의료 AI 도입 시 개인정보 보호와 임상 책임 기준 마련 시급

핵심 요약

- 2026년 의료 대개혁 추진 과정에서 AI 도입에 따른 개인정보 보호와 임상 책임 기준 마련이 핵심 과제로 부상 - 의료 현장 노동자들은 AI 도입 전후 업무량·인력 변화 및 환자안전 영향평가 필요성 강조 - 응급실 등 의료 현장의 문제 해결을 위해 AI 활용 시 개인정보 보호 체계와 책임 소재 명확화 선행 요구

주요 내용

2026년 7월 현재 정부의 의료 대개혁 추진 과정에서 인공지능(AI) 기술 도입이 가속화되고 있는 가운데, 현장에서는 AI 거버넌스 체계 마련을 최우선 과제로 요구하고 있다. 의료연대본부를 비롯한 의료 현장 종사자들은 AI 시스템 도입 전후의 체계적인 영향평가와 개인정보 보호 기준, 임상적 책임 소재 명확화가 선행되어야 한다고 강조했다.

특히 응급실 뺑뺑이 등 반복되는 의료 현장 문제 해결을 위해 AI를 활용하는 과정에서, 환자의 민감한 의료정보가 AI 시스템에 입력·처리·저장되는 전 과정에 대한 개인정보 보호 대책이 필수적이라는 지적이다. 의료 AI는 진단·처방·예후 예측 등에 활용되면서 대량의 건강정보와 개인식별정보를 처리하게 되므로, 정보주체의 동의 범위, 데이터 익명화 수준, 제3자 제공 기준 등이 명확히 정립되어야 한다.

현장 노동자들은 AI 도입으로 인한 업무량 변화와 인력 재배치에 대한 영향평가에 현장 종사자의 참여가 보장되어야 한다고 주장하고 있다. 또한 AI 시스템의 오진단이나 오류 발생 시 법적·윤리적 책임이 의료진, AI 개발사, 의료기관 중 누구에게 있는지에 대한 명확한 기준이 없는 상황에서 무분별한 AI 도입은 환자안전을 오히려 위협할 수 있다는 우려도 제기되고 있다.

2024년 제정된 AI기본법이 2026년 현재 본격 시행되고 있지만, 의료 분야 특성을 반영한 세부 지침과 가이드라인은 여전히 부족한 실정이다. 의료 AI의 안전성 검증, 알고리즘 투명성, 편향성 점검 등 AI 거버넌스의 핵심 요소들이 의료 현장에 실질적으로 적용될 수 있는 구체적 기준 마련이 시급한 상황이다.

전문가 시각

ISMS-P 관점에서 의료 AI 시스템 도입 시 가장 주목해야 할 부분은 '개인정보 생명주기 전반에 걸친 보호대책'과 'AI 시스템에 대한 접근통제 및 감사추적 체계'다. 의료 AI는 학습 단계에서 대량의 환자 데이터를 활용하고, 운영 단계에서 실시간 건강정보를 처리하며, 결과를 의료진과 환자에게 제공하는 전 과정에서 개인정보를 취급한다. 따라서 데이터 최소화 원칙 준수, 가명·익명처리 적정성 검토, 학습 데이터셋의 보안 관리, AI 추론 결과의 개인정보 포함 여부 검증 등이 ISMS-P 인증 심사 시 핵심 점검 항목이 될 것이다.

임상 책임 소재 명확화는 단순히 법률적 문제가 아니라 AI 시스템의 설명가능성(Explainability)과 직결된 개인정보 보호 이슈이기도 하다. AI가 특정 진단이나 처방을 권고한 근거를 의료진과 환자가 이해할 수 없다면, 이는 정보주체의 알 권리 침해이자 자기결정권 제한으로 이어진다. 의료기관은 AI 도입 시 ①AI 시스템 사용 사실 및 범위 고지 ②AI 판단 근거의 설명 가능성 확보 ③AI 오류 발생 시 책임 소재 및 구제 절차 명시 ④현장 종사자 대상 AI 리터러시 및 개인정보 보호 교육 등을 필수 거버넌스 요소로 구축해야 한다.

CPPG·ISMS-P 연계 포인트

AI 영향평가(AIA, AI Impact Assessment): AI기본법에 따라 고위험 AI 시스템 도입 시 사전에 수행하는 평가로, 개인정보 보호, 안전성, 투명성, 공정성, 책임성 등을 종합적으로 검토한다. 의료 AI는 생명·건강에 직접 영향을 미치는 고위험 영역으로, 개인정보영향평가(PIA)와 통합하여 실시하는 것이 권장된다.

AI 시스템의 접근통제 및 감사추적: ISMS-P 인증기준 중 '접근통제' 및 '로그 및 모니터링' 항목은 AI 시스템에도 동일하게 적용된다. 의료 AI에 접근하는 사용자 식별·인증, 권한 관리, AI 학습·추론 과정의 로그 기록, 개인정보 접근 이력 추적, 이상 행위 탐지 등이 필수적이며, 특히 AI 모델 업데이트나 파라미터 변경 시에도 변경 관리 및 승인 절차가 요구된다.