2026년 12월부터 소프트웨어 결함도 제조물 책임 대상
유럽에 디지털 제품을 공급하는 기업들은 2026년 12월 9일을 기점으로 근본적으로 달라진 책임 환경을 맞는다. 유럽연합(EU)이 제정한 신제품 책임 지침(Directive (EU) 2024/2853)은 그 날짜부터 소프트웨어와 인공지능(AI) 시스템을 법적 '제품'의 범주에 명시적으로 포함시킨다. 스마트기기 펌웨어, 모바일 애플리케이션, 운영체제(OS), AI 판단 로직까지 소비자 피해와 연결되면 제품 결함 논쟁의 중심에 서게 된다.
Esa Automation·act legal·Baker McKenzie가 발표한 지침 해설에 따르면, 이 변화는 1985년 이후 40여 년간 유지된 물리적 상품 중심의 EU 제조물 책임 체계를 소프트웨어 시대에 맞게 전면 재편하는 것이다. 본지 분석에 따르면, 이 변화는 한국 독자에게 먼 유럽 법률 소식으로 끝나지 않는다. 유럽에 팔린 로봇청소기, 차량용 소프트웨어, 헬스케어 앱, 공장 자동화 장비가 사고를 일으키면 책임의 출발점이 달라진다.
피해자는 기업의 과실을 일일이 증명하지 않아도 된다. 엄격 책임(strict liability) 원칙에 따라 결함, 손해, 인과관계를 제시하면 소송의 문턱을 넘을 수 있다. 소프트웨어 업데이트를 몇 차례 미뤘는지, 보안 패치를 어떤 기준으로 배포했는지가 법무팀의 사후 대응 문제가 아니라 제품 설계 단계의 핵심 항목으로 이동한다.
1985년에 만들어진 기존 EU 제조물 책임 체계는 주로 물리적 상품을 전제로 삼았다. 당시의 제품은 손으로 만질 수 있는 기계, 전자제품, 부품에 가까웠다.
그러나 현재의 시장 제품은 코드와 네트워크 없이는 작동하지 않는다. 냉장고도 앱과 연결되고, 자동차는 소프트웨어 업데이트로 기능을 바꾸며, 산업 설비는 클라우드 기반 유지보수 서비스를 통해 성능을 조정한다.
EU가 새 지침에서 독립형 앱, 장치 내 소프트웨어, 운영체제, AI 시스템, 제품 작동에 필수적인 관련 디지털 서비스까지 포괄한 이유가 여기에 있다. 가장 큰 변화는 결함의 의미다.
과거 소비자는 제품이 깨졌거나 불이 났거나 예상과 다르게 작동했다는 물리적 사고를 중심으로 피해를 주장했다.
광고
새 지침 아래에서는 소프트웨어 취약점도 법적 결함이 될 수 있다. 보안 허점이 개인정보 유출로 이어지거나, AI 시스템의 오류가 기기 작동을 잘못 유도하거나, 필수 업데이트 누락으로 장비 안전성이 떨어졌다면 기업은 제품 책임 체계 안에서 다퉈야 한다.
적용 시점은 2026년 12월 9일 단 하루지만, 기업 내부에서는 개발, 품질, 보안, 고객지원, 법무 프로세스를 함께 바꾸는 긴 작업이 선행되어야 한다. 손해 범위도 넓어진다. Esa Automation·act legal·Baker McKenzie 해설에 따르면 새 지침은 의학적으로 인정되는 심리적 상해와 비전문 데이터의 파괴 또는 손상을 배상 논의 안에 포함한다.
기존에 존재했던 500유로 손해액 기준도 삭제된다. 이는 일반 이용자의 체감 변화를 만든다. 예컨대 소비자가 개인 사진, 가족 기록, 개인용 문서처럼 직업 활동과 직접 연결되지 않은 데이터를 잃었을 때도 손해 논의가 가능해진다.
심리적 상해 역시 단순 불편이나 짜증이 아니라 의학적 인정이라는 조건을 요구하지만, 디지털 제품 사고가 정신적 피해로 이어질 수 있다는 점을 법체계가 반영했다는 의미가 있다.
심리적 피해·개인 데이터 손상까지 배상 범위 확대
책임을 질 수 있는 주체도 제조사 한 곳에 머물지 않는다. 제조업체가 EU 밖에 있으면 피해자는 수입업체, 제조업체의 공인 대리인, 창고 보관과 배송을 맡은 물류 제공업체까지 상대로 삼을 수 있다. 이 대목은 한국 기업의 유럽 진출 방식에 직접 닿는다.
한국 본사가 제품을 만들고 유럽 현지 파트너가 수입·유통·배송을 맡는 구조라면, 계약서의 책임 배분 조항이 실제 분쟁에서 기업 생존 비용을 좌우한다. 공급망의 어느 지점에서 제품이 시장에 들어갔는지, 누가 기술 문서와 업데이트 정보를 관리했는지, 누가 소비자에게 안전 정보를 알렸는지가 함께 조사 대상이 된다. 법정에서의 증거 구조도 기업에 불리하게 바뀔 가능성이 있다.
새 지침은 피해자가 그럴듯한 주장을 제시하면 법원이 증거 개시(disclosure of evidence)를 명령할 수 있도록 한다.
광고
특히 기술적으로 복잡한 사건에서 결함이나 인과관계 입증이 지나치게 어렵다면, 법원은 결함 또는 인과관계를 반박 가능한 추정으로 다룰 수 있다. 소비자가 AI 모델 내부 구조나 펌웨어 설계 문서를 확보하기 어렵다는 현실을 반영한 장치다.
기업 입장에서는 사고 뒤 방어 논리를 만드는 것보다 개발 당시 의사결정, 테스트 결과, 취약점 관리 기록을 남기는 일이 더 값진 방어 수단이 된다. 반론도 있다. 소프트웨어와 AI를 제품 책임 체계에 넣으면 중소 개발사와 스타트업의 부담이 커지고, 유럽 시장 출시가 늦어질 수 있다는 지적이다.
이 우려는 현실적이다. 책임보험 비용, 문서화 작업, 보안 검증 절차는 규모가 작은 기업에 무겁게 작용한다. 그러나 디지털 제품이 생활 인프라로 들어온 상황에서 책임 공백을 그대로 두는 비용도 작지 않다.
문제는 규제를 피하는 데 있지 않고, 개발 초기부터 위험 분석과 업데이트 체계를 가격·납기와 같은 수준의 경영 지표로 다루는 데 있다. 본지 분석에 따르면, 한국 기업이 특히 신경 써야 할 지점은 제품 출시 이후다.
과거 제조업 품질관리는 출하 전 검수와 인증 획득에 무게를 뒀다. 소프트웨어 제품은 출시 뒤에도 계속 바뀐다.
보안 패치, 기능 추가, AI 모델 개선, 클라우드 연동 방식 변경이 이어진다. EU 새 지침은 이 수명주기 전체를 책임의 시야에 넣는다. 유럽 시장에 연결형 제품을 공급하는 기업이라면 업데이트 정책, 취약점 신고 채널, 기술지원 종료 시점, 데이터 복구 절차를 소비자와 파트너가 이해할 수 있게 문서화해야 한다.
자동차 부품사, 가전업체, 의료기기 기업, 산업 자동화 기업은 개발자 채용만으로 디지털 전환을 설명할 수 없는 시대에 접어들었다.
한국 기업 유럽 수출 전략, 보안 업데이트가 핵심 변수
일반 소비자에게도 변화의 방향은 분명하다. 제품 설명서와 이용약관의 문구가 더 길어지는 수준에 그치지 않는다. 기업은 앱 업데이트를 왜 요구하는지, 보안 지원을 언제까지 제공하는지, 데이터 손상 사고가 났을 때 어떤 절차로 대응하는지를 더 구체적으로 제시해야 한다.
광고
소비자는 값싼 제품을 고를 때도 업데이트 이력과 제조사의 지원 정책을 확인할 이유가 커진다. 스마트홈 기기나 건강관리 앱처럼 사생활과 직접 맞닿은 제품일수록 이 기준은 더 현실적인 구매 조건이 된다. 정책적으로도 EU의 선택은 다른 시장에 압력을 준다.
EU는 회원국이 2026년 12월 9일까지 새 지침을 국내법으로 전환하도록 요구한다. 같은 날짜 이후 시장에 출시되거나 서비스에 투입되는 제품에 새 규정이 적용된다.
각 회원국의 세부 법문과 집행 방식은 국가별로 차이를 낳을 수 있으며, 모든 전환 내용이 현재까지 공식 확인된 것은 아니다. 그럼에도 유럽에 물건을 파는 기업은 가장 엄격한 기준을 중심으로 내부 체계를 맞추려 할 가능성이 크다.
글로벌 기업은 지역별로 다른 품질·보안 기준을 운영하는 비용보다 높은 공통 기준을 채택하는 편이 장기적으로 단순하기 때문이다. 한국 정부와 산업계에도 과제가 남는다.
소프트웨어가 제품이라는 인식은 제조업과 IT업의 경계를 흔든다. 법무와 보안, 품질관리 조직이 같은 제품 데이터를 보고 움직이는 체계가 필요하다. 특히 유럽 수출 비중이 큰 기업은 공급 계약서에서 보안 업데이트 의무, 결함 통지 절차, 데이터 손상 대응, 책임보험 조건을 다시 점검해야 한다.
이는 비용 증가 요인이지만, 사고가 난 뒤 시장 접근권을 잃는 위험과 비교하면 선제 투자에 가깝다. 이번 지침의 핵심은 규제 강화보다 책임의 현실화다.
소비자는 이미 소프트웨어가 지배하는 제품을 쓰고 있었지만, 법은 오랫동안 물리적 하자 중심의 언어를 유지했다. EU는 그 간격을 줄이려 한다.
한국 기업이 이를 단순한 유럽발 법률 리스크로만 읽는다면 대응은 늦어진다. 앞으로의 경쟁력은 더 빠른 기능 출시가 아니라, 기능이 실패했을 때 피해를 줄이고 책임을 설명할 수 있는 구조에서 나온다. 기업은 이제 제품을 판매하는 것이 아니라 업데이트와 안전관리까지 포함한 장기 약속을 판매하는 시장에 들어섰다.
FAQ
Q. 한국 소비자가 EU 제품 책임 지침의 영향을 직접 받을 수 있나
A. 이 지침은 EU 시장에 출시되거나 서비스에 투입되는 제품을 대상으로 한다. 한국 소비자가 국내에서만 판매되는 제품을 구매한 경우 곧바로 같은 규칙이 적용되는 것은 아니다. 다만 한국 기업이 유럽 기준에 맞춰 제품 설계와 업데이트 정책을 바꾸면, 동일 제품군의 국내 지원 방식에도 간접 영향이 생길 수 있다. 글로벌 제품은 지역별로 완전히 다른 보안 관리 체계를 유지하기 어렵기 때문이다. 결과적으로 유럽용 보안 기준이 국내 출시 제품의 품질 향상으로 이어지는 긍정적 효과도 기대할 수 있다.
Q. 기업은 2026년 12월 9일 전에 무엇을 점검해야 하나
A. 기업은 소프트웨어 구성 요소, AI 시스템 사용 여부, 펌웨어 업데이트 경로, 취약점 대응 절차를 먼저 확인해야 한다. 유럽 시장에 공급망을 둔 경우 수입업체, 공인 대리인, 물류 제공업체와 맺은 계약의 책임 배분도 다시 검토해야 한다. 개발 기록과 테스트 자료, 보안 패치 이력은 향후 분쟁에서 핵심 증거가 될 수 있으므로 체계적으로 보관해야 한다. 법무팀만의 과제가 아니라 개발, 품질, 고객지원 조직이 함께 다뤄야 할 사안이며, 2026년 12월 9일 이전에 내부 프로세스와 계약 조건을 정비하지 않으면 첫 사고 발생 시 대응 비용이 급등할 수 있다.
Q. 소프트웨어 오류가 모두 제품 결함으로 인정되나
A. 모든 오류가 곧바로 법적 결함이 되는 것은 아니다. 새 지침은 결함, 손해, 인과관계를 중심으로 책임을 판단하도록 한다. 다만 기술적으로 복잡한 사건에서는 피해자의 입증 부담을 완화하는 장치가 마련되어 기업의 설명 책임이 커진다. 기업은 오류 가능성을 없애겠다는 약속보다 위험을 예측하고 줄였다는 기록을 남기는 방식으로 대비해야 한다. 취약점 공개 채널 운영, 정기적 보안 감사, 패치 배포 이력 관리가 법정 방어 수단으로서 직접적인 가치를 갖는다.
※ 이 기사는 Esa Automation, act legal, Baker McKenzie가 발간한 EU 신제품 책임 지침(Directive (EU) 2024/2853) 관련 해설을 참조하여 작성하였다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
