AI기본법 시행 앞두고 의료 AI 임상 확대…개인정보보호 거버넌스 구축 시급

핵심 요약

- 2026년 보건복지부 조직 개편과 AI기본법 시행을 앞두고 의료 AI 임상 도입이 본격화 - 알츠하이머 치료제 처방 지원 솔루션 등 민감정보 처리 AI 시스템의 개인정보보호 거버넌스 체계 필요 - 의료 AI 도입 시 AI기본법상 신뢰성 확보 의무와 개인정보보호법상 민감정보 처리 요건 동시 충족 필수

주요 내용

정부가 2026년 의료 인공지능(AI) 임상 도입에 본격적인 드라이브를 걸고 있다. 보건복지부는 대대적인 조직 개편을 단행했으며, '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI기본법)' 시행을 앞두고 의료 분야 AI 활용 기반을 마련하고 있다.

특히 뉴로핏의 알츠하이머병 치료제 처방 지원 솔루션 '뉴로핏 아쿠아 AD 플러스'가 산업통상자원부의 2026년 지원 대상에 선정되는 등 국내 의료 AI 기업들이 정부 정책의 수혜를 받을 것으로 전망된다. 의료 AI는 환자의 진단·치료 정보라는 민감정보를 대량으로 처리하는 특성상 개인정보보호 관점의 철저한 사전 검토가 필수적이다.

AI기본법은 고위험 AI 시스템에 대해 신뢰성 확보 의무를 부과하고 있으며, 의료 AI는 대표적인 고위험 영역으로 분류된다. 의료기관과 AI 솔루션 제공 기업은 개인정보보호법상 민감정보 처리 요건, AI기본법상 투명성·설명가능성 요구사항, 의료법상 의료기기 규제를 동시에 충족해야 하는 복합적 컴플라이언스 환경에 직면하게 된다.

의료 AI 시스템이 학습 데이터로 활용하는 환자 정보는 개인정보보호법 제23조의 민감정보에 해당하며, 가명처리 또는 별도 동의 없이는 처리할 수 없다. 또한 AI 알고리즘의 의사결정 과정에서 개인정보가 어떻게 활용되는지에 대한 투명성 확보가 AI기본법의 핵심 요구사항이다.

전문가 시각

ISMS-P 심사 관점에서 의료 AI 도입 시 가장 주의해야 할 부분은 AI 시스템 생명주기 전반에 걸친 개인정보보호 거버넌스 체계 구축이다. 학습 데이터 수집·가공 단계에서의 비식별 조치, AI 모델 개발 과정의 프라이버시 보호 설계(Privacy by Design), 운영 단계의 접근통제 및 모니터링, 모델 업데이트 시 재동의 프로세스까지 전 과정을 문서화하고 통제해야 한다. 특히 알츠하이머와 같은 민감한 질환 정보를 다루는 AI 솔루션은 ISMS-P 인증 획득을 통해 신뢰성을 입증하는 것이 시장 경쟁력 확보에 유리할 것이다.

의료 AI 개발 과정에서 바이브 코딩(자연어 명령으로 AI가 자동 생성한 코드)을 활용하는 경우 보안 취약점에 특히 유의해야 한다. LLM이 생성한 코드는 SQL 인젝션, 인증 우회, 민감정보 로깅 등의 취약점을 포함할 수 있으며, 의료 정보 시스템과 연동되는 API 개발 시 이러한 자동 생성 코드를 그대로 사용하면 대규모 정보 유출로 이어질 수 있다. 코드 생성 후 반드시 보안 전문가의 코드 리뷰와 취약점 스캐닝을 거쳐야 하며, 특히 환자 데이터 접근 권한 검증 로직은 수동으로 재확인하는 절차가 필수적이다.

CPPG·ISMS-P 연계 포인트

AI 시스템 생명주기 관리: AI기본법은 고위험 AI 시스템의 전 생명주기(설계-개발-배포-운영-폐기)에 걸친 위험 관리를 요구한다. ISMS-P에서도 정보시스템 생명주기 관리 통제항목이 있으나, AI 시스템은 지속적 학습으로 인한 동적 특성을 반영한 모니터링 체계가 추가로 필요하다. 모델 드리프트 감지, 편향성 모니터링, 설명가능성 로그 보관 등이 핵심 통제 요소이다.

민감정보 처리 특례와 AI 활용의 조화: 개인정보보호법 제23조는 민감정보 처리 시 별도 동의를 요구하지만, 연구 목적 예외 조항(제28조의2)과 가명정보 특례(제28조의4)를 적절히 활용하면 의료 AI 학습이 가능하다. 다만 AI기본법이 요구하는 투명성 원칙에 따라 어떤 법적 근거로 데이터를 처리했는지, AI 모델이 어떤 방식으로 개인정보를 활용하는지를 정보주체에게 알기 쉽게 설명할 수 있어야 CPPG·ISMS-P 심사에서 적합 판정을 받을 수 있다.