고양시-LIH, AI 건강데이터 국제공동연구 추진…개인정보보호 기술 적용

핵심 요약

- 민경선 고양시장이 2026년 7월 LIH(룩셈부르크 보건연구소) 한국대표사무소를 첫 방문해 AI·바이오 국제협력 방안 협의 - 국립암센터-LIH 주도 IHDSI 프로젝트에 네이버클라우드, 오케스트로, 싸이퍼롬 등 국내 기업 참여해 AI 기반 건강데이터 분석 추진 - 개인정보보호 기술을 핵심으로 활용한 글로벌 건강데이터 공동연구 체계 구축 예정

주요 내용

민경선 고양시장이 2026년 7월 LIH(Luxembourg Institute of Health) 한국대표사무소를 방문해 AI 기반 건강데이터 분석 국제협력 사업을 본격화했다. 이번 방문은 고양시가 바이오헬스 분야 국제 협력 거점으로 도약하기 위한 전략적 행보로 평가된다.

현재 추진 중인 IHDSI(International Health Data Science Initiative) 프로젝트는 국립암센터와 LIH가 공동 주도하며, 네이버클라우드, 오케스트로, 싸이퍼롬 등 국내 주요 AI·보안 기업들이 참여하고 있다. 이 프로젝트는 AI 기반 건강데이터 분석 기술과 개인정보보호 기술을 결합해 국경을 넘는 의료데이터 공동연구 체계를 구축하는 것을 목표로 한다.

특히 주목되는 점은 민감정보인 건강데이터의 국제 공유에 있어 개인정보보호 기술이 핵심 요소로 적용된다는 것이다. 싸이퍼롬 등 참여 기업들은 암호화, 익명화, 차등정보보호(Differential Privacy) 등의 기술을 활용해 개인식별 위험을 최소화하면서도 AI 분석의 정확도를 유지하는 방안을 개발하고 있다.

고양시는 이번 협력을 통해 킨텍스 인근 바이오클러스터를 중심으로 AI 헬스케어 국제연구 허브를 조성하고, 글로벌 수준의 개인정보보호 기술 실증 환경을 구축할 계획이다. 이는 2025년 9월 시행된 AI기본법과 연계해 AI 의료서비스의 안전성·신뢰성 확보 모델이 될 것으로 기대된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 IHDSI 프로젝트는 건강데이터의 국외 이전 및 공동 활용에 있어 개인정보보호법 제28조의4(개인정보 국외 이전) 준수가 핵심 과제다. 특히 EU GDPR과 한국 개인정보보호법의 이중 규제 체계 하에서 적법성을 확보하려면, 표준계약조항(SCC) 체결, 충분성 결정 검토, 정보주체 동의 절차가 정교하게 설계되어야 한다. 암 환자 데이터라는 민감정보 특성상 익명처리만으로는 불충분하며, 가명처리 후 추가 안전조치(암호화, 접근통제, 재식별 위험 평가)가 필수적이다.

AI 기반 건강데이터 분석 과정에서는 알고리즘 편향성, 자동화된 의사결정의 투명성 문제도 고려해야 한다. AI기본법 제33조(고위험 AI 시스템 관리)에 따라 의료진단 AI는 사전영향평가, 지속적 모니터링, 설명가능성 확보가 요구된다. 네이버클라우드 등 참여 기업은 AI 모델 학습 과정에서 개인정보 최소수집 원칙을 준수하고, 학습 완료 후 원본 데이터 삭제 또는 분리보관 정책을 명확히 해야 한다. 또한 LIH와의 데이터 공유 시 역할 분담(공동 관리자 vs 수탁자)을 명확히 정의하고, 책임소재를 계약서에 구체적으로 명시해야 법적 리스크를 최소화할 수 있다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 국외 이전 적법성 요건 (개인정보보호법 제28조의4) 건강데이터의 국외 이전 시 ①정보주체 동의 ②법률 특별규정 ③표준계약 체결 중 하나 이상의 법적 근거가 필요하다. 이전받는 국가의 개인정보보호 수준을 평가하고, 충분한 보호조치(암호화, 접근통제, 이전 후 감독)를 적용해야 하며, 정보주체에게 이전 사실과 목적을 고지해야 한다.

2. 고위험 AI 시스템 사전영향평가 (AI기본법 제33조) 의료진단·건강예측 AI는 생명·신체에 중대한 영향을 미칠 수 있어 고위험 AI로 분류된다. 개발·운영 전 알고리즘 편향성, 개인정보침해 위험, 오작동 가능성을 평가하고, 인간의 개입 절차, 설명가능성 확보 방안, 지속적 모니터링 체계를 수립해야 한다. 평가 결과는 문서화해 보관하고 주기적으로 재평가해야 한다.