AI 의료기기 'Glandy' ISO 27001·27701 국제 인증 획득...개인정보보호 체계 구축 사례

핵심 요약

- 한국보건산업진흥원 연구중심병원 창업기업이 갑상선 질환 AI 모니터링 서비스에 ISO 27001, 27701 국제 인증 적용 - 2026년 'Glandy HYPER' 식약처 디지털의료기기 허가 및 유럽 CE 인증 획득으로 글로벌 의료 AI 시장 진출 - 민감정보인 건강정보 처리 AI 서비스에 정보보호·개인정보보호 통합 관리체계 구축 모범 사례 제시

주요 내용

한국보건산업진흥원 연구중심병원 창업기업이 2026년 갑상선기능항진 상태 모니터링 AI 의료기기 'Glandy HYPER'로 식약처 디지털의료기기 허가를 획득하며, 정보보호 국제 인증 ISO 27001과 개인정보보호 인증 ISO 27701을 동시에 확보했다. 이는 의료 AI 서비스가 기술 혁신과 함께 개인정보보호 체계를 선제적으로 구축한 사례로 주목받고 있다.

ISO 27001은 정보보호 관리체계(ISMS) 국제 표준으로, 조직의 정보자산을 체계적으로 보호하기 위한 위험관리·보안통제·사고 대응 절차를 요구한다. ISO 27701은 ISO 27001을 확장한 개인정보보호 관리체계(PIMS) 인증으로, GDPR 등 글로벌 개인정보보호 규제 준수를 입증하는 국제 표준이다. 의료 AI 서비스는 건강정보라는 민감정보를 대량으로 처리하기 때문에, 이 두 인증의 동시 획득은 기술적·관리적 보안 역량을 종합적으로 검증받았음을 의미한다.

Glandy 시리즈(CAS, EXO, HYPER)는 유럽 CE 인증도 함께 획득하며 글로벌 시장 진출 기반을 마련했다. 대한갑상선학회와의 협력을 통해 임상 검증을 거친 이 AI 의료기기는, 환자의 갑상선 기능 데이터를 지속적으로 수집·분석하는 과정에서 데이터 최소화, 목적 외 이용 제한, 안전한 저장·전송 등 개인정보보호 원칙을 기술적으로 구현해야 한다. 국제 인증 취득은 이러한 요구사항을 충족했음을 객관적으로 보증하는 장치다.

특히 2026년 현재 AI 의료기기 시장은 규제 강화와 함께 성장하고 있다. 유럽 AI Act, 미국 FDA의 AI/ML 기반 의료기기 규제 가이드라인, 국내 개인정보보호법상 민감정보 처리 요건 등이 복합적으로 적용되는 환경에서, ISO 27001·27701 인증은 글로벌 시장 진출을 위한 필수 요건으로 자리잡고 있다.

전문가 시각

의료 AI 서비스 제공자는 건강정보라는 고위험 민감정보를 처리하므로, 개인정보 영향평가(PIA)와 데이터 보호 설계(Privacy by Design) 원칙을 개발 초기 단계부터 적용해야 한다. ISO 27701 인증은 단순히 문서 체계를 갖추는 것을 넘어, AI 모델 학습 시 익명화·가명처리, 추론 결과 저장 시 암호화, 접근통제 및 로그 관리, 제3자 제공 시 동의 관리 등 전 생애주기에 걸친 실질적 보호조치를 요구한다. 이번 사례는 스타트업도 초기부터 국제 수준의 개인정보보호 체계를 구축할 수 있음을 보여준다.

ISMS-P 인증을 준비하는 국내 기업들은 ISO 27001·27701과의 연계성을 이해할 필요가 있다. ISMS-P는 한국의 법적 요구사항에 최적화된 반면, ISO 인증은 글로벌 상호 인정 체계를 갖추고 있어 해외 진출 시 신뢰성을 높인다. 의료 AI 분야는 특히 유럽 GDPR, 미국 HIPAA 등 각국 규제가 까다로우므로, 국내외 인증을 병행 취득하는 전략이 효과적이다. 또한 AI 모델의 설명가능성(Explainability)과 편향성(Bias) 관리도 개인정보 자기결정권 보장 차원에서 중요한 이슈로 부각되고 있다.

CPPG·ISMS-P 연계 포인트

ISO 27001과 ISMS-P의 관계: ISO 27001은 정보보호 관리체계 국제 표준으로, 위험 기반 접근(Risk-based Approach)과 114개 통제항목(Annex A)을 제시한다. ISMS-P는 ISO 27001을 기반으로 국내 개인정보보호법 요구사항을 추가한 인증 제도로, 정보보호 16개·개인정보보호 64개 총 80개 인증기준을 적용한다. 두 체계 모두 경영진 책임, 위험평가, 지속적 개선(PDCA) 구조를 공유한다.

민감정보 처리와 ISO 27701: 건강정보는 개인정보보호법상 민감정보로, 정보주체 별도 동의, 처리 목적 명확화, 안전성 확보조치 강화가 필수다. ISO 27701은 개인정보 처리 생애주기별 통제(수집·이용·제공·파기)와 정보주체 권리 보장(열람·정정·삭제)을 체계화하며, GDPR Article 25(Privacy by Design)와 정합성을 갖춘다. AI 의료기기는 학습 데이터 관리, 모델 추론 과정의 개인정보 노출 위험, 제3자 제공 시 안전조치가 핵심 심사 항목이다.