구글 SymptomAI, 의료 상담 AI의 개인정보보호 쟁점과 ISMS-P 대응 과제

핵심 요약

- 구글이 2026년 7월 일상 증상 평가를 위한 대화형 AI 에이전트 'SymptomAI' 연구 성과를 발표, 의료 접근성 향상 목표 - 건강정보(민감정보)를 처리하는 AI 시스템의 개인정보보호법·의료법 교차 규제 쟁점 부각 - AI 생성 의료 조언의 정확성·책임성 문제와 함께 데이터 수집·저장·활용 전 과정의 보안 통제 필요성 대두

주요 내용

구글 리서치는 2026년 7월 일상적인 증상 평가를 지원하는 대화형 AI 에이전트 'SymptomAI'에 대한 연구 결과를 공개했다. 이 시스템은 사용자가 경험하는 건강 증상에 대해 자연어 대화를 통해 평가하고, 적절한 대응 방안을 제시하는 것을 목표로 한다. 대형언어모델(LLM) 기반 의료 AI의 실용화 가능성을 보여주는 사례로, 의료 접근성이 제한된 환경에서 초기 증상 스크리닝 도구로 활용될 잠재력이 있다.

그러나 SymptomAI와 같은 의료 상담 AI는 개인의 건강 상태, 병력, 증상 등 「개인정보 보호법」상 민감정보에 해당하는 데이터를 대량으로 수집·처리한다. 2026년 현재 시행 중인 EU AI Act는 건강 분야 AI를 고위험군으로 분류하며, 국내에서도 AI기본법 제정 논의 과정에서 의료 AI에 대한 특별 규제 필요성이 지속적으로 제기되고 있다. 특히 대화 과정에서 수집된 증상 데이터가 AI 모델 재학습에 활용될 경우, 정보주체 동의 범위와 목적 외 이용 금지 원칙 위반 여부가 쟁점이 된다.

AI 생성 의료 조언의 정확성과 책임 소재도 중요한 과제다. SymptomAI가 제공하는 증상 평가 결과가 부정확하거나 오해의 소지가 있을 경우, 사용자의 건강권에 직접적인 피해를 초래할 수 있다. 의료법상 '의료행위'의 범위 해석, AI 개발사·서비스 제공자·사용자 간 책임 분배, 알고리즘 투명성 확보 등 법적·윤리적 쟁점이 복합적으로 얽혀 있다. 2026년 현재 국내에서는 의료 AI의 허가·심사 기준이 지속 강화되는 추세이며, 개인정보보호위원회와 식품의약품안전처 간 협력 거버넌스 구축이 진행 중이다.

데이터 보안 측면에서도 건강정보는 금융정보와 함께 가장 높은 수준의 보호가 요구된다. SymptomAI와 같은 시스템은 클라우드 기반 대화형 인터페이스를 사용하므로, 전송 구간 암호화, 저장 데이터 암호화, 접근 통제, 익명화·가명처리 등 다층 보안 통제가 필수적이다. 특히 국가 간 데이터 이전 시 충분성 결정 여부와 표준계약조항(SCC) 체결, 역외 이전 영향평가 수행 등 국제 데이터 이전 규제 준수가 중요하다.

전문가 시각

ISMS-P 선임심사원 관점에서 SymptomAI와 같은 의료 상담 AI 서비스는 개인정보 생명주기 전 단계에서 통제 요구사항을 충족해야 한다. 우선 서비스 기획 단계에서 개인정보 영향평가(PIA)를 수행하고, 민감정보 처리의 법적 근거(정보주체 명시적 동의 또는 법령상 허용 사유)를 명확히 해야 한다. AI 모델 학습용 데이터셋 구축 시에는 데이터 최소화 원칙을 적용하고, 학습 완료 후 원본 데이터 파기 정책을 수립해야 한다. 특히 LLM의 특성상 학습 데이터가 출력 결과에 재현될 위험(데이터 누출)이 있으므로, 차등정보보호(Differential Privacy) 등 프라이버시 강화 기술(PET) 적용을 검토해야 한다.

AI 거버넌스 측면에서는 알고리즘 설명가능성과 감사 가능성 확보가 핵심이다. SymptomAI의 증상 평가 로직과 근거를 사용자에게 투명하게 제공하고, 잘못된 조언으로 인한 피해 발생 시 원인 추적과 책임 규명이 가능한 로그 관리 체계를 구축해야 한다. 2026년 현재 논의 중인 AI기본법은 고위험 AI에 대한 사전 적합성 평가와 사후 모니터링을 요구할 것으로 예상되므로, 의료 AI 개발·운영 기업은 AI 위험 관리 체계(AI RMS)를 조기에 수립하고, ISMS-P 인증 범위에 AI 서비스를 포함하는 통합 관리 전략을 마련해야 한다. 특히 바이브 코딩 방식으로 AI 보조 개발한 의료 AI 코드의 경우, 자동 생성 코드의 보안 취약점(인증 우회, SQL 인젝션, 민감정보 로깅 등) 검증을 위한 정적·동적 보안 테스트를 의무화해야 한다.

CPPG·ISMS-P 연계 포인트

1. 민감정보 처리 시 법적 근거 및 보호조치 (개인정보보호법 제23조) 건강정보는 민감정보로서 정보주체의 별도 동의 또는 법령상 명시적 허용 사유가 있어야 처리 가능하며, 안전성 확보조치 의무가 강화된다. SymptomAI와 같은 건강 AI는 수집 단계에서 명시적 동의를 받고, 암호화·접근통제·감사기록 등 기술적·관리적 보호조치를 이행해야 한다. ISMS-P 인증심사 시 민감정보 처리 프로세스와 보호대책의 적정성이 중점 검토 대상이 된다.

2. AI 시스템의 개인정보 영향평가 및 위험 관리 (ISMS-P 2.8.4 개인정보 영향평가) AI 기반 개인정보 처리 시스템 도입 시 개인정보 침해 위험을 사전 평가하고 저감 조치를 마련해야 한다. 의료 AI는 고위험 처리로 분류되어 의무 영향평가 대상이며, AI 특성(자동화된 의사결정, 프로파일링, 데이터 재사용 등)에 따른 추가 위험 요소를 평가해야 한다. ISMS-P 심사에서는 영향평가 수행 여부, 식별된 위험에 대한 조치 계획, 이행 결과의 적정성을 확인한다.