구글 스마트폰 이미지 심혈관 위험도 예측 AI, 민감정보 보호 과제 부각

핵심 요약

- 구글이 스마트폰 촬영 이미지로 BMI를 넘어 심혈관대사 위험도를 추정하는 AI 연구 결과를 2026년 8월 공개 - 얼굴·신체 이미지 분석을 통한 건강정보 추론은 민감정보 처리에 해당, GDPR·개인정보보호법상 엄격한 규제 대상 - AI 기반 건강정보 생성·활용 과정의 동의 절차, 목적 외 사용 제한, 편향성 검증 등 AI 거버넌스 체계 구축 필요

주요 내용

구글 리서치는 2026년 8월 스마트폰으로 촬영한 일반 이미지를 활용해 심혈관대사(cardiometabolic) 위험도를 추정하는 AI 기술 연구 결과를 발표했다. 이 기술은 기존 BMI(체질량지수) 측정을 넘어 얼굴 특징, 체형, 피부 상태 등 복합적 시각 정보를 딥러닝으로 분석해 당뇨병, 고혈압, 심혈관 질환 등의 위험도를 예측한다. 구글은 의료 접근성이 낮은 지역에서 스마트폰만으로 건강 스크리닝이 가능하다는 점을 강조하고 있다.

그러나 이 기술은 개인정보보호 관점에서 중대한 쟁점을 내포한다. 개인정보보호법 제23조는 건강정보를 민감정보로 규정하며, 정보주체의 별도 동의 없이 처리를 금지한다. 스마트폰 사진에서 AI가 자동으로 건강 상태를 추론·생성하는 과정은 원본 이미지 수집 시점의 동의 범위를 초과할 가능성이 크다. 특히 사진 속 인물이 자신의 건강정보가 분석되고 있다는 사실을 인지하지 못한 채 데이터가 처리될 위험이 있다.

EU GDPR 제9조는 건강 데이터를 특별 범주 개인정보로 분류하며, 명시적 동의 또는 의료 목적 등 엄격한 법적 근거를 요구한다. 미국에서도 HIPAA(의료정보보호법)가 건강정보 처리를 규제하며, 2026년 현재 연방·주 차원에서 AI 헬스케어 규제 논의가 활발하다. 한국의 경우 2024년 시행된 AI기본법 제59조는 고위험 AI 시스템에 대한 사전 영향평가를 의무화하고 있으며, 건강정보 처리 AI는 이에 해당할 가능성이 높다.

기술적 측면에서는 AI 모델의 편향성(bias) 문제도 우려된다. 특정 인종·성별·연령대 데이터로 학습된 모델이 다른 집단에 적용될 경우 부정확한 건강 평가를 초래해 의료 차별로 이어질 수 있다. 또한 건강정보 추론 알고리즘의 투명성 부족은 정보주체의 열람·정정·삭제 권리 행사를 어렵게 만든다. 구글 측이 연구 단계임을 강조하고 있으나, 상용화 시 명확한 개인정보 영향평가(PIA) 및 알고리즘 설명가능성(explainability) 확보가 필수적이다.

전문가 시각

ISMS-P 심사 실무 관점에서 이러한 AI 기반 건강정보 추론 서비스는 인증 심사 시 '민감정보 처리 통제(2.6.3)'와 'AI·자동화 의사결정 투명성(2.8.5)' 항목에서 집중 검토 대상이 된다. 특히 ① 민감정보 처리 최소화 원칙 준수 여부 ② 별도 동의 획득 절차의 적법성 ③ 추론 결과의 정확성 검증 체계 ④ 오류 발생 시 정정·이의제기 프로세스 ⑤ 제3자 제공 시 재동의 메커니즘이 핵심 심사 포인트가 될 것이다.

AI기본법 제59조 고위험 AI 시스템 영향평가 의무화에 따라, 건강정보 생성 AI는 개발 단계부터 편향성 테스트, 데이터셋 대표성 검증, 알고리즘 투명성 문서화가 필수다. 기업은 AI 모델 개발 시 NIST AI Risk Management Framework, ISO/IEC 42001(AI 경영시스템) 등 국제 표준을 참조해 거버넌스 체계를 구축하고, 개인정보 영향평가(PIA)와 알고리즘 영향평가(AIA)를 통합 수행하는 것이 바람직하다. 특히 청소년 대상 서비스의 경우 아동·청소년 개인정보 보호 강화 규정(제22조의2)이 추가 적용되므로 법정대리인 동의 절차를 명확히 설계해야 한다.

CPPG·ISMS-P 연계 포인트

민감정보 처리 통제(ISMS-P 2.6.3): 건강에 관한 정보는 개인정보보호법 제23조 민감정보에 해당하며, 정보주체의 별도 동의 또는 법령상 예외 사유 없이 처리 금지. AI가 이미지에서 건강정보를 자동 추론하는 경우에도 민감정보 처리에 해당하므로 명시적 동의 절차, 암호화 저장, 접근 통제, 처리 이력 관리 등 강화된 보호조치 필요.

AI·자동화 의사결정 투명성(ISMS-P 2.8.5): AI 기반 건강 위험도 평가는 개인에게 중대한 영향을 미치는 자동화 의사결정으로, 알고리즘 작동 원리 설명, 판단 근거 제시, 이의제기 절차 제공이 필수. GDPR 제22조 자동화 의사결정 거부권 개념과 유사하게, 정보주체가 AI 평가 결과에 대해 인간 개입을 요구하거나 재평가를 청구할 수 있는 절차 마련 필요.