규제가 수출의 새 언어가 되다

지난 석 달, 같은 취재원이 두 번 같은 경고를 보냈습니다. 5월엔 “바이어의 질문이 달라졌다”는 신호였고, 7월엔 “이제 그 신호에 날짜가 붙었다”는 확인이었습니다. 두 장면을 이어보면 하나의 결론만 남습니다 — 규제를 읽고 대응하는 능력이 곧 수출 계약서의 한 줄이 되었다는 것.

바이어의 질문이 달라졌다

산업통상부 국가기술표준원이 연 ‘2026 AI·사이버보안 규제 대응 세미나’에서 나온 이야기는 단순했습니다. 과거 바이어는 제품의 기능·가격·납기만 물었지만, 이제는 AI 적용 범위, 고객 데이터 학습 여부, 보안 업데이트 체계, 취약점 대응 절차까지 계약 전에 확인합니다. 검수의 언어 자체가 바뀐 것입니다.

더 중요한 건 ‘어디에 있느냐’가 아니라 ‘누구에게 파느냐’입니다. 한국에 본사가 있어도 EU·중국 이용자에게 제품과 서비스를 제공하는 순간, 그 나라의 규제가 그대로 적용됩니다.

CRA 카운트다운

두 달 뒤 EU 집행위원회가 사이버복원력법(CRA)의 적용 범위를 구체화한 지침을 공개했습니다. 5월의 경고가 막연한 우려였다면, 7월의 지침은 구체적인 시계였습니다. CRA는 “디지털 요소가 포함된 제품”에 사이버보안 의무를 부과하며, 독립형 소프트웨어·연결기기·원격 서버·클라우드 기능까지 포함합니다.

신고는 시계와의 싸움입니다. 악용된 취약점은 다음 시한 안에 단계별로 통지해야 합니다.

주의할 점은 책임의 범위입니다. 외부 부품이나 오픈소스에서 비롯된 취약점이라도, 내 완제품에서 악용되면 내가 신고해야 합니다. 보안 지원 기간은 최소 5년, 제품 사용 기간이 더 길면 그에 맞춰 연장됩니다.

4대 규제·산업 지도

CRA는 하나의 파도일 뿐입니다. 수출 기업이 동시에 마주하는 규제는 넷입니다.

45일 대응 플레이북

막막함은 순서로 풉니다. CRA 대응은 45일이면 ‘증명 가능한 상태’까지 끌어올릴 수 있습니다.

두 기사, 하나의 결론

5월의 경고와 7월의 시계, 두 취재를 관통하는 목소리는 하나였습니다. 규제 대응의 진짜 관문은 두꺼운 문서가 아니라 끊기지 않는 운영 흐름이라는 것.

“우리 회사가 한국에 있는지보다 제품과 서비스를 어느 국가 이용자에게 제공하는지가 더 중요하다”는 같은 대표의 말처럼, 규제 대응 역량이 곧 수출 경쟁력으로 연결되는 구조가 이미 만들어지고 있습니다.

CONNECT AI는 이 변화를 세일즈 인텔리전스의 관점에서 봅니다. 규제 대응은 비용이 아니라, 바이어에게 보낼 수 있는 가장 강력한 신뢰 신호입니다. 어느 시장의 어떤 규제를 통과했는지가 곧 제안서의 설득력이 되는 시대 — MORI는 그 신호를 읽고, 정리하고, 바이어에게 번역하는 일을 돕습니다.