의료 AI 도입, 개인정보보호 인프라 미비로 현장 안착 지연…맞춤형 보안 인력 양성 시급

핵심 요약

- 의료 AI 기술 발전 속도 대비 병원 현장의 개인정보 보호 제도·보안 인프라가 현저히 부족한 상황 - AI 도입으로 업무 부담 경감 가능성 확인됐으나, 개인정보 보안 문제가 현장 안착의 주요 걸림돌로 작용 - 의료 AI 안착의 핵심은 기술이 아닌 '사람과 조직', 의료·AI·보안을 아우르는 맞춤형 인력 양성 시급

주요 내용

2026년 현재 의료 현장에서 AI 도입이 가속화되고 있지만, 개인정보 보호와 보안 문제가 기술 안착의 주요 장애 요인으로 부상하고 있다. 의료계 관계자들은 AI 기술을 통해 현장 업무 부담을 줄일 가능성을 확인했으나, 병원의 제도적 준비와 보안 인프라가 기술 발전 속도를 따라가지 못하고 있다고 지적했다.

의료 분야는 「개인정보 보호법」상 민감정보이자 「의료법」상 엄격한 보호 대상인 환자 정보를 다루기 때문에, 일반 산업 분야보다 훨씬 높은 수준의 개인정보 보호 체계가 요구된다. 특히 AI 학습 과정에서 대량의 의료 데이터가 활용되는 만큼, 데이터 비식별화, 접근 통제, 암호화, 감사 추적 등 다층적 보안 조치가 필수적이다. 그러나 현실적으로 많은 의료기관이 ISMS-P 인증 수준의 체계적인 개인정보 보호 관리체계를 갖추지 못한 상태에서 AI 도입을 서두르고 있어 우려가 제기된다.

전문가들은 의료 AI 안착의 관건이 기술 그 자체보다 '사람과 조직'에 있다고 강조한다. AI 시스템이 아무리 정교해도, 이를 안전하게 운영하고 개인정보 침해 사고를 예방할 수 있는 전문 인력과 조직 체계가 뒷받침되지 않으면 실효성을 담보할 수 없기 때문이다. 특히 의료 도메인 지식, AI 기술 이해, 개인정보 보호 법규 준수를 모두 아우를 수 있는 융합형 보안 인력의 양성이 시급한 과제로 떠올랐다.

이에 따라 의료기관은 단순히 AI 솔루션 도입에 그치지 않고, 개인정보 보호 거버넌스 체계 구축, 보안 정책 수립, 전문 인력 확보 등 조직 차원의 종합적 준비가 필요하다는 목소리가 높아지고 있다. 또한 「AI 기본법」 시행(2024년 8월)에 따라 의료 AI는 고위험 영역으로 분류될 가능성이 높아, 사전 영향평가 및 사후 모니터링 체계까지 고려한 통합적 접근이 요구된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 의료 AI 도입 시 가장 먼저 점검해야 할 것은 「개인정보 보호법」 제28조의2(가명정보 처리 특례) 및 제29조(개인정보 처리방침 공개) 준수 여부다. 많은 의료기관이 AI 학습용 데이터 가명처리 과정에서 재식별 가능성 평가를 생략하거나, 환자 대상 AI 활용 고지를 누락하는 사례가 빈번하다. 특히 클라우드 기반 AI 서비스 이용 시 제3자 제공 동의, 국외 이전 요건 등을 간과하는 경우가 많아 사후 법적 분쟁 소지가 크다. 의료기관은 AI 도입 전 반드시 개인정보 영향평가(PIA)를 실시하고, 데이터 라이프사이클 전 단계에서 Privacy by Design 원칙을 적용해야 한다.

실무적으로는 의료 AI 거버넌스 조직에 반드시 개인정보보호책임자(CPO)와 정보보호최고책임자(CISO)를 포함시키고, AI 윤리위원회와 개인정보 보호위원회 간 긴밀한 협력 체계를 구축할 것을 권고한다. 또한 의료진 대상 'AI 활용 개인정보 보호 교육'을 정례화하고, AI 시스템 접근 권한을 최소 권한 원칙에 따라 엄격히 통제해야 한다. 2026년 현재 AI 기본법 하위 법령 정비가 진행 중인 만큼, 의료기관은 고위험 AI 시스템 운영자로서의 의무 사항을 선제적으로 파악하고 내부 규정을 정비해야 한다. 특히 AI 결과물에 대한 설명 가능성(Explainability) 확보와 알고리즘 편향성 모니터링 체계는 개인정보 보호뿐 아니라 의료 과실 책임 측면에서도 필수적이다.

CPPG·ISMS-P 연계 포인트

1. 민감정보 처리 시 안전성 확보조치(개인정보 보호법 제23조, 제29조) 의료정보는 건강정보로서 민감정보에 해당하므로, AI 처리 과정에서 별도 동의 획득, 접근 통제, 암호화, 접속 기록 보관(3년) 등 강화된 안전성 확보조치가 필수다. ISMS-P 인증심사 시 AI 학습·추론 단계별 민감정보 처리 현황과 기술적·관리적 보호조치 적정성을 중점 점검한다.

2. 개인정보 영향평가 및 사전 검토(개인정보 보호법 제33조) 5만 명 이상 민감정보 처리 의료기관이 AI 시스템 도입 시 개인정보 영향평가(PIA) 대상에 해당할 가능성이 높다. AI 기본법상 고위험 AI 시스템 사전 적합성 평가와 연계하여, 알고리즘 투명성, 데이터 최소 수집, 자동화된 의사결정의 적법성 등을 종합 검토해야 한다.