5 분 소요

Series A. EU 제품안전 기초: NLF를 해부한다 : A-4 보충편 (A-4-2)

이전 글: A-4 제품이 팔린 뒤가 더 무섭다

함께 읽기: A-4-1 Blue Guide는 해설서인가, 설계도인가

CE 마크가 없는 물건들의 세계

지금 앉아 있는 방을 한번 둘러보자.

노트북 충전기를 뒤집으면 CE 마크가 있다. 스마트폰 상자에도, 전기 주전자 바닥에도 있다. A 시리즈 내내 우리는 이 작은 마크 뒤에 숨은 거대한 설계도를 추적해왔다.

그런데 의자에는 없다. 머그컵에도, 책상에도, 아이 방의 나무 블록에도 없다.

우리 생활을 채운 물건의 상당수에는 CE 마크가 없다.

그 물건들은 누가 지키는가.

두 개의 트랙: 조화된 세계와 조화되지 않은 세계

A-1에서 A-5까지 해부한 NLF(New Legislative Framework, EU 조화 입법 체계)는 사실 EU 제품 규제의 절반이다. 기계, 완구, 전기전자, 무선기기처럼 개별 법령이 존재하는 제품만 그 트랙 위를 달린다. 필수요구사항, 인증 모듈, Notified Body, CE 마킹 — 전부 이 조화(harmonised) 트랙의 장치들이다.

나머지 절반이 있다. 가구, 주방용품, 문구, 그리고 개별 법령이 없는 수많은 생활용품. 이 비조화(non-harmonised) 트랙을 받치는 법이 GPSR(General Product Safety Regulation, 일반제품안전규정 — Regulation (EU) 2023/988)이다.1

비유하자면 이렇다. NLF의 개별 법령들이 제품군마다 촘촘하게 짜인 개별 그물이라면, GPSR은 그 모든 그물 아래에 펼쳐진 넓은 안전그물(residual safety net)이다. 개별 그물이 없는 제품도, 개별 그물이 놓친 리스크도, 결국 이 그물 위에 떨어진다.

한 가지 흔한 오해를 걷어내자. 두 트랙은 완전히 분리된 세계가 아니다. GPSR의 온라인 마켓플레이스 의무, 사고 보고, 리콜 구제, Safety Gate 규정은 CE 마크가 붙은 조화 제품에도 적용된다(Art.2). GPSR은 비조화 제품의 본체 규범이자, 조화 제품의 보완 규범이라는 이중 역할을 한다.

지침에서 규칙으로 — 격(格)이 바뀌었다

이 안전그물 자체는 새것이 아니다. 2001년부터 GPSD(General Product Safety Directive, 일반제품안전지침 2001/95/EC)가 같은 역할을 해왔다.

2023년, EU는 이것을 갈아 끼웠다. 이름만 바꾼 것이 아니다.

지침(Directive)은 각 회원국이 국내법으로 옮겨 적어야 효력이 생기는 권고 레시피다. 규칙(Regulation)은 번역 없이 27개 회원국에 그대로 적용되는 완제품 법이다. GPSD는 레시피였고, GPSR은 완제품이다. 2024년 12월 13일, 회원국별 시차 없이 일괄 적용됐다.

왜 격을 올렸는가. A-4에서 본 통계를 기억하자 — EU 위험제품 경보의 77%가 역외 수입품이었다. 국경 없는 온라인 직구의 시대에, 나라마다 법이 조금씩 다른 안전그물은 그물이 아니라 구멍이다. 조화 제품의 시장감시 규범(Regulation 2019/1020)이 이미 ‘규칙’인데 비조화 제품만 ‘지침’으로 남겨둘 이유도 없었다(Recital 3).

경보망은 하나가 아니라 셋이다

A-4에서 우리는 RAPEX라는 유럽 전체의 경보망을 만났다. GPSR은 이것을 Safety Gate로 개명하면서, 지침 기반의 운영 시스템을 규칙에 직접 규정된 법정 시스템으로 격상했다(Art.25-27).

그런데 이름보다 흥미로운 것은 구조다. Safety Gate는 단일 시스템이 아니라 세 개의 창구다.

  1. Safety Gate Rapid Alert System — 회원국 당국과 집행위원회가 쓰는 내부 신속경보망. 심각한 리스크의 시정조치는 4영업일 내 통보됨(Art.26).

  2. Safety Gate Portal — 소비자·언론이 보는 공개 포털. 경보 발췌본 공개 + 소비자 위험제품 신고 섹션 운영(Art.34).

  3. Safety Business Gateway — 기업 전용 신고 창구. 제조사·수입업자·유통업자·마켓플레이스가 위험제품과 사고를 당국에 신고할 법적 의무를 지는 웹포털(Art.27).

②와 ③의 분리에 주목할 필요가 있다. 정부가 국민에게 공개하는 창구와, 기업이 스스로 위험을 발견해 신고하는 창구는 정보가 흐르는 방향이 반대다. EU는 이 두 흐름을 한 시스템에 욱여넣지 않고 별도의 문으로 설계했다.

저울에도 법적 지위가 생겼다

A-5에서 우리는 리스크 평가가 NLF의 숨은 엔진이라는 것을 봤다. GPSR 세계에서 그 엔진이 어떻게 격상됐는지 보자.

지금까지 위험제품의 리스크 평가는 RAPEX 가이드라인(Commission Implementing Decision 2019/417)이라는 권고적 문서의 방법론을 따랐다. 2024년 8월, EU는 이 방법론을 위임규정(Delegated Regulation 2024/3173)으로 옮겨 적었다.2 가이드라인이 법이 된 것이다 — 본체가 지침에서 규칙으로 격상된 것과 같은 패턴이, 방법론 차원에서 한 번 더 반복됐다.

내용물은 정교한 저울이다.

  1. 위해 시나리오 — 결함에서 사고까지의 경로를 최소 3단계, 최대 5단계로 기술함.

  2. 심각도 4단계 × 발생확률 8단계 — 확률은 50% 이상(very frequent)부터 100만분의 1 이하(extremely rare)까지. 시나리오 각 단계의 확률을 곱해 산출함.

  3. 리스크 매트릭스 — 두 축의 조합으로 Serious / High / Medium / Low 4수준 판정.

  4. 패스트트랙(심각 리스크 추정) — 마켓플레이스가 스스로 위험 표시를 하거나 자발적으로 삭제·리콜한 제품은 개별 평가 없이 곧바로 심각한 리스크로 추정함(Annex II §4).

4번을 다시 읽어보자. 플랫폼의 자율 조치가 규제 시스템의 공식 입력값이 된다. 기업이 “혹시 몰라서” 내린 제품이, 그 행위 자체로 경보망의 데이터가 되는 설계다.

문 자체가 안 열리게 하라

GPSD에 없던 장(章)이 GPSR에 하나 통째로 생겼다. 온라인 마켓플레이스 의무(Art.22)다.

핵심은 등재 차단형 설계(compliance by design)다. 판매자가 제조사명, EU 내 책임자, 제품 식별정보, 경고·안전정보를 제공하지 않으면 상품 페이지가 애초에 게시되지 않도록 인터페이스를 설계할 의무를 마켓플레이스에 지웠다(Art.22(9)-(10)).

사후 탐지가 CCTV로 범인을 잡는 방식이라면, 이것은 출입증 없으면 문 자체가 안 열리는 방식이다.

문이 열린 뒤의 의무도 촘촘하다. 당국의 삭제 명령은 2영업일 내 이행, 리콜 시에는 구매 소비자에게 직접 통지. 리콜 통지문에서 ‘voluntary(자발적)’, ‘precautionary(예방 차원)’ 같은 위험 인식을 약화시키는 표현은 금지되고(Art.36), 소비자에게는 수리·교체·환불 중 최소 두 가지 선택권을 줘야 한다(Art.37).

그리고 AI — 안전그물 위에 떨어지는 새 물건

이 글이 A 시리즈가 아니라 B 시리즈처럼 들리기 시작하는 지점이다.

GPSR Art.6은 제품 안전성을 평가할 때 고려할 요소를 열거하는데, 그중 (h)항이 “진화·학습·예측 기능(evolving, learning and predictive functionalities)”이다. AI가 내장된 제품의 안전을 평가하라는 뜻을, 비조화 제품의 일반 안전요건에 명시한 것이다.

왜 이것이 중요한가. AI Act는 고위험 AI를 정조준한 법이다. 그런데 스마트 완구, AI 스피커 달린 가전, 학습 기능이 있는 생활용품처럼 고위험 분류에 들지 않는 AI 내장 소비자 제품은 AI Act의 그물에 걸리지 않는다. 그 물건들이 떨어지는 곳이 바로 GPSR이라는 안전그물이다.

연결되는 조항이 더 있다. 소프트웨어 업데이트로 안전에 영향을 주는 변경은 디지털 수단에 의한 실질적 변경으로 취급되어 변경자가 제조사 책임을 진다(Art.13(3)) — B-3에서 본 AI Act의 Substantial Modification과 같은 사상이다. 제품에 내장된 소프트웨어의 공급자도 추적성 정보 대상에 포함된다(Art.15).

[필자 분석] 두 번의 격상이 가리키는 방향

GPSR을 “비조화 제품용 법 하나가 바뀌었다”로 읽으면 절반만 읽은 것이다.

이 법에서 같은 동작이 두 번 반복된다. 본체는 지침에서 규칙으로, 리스크 평가 방법론은 가이드라인에서 위임규정으로. 권고였던 것들이 차례로 법적 구속력을 획득했다. 방향은 일관된다 — “비조화 영역 = 규제가 느슨한 영역”이라는 등식의 소멸이다.

구조적으로 보면 역할 분담이 선명해졌다. NLF가 시장에 들어오기 전의 설계도(사전 인증)라면, GPSR은 시장에 나온 뒤의 공통 인프라(경보망·마켓플레이스·리콜)다. 그리고 그 공통 인프라는 CE 마크 유무와 무관하게 모든 소비자 제품에 깔린다. CE 마크가 없는 제품이라고 규제 밀도가 낮은 것이 아니라, 다른 종류의 규제가 작동하는 것이다.

AI 관점에서 보면 EU는 AI를 두 갈래로 받아낸다. 고위험 AI는 AI Act가, 생활 속 AI는 GPSR이. 한국과 비교하면 이 두 번째 갈래의 공백이 보인다. 한국 AI 기본법의 고영향 AI 10개 영역은 에너지·의료·채용 같은 분야를 겨냥하고 있어, 생활제품에 내장된 AI는 대부분 그 바깥에 있다. 그 공백을 받아야 할 법은 AI 법제가 아니라 제품안전 법제 — 한국이라면 제품안전기본법이 GPSR의 자리에 서야 한다. AI 내장 생활용품의 안전이라는 질문은, AI 규제 담당자보다 제품안전 담당자의 책상에 먼저 도착할 것이다.

마무리: 법은 침묵하지 않는다

A 시리즈의 첫 글은 “법이 침묵할 때, 기업은 무엇을 하는가”라는 질문으로 시작했다.

이제 그 질문을 뒤집어 닫을 수 있다. 개별 법령이 침묵하는 제품 — CE 마크가 없는 그 모든 물건들 앞에서도, 법은 침묵하지 않는다. 일반 안전요건이라는 넓은 그물을 치고, 경보망을 셋으로 나눠 짜고, 마켓플레이스의 문에 잠금장치를 달았다.

한줄 코멘트. CE 마크는 EU 제품안전의 전부가 아니라 절반이다. 나머지 절반은 GPSR이라는 안전그물이 받치고 있고, AI가 담긴 생활용품은 바로 그 그물 위에 떨어진다.

그물에 걸리지 않는 물건은 없다. 다만 어느 그물에 걸리는지가 다를 뿐이다.

← 이전 글: A-4 제품이 팔린 뒤가 더 무섭다

함께 읽기: A-4-1 Blue Guide는 해설서인가, 설계도인가 · B-3 AI가 업데이트되면 인증을 다시 받아야 하나

주석

  1. Regulation (EU) 2023/988 of the European Parliament and of the Council of 10 May 2023 on general product safety. OJ L 135, 23.5.2023 (CELEX 32023R0988). 2024.12.13 전면 적용. GPSD(Directive 2001/95/EC)와 식품유사제품 지침(Directive 87/357/EEC)을 폐지·대체. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32023R0988 ↩

  2. Commission Delegated Regulation (EU) 2024/3173 of 27 August 2024 supplementing Regulation (EU) 2023/988 — Safety Gate Rapid Alert System의 접근·운영·통보 요건·리스크 수준 평가 기준. 2024.8.27 채택, 2024.12.13 적용. RAPEX 가이드라인(Commission Implementing Decision (EU) 2019/417)의 리스크 평가 방법론을 명시적으로 계승·격상(Recital 10). ↩

참고