ExVe란 무엇일까? — 자동차 데이터 전쟁의 시작

산업 인사이트 — 차량 데이터

차량 데이터 이야기할 때 자주 나오는 말

"OEM이 차량 데이터를 독점한다는 게 무슨 말인가요?"

"ExVe가 뭔지는 들어봤는데 왜 논란이 되는지 모르겠어요."

"Data Act가 발효됐다는데 우리 업무랑 관계가 있는 건가요?"

"차량 데이터 주인이 소유자가 아닌 건가요?"

차량 한 대가 하루에 생성하는 데이터는 수십 GB에 달한다. GPS 위치, 배터리 상태, 운전 패턴, 진단 코드, OTA 이력. 이 데이터를 누가 어떻게 쓸 수 있어야 하는가를 둘러싼 싸움이 지금 유럽에서 벌어지고 있다.

OEM의 답이 ExVe이고, 유럽 규제기관의 답이 Data Act다.

---

ExVe란 무엇인가 — ISO 20077 기반 공식 정의

ExVe(Extended Vehicle, 확장 차량)는 ISO 20077 시리즈로 표준화된 개념이다. ISO 표준(ISO/TC22/SC31, 2015년 착수)에 따른 공식 정의는 이렇다.

ℹ️ ISO 20077 기반 ExVe 공식 정의

"차량의 물리적 경계를 넘어 확장된 개념으로, 도로 차량과 차량 외부 시스템(off-board systems), 외부 인터페이스, 차량과 외부 시스템 간의 데이터 통신으로 구성된다."

핵심은 한 문장으로 정리된다 — ExVe는 OEM의 전적인 책임 하에 있다(The ExVe entity remains under the full responsibility of the Vehicle Manufacturer).

관련 ISO 표준: ISO 20077(ExVe 방법론), ISO 20078(ExVe 웹 서비스), ISO 20080(원격 진단 지원), ISO 23132

쉽게 말하면, 오늘날 차량은 물리적 금속 덩어리만이 아니다. 백엔드 서버, 클라우드 플랫폼, 외부 인터페이스까지 포함해 "확장된 차량"이 된다. 그리고 그 전체를 OEM이 통제한다는 것이 ExVe의 핵심이다.

ExVe 개념 구조 (ISO 20077 기반)

물리적
차량
(ECU, 센서)

↕

OEM
Backend
Server

↕

External
Interface
(API)

↕

서드파티
서비스
사업자

ExVe 전체가 OEM 책임 하에 있다. 서드파티는 차량에 직접 접근하지 않고 반드시 OEM Backend를 통해 데이터를 받는다.

---

ExVe가 등장한 이유 — OEM의 논리

커넥티드카가 확산되기 전에는 차량 데이터 접근이 단순했다. 정비소에서 OBD 포트에 진단기를 꽂으면 됐다. 데이터는 차량 안에 있었다.

4G/5G와 OTA가 등장하면서 상황이 바뀌었다. 차량이 상시 연결되자 OEM은 생각했다 — "수백만 대 차량이 생성하는 데이터가 외부 사업자에게 무통제로 흘러가면 안 된다."

ExVe 구조를 도입한 OEM 측 논리에는 네 가지가 있다.

OEM 주장	내용
보안	누가 어떤 데이터를 가져가는지 OEM이 통제·감사 가능. 비인가 접근 차단. R155 사이버보안 요구사항 이행에 유리.
개인정보 보호	GDPR 준수를 OEM이 일괄 관리. 데이터 처리 근거와 동의 관리를 중앙화.
안전·책임	차량 기능과 직결된 데이터가 비인가 방식으로 외부에서 조작될 위험 차단. ISO 20077이 명시하는 이유 — "안전, 보안, 책임, 형식승인 준수".
데이터 품질	표준화된 인터페이스로 데이터 일관성 보장. ISO 20078(ExVe 웹 서비스)이 표준화한 영역.

💡 ISO 표준이 뒷받침하는 이유

ISO 20077 시리즈 착수 배경에 명시된 ExVe 도입 필요 이유는 "안전, 보안(데이터·개인정보·사이버), 책임, 형식승인 준수, 공정하고 비차별적인 경쟁"이다. OEM의 이익만을 위한 것이 아니라 연결성이 안전과 보안을 해치지 않도록 하기 위한 목적이 포함되어 있다.

---

그런데 누가 반대하는가 — 독립 사업자들의 논리

ExVe 구조에서 OEM은 사실상 차량 데이터의 게이트키퍼가 된다. 모든 데이터는 OEM 서버를 통해야만 외부로 나갈 수 있다. 이 구조에 이해관계자들이 반발했다.

OEM이 원하는 것

차량 데이터의 통제권 유지. 서드파티의 직접 차량 접근 차단. ExVe를 통한 데이터 비즈니스 모델 구축.

독립 정비업체가 원하는 것

OEM 계약 없이 차량 진단 데이터에 직접 접근. OBD 포트 직접 접근과 동등한 수준의 원격 데이터 접근.

보험사가 원하는 것

운전자 동의 하에 운전 습관 데이터를 직접 수신. OEM을 거치지 않는 UBI(사용 기반 보험) 서비스.

플릿 사업자가 원하는 것

보유 차량들의 운영 데이터를 OEM 종속 없이 통합 관리. 멀티 브랜드 차량의 데이터를 단일 플랫폼에서.

⚠️ "데이터 독점" 비판 — 소비자단체와 독립 사업자들의 주장

유럽 소비자단체 BEUC는 유럽 집행위원회에 보낸 서한에서 "ACEA의 ExVe 모델은 경쟁 및 소비자 관점에서 심각한 우려를 제기한다"고 밝혔다. Geotab을 비롯한 플릿 테크 기업들은 ExVe를 "개방적이지 않다(not open)"며 "미래 교통 경제를 가능하게 하기에 부적합한 개념"으로 여러 연구에서 평가받고 있다고 지적했다.

---

EU Data Act — 2025년 9월부터 달라진 것

이 논쟁에 유럽 규제기관이 답했다. EU Data Act(Regulation 2023/2854)가 2025년 9월 12일 완전 적용됐다.

❌ Data Act는 ExVe를 폐지하고 차량 데이터를 완전히 개방하라는 규정이다

✅ Data Act는 사용자(차량 소유자)가 원하면 OEM이 제3자에게 데이터를 제공해야 한다는 규정이다 — 사이버보안 관련 데이터 공유는 제한 허용

Data Act는 ExVe 구조 자체를 금지하지 않는다. 핵심은 데이터 접근 결정권을 OEM에서 사용자(차량 소유자·운전자)로 이동시키는 것이다. 차량 소유자가 동의하면 독립 정비업체, 보험사, 플릿 서비스 등 제3자가 데이터를 받을 수 있어야 한다. 다만 사이버보안 관련 데이터 공유는 별도 제한이 적용된다.

ℹ️ EU Data Act 차량 분야 핵심 내용 (2025년 9월 12일 발효)

적용 대상: 커넥티드 제품(connected products)에 해당하는 차량 — 데이터를 수집해 전자적으로 전송하는 차량
핵심 의무: OEM은 사용자 요청 시 차량 사용 데이터를 사용자 및 사용자가 지정한 제3자에게 제공해야 한다
적용 데이터: 주행거리, 연료·전기 소비량, 진단 코드(DTC), 배터리 상태 등 운영 데이터 (집행위 가이던스 명시)
제외: 차량 기능에 영향을 주지 않는 서비스 / 파생·추론 데이터 / 지식재산권 보호 데이터 / 사이버보안 민감 데이터
출처: Regulation (EU) 2023/2854, 유럽 집행위원회 차량 데이터 가이던스 (2025년 9월)

---

ExVe와 Data Act가 충돌하는 지점

구분	ExVe (OEM 접근)	Data Act (규제 접근)
데이터 접근 결정권	OEM이 결정 (계약 기반 접근 허용)	사용자(소유자)가 결정 (권리 기반 접근)
제3자 접근 방식	OEM 서버 경유 필수, OEM과 계약 필요	사용자 동의 하에 직접 제공 가능
사이버보안	OEM이 통제 — 공격 표면 축소, 비인가 접근 차단	공유 인터페이스 보안 요구사항 필요, 새 공격 표면 발생 가능
핵심 철학	OEM 중심 통제 — 안전·보안·책임 관리	사용자 권리 중심 — 데이터 독점 방지·경쟁 촉진
현 상태	ISO 20077/20078로 표준화. OEM들이 구현 중	2025년 9월 발효. OEM 준수 의무 발생

두 접근이 반드시 완전히 대립하는 것은 아니다. Data Act도 사이버보안 민감 데이터는 공유 제한을 허용한다. ISO 20077 표준도 "공정하고 비차별적인 경쟁"을 명시한다. 그러나 구체적인 데이터 공유 범위, 인터페이스 표준, 비용 배분에서 OEM과 독립 사업자들의 이해충돌이 계속되고 있다.

---

차량 사이버보안 관점에서 보면

이 논쟁에서 보안 엔지니어가 주목해야 할 부분이 있다. ExVe가 보안 관점에서 순수하게 나쁜 구조가 아니라는 점이다.

✅ ExVe의 보안 장점

OEM 서버를 단일 진입점으로 두면 공격 표면이 줄어든다. 정비업체·보험사·플릿 사업자가 각각 차량에 직접 연결한다면 공격 경로가 그만큼 늘어난다. ExVe는 "차량 → OEM 서버"만 보호하면 되는 구조다. ISO 20077이 ExVe 도입 목적으로 "사이버보안"을 명시한 이유가 여기 있다.

⚠️ Data Act 이후 새로운 보안 과제

Data Act가 적용되면 OEM이 제3자 데이터 공유를 위한 API 인터페이스를 열어야 한다. 이 인터페이스 자체가 새로운 공격 표면이 된다. API 인증·인가, 데이터 전송 암호화, 이상 접근 탐지가 새로운 보안 요구사항이 된다. 유럽 자동차 업계는 Data Act 적용과 함께 R155·ISO/SAE 21434 사이버보안 요구사항을 유지해야 한다고 강조하고 있다.

---

🔧 현업에서 느끼는 변화들

TARA에 백엔드 API가 포함되어야 하는 이유가 생겼다 — 예전에는 TARA가 ECU와 차량 내부 네트워크 중심이었다. Data Act 이후 OEM이 외부 API를 열어야 하는 상황이 되면 그 API 인터페이스가 새로운 공격 표면이 된다. R155 Annex 5의 "Backend Server에 대한 공격" 위협 시나리오가 실제로 중요해지는 이유다.

국내는 아직 이 논쟁이 본격화되지 않았다 — Data Act는 EU 규정이라 현재 직접 적용 대상은 유럽에서 차량을 판매하는 OEM과 서비스 사업자다. 국내 OEM이 유럽 시장에 진출하거나, 유럽 OEM과 협력하는 Tier 1 협력사라면 이 흐름을 파악해야 한다. COVESA(Connected Vehicle Systems Alliance)는 2024년 9월부터 Data Act 대응을 위한 국제 프로젝트를 운영 중이며 Ford, GM, Bosch, Volvo 등이 참여하고 있다.

차량 데이터 비즈니스 모델이 보안 설계에 영향을 준다 — OEM이 Data Act에 따라 데이터 공유 인터페이스를 설계할 때 보안 요구사항이 동시에 따라와야 한다. "어떤 데이터를 누구에게 공유하는가"를 결정하는 것은 비즈니스 팀이지만, 그 인터페이스를 보안하는 것은 보안 엔지니어다. ExVe 아키텍처와 Data Act 요구사항을 모두 이해해야 제대로 된 TARA를 할 수 있다.

SDV 시대의 싸움은 차량 OS 경쟁이 아니다.

차량 데이터를 누가 통제하는가의 싸움이다.

OEM은 ExVe로 통제권을 유지하려 하고, 유럽 규제기관은 Data Act로 그 통제권을 사용자에게 돌려주려 한다. 그리고 이 싸움의 결과가 앞으로의 커넥티드카 보안 아키텍처를 결정한다.

핵심 요약

1

ExVe는 ISO 20077로 표준화된 개념이다 — 차량의 물리적 경계를 넘어 OEM 백엔드 서버까지 포함한 "확장 차량". ExVe 전체가 OEM 책임 하에 있다. 서드파티는 반드시 OEM을 통해 데이터에 접근한다.

2

OEM에게 ExVe는 보안·책임·데이터 품질을 위한 합리적 구조다 — 단일 진입점으로 공격 표면을 줄이고 GDPR을 일관 관리할 수 있다. ISO 20077도 도입 목적으로 "사이버보안"을 명시한다.

3

독립 사업자들은 ExVe를 "데이터 독점"으로 비판한다 — BEUC(유럽 소비자단체)는 "경쟁·소비자 관점에서 심각한 우려"를 표명했다. OEM 계약 없이는 차량 데이터에 접근할 수 없는 구조다.

4

Data Act는 2025년 9월 12일 발효됐다 — 사용자 요청 시 OEM이 제3자에게 차량 데이터를 제공해야 한다. 데이터 접근 결정권이 OEM에서 차량 소유자로 이동한다.

5

Data Act 이후 외부 API가 새로운 공격 표면이 된다 — 보안 엔지니어는 이 인터페이스를 TARA에 포함해야 한다. R155와 ISO/SAE 21434 요구사항은 Data Act와 무관하게 유지된다.

ExVe ExtendedVehicle EUDataAct ISO20077 차량데이터 SDV 커넥티드카 자동차사이버보안 UNECE_R155 OEM데이터전략 GDPR