당신이 어제 인스타그램에 올린 사진, 클라이언트에게 보낸 시안 파일, 유튜브에 올린 브이로그. 이런 것들도 어딘가의 서버에서 숫자로 세어지고 있을 수 있다. 지난달 에일릿이 다룬 「내 사진으로 만든 AI에게 나는 졌다」와 「내 작업 파일들이 AI를 키우고 있다」가 그 얘기였다. 이번엔 음악 차례다. 그리고 이번엔 추정이 아니라 숫자가 나왔다.
코드 주석 하나가 다 말해줬다
2026년 7월, 해커 한 명이 AI 음악 생성 서비스 Suno의 소스코드를 훔쳐 404 미디어(404 Media)에 넘겼다. 코드에는 2023~2024년 시점의 스크래핑 기록이 남아 있었는데, 유튜브 뮤직에서만 201만 3,545개 클립, 총 11만 3,879시간을 가져온 것으로 나타났다. 하루도 쉬지 않고 틀어도 13년이 걸리는 분량이다.
유튜브뿐이 아니었다. 같은 기록에 디저 1만 2,287시간, 지니어스 1만 7,615시간, 스톡 음원 라이브러리 폰드5 6만 2,117시간, 잼엔도 3,726시간, 클래식 악보 사이트 IMSLP 1만 9,514시간까지 출처별로 시간이 정리돼 있었다. 팟캐스트도 42만 개를 추려 100만 시간어치를 확보하려 한 흔적이 나왔다.
방법도 함께 드러났다. 유튜브는 브라이트데이터(Bright Data)라는 상업용 프록시 서비스를 거쳐 우회 접속했고, 반주 없는 아카펠라 버전을 따로 골라 보컬만 추출하는 코드도 있었다.
Suno CEO 마이키 슐먼은 예전에 이 학습 과정을 “록 음악을 계속 듣다가 자기 록 노래를 쓰게 되는 아이” 같은 것이라고 설명한 적이 있다. 비유는 따뜻했다. 코드에 적힌 숫자는 그보다 훨씬 산업적이었다.
소송 중이던 의혹이, 우연히 확인됐다
이 대목이 이번 사건의 진짜 무게다. 음반사들은 지난해 「RIAA가 Suno를 고소했다, 판결이 나오면 뭐가 달라지나」에서 다룬 소송에 “유튜브에서 몰래 스트림 리핑했다”는 혐의를 추가한 바 있다. RIAA는 이를 기술적 보호조치를 우회한 불법 복제라고 표현했다. Suno는 그 행위 자체를 부인하지 않고 “이건 접근통제가 아니라 복제통제의 문제”라는 법리로 대응해왔다.
이번에 유출된 Suno 자신의 코드가 그 혐의를 그대로 뒷받침해버렸다. 404 미디어는 기사에서 해킹된 데이터가 이 혐의를 “확인해준다(confirms this)”고 썼다. 내부고발이 아니라 “나는 그냥 아무거나 다 턴다”는 범죄 해커의 손에서 나온 증거라는 점이 아이러니를 더한다. 법원의 판결보다 해커가 먼저 답을 준 셈이다.
개인정보도 함께 샜는데, 아무도 몰랐다
털린 건 소스코드만이 아니었다. 같은 해킹으로 고객 수십만 명의 이메일, 전화번호, 결제대행사 스트라이프(Stripe)의 부분 결제정보까지 함께 유출됐다. Suno 측은 오래전에 쓰던 구식 코드였고 민감한 개인정보는 없었다며 개별 통지는 하지 않았다고 밝혔다.
유출은 2025년 11월에 일어났지만 세상에 알려진 건 2026년 7월, 8개월이 지난 뒤였다. 그 사이 Suno의 기업가치는 2025년 11월 약 2.45조 원에서 2026년 6월 5.4조 원(약 4억 달러 투자 유치)으로 두 배 넘게 뛰었다. 회사가 침묵하는 동안, 투자자들의 관심은 계속 자라고 있었다.
이제 싸움의 축이 옮겨갔다
작년 여름 미국 법원의 두 판결이 이 싸움의 지형을 바꿔놨다. 앤트로픽을 상대로 한 소송(Bartz v. Anthropic)에서는 합법적으로 구한 데이터로 학습하는 건 괜찮지만 해적판 서적으로 영구 서고를 만든 건 별개의 침해라고 봤다. 메타를 상대로 한 소송(Kadrey v. Meta)에서는 데이터 출처를 따로 떼어 보지 않고 학습이라는 행위 전체를 변형적 이용으로 판단했다.
두 판결이 완전히 같은 결론은 아니지만, 방향은 같다. 관심사는 이제 학습 여부가 아니라 데이터를 어떻게 손에 넣었는가로 옮겨갔고, Suno의 유출된 코드는 정확히 그 지점을 찌르고 있다. 「메타·저커버그, AI 라마 해적판 학습으로 저작권 침해 집단소송 피소」에서 다룬 것처럼, 이 구도는 음악을 넘어 이미지와 텍스트, 코드 학습 전반으로 이미 번지고 있다.
참고로 워너뮤직은 2025년 11월 25일 Suno와 이미 화해하고 라이선스 계약을 맺었다. 소니뮤직과 유니버설뮤직은 아직 소송 중이다.
지금 창작자가 확인할 수 있는 것
당신이 뮤지션이든, 사진가든, 디자이너든 질문은 똑같다. 내 작업물이 이미 어느 AI의 학습재료가 됐는지, 확인할 방법이 있을까.
이미지 쪽은 부분적으로 있다. 스포닝닷에이아이(Spawning.ai)의 ‘히브 아이 빈 트레인드(Have I Been Trained)’ 도구는 LAION-5B 같은 대형 이미지 데이터셋에 자신의 작품이 포함됐는지 검색하고, 향후 학습에서 제외해달라는 ‘두 낫 트레인 레지스트리(Do Not Train Registry)’에 등록할 수 있다.
등록 건수는 2026년 기준 8천만 건을 넘었다. 실제로 이 등록을 지키는 회사는 일부일 뿐이다.
음악 쪽은 아직 그만큼의 표준이 없다. 기술적 의사표시 방법 자체는 존재한다. W3C의 TDM 예약 프로토콜(TDMRep)은 웹사이트가 robots.txt와 비슷한 방식으로 이 콘텐츠는 AI 학습에 쓰지 말라고 기계가 읽을 수 있는 형태로 선언하게 해준다. EU AI Act는 2026년 8월부터 이런 기계 판독 가능한 거부 의사를 존중하도록 AI 기업에 실질적인 의무를 지우기 시작한다. 웹사이트나 플랫폼 차원의 조치라, 개인이 SNS에 올린 게시물 하나하나에 적용하긴 아직 어렵다.
한국 상황도 움직이고 있다. 한국음악저작권협회(KOMCA)는 2025년 3월 24일부터 작곡과 작사 과정에 AI가 조금이라도 관여한 곡은 저작권 등록을 받지 않는다는 방침을 시행했고, 음악 권리단체 6곳은 2026년 2월 26일 ‘K음악권리단체 상생위원회’를 꾸려 창작자 동의 없는 무단 AI 학습 금지를 요구하고 있다. 당장 개인이 취할 수 있는 확실한 조치는 아니지만, 논의가 어디로 가고 있는지는 알아둘 만하다.
당신의 사진, 당신의 곡, 당신의 코드가 지금 누군가의 학습 데이터셋 안에서 숫자 하나로 세어지고 있다면, 그걸 알 권리는 누구에게 있을까.
FAQ
2023~2024년 시점의 소스코드와 고객 데이터 일부다. 소스코드에는 유튜브 뮤직, 디저, 지니어스, 잼엔도, 프리사운드, IMSLP, 팟캐스트 등에서 스크래핑한 데이터의 규모와 방법이 담겨 있었고, 고객 데이터는 이메일과 전화번호, 스트라이프 결제정보 일부였다.
소스코드가 더 이상 쓰지 않는 구식이라는 점은 인정했지만, 그 안에 적힌 숫자가 조작됐다거나 사실이 아니라고는 밝히지 않았다.
음반사들은 소송에서 Suno가 유튜브에서 몰래 스트림 리핑했다고 주장해왔다. 이번에 유출된 Suno 자체 코드가 그 주장을 뒷받침하는 정황으로 작용하고 있다.
두 판결 이후 AI 저작권 소송의 쟁점이 학습 여부에서 데이터를 합법적으로 구했는가로 옮겨갔다. Suno 사건은 이 새로운 쟁점의 실제 사례다.
이미지는 스포닝닷에이아이의 ‘히브 아이 빈 트레인드’ 같은 도구로 부분적으로 확인 가능하다. 음악은 2026년 7월 기준 그만한 범용 도구가 없다.
이 글이 도움이 되었다면, 구글 검색에서 에이릿을 선호하는 소스로 등록해보세요.
등록하면 관련 뉴스와 AI 개요에서 에이릿 콘텐츠가 우선 노출됩니다.
AiLit에서 더 알아보기
구독을 신청하면 최신 게시물을 이메일로 받아볼 수 있습니다.
