홈으로 목록으로 →
NLFEU제품안전GPSR

[A-4-4] 모듈 A가 아니면 무엇인가 — 새 제품이 들어가는 네 개의 문

자기선언(모듈 A)을 쓸 수 없는 새 제품은 어디로 가는가. 제3자 인증, 별도 법령, GPSR이라는 문과, 그 어디에도 들지 않는 공백을 따라간다.

Series A. EU 제품안전 기초: NLF를 해부한다 : A-4 보충편 (A-4-4)

이전 글: A-4-3 법은 세 번 다시 쓰였지만, 약속은 하나였다

함께 읽기: A-2 인증 모듈(A~H)은 기업 맞춤 메뉴판이다 · A-4-2 CE 마크가 없는 제품은 누가 지키는가

새 제품을 만든 회사는 언젠가 같은 질문 앞에 선다.
”이걸 유럽에 팔려면 무엇을 거쳐야 하나.”

가장 흔한 답은 “자기선언이면 된다”이다.
제조자가 스스로 시험하고, 서류를 갖추고, CE 마크를 붙이는 방식이다.
A-2에서 본 모듈 A(Module A, 내부 생산 관리)다.

그렇다면 모듈 A를 쓸 수 없는 제품은 어떻게 되는가.
아무 검증 없이 그냥 팔 수 있을까.

답은 분명하다.
모듈 A가 막혔다고 문이 사라지지는 않는다.
다른 문으로 돌아갈 뿐이다.

네 개의 문

유럽 시장에 들어가는 문은 넷이다.1

  1. 자기선언의 문(모듈 A) — 리스크가 낮은 제품. 제조자가 스스로 평가하고 EU 적합성 선언(EU declaration of conformity)에 서명한 뒤 CE 마크를 붙임

  2. 제3자의 문(모듈 B~H) — 리스크가 높은 제품. 지정 인증기관(Notified Body, NB)이 설계나 생산, 품질 체계를 확인한 뒤에야 CE 마크를 붙임

  3. 별도 법령의 문 — 자동차 형식승인이나 화장품처럼 NLF 모듈 대신 자기 절차를 가진 법령. 의료기기도 NB가 관여하지만 모듈이 아니라 의료기기규정의 부속서 절차를 따름

  4. 일반 안전의 문(GPSR) — 위 어느 법령에도 들지 않는 소비자 제품. CE 마크도 적합성 선언도 없지만, 제조자는 리스크 분석과 기술문서를 갖춰야 함

앞의 두 문은 같은 건물에 있다.
제품군마다 따로 만든 EU 조화법령(Union harmonisation legislation)이 어느 문을 쓸지 미리 정해 둔다.
기업이 고르기 전에 법이 문을 지정한다.

세 번째 문은 건물 자체가 다르다.
D-6에서 본 자동차가 대표적이다.

네 번째 문에는 조건이 하나 붙는다.
CE 마크를 붙이면 안 된다.
CE 마크는 법이 정한 제품에만 붙일 수 있고, 다른 제품에 붙이면 회원국이 정한 벌칙을 받는다.2

문 밖의 공백

그러면 모든 제품이 넷 가운데 하나로 들어가는가.
그렇지 않다.

GPSR은 소비자 제품만 다룬다.3
소비자가 쓰도록 만들었거나, 소비자가 쓸 것이 합리적으로 예상되는 물건이다.
공장에서만 쓰는 전문가용 장비에 조화법령이 없다면, 그 장비는 어느 문에도 들지 않는다.
서비스 자체도 GPSR의 대상이 아니다.

소프트웨어는 더 애매하다.
GPSR은 제품에 내장된 소프트웨어의 공급자를 추적성 의무에 넣었다.4
그러나 앱처럼 홀로 팔리는 소프트웨어가 GPSR의 “제품”인지는 조문에 적혀 있지 않다.
이 공백은 다른 법이 메운다.
개정 제조물책임지침은 소프트웨어를 제품으로 정의했고, 고위험 AI라면 AI Act가 직접 붙잡는다(D-5).

문을 다시 여는 순간

문을 한 번 통과했다고 끝나지도 않는다.
이미 팔고 있는 제품에 새 기능을 더하면 어떻게 되는가.

모든 업데이트가 새 제품을 만들지는 않는다.
변경이 안전에 영향을 줄 때만 실질적 변경(substantial modification)이 된다.
GPSR은 세 조건을 둔다.5

  1. 처음 리스크 평가에서 예상하지 못한 변경일 것

  2. 위험의 성격이 바뀌거나, 새 위험이 생기거나, 리스크가 커질 것

  3. 소비자 자신이 한 변경이 아닐 것

세 조건을 채우면 변경한 사람이 제조자로 간주된다.
그 사람이 제조자의 의무를 처음부터 다시 진다.

AI Act도 같은 생각을 쓴다.
다만 공급자가 미리 계획해 적합성평가에 적어 둔 학습과 업데이트는 실질적 변경이 아니다.6
자세한 이야기는 B-3에 있다.

[필자 분석] 엄격함의 차원이 다르다

GPSR은 모듈 A보다 느슨할까.
그렇게 단정하기는 어렵다.
두 제도는 서로 다른 곳에서 엄격하다.

모듈 A는 기술 검증에서 엄격하다.
조화표준을 따르면 요건을 충족했다고 추정받는다.
따르지 않으면 제조자가 다른 방법으로 입증해야 한다.
표준이 정한 시험과 한계값이 기준선이 된다.

GPSR은 행정과 사후 관리에서 엄격하다.7
EU 안에 책임자를 두어야 하고, 온라인 판매 페이지에 제조자 정보를 밝혀야 한다.
당국이 위험 제품의 삭제를 명령하면 마켓플레이스는 2영업일 안에 따라야 한다.
리콜 때는 수리·교체·환불 가운데 최소 두 가지를 소비자에게 내놓아야 한다.
리스크 평가에는 사이버보안과 진화·학습 기능까지 들어간다.

그래서 “어느 쪽이 더 엄격한가”는 과녁을 벗어난 질문이다.
물어야 할 것은 “우리 제품의 리스크가 어느 문에서 가장 잘 드러나는가”다.

AI 기업이 새겨 둘 점도 있다.
고위험 AI라면 당연히 NB를 거친다고 생각하기 쉽다.
실제로는 대부분 공급자가 스스로 평가한다.
Annex III 제2~8호의 고위험 AI는 내부통제로 적합성평가를 하고, NB는 생체인식 같은 일부에만 관여한다.8
문의 모양은 모듈 A와 닮았다.
무게는 요건과 사후 모니터링에 실려 있다.

한줄 코멘트. 모듈 A가 막히면 규제가 사라지지 않고 다른 문이 열린다. 새 제품을 기획할 때 먼저 물을 것은 “인증을 받아야 하나”가 아니라 “우리 제품은 어느 문 앞에 서 있나”다.

어느 문에도 들지 않는 물건이 있다면, 그 물건의 안전은 누가 약속하는가.

← 이전 글: A-4-3 법은 세 번 다시 쓰였지만, 약속은 하나였다

함께 읽기: A-2 인증 모듈(A~H)은 기업 맞춤 메뉴판이다 · A-4-2 CE 마크가 없는 제품은 누가 지키는가 · B-3 AI가 업데이트되면 인증을 다시 받아야 하나

→ 다음 글: E-1 두 법은 다른 질문에서 태어났다 — 인공지능기본법 vs EU AI Act

주석 :

Footnotes

  1. 모듈 AH는 Decision No 768/2008/EC Annex II, 절차 선택 원칙은 같은 결정 Article 4와 Blue Guide 2022 Section 5.1
    네 개의 문은 필자가 적용 법령에 따라 나눈 것이다
    의료기기는 Regulation (EU) 2017/745 Annex IX    XI의 적합성평가 절차를 따른다 ↩

  2. Regulation (EC) No 765/2008 Article 30(2) — “The CE marking … shall be affixed only to products to which its affixing is provided for by specific Community harmonisation legislation, and shall not be affixed to any other product”
    벌칙은 같은 규정 Article 41에 따라 회원국이 정한다
    원문은 EU 공식 저장소(CELEX 32008R0765)로 확인했다(2026-09-30) ↩

  3. Regulation (EU) 2023/988(GPSR) Article 3(1) — “‘product’ means any item … which is intended for consumers or is likely, under reasonably foreseeable conditions, to be used by consumers even if not intended for them”
    조화법령이 적용되는 제품에도 그 법령이 다루지 않는 리스크에는 GPSR이 보완적으로 적용된다(Article 2(1))
    원문은 EU 공식 저장소(CELEX 32023R0988)로 확인했다(2026-09-30) ↩

  4. GPSR Article 15(3)(a) — 제품에 “any software embedded into the product”를 공급한 경제적 운영자도 추적성 정보 대상이다 ↩

  5. GPSR Article 13(2)·(3) — 실질적 변경을 한 사람은 제조자로 간주되고, 물리적·디지털 수단의 변경 모두 해당한다 ↩

  6. AI Act(Regulation (EU) 2024/1689) Article 3(23)·43(4) ↩

  7. GPSR Article 16(EU 내 책임자), Article 19(원격판매 표시), Article 22(4)(마켓플레이스 삭제 명령 “within two working days”), Article 37(리콜 구제 “at least two”), Article 6(1)(g)·(h)(사이버보안, 진화·학습·예측 기능) ↩

  8. AI Act Article 43(1)·(2)
    Annex III 제2~8호는 내부통제(Annex VI)이고, 지정 인증기관 평가(Annex VII)는 제1호 생체인식에서 조화표준을 온전히 적용하지 않은 경우 등에 요구된다 ↩