공공병원 72곳 AI 연계사업, 의료 개인정보보호 체계 정비 시급

핵심 요약

- 정부가 공공병원 72곳을 AI로 연결해 지역 의료공백 해소 추진 중 - AI 병원 추천·환자 이송 과정에서 민감한 의료정보 처리 불가피 - 개인정보보호 체계와 AI 오류 발생 시 책임 기준 사전 정비 필요

주요 내용

정부가 2026년 지역 의료공백 해소를 위해 공공병원 72곳을 AI 시스템으로 연결하는 사업을 본격 추진하고 있다. 이 시스템은 AI가 환자 상태를 분석해 적절한 병원을 추천하고 이송을 지원하는 방식으로 설계됐다.

그러나 AI가 병원을 추천한다고 해서 즉시 환자를 받을 수 있는 것은 아니다. 병상이 비어 있어도 수술 전문의나 중환자 관리 인력이 부족하면 이송이 불가능한 경우가 많다. 더 큰 문제는 AI 시스템이 환자의 진료기록, 질병정보 등 개인정보보호법상 민감정보를 대량으로 처리해야 한다는 점이다.

특히 AI가 잘못된 병원을 추천하거나 환자 정보를 오판해 의료사고가 발생할 경우 책임 소재가 불분명하다. 현행 의료법과 개인정보보호법은 AI 의료시스템의 오류에 대한 명확한 책임 기준을 제시하지 못하고 있다. 병원 간 환자 정보 공유 과정에서도 정보주체 동의 범위, 제3자 제공 절차, 정보 보유기간 등이 명확히 규정되지 않은 상태다.

의료 AI 사업이 전국으로 확산되기 전에 개인정보 영향평가 의무화, AI 판단 근거의 설명 가능성 확보, 의료정보 접근 권한 통제 체계 등이 선제적으로 정비되어야 한다는 지적이 나온다.

전문가 시각

ISMS-P 심사 경험에 비춰볼 때, 의료 AI 시스템은 반드시 사업 시작 전 개인정보 영향평가를 수행해야 한다. 특히 ▲환자 민감정보의 수집·이용·제공 근거 ▲병원 간 정보 전송 시 암호화 및 접근통제 ▲AI 모델 학습 데이터의 비식별 조치 적정성 ▲정보주체 권리보장 절차가 핵심 심사 항목이다. 72개 병원이 연결되는 만큼 각 기관별 보안 수준 편차를 최소화하는 통합 보안 가이드라인이 시급하다.

또한 AI 오류 발생 시 책임 소재를 명확히 하는 거버넌스 체계가 필수다. AI가 추천한 병원에서 의료사고가 발생했을 때 ①AI 개발사 ②AI 운영 주체(정부/병원) ③의료진 중 누가 어느 범위까지 책임지는지 사전 합의가 필요하다. 의료법·개인정보보호법·AI기본법을 종합적으로 고려한 책임 분담 기준과 함께, 모든 AI 판단 과정을 로깅하고 감사추적이 가능한 시스템 설계가 반드시 선행되어야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(PIA): 민감정보를 처리하거나 5만 명 이상 정보를 처리하는 정보시스템 구축·운영 시 의무적으로 수행해야 하는 사전 평가. 의료 AI 시스템은 환자 건강정보(민감정보)를 다루므로 반드시 PIA를 거쳐 개인정보 침해요인을 사전 식별하고 보호대책을 수립해야 한다.

접근통제 및 권한관리: ISMS-P 인증 기준 2.8.2항에 따라 개인정보 취급자별로 차등화된 접근권한을 부여하고 정기적으로 검토해야 한다. 72개 병원이 연결된 의료 AI 시스템은 기관별·직무별 접근권한을 세분화하고, 환자 정보 조회 이력을 실시간 모니터링하는 체계가 필수적이다.