침해 아닌가
판결에는 또 다른 쟁점이 있다. 이 판결은 코파일럿이 원고들의 코드를 저작권법상 침해했는지를 판단하진 않았다는 점이다.
AI가 기존 저작물의 보호받는 표현과 실질적으로 유사한 결과물을 생성했다면 일반적인 저작권 침해 문제가 별도로 생길 수 있다. 제9항소법원도 코파일럿 결과물이 기존 코드와 실질적으로 유사할 수 있다는 가능성을 언급하면서, 그런 유사성이 일반 저작권 침해 청구를 성립시킬 수 있는지에 대해서는 판단하지 않았다.
따라서 이번 판결의 의미는 “AI가 남의 코드를 비슷하게 만들어도 괜찮다”는 취지는 아니다. 일반적인 저작권 침해와 DMCA상 CMI 제거는 서로 다른 법적 청구라는 것이다.
로이터는 “이번 판결로 DMCA 청구 기각은 유지됐지만 오픈소스 라이선스 조건 위반을 둘러싼 계약 청구는 1심에서 계속 심리가 이뤄지고 있다”고 보도했다.
Q&A
Q. 저작권 관리 정보(CMI)는 무엇인가?
저작물의 ‘저작권 이름표’라고 생각하면 쉽다. 저작물 제목, 저작자나 저작권자의 이름, 저작권 표시, 이용 조건 등이 포함될 수 있다. DMCA가 모든 저작물에 CMI를 반드시 붙이라고 요구하는 것은 아니다. 다만 CMI가 붙어 있다면 일정한 요건 아래 이를 고의로 제거하거나 변경하는 행위 등을 금지한다.
Q. 코파일럿이 원고 코드와 거의 똑같은 코드를 만들면서 개발자 이름만 빼면 어떻게 되나?
이번 판결도 결과가 달라질 가능성을 열어뒀다. 원본과 결과물이 거의 모든 면에서 같고 CMI만 없다면 기존 저작물에서 CMI를 제거했다는 강한 정황 증거가 될 수 있다. 법원은 사소한 수정만 했다는 이유로 DMCA 책임을 자동으로 피할 수 있는 것은 아니라고 판단했다.
Q. 일반 저작권 침해와 CMI 제거는 무엇이 다른가?
일반적인 저작권 침해는 AI 결과물이 기존 저작물의 보호받는 표현을 불법적으로 복제했는지 등이 핵심이다. CMI 제거 청구는 별도로 저작물에 붙어 있던 저작자 이름이나 저작권 표시 등을 실제로 제거·변경했는지를 따진다. 이번 판결은 후자를 판단했을 뿐 코파일럿 결과물이 일반적인 저작권 침해에 해당하는지는 결론 내리지 않았다.
