뇌졸중 AI 'JLK-CTP' 신의료기술평가 유예…의료AI 개인정보보호 준수 의무화

핵심 요약

- 제이엘케이의 CT 뇌영상 기반 분석 솔루션 'JLK-CTP'가 2026년 신의료기술평가 유예 대상으로 본격화 - 평가 유예 기간 중 실시기관은 개인정보보호법 등 관련 법령 규정 준수 의무 부과 - 의료AI 도입 시 민감정보 처리 및 AI 거버넌스 체계 구축 필요성 증대

주요 내용

의료 AI 전문기업 제이엘케이(대표이사 김동민)가 개발한 CT 뇌영상 기반 분석 솔루션 'JLK-CTP'가 2026년 8월 신의료기술평가 유예 제도의 적용을 받게 되면서, 의료AI 분야의 개인정보보호 의무가 강화되고 있다. 신의료기술평가 유예 제도는 혁신적인 의료기술의 조기 시장 진입을 지원하면서도, 환자 안전과 개인정보보호를 동시에 확보하기 위한 규제 장치다.

'JLK-CTP'는 뇌졸중 환자의 CT 영상을 AI로 분석하여 진단을 보조하는 솔루션으로, 진료 과정에서 환자의 의료영상, 진단정보 등 민감한 개인정보를 대량으로 처리한다. 이번 유예 지정 과정에서 보건당국은 실시기관에 대해 개인정보보호법 등 관련 법령의 규정을 준수할 것을 명시적으로 요구했다.

특히 의료AI는 「개인정보보호법」상 민감정보(건강정보)를 처리하므로, 정보주체의 별도 동의, 가명·익명 처리 기준 준수, 안전성 확보조치 이행 등이 필수적이다. 또한 AI 학습 데이터의 수집·처리·보관 전 과정에서 개인정보 침해 위험을 최소화해야 한다.

2026년 현재 AI기본법과 개인정보보호법의 연계 해석이 중요해지면서, 의료AI 분야는 기술 혁신과 개인정보보호의 균형점을 찾아야 하는 과제를 안고 있다. 특히 AI 알고리즘의 투명성, 설명가능성, 편향성 검증 등 AI 거버넌스 요소가 의료기기 평가 기준에 점차 반영되는 추세다.

전문가 시각

ISMS-P 심사 관점에서 의료AI 서비스는 '민감정보 처리 시스템'으로 분류되어 강화된 보호조치가 요구된다. JLK-CTP와 같은 의료영상 분석 AI는 ① 환자 건강정보의 암호화 저장 및 전송, ② 접근권한 관리 및 로그 기록, ③ AI 학습용 데이터의 비식별 조치, ④ 개인정보 영향평가(PIA) 수행 등이 필수다. 특히 클라우드 기반 AI 서비스의 경우 국내외 데이터 이전 시 개인정보보호법 제28조의8(국외 이전) 규정을 반드시 검토해야 한다.

실무적으로 의료기관이 AI 솔루션을 도입할 때는 공급업체와의 개인정보 처리 위탁 계약, 기술적·관리적 보호조치 점검, AI 알고리즘의 보안 취약점 검증이 선행되어야 한다. 2026년 현재 AI 거버넌스 체계가 ISMS-P 인증 심사 항목에 반영되는 추세이므로, AI 모델의 학습 데이터 출처 관리, 편향성 모니터링, 알고리즘 변경 이력 관리 등을 문서화하는 것이 중요하다. 특히 신의료기술평가 유예 기간 중에는 사후 모니터링 의무가 부과되므로, 개인정보 처리 현황을 지속적으로 기록·관리하는 체계를 구축해야 한다.

CPPG·ISMS-P 연계 포인트

민감정보 처리의 안전성 확보조치 (개인정보보호법 제23조, 제29조)
의료AI가 처리하는 건강정보는 민감정보로서 별도 동의 획득 및 강화된 안전조치(암호화, 접근통제, 위험도 분석 등)가 필요하며, ISMS-P 인증 시 민감정보 처리 시스템에 대한 별도 심사 기준이 적용된다.

개인정보 영향평가(PIA) 수행 의무 (개인정보보호법 제33조)
민감정보를 처리하는 AI 시스템은 개인정보 영향평가 대상으로, 개인정보 침해 위험요인 분석, AI 알고리즘의 개인정보보호 설계(Privacy by Design) 적용 여부, 비식별 조치의 적정성 등을 사전 평가해야 한다.