의료AI 활성화 위한 '디지털헬스케어법' 추진…개인정보보호 규제 개선 핵심

핵심 요약

- 2026년 현재 AI 기반 의료영상 판독, 디지털치료기기, 정밀의료 등이 의료현장에 빠르게 도입되고 있음 - 의료데이터 활용 시 의료법·생명윤리법·개인정보보호법 등 다층적 규제가 걸림돌로 작용 - 정부가 '디지털헬스케어법' 제정을 통해 의료AI 발전을 위한 규제 체계 정비에 나섬

주요 내용

2026년 현재 인공지능 기술이 의료현장에 급속도로 확산되고 있다. 의료영상 판독 AI는 이미 다수 의료기관에서 활용되고 있으며, 디지털치료기기(DTx)는 정신건강·만성질환 관리 영역에서 성과를 보이고 있다. 신약개발 과정에서도 AI가 후보물질 발굴 시간을 대폭 단축하고 있으며, 개인 유전정보 기반 정밀의료는 맞춤형 치료의 새로운 지평을 열고 있다.

그러나 의료AI 발전의 핵심 연료인 의료데이터 활용에는 복잡한 규제 장벽이 존재한다. 현행 체계에서는 의료법상 의료기관의 데이터 제공 제한, 생명윤리법상 인체유래물 연구 규제, 개인정보보호법상 민감정보 처리 제한이 중첩적으로 적용된다. 특히 개인정보보호법 제23조는 건강정보를 민감정보로 분류해 원칙적으로 처리를 금지하고 있어, 의료AI 학습을 위한 대규모 데이터 확보가 어려운 실정이다.

이에 정부는 '디지털헬스케어법' 제정을 핵심 해법으로 제시했다. 이 법안은 의료데이터의 수집·활용·유통에 관한 통합적 법적 근거를 마련하고, AI 학습용 데이터 구축을 위한 가명처리 특례, 의료데이터 플랫폼 구축 및 운영 기준 등을 포함할 것으로 예상된다. 특히 개인정보보호와 혁신의 균형점을 찾기 위해 데이터 거버넌스 체계 구축이 중요한 과제로 부각되고 있다.

의료AI 분야는 2026년 현재 글로벌 경쟁이 가속화되고 있는 영역이다. 유럽연합은 AI Act를 통해 의료AI를 고위험 시스템으로 분류하면서도 혁신 친화적 규제 샌드박스를 운영 중이며, 미국은 FDA를 통해 AI 기반 의료기기 승인 프로세스를 지속 개선하고 있다. 한국도 디지털헬스케어법을 통해 국제 기준에 부합하면서도 개인정보보호 수준을 유지하는 규제 체계를 구축해야 할 시점이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 디지털헬스케어법 제정 시 가장 중요한 것은 의료데이터 생명주기 전 단계에 걸친 보호조치 체계화다. AI 학습용 데이터 구축 단계에서는 가명·익명처리 적정성 평가 기준을 명확히 하고, 재식별 위험 평가 절차를 의무화해야 한다. 특히 의료영상 데이터는 DICOM 메타데이터에 환자 식별정보가 포함되는 경우가 많아, 기술적 보호조치 가이드라인이 필수적이다. 또한 의료AI 서비스 제공 과정에서 발생하는 개인건강정보(PHI)는 암호화 전송·저장, 접근통제, 감사로그 관리 등 ISMS-P 인증 수준의 보호조치가 표준화되어야 한다.

실무적으로는 의료기관과 AI 기업 간 데이터 공유 시 책임 소재 명확화가 시급하다. 현재 많은 의료AI 프로젝트가 개인정보 처리 위탁 관계인지, 공동 이용인지 불분명한 상태로 진행되고 있다. 디지털헬스케어법은 의료데이터 활용 주체별 의무사항을 구체화하고, 데이터 제공기관-처리기관-활용기관 간 계약 표준모델을 제시해야 한다. 또한 의료AI 알고리즘의 편향성(bias) 문제도 개인정보 차별금지 원칙과 연계해 모니터링 체계를 구축할 필요가 있다. 2026년 현재 일부 AI 진단 시스템에서 특정 인종·성별에 대한 정확도 편차가 보고되고 있어, 공정성 검증을 개인정보영향평가(PIA) 항목에 포함하는 방안을 검토해야 한다.

CPPG·ISMS-P 연계 포인트

민감정보 특례 처리와 가명정보 결합 개인정보보호법 제23조는 건강정보를 민감정보로 분류해 원칙적 처리 금지를 규정하나, 제28조의2~제28조의7은 가명정보 특례를 인정한다. 의료AI 개발 시에는 통계작성·과학적 연구 목적으로 가명처리 후 활용이 가능하며, 보건의료 빅데이터 플랫폼을 통한 결합·분석이 허용된다. ISMS-P 심사 시 가명처리 적정성, 결합 전문기관 활용 여부, 재식별 방지조치를 중점 확인한다.

개인정보영향평가(PIA) 의무 대상 의료AI 시스템은 민감정보를 대규모로 처리하므로 개인정보보호법 제33조에 따른 개인정보영향평가 대상이 될 가능성이 높다. 특히 5만 명 이상의 건강정보 처리, 의료데이터 결합·분석 시스템 구축 시 PIA가 의무화된다. 평가 항목에는 수집 최소화, 목적 외 이용 제한, 기술적 보호조치(암호화·접근통제), 안전성 확보조치가 포함되며, AI 알고리즘 편향성·공정성 검토도 권고된다.