심평원 AI 기반 CT·MRI 중복촬영 관리 시스템, 민감정보 보호체계 강화 필수

핵심 요약

- 건강보험심사평가원이 2026년 CT·MRI 중복촬영 관리를 위한 AI 기반 실시간 모니터링 시스템을 첫 심의 항목으로 도입 - 환자별 의료이용 이력 실시간 확인 과정에서 민감정보(건강정보)와 고유식별정보 처리에 따른 개인정보보호법 준수 필수 - AI 시스템 운영 시 목적 외 이용 방지, 접근권한 통제, 안전성 확보조치 등 ISMS-P 기반 보호체계 구축 필요

주요 내용

건강보험심사평가원(심평원)이 2026년 8월 CT·MRI 중복촬영 관리를 본격화하면서 인공지능(AI) 기반 실시간 관리 시스템을 도입했다. 홍승권 심평원장은 "환자별 의료이용 이력을 실시간으로 확인할 수 있는 AI 기반 시스템을 운영해 의료진의 진료 효율성을 높이겠다"고 밝혔다. 이는 심평원이 실시간 관리항목으로 처음 도입한 사례로, 불필요한 중복 검사를 줄여 환자 안전과 건강보험 재정 건전성을 동시에 확보하려는 목적이다.

그러나 이 과정에서 활용되는 정보의 성격에 주목할 필요가 있다. 환자의 의료이용 이력, 검사 결과, 질병 정보는 개인정보보호법상 '민감정보'에 해당하며, 주민등록번호 등 고유식별정보도 함께 처리된다. 개인정보보호법 제23조는 민감정보 처리 시 정보주체의 별도 동의를 요구하며, 제24조는 고유식별정보 처리에 대한 엄격한 제한을 두고 있다. 특히 법 제3조에 따른 안전성 확보조치 의무는 AI 시스템 운영 주체에게 기술적·관리적·물리적 보호조치를 모두 요구한다.

AI 기반 의료정보 시스템의 특성상 대량의 환자 데이터를 자동으로 수집·분석·활용하는 과정에서 개인정보 침해 위험이 증가할 수 있다. 실시간 모니터링 시스템은 의료기관 간 정보 연계, 클라우드 환경 활용, AI 모델 학습을 위한 데이터 전처리 등 복잡한 정보 흐름을 수반한다. 이에 따라 정보주체 권리 보장(열람·정정·삭제·처리정지 요구권), 목적 외 이용 금지, 제3자 제공 제한 등 개인정보보호 원칙을 AI 시스템 설계 단계부터 반영하는 'Privacy by Design' 접근이 필수적이다.

2026년 현재 AI기본법 제정 논의와 함께 AI 시스템의 투명성, 설명가능성, 책임성이 강조되고 있다. 의료 AI는 고위험 영역으로 분류되어 더 엄격한 거버넌스가 요구될 전망이다. 심평원의 사례는 공공기관이 AI를 활용한 개인정보 처리 시스템을 구축할 때 개인정보 영향평가(PIA), 알고리즘 영향평가, 정기적 보안점검 등을 체계적으로 수행해야 함을 보여주는 선례가 될 것으로 예상된다.

전문가 시각

ISMS-P 선임심사원 관점에서 본 심평원의 AI 기반 중복촬영 관리 시스템은 인증기준 2.7(개인정보 수집·이용·제공), 2.8(민감정보·고유식별정보 보호), 2.10(개인정보 처리시스템 보호) 영역의 핵심 통제항목들을 종합적으로 충족해야 한다. 특히 AI 모델이 의료이용 이력 데이터를 학습하는 과정에서 비식별 조치, 접근권한 최소화, 암호화 적용, 로그 기록 및 모니터링 체계가 필수적이다. 실무적으로는 AI 시스템 개발·운영·폐기 전 생애주기에 걸쳐 개인정보보호책임자(CPO)와 정보보호책임자(CISO)의 협업 체계를 구축하고, 외부 클라우드 서비스 이용 시 수탁자 관리·감독 절차를 명확히 해야 한다.

의료기관과 심평원 간 실시간 데이터 연계 시에는 API 보안, 전송구간 암호화(TLS 1.3 이상), 상호인증 체계가 필수적이며, 개인정보 접근 이력을 최소 3년간 보관하고 정기적으로 이상 징후를 탐지해야 한다. 또한 AI 모델의 편향성(bias)으로 인한 차별적 처리 가능성을 점검하고, 자동화된 의사결정에 대한 정보주체의 이의제기 절차를 마련하는 것이 AI 거버넌스 측면에서 중요하다. 2026년 개정된 개인정보보호 가이드라인에 따라 AI 활용 사실, 처리 목적, 자동화 결정 논리에 대한 투명한 공개와 설명이 요구되는 만큼, 심평원은 이를 선제적으로 준비해야 할 것이다.

CPPG·ISMS-P 연계 포인트

민감정보 처리의 법적 요건: 개인정보보호법 제23조에 따라 건강정보 등 민감정보는 정보주체의 별도 동의 또는 법령상 명시적 근거가 있어야 처리 가능하며, 수집·이용·제공 시 일반 개인정보보다 강화된 안전성 확보조치(암호화, 접근통제, 접속기록 보관 등)를 적용해야 한다. ISMS-P 인증기준 2.8.1항은 민감정보 처리 시 별도 저장·암호화, 책임자 지정 등을 요구한다.

AI 시스템의 개인정보 영향평가(PIA): 개인정보보호법 제33조 및 시행령 제35조에 따라 민감정보를 처리하는 대규모 AI 시스템 도입 시 개인정보 영향평가 수행이 의무화되며, 평가 항목에는 개인정보 흐름 분석, 위험도 평가, AI 알고리즘의 투명성·공정성 검토, 기술적·관리적 보호조치의 적정성 등이 포함된다. ISMS-P 인증기준 2.3.3항과 연계하여 사전 영향평가를 통한 위험 기반 접근이 필요하다.