약국 AI 상담 플랫폼, 온디바이스 처리로 개인정보 보호 강화

핵심 요약

- 약사·박사 출신 김동완 대표(38)가 충남에서 AI 기반 약국 상담 플랫폼 개발, 헬스케어 AI 접근성 개선 추진 - 핵심 분석 기능을 디바이스 내부에서 처리하는 온디바이스(On-Device) AI 방식으로 개인정보 외부 전송 최소화 - 클라우드 전송 없이 로컬 처리로 응답 속도 향상과 민감정보 보호를 동시 달성하는 프라이버시 바이 디자인 구현

주요 내용

충남 지역에서 약사 출신 창업자가 AI와 약학 전문성을 결합한 약국 상담 플랫폼을 개발하며 주목받고 있다. 김동완 대표(38)가 이끄는 이 기업은 2026년 현재 약국 현장의 상담 공백을 AI 기술로 메우겠다는 목표 아래, 개인정보 보호를 핵심 설계 원칙으로 삼은 솔루션을 선보였다.

이 플랫폼의 가장 큰 특징은 온디바이스(On-Device) AI 처리 방식이다. 일반적인 클라우드 기반 AI 서비스가 사용자 데이터를 외부 서버로 전송해 분석하는 것과 달리, 이 시스템은 약물 상호작용 분석, 복약 지도 등 핵심 기능을 사용자의 디바이스 내부에서 직접 처리한다. 이를 통해 건강정보, 복용 약물 목록 등 민감한 개인정보가 외부로 전송되는 것을 원천적으로 차단할 수 있다.

특히 약국 상담 과정에서 다루는 정보는 개인정보보호법상 민감정보에 해당하는 건강정보를 포함한다. 기존 헬스케어 AI 서비스들이 클라우드 서버로 데이터를 전송하면서 개인정보 유출 우려를 받아온 점을 고려하면, 온디바이스 처리 방식은 법적 리스크를 크게 낮추는 동시에 사용자 신뢰도를 높일 수 있는 전략이다. 또한 네트워크 지연 없이 즉각적인 응답이 가능해 사용자 경험(UX) 개선 효과도 기대된다.

약사이자 박사 학위를 보유한 김 대표의 이중 전문성은 이 플랫폼의 경쟁력으로 작용한다. 약학 지식을 바탕으로 AI 모델의 의학적 정확성을 검증하고, 실제 약국 현장의 요구사항을 기술 개발에 직접 반영할 수 있는 구조다. 회사는 향후 로드맵을 통해 서비스 범위를 확대해 나갈 계획이다.

전문가 시각

ISMS-P 관점에서 볼 때, 이 사례는 개인정보 처리 최소화 원칙을 기술 설계 단계부터 구현한 모범 사례다. 개인정보보호법 제3조(개인정보 보호 원칙) 제1항은 "개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 최소한의 개인정보만을 적법하게 처리해야 한다"고 규정하고 있다. 온디바이스 AI는 데이터를 외부로 전송하지 않음으로써 이 원칙을 기술적으로 구현한다. 다만 디바이스 내 저장되는 데이터의 암호화, 로컬 모델 업데이트 시 보안 채널 확보, 디바이스 분실 시 데이터 보호 방안 등은 여전히 면밀히 설계되어야 한다.

헬스케어 AI 분야에서 바이브 코딩(Vibe Coding) 방식으로 개발될 경우 추가 위험이 있다. 생성형 AI가 자동 생성한 코드에서 SQL 인젝션, 부적절한 접근 제어, 경쟁조건(Race Condition) 등의 취약점이 발견되는 사례가 2025년 이후 급증하고 있다. 특히 건강정보 처리 로직에서 인증·인가 누락이 발생하면 개인정보보호법 위반은 물론 의료법상 책임 문제까지 발생할 수 있다. 따라서 AI 생성 코드에 대한 보안 코드 리뷰, SAST(정적 애플리케이션 보안 테스팅) 도구 적용, 의료정보 처리 구간에 대한 수동 검증이 필수적이다. 온디바이스 AI라 하더라도 모델 파라미터 추출 공격, 모델 역공학을 통한 학습 데이터 유추 등 새로운 위협에 대비한 보안 설계가 요구된다.

CPPG·ISMS-P 연계 포인트

프라이버시 바이 디자인(Privacy by Design): 개인정보 보호를 사후 보완이 아닌 시스템 설계 단계부터 내재화하는 원칙. 온디바이스 AI 처리 방식은 데이터 최소화, 목적 제한 등 7대 원칙을 기술적으로 구현한 사례로, ISMS-P 인증심사 시 '2.3.1 개인정보 흐름 파악' 항목에서 긍정 평가 요소가 된다.

민감정보 처리 보호조치: 개인정보보호법 제23조는 건강정보 등 민감정보 처리 시 별도 동의를 요구하며, 제24조의2(가명정보 처리 시 안전조치 의무)와 연계해 암호화, 접근통제 등 기술적 보호조치를 강화해야 한다. 온디바이스 처리는 전송 구간 보호 필요성을 감소시키지만, 저장·이용 단계 보호조치는 여전히 필수다.