홈으로 목록으로 →
EU-product-safetyNLFAI RegulationProduct Safety

[A-5-1] 리스크 잣대가 둘이 된 이유 — 리스크 평가와 영향평가

40년 동안 EU 제품안전은 리스크 잣대 하나로 충분했다. 확률 곱하기 심각도. 그런데 AI Act는 같은 법 안에 잣대를 하나 더 얹었다. 재는 사람도, 재는 대상도 다른 잣대다.

Series A. EU 제품안전 기초: NLF를 해부한다 | A-5 보충편 (A-5-1)

이전 글: A-5 위험을 재는 저울

함께 읽기: A-4 제품이 팔린 뒤가 더 무섭다 · B-2 고위험 AI란 무엇인가

잣대 하나로 40년을 버텼다

A-5에서 EU 제품안전 체계 전체를 관통하는 잣대 하나를 봤다.

리스크 = 위해가 발생할 확률 × 그 위해의 심각도.

ISO/IEC Guide 51이 정한 이 한 줄이 놀라운 이유는 적용 범위였다.
드릴이든, 유아용 카시트든, 심장 스텐트든 같은 공식으로 잰다.

잰 값이 크면 제3자 검증기관이 개입하고, 작으면 제조사가 스스로 선언한다.

모듈도, 검증기관도, 시장감시도 전부 이 눈금 위에서 강도가 정해졌다.
40년 동안 이 잣대 하나로 충분했다.

그런데 AI Act를 펴면 잣대가 하나 더 나온다.

같은 법 안의 두 조문

EU AI Act에는 평가를 요구하는 조문이 둘 있다. 이름부터 다르다.

  1. Article 9 — 리스크 관리 체계(Risk Management System). 고위험 AI를 시장에 내놓는 공급자(provider)의 의무다. 수명주기 전반에 걸쳐 알려진 리스크와 예견 가능한 오용을 식별하고, 평가하고, 줄이는 절차를 갖춰야 한다.

  2. Article 27 — 기본권 영향평가(Fundamental Rights Impact Assessment, FRIA). 고위험 AI를 실제로 쓰는 쪽, 즉 배포자(deployer)의 의무다.1

같은 법, 같은 고위험 AI인데 평가가 둘이다.
그리고 이 둘은 잣대를 드는 사람이 다르다.

Article 9는 만드는 사람이 든다. 공장에서, 출고 전에.
Article 27은 쓰는 사람이 든다. 현장에서, 켜기 전에.

40년 제품안전 체계에서는 이런 구분이 없었다.
드릴은 공장을 떠날 때 안전하면 그것으로 끝이었다. 누가 어디서 쓰든 드릴은 드릴이니까.

왜 하나로는 부족해졌는가

이유는 AI가 제품과 다른 지점에 있다.

같은 채용 심사 AI를 대기업 인사팀이 쓸 때와, 지방자치단체가 공공일자리 배정에 쓸 때를 생각해 보자.
모델은 똑같다. 정확도도 똑같다. 공급자가 Article 9으로 잰 리스크 값도 똑같다.

그런데 후자에서는 탈락한 사람이 갈 곳이 없다.
민간 채용이라면 다른 회사에 지원하면 된다. 공공 배정이라면 그 결정이 사실상 유일한 창구다.

제품은 같은데 위험이 다르다.
바뀐 것은 제품이 아니라 그것이 놓인 자리다.

Article 27이 배포자에게 잣대를 쥐여 준 이유가 여기 있다. 공급자는 그 자리를 모른다.

Article 27은 무엇을 재라고 하는가

원문이 요구하는 항목은 여섯 가지다.1

  1. 그 시스템을 어떤 업무 절차에서 쓸 것인가

  2. 얼마 동안, 얼마나 자주 쓸 것인가

  3. 그 맥락에서 영향받을 사람과 집단의 범주는 누구인가

  4. 그 사람들에게 갈 구체적 위해 리스크는 무엇인가

  5. 사람의 감독은 실제로 어떻게 작동시킬 것인가

  6. 그 리스크가 현실이 되면 무엇을 할 것인가 — 내부 거버넌스와 불만처리 절차를 포함해

3번이 이 잣대의 핵심이다.
Article 9이 “이 시스템이 오작동할 확률은 얼마인가”를 묻는다면, Article 27은 **“그래서 누가 다치는가”**를 묻는다.

여기서 눈여겨볼 것이 하나 있다.
4번 항목은 “risks of harm”이라고 쓴다. 기본권 영향평가인데 리스크라는 단어를 그대로 쓴다.

EU는 잣대를 새로 만들면서 눈금을 완전히 갈아엎지 않았다.
Guide 51에서 물려받은 리스크 언어를 유지한 채, 재는 대상만 “제품의 오작동”에서 “사람이 입을 위해”로 옮겼다.

40년 된 잣대를 버린 게 아니라, 그 잣대로 재는 대상을 옮긴 것에 가깝다.

그리고 그 결과는 어디로 가는가

Article 27 FRIA가 서류철에서 끝나지 않는다는 점도 중요하다.

평가를 마친 배포자는 시장감시당국에 결과를 통보해야 한다. AI Office가 만든 서식을 채워서 낸다.1

A-4에서 본 시장감시 체계를 기억할 것이다.
팔린 뒤를 지켜보는 그 조직이, 이제 팔리기 전의 평가서까지 받는다.

개인정보 쪽과의 관계도 정리해 뒀다.
GDPR의 데이터보호영향평가(DPIA)로 이미 충족된 항목은 Article 27 FRIA가 보완하는 관계다. 같은 것을 두 번 쓰라고 하지 않는다.1

[필자 분석] 위험이 물건 밖으로 나왔다

여기서 한 발 물러서 보면, EU가 한 일은 규제를 하나 더 얹은 게 아니다.

리스크가 어디에 있는지, 그 답을 바꾼 것이다.

전동 드릴이 왜 위험한지 생각해 보자.
날이 날카롭고, 모터가 돌고, 전선에 전류가 흐른다.
그 위험은 전부 드릴 안에 들어 있다. 드릴을 분해하면 눈으로 확인할 수 있다.

그래서 공장에서 재면 충분했다.
위험이 물건 안에 있으니, 물건을 검사하면 위험이 잡혔다.
물건을 고치면 위험이 줄었고, 리콜은 그 물건을 도로 가져오는 일이었다.

제품안전 40년이 이 방식으로 작동했다.

AI는 여기서 어긋난다.
채용 심사 AI를 아무리 뜯어봐도 “떨어진 사람이 갈 데가 없다”는 사실은 나오지 않는다.
그건 모델 안에 없다. 모델 바깥, 그것이 놓인 자리에 있다.

같은 코드가 대기업 인사팀에 있으면 여러 선택지 중 하나이고, 공공기관에 있으면 유일한 관문이 된다.
코드는 한 글자도 다르지 않은데 위험의 크기가 달라진다.

위험이 물건 밖으로 나온 것이다.

그렇다면 물건을 검사하는 것만으로는 닿지 않는 영역이 생긴다.
공장에 있는 사람은 그 물건이 어디로 갈지 모르기 때문이다.

Article 27은 그 닿지 않는 영역을, 물건이 놓일 자리를 아는 사람에게 넘긴 조문이다.

다만 EU도 이 잣대를 모두에게 쥐여 주지는 않았다.
Article 27 FRIA 의무는 공공기관과 공공서비스를 제공하는 민간, 그리고 신용평가·생명건강보험 가격산정 배포자에 한정된다. 핵심 인프라는 오히려 제외됐다.1

읽는 방법은 두 가지다.
하나는 “공권력에 준하는 자리에서 쓰일 때만 기본권 잣대를 든다”는 원칙적 선 긋기.
다른 하나는 전면 적용 시 부담이 너무 커진다는 현실적 타협.

아마 둘 다일 것이다. 규제는 대개 원칙과 타협이 같은 조문에 들어앉는다.

우리나라로 오면

이 구도를 놓고 국내 법제를 보면 지형이 다르다.

잣대가 여러 개인데, 서로 다른 법에 흩어져 있다.

「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제35조가 영향평가를 두고 있다. 다만 노력 의무다.2 EU가 배포자에게 의무로 지우고 당국 통보까지 요구한 것과는 무게가 다르다. 대신 국가기관이 조달할 때 영향평가를 실시한 제품을 우선 고려하는 유인이 붙어 있다.

“위해성평가”라는 이름의 제도는 따로 있다.
「인체적용제품의 위해성평가에 관한 법률」이 정의를 두고 있는데 구조가 선명하다 — 위해요소에 노출되는 정도를 재고, 미리 정해 둔 인체노출 안전기준과 대조한다.3
임계값이 있는 정량 평가다.

그런데 이 이름을 쓰는 고시 열한 건을 확인해 보면 전부 화학물질·환경유해인자·식품·석면·토양·유전자변형생물체 계열이다.4
공산품 제품안전 소관 고시는 한 건도 없다.

공산품 쪽에서 작동하는 것은 「제품안전기본법」의 안전성조사다. 이것은 사전 평가가 아니라 이미 유통 중인 시판품을 골라 결함 여부를 조사하는 사후 수단이다.5 EU로 옮기면 리스크 평가 방법론이 아니라 시장감시 쪽에 대응한다.

정리하면 이렇다.

  • 화학·식품에는 위해성평가 — 노출과 임계값의 언어
  • 공산품에는 안전성조사 — 시판품을 골라 결함을 보는 사후 집행
  • AI에는 영향평가 — 기본권의 언어, 그러나 노력 의무

셋 다 뿌리는 같은 잣대다. 이름과 눈금만 부처별로 갈라졌다.

문제는 AI가 들어간 물리적 제품 하나를 앞에 놓았을 때다.
말하는 인형을 생각해 보자. 프탈레이트가 나오면 화학 쪽 잣대, 배터리가 발화하면 공산품 쪽, 아이와의 대화가 정서에 영향을 주면 AI 쪽이다.

세 잣대가 한 물건 위에서 만나는데 셋을 잇는 조항이 없다.

EU AI Act는 이 문제를 Annex I 구조로 처리했다. AI 요건을 기존 제품 법령의 절차 안으로 흡수시켜, 제조사가 적합성평가를 한 번만 받게 했다.
국내는 각 평가가 각자의 법에 독립적으로 앉아 있다.

마무리: 잣대를 몇 개 들 것인가

EU가 던진 질문은 “잣대를 하나 더 만들까”가 아니었다.
**“물건에서 재던 것을, 그 물건이 놓인 자리에서도 재야 하는가”**였다.

그 답이 Article 27이다.

한줄 코멘트

한줄 코멘트. 리스크 평가는 물건이 고장 날 확률을 재고, 영향평가는 그 고장으로 누가 무엇을 잃는지를 잰다. 40년 제품안전이 앞의 것만으로 버틸 수 있었던 이유는 위험이 물건 안에 들어 있었기 때문이고, AI에서 잣대가 하나 더 필요해진 이유는 위험이 물건 밖으로 나왔기 때문이다.

우리 법제에는 잣대가 이미 여럿 있다. 다만 각자 다른 법에 앉아 서로를 쳐다보지 않는다.

← 이전 글: A-5 위험을 재는 저울

함께 읽기: A-4 제품이 팔린 뒤가 더 무섭다 · B-2 고위험 AI란 무엇인가 · E-2 ‘고영향’과 ‘고위험’은 같은 말인가

주석 :

Footnotes

  1. EU AI Act(Regulation (EU) 2024/1689) Article 27. 2026-09-18 EU 공식 저장소(CELLAR, CELEX 32024R1689) 원문 대조. 의무 주체는 Article 6(2) 고위험 AI의 배포자 중 ① 공법상 기관 ② 공공서비스를 제공하는 민간 주체 ③ Annex III 5(b)·(c)(신용평가, 생명·건강보험 가격산정) 배포자이며, Annex III 2호(핵심 인프라)는 제외된다. 평가 항목 (a)~(f), 최초 사용 시점 수행 및 변경 시 갱신(27(2)), 시장감시당국 통보와 AI Office 서식(27(3)), DPIA와의 보완 관계(27(4))는 모두 원문 규정이다. Article 9(리스크 관리 체계)은 이와 달리 공급자 의무다. ↩ ↩2 ↩3 ↩4 ↩5

  2. 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제35조. “노력하여야 한다”로 규정된 노력 의무이며, 국가기관등이 영향평가를 실시한 제품·서비스를 우선 고려한다는 조달 유인이 함께 있다. 시행령 제28조제3항이 필요사항을 장관 고시로 위임하고 있으나 해당 고시는 2026-09-17 법제처 행정규칙 조회 기준 확인되지 않았다. 상세는 AI-영향평가, 인공지능-영향평가-가이드라인 참조. ↩

  3. 인체적용제품의 위해성평가에 관한 법률 제2조(2025.3.18 공포, 2026.3.19 시행). 제2호 위해요소(화학적·생물학적·물리적 요인), 제3호 위해성(노출 시 건강을 해칠 수 있는 정도), 제4호 위해성평가, 제5호 인체노출 안전기준. 2026-09-18 법제처 원문 확인. ↩

  4. 2026-09-18 법제처 행정규칙 “위해성평가” 전수 검색 결과 11건. 소관은 화학물질안전원·국립환경과학원·기후에너지환경부·식품의약품안전처·농촌진흥청이며 국가기술표준원 소관 고시는 없다. 상세는 위해성평가 참조. ↩

  5. 제품안전기본법 제3조제3호(2025.12.2 공포, 2026.6.3 시행). “제품의 제조·설계 또는 제품상 표시 등의 결함 여부에 관하여 검증·검사 또는 평가하는 일체의 활동”. 유통 중인 시판품을 선택해 조사하는 사후 집행 수단이라는 점에서 시장 진입 전 사전 평가와 층위가 다르다. ↩