소프트웨어 결함이 제조 원가를 바꾼다
2026년 12월 유럽 시장에 제품을 내보내는 기업의 손익계산서에는 보이지 않던 항목이 더 두껍게 들어간다. 소프트웨어(software)와 인공지능(AI) 시스템이 유럽연합(EU) 신제품 책임 지침(Directive (EU) 2024/2853)상 제품 범위에 명시되기 때문이다. 공장 밖에서 배포한 업데이트, 장치 안에 심은 펌웨어(firmware), 앱으로 연결한 디지털 서비스가 하드웨어와 같은 책임 체계 안으로 들어간다.
이는 단순한 법률 개정이 아니라 유럽 매출을 겨냥한 한국 제조·IT 기업의 원가 구조와 계약 구조를 다시 짜게 만드는 사건이다. 핵심은 결함의 의미가 바뀐다는 점이다. 1985년 체계를 대체하는 이번 지침은 2026년 12월 9일부터 회원국 국내법으로 전환돼 같은 날짜 이후 시장에 출시되거나 서비스에 투입되는 제품에 적용될 예정이다.
Esa Automation, act legal, Baker McKenzie의 관련 해설 자료에 따르면 독립형 앱, 운영체제(OS), AI 시스템, 제품 작동에 필수적인 관련 디지털 서비스까지 제품 범위에 들어간다. 피해자는 기업의 과실을 입증하지 않아도 결함, 손해, 인과관계를 제시하면 엄격 책임(strict liability) 원칙에 따라 배상을 요구할 수 있다. 제조사가 조심했는지가 아니라 시장에 나온 제품이 안전했는지가 법정 쟁점의 중심으로 이동한다.
이 변화가 산업 현장에 무거운 이유는 소프트웨어 취약점이 더 이상 사후 패치로만 관리할 문제가 아니기 때문이다. 그동안 제조업체는 하드웨어 결함, 부품 불량, 사용설명서 오류를 제품 책임의 핵심 위험으로 다뤘다. 그러나 연결형 기기와 산업용 장비는 출시 이후에도 코드가 바뀌고, AI 모델은 학습 데이터와 운용 환경에 따라 결과가 달라진다.
보안 업데이트 지연이나 취약한 인증 체계가 사고로 이어지면 기업은 품질관리 실패와 법률 리스크를 한꺼번에 떠안을 수 있다. 연구개발비, 보안 검증비, 보험료, 법무 비용이 제품 원가에 더 직접적으로 반영될 가능성이 크다.
광고
기업 전략 측면에서 가장 먼저 바뀔 영역은 제품 출시 심사다. 유럽 시장용 제품은 기능 검증만으로 충분하지 않다.
개발 단계에서 위협 모델링(threat modeling), 취약점 관리, 로그 보존, 업데이트 정책을 문서화해야 한다. AI 기능을 넣은 기기는 모델의 판단 과정과 데이터 처리 기준을 사후에 설명할 수 있어야 법적 방어가 가능하다.
지금까지 빠른 출시와 기능 추가가 경쟁 우위였다면, 2026년 12월 이후에는 출시 전 증거 패키지를 갖춘 기업이 유통 협상에서 더 높은 신뢰를 얻는다. 책임 사슬도 넓어진다.
제조사가 EU 밖에 있으면 피해자는 수입업체, 제조업체의 공인 대리인, 창고 보관과 배송을 맡은 물류 제공업체까지 상대로 삼을 수 있다. 이는 한국 기업이 유럽 현지 판매 법인이나 총판에 위험을 넘기기 어렵다는 뜻이다.
유통사는 계약서에서 보안 업데이트 의무, 리콜 비용 부담, 소송 대응 자료 제출 책임을 더 세밀하게 요구할 가능성이 높다. 공급망의 말단에 있던 물류·수입 파트너도 제품 데이터와 안전 문서에 접근하려 할 것이며, 그 비용은 결국 납품가와 마진 협상에 반영된다.
수입·물류까지 넓어진 책임 사슬
손해 범위 확대는 소비재와 기업 간 거래(B2B) 제품 모두에 영향을 준다. 새 지침은 의학적으로 인정되는 심리적 상해와 비전문 데이터의 파괴 또는 손상까지 손해 범위에 포함한다.
기존 500유로 손해액 기준도 삭제된다. 금액 문턱이 사라지면 소액 피해가 누적되는 디지털 제품 분쟁에서 집단적 청구 압력이 커질 수 있다. 예컨대 스마트홈 기기의 취약점으로 개인 사진이나 일정 데이터가 훼손된 경우, 물리적 파손이 없더라도 기업은 제품 책임 소송의 대상이 된다.
법정 절차도 기업에 불리한 쪽으로 바뀐다. 피해자가 그럴듯한 주장을 제기하면 법원은 증거 개시 명령을 내릴 수 있다. 특히 기술적으로 복잡한 사안에서 결함이나 인과관계 입증이 지나치게 어렵다고 판단하면 반박 가능한 추정이 허용될 수 있다.
광고
이 조항은 AI와 소프트웨어 분쟁에서 결정적이다. 피해자가 블랙박스 내부를 완전히 설명하지 못해도 일정 요건을 충족하면 기업이 설계와 운영 자료로 반박해야 하는 국면이 열리기 때문이다.
반론도 있다. 일부 기업은 이번 지침이 이미 유럽 시장에서 요구해 온 사이버보안과 제품 안전 기준을 법률 문구로 정리한 수준이라고 본다. 대형 제조사는 품질보증(QA), 보안 개발 생명주기(SDLC), 사고 대응 프로세스를 이미 운영해 왔다는 주장도 가능하다.
그러나 이 반론은 책임의 위치가 이동한다는 점을 과소평가한다. 내부 프로세스가 있느냐보다 법정에서 제출할 수 있는 형태로 설계 판단과 업데이트 이력을 남겼느냐가 더 큰 변수가 된다. 문서화하지 않은 안전 활동은 분쟁 상황에서 비용 절감의 증거가 아니라 방어 실패의 공백으로 읽힐 수 있다.
본지 추가 분석에 따르면, 한국 기업에는 유럽 사업 포트폴리오를 다시 계산해야 할 이유가 생겼다. 가전, 자동차 부품, 산업 자동화 장비, 의료기기, 로봇, 보안 카메라처럼 소프트웨어가 하드웨어의 성능을 좌우하는 품목은 모두 영향을 받는다. 클라우드와 연결된 기능을 제공하는 경우에는 관련 디지털 서비스가 제품 기능에 필수적인지 따져야 한다.
단순 수출기업도 예외가 아니다. 유럽 현지 수입업체가 계약서에 책임 보전 조항과 기술 자료 제출 의무를 넣으면 국내 본사의 법무·개발·품질 조직까지 대응해야 한다.
한국 기업의 유럽 계약 재설계 과제
투자 관점에서는 규제가 비용만 늘리는 변수로 끝나지 않는다. 보안 설계, 테스트 자동화, 소프트웨어 구성요소 명세서(SBOM), 취약점 관리 플랫폼, 제품 책임 보험 시장에는 수요가 생긴다.
특히 중견 제조사는 내부 개발 인력만으로 AI 모델 검증과 보안 업데이트 기록 관리를 수행하기 어렵다. 이 공백을 메우는 컴플라이언스 기술 기업과 보안 컨설팅 업체는 유럽 수출 기업을 고객으로 확보할 여지가 있다. 반대로 문서화와 사후 업데이트 체계를 갖추지 못한 기업은 같은 제품을 팔아도 더 높은 보험료와 더 낮은 유통 조건을 감수해야 할 수 있다.
광고
이번 지침은 소프트웨어 기업에도 제조업식 사고를 요구한다. 코드 배포는 제품 출하와 같은 의미를 갖고, 업데이트 중단은 품질보증 종료와 비슷한 법적 효과를 낳을 수 있다. AI 시스템을 탑재한 제품은 모델 성능보다 운영 중 위험 통제가 더 긴 생명주기를 가진다.
그래서 기업은 개발팀, 품질팀, 기술지원팀, 법무팀을 따로 움직이는 방식에서 벗어나야 한다. 설계 변경, 보안 패치, 고객 고지, 사고 대응을 하나의 증거 흐름으로 관리하는 체계가 유럽 매출을 지키는 기본 인프라가 된다. 남은 시간은 길지 않다.
2026년 11월 9일 현재 적용 예정일인 2026년 12월 9일까지 한 달가량 남았다. 회원국별 국내법 전환 세부 내용에는 차이가 생길 수 있지만, 소프트웨어와 AI를 제품 책임의 중심에 놓는 큰 틀은 이미 확정된 사실이다. 한국 기업이 지금 점검해야 할 것은 유럽 법무팀의 의견서 한 장이 아니라 제품 개발과 유통 계약의 작동 방식이다.
유럽 시장에서 경쟁력은 이제 기능과 가격만으로 설명되지 않는다. 사고가 난 뒤 누구에게 어떤 자료를 제시할 수 있는가가 수익성을 가르는 새로운 기준이 된다.
소프트웨어를 부가 기능으로 취급하는 기업과 제품 원가·책임 구조를 결정하는 핵심 자산으로 재분류하는 기업 사이의 격차는, 2026년 12월 9일 이후 유럽 매출 명세서에 직접 나타날 것이다. ※ 이 기사는 Esa Automation, act legal, Baker McKenzie의 EU 신제품 책임 지침(Directive (EU) 2024/2853) 관련 해설 자료를 참조해 작성했다. 각 자료의 구체적 발표일 및 문서명은 각 기관 공식 채널에서 확인할 수 있다.
FAQ
Q. 한국 기업이 EU에 직접 법인을 두지 않아도 책임을 질 수 있나
A. 새 지침은 EU 밖 제조사의 제품이라도 수입업체, 공인 대리인, 물류 제공업체 등 유럽 공급망 참여자에게 책임을 물을 수 있도록 범위를 넓힌다. 이 구조에서는 현지 파트너가 한국 본사에 계약상 보전 책임과 기술 자료 제출 의무를 요구할 가능성이 크다. 직접 피고가 되는지 여부와 별개로 국내 기업의 비용 부담은 계약을 통해 되돌아올 수 있다. 유럽 판매 계약을 새로 맺거나 갱신하는 기업은 책임 한도, 업데이트 의무, 사고 대응 절차를 문서로 확정해 두어야 분쟁 발생 시 방어력을 확보할 수 있다.
Q. 오픈소스 소프트웨어를 쓰는 제품도 영향을 받나
A. 원본 자료는 독립형 앱, 펌웨어, 운영체제, AI 시스템 등 소프트웨어 전반을 제품 범위에 포함한다고 설명한다. 오픈소스 사용 여부만으로 책임이 사라지는 구조는 공식 확인되지 않았다. 기업이 외부 코드를 제품에 포함했다면 구성요소 파악, 취약점 추적, 패치 반영 기록을 관리해야 법적 방어력을 높일 수 있다. 소프트웨어 구성요소 명세서(SBOM)를 갖추는 작업은 개발 편의가 아니라 유럽 시장 진입 비용의 일부로 봐야 한다. 오픈소스 라이선스 준수와 보안 취약점 관리는 별개의 의무이며, 두 가지 모두 출시 전 문서화 체계 안에 포함되어야 한다.
Q. 2026년 12월 9일 이전 출시 제품은 모두 제외되나
A. 자료상 새 규정은 2026년 12월 9일 이후 시장에 출시되거나 서비스에 투입되는 제품에 적용된다. 다만 기존 제품에 중대한 소프트웨어 업데이트를 제공하거나 새로운 서비스 형태로 투입하는 경우의 세부 판단은 회원국 국내법과 개별 사안에 따라 달라질 수 있다. 현재까지 모든 경계 사례에 대한 통일된 해석이 공식 확인되지는 않았다. 기업은 출시일만 기준으로 안심하기보다 업데이트 정책, 서비스 개시일, 유럽 내 유통 계약 시점을 함께 검토해야 한다. 특히 지속적으로 소프트웨어를 갱신하는 구독형 서비스나 클라우드 연동 제품은 사실상 새 지침의 적용 대상으로 간주될 가능성을 배제할 수 없어, 법무 자문을 통한 사전 판단이 필요하다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
