디지털헬스 AI 개발 시 의료법·개인정보보호법 충돌 위험 증가…통합 거버넌스 필요

핵심 요약

- 디지털헬스와 AI 기술 결합 가속화로 의료법·개인정보보호법 간 규제 복잡성 심화 - 의학·기술 분야 간 언어 차이로 인한 법적 요구사항 해석 오류 위험 증가 - 개발 초기 단계부터 통합 법률 검토 및 Privacy by Design 적용 필요

주요 내용

2026년 현재 의료 현장에서 AI와 디지털헬스 기술의 도입이 급속히 확대되면서, 의사들의 역할이 단순 진료를 넘어 기술 개발자로 확장되고 있다. 그러나 이 과정에서 의료법과 개인정보보호법 간의 규제 충돌 문제가 핵심 장애 요인으로 부상하고 있다. 특히 의료기관에서 수집된 환자 데이터를 AI 학습에 활용하는 과정에서 개인정보 비식별 조치, 동의 범위, 목적 외 이용 제한 등 복잡한 법적 쟁점이 발생한다.

의학과 기술 분야는 각기 다른 전문 용어와 규제 체계를 가지고 있어, 의사 출신 개발자들이 기술 구현 과정에서 개인정보보호 요구사항을 정확히 이해하지 못하는 경우가 빈번하다. 의료법상 '의료정보'와 개인정보보호법상 '민감정보' 간의 개념 차이, 의료기기 허가 절차와 개인정보 영향평가 시점의 불일치 등이 대표적인 혼란 지점이다.

특히 AI 모델 개발 시 학습 데이터의 법적 근거 확보가 핵심 과제로 떠오르고 있다. 진료 목적으로 수집된 개인정보를 AI 개발이라는 새로운 목적으로 활용하기 위해서는 별도 동의가 필요하며, 이 과정에서 정보주체의 권리 보장, 제3자 제공 요건 충족 등 복잡한 절차를 거쳐야 한다. 또한 개발된 AI 시스템이 의료기기로 분류될 경우 사후 모니터링, 이상사례 보고 등 추가적인 개인정보 처리가 발생해 법적 책임 범위가 더욱 확대된다.

투자 유치 과정에서도 개인정보보호 컴플라이언스 수준이 핵심 실사 항목으로 평가받고 있다. 데이터 거버넌스 체계, 개인정보 처리방침의 적정성, ISMS-P 인증 여부 등이 투자 결정에 직접적인 영향을 미치며, 법적 리스크가 높은 스타트업은 자금 확보에 어려움을 겪는 사례가 증가하고 있다.

전문가 시각

디지털헬스 AI 개발 기업은 기술 개발과 법률 준수를 분리된 과제로 접근하지 말고, 개발 생명주기 전체에 통합된 컴플라이언스 프레임워크를 구축해야 한다. 특히 요구사항 정의 단계에서부터 의료법 전문가와 개인정보보호 전문가가 공동으로 참여하여 법률 간 충돌 지점을 사전 식별하고, 데이터 최소화·목적 제한 원칙을 설계에 반영하는 Privacy by Design 접근이 필수적이다. ISMS-P 선임심사원 관점에서 볼 때, 의료 AI 시스템은 '민감정보 처리 시스템'으로서 강화된 보호조치가 요구되므로, 접근통제·암호화·감사 로그 등 기술적 보호조치와 함께 개인정보 영향평가(PIA)를 개발 초기에 실시해야 한다.

실무적으로는 '법률-기술 브릿지 팀' 구성을 권고한다. 의료·AI·법률·정보보호 각 분야 전문가가 정기적으로 협업하여 규제 변화를 모니터링하고, 개발 단계별 체크리스트를 운영하는 것이 효과적이다. 특히 2025년 AI기본법 시행 이후 의료 AI는 '고위험 AI 시스템'으로 분류될 가능성이 높아, 사전 적합성 평가·지속적 모니터링 의무가 추가될 것으로 예상된다. 따라서 현재 개발 중인 시스템이라도 향후 규제 변화를 대비한 문서화 체계(데이터 출처, 알고리즘 설명가능성, 편향성 검증 결과 등)를 미리 갖춰야 법적 리스크를 최소화할 수 있다.

CPPG·ISMS-P 연계 포인트

민감정보 처리의 특례 (개인정보보호법 제23조): 의료 AI 개발 시 건강정보는 민감정보로서 정보주체의 별도 동의가 필요하며, 단순 진료 동의와는 구별되는 명확한 동의 절차(처리 목적, 제공 항목, 제3자 제공 여부 등 고지)를 거쳐야 한다. ISMS-P 인증 심사 시 민감정보 처리 시스템은 강화된 접근통제·암호화·분리 보관 등 추가 보호조치 이행 여부를 중점 점검한다.

개인정보 영향평가(PIA) 대상 (개인정보보호법 제33조): 5만 명 이상의 민감정보를 처리하는 의료 AI 시스템 구축 시 개인정보 영향평가가 의무이며, 개발 완료 전에 실시하여 위험요인을 사전 제거해야 한다. ISMS-P 심사 시 PIA 수행 여부, 권고사항 이행 여부, 사후 모니터링 체계가 평가 항목에 포함된다.