AI 거버넌스2026.09.04읽는 시간 12분
의료 데이터 규제, AI에 써도 될까? 판단 기준 3가지
AI 도입의 첫 관문은 제품 비교가 아니라 데이터·목적·처리 환경 세 가지 판단 기준입니다.
—VIEWS
—LIKES
—SAVES
AI 도입의 첫 관문은 제품 비교가 아니라 데이터·목적·처리 환경 세 가지 판단 기준입니다.
"우리 병원 진료 자료를 AI로 분석해 보면 어떨까요?"
회의에서 이 말이 나오면 대화는 대개 세 가지 질문에서 멈춥니다. "진료기록을 외부 AI에 넣어도 법적으로 괜찮은가?", "환자 이름만 지우면 되는 것 아닌가?", "규제가 있다는데 그럼 의료 AI는 아예 못 쓰는 것 아닌가?"
의료 데이터 규제는 AI 도입의 첫 관문입니다. 다만 이 관문은 "된다/안 된다"의 이분법으로 작동하지 않습니다. 무엇을, 왜, 어떻게 처리하는지 세 가지가 결론을 만듭니다. 이 글에서는 그 세 가지 판단 기준과 병원이 AI 제품을 비교하기 전에 먼저 그려야 할 데이터 흐름 네 단계를 정리합니다.
병원이 가진 데이터에는 특정 개인을 알아볼 수 있는 정보가 촘촘히 섞여 있기 때문입니다. 이 불안은 정확한 직관입니다. 규제 이해도 여기서 출발합니다.
진료기록에는 이름과 연락처만 있지 않습니다. 방문 날짜, 진단명, 처방 내역, 검사 수치, 영상 자료가 한 사람의 시간 순서대로 쌓여 있습니다. 개인정보 보호법은 건강에 관한 정보를 민감정보로 분류해 일반 개인정보보다 엄격한 처리 요건을 적용합니다. 그래서 "AI가 편리하니 일단 넣어 보자"는 접근이 위험합니다.
이름과 주민등록번호를 삭제해도 재식별 위험이 자동으로 사라지지는 않습니다. 희귀 질환 진단명, 특정 날짜의 수술 이력, 소규모 지역의 연령·성별 조합처럼 남은 항목만으로 개인이 좁혀지는 경우가 있습니다. 의료 데이터 규제가 보는 기준은 남은 데이터로 개인을 알아볼 가능성입니다. 지운 항목이 몇 개인지는 따지지 않습니다.
의료 데이터 규제는 어떤 데이터를 어떤 목적으로 어떤 환경에서 처리하는지를 봅니다. AI라는 기술을 쓰는지 자체는 판단 기준이 아닙니다. 실무에서는 세 가지 질문으로 압축됩니다.
세 질문에 답하지 못하면 어떤 법 조항을 읽어도 결론이 나오지 않습니다. 답이 정리되는 순간 검토할 절차의 범위는 크게 좁아집니다.
가명정보는 추가 정보를 사용하지 않으면 특정 개인을 알아볼 수 없도록 처리한 개인정보를 말합니다. 환자 이름표를 떼고 번호를 붙인 데이터라고 보면 실무 감각에 가깝습니다. 그 번호와 실제 환자를 잇는 대응표는 병원만 따로 보관합니다. 개인정보 보호법은 통계작성, 과학적 연구, 공익적 기록보존 목적에 한해 가명정보를 정보주체의 동의 없이 처리할 수 있도록 허용합니다.
다만 가명처리를 했다고 해서 모든 활용이 열리지는 않습니다. 가명정보는 여전히 개인정보입니다. 재식별 금지 의무와 안전조치 의무가 그대로 남습니다.
구분 | 원본 진료데이터 | 가명정보 | 익명정보 |
|---|---|---|---|
개인 식별 가능성 | 직접 식별 가능 | 추가 정보가 있으면 식별 가능 | 복원해 식별할 수 없음 |
정보주체 동의 | 원칙적으로 필요 | 통계작성·과학적 연구 등 법정 목적에서는 불필요 | 개인정보가 아니므로 해당 없음 |
주로 쓰는 상황 | 진료와 청구 등 본래 목적 | 연구·AI 학습 데이터 구축 | 통계 공개, 외부 공유 |
남는 관리 의무 | 민감정보 처리 요건 전부 | 재식별 금지, 안전조치, 처리 기록 | 사실상 없음 |
가명처리는 규제를 없애 주지 않습니다. 관리 의무를 계속 지는 조건으로 활용 범위를 넓혀 줄 뿐입니다.
같은 진료 데이터라도 병원 내부 폐쇄망에서 처리할 때와 외부 클라우드 AI 서비스로 보낼 때는 검토 항목이 달라집니다. 처리 환경은 데이터 종류만큼 결론을 크게 흔듭니다.
그렇지 않습니다. 정부는 오히려 의료 데이터 활용 절차를 정비해 왔습니다.
보건복지부와 개인정보보호위원회는 2025년 12월 31일 「보건의료데이터 활용 가이드라인」 개정본을 시행했습니다. 개정본은 기관생명윤리위원회(IRB)와 기관보건의료정보심의위원회(DRB)의 표준 심의 절차를 제시했습니다. 자체 DRB를 꾸리기 어려운 중소 의료기관을 위한 공용 DRB 제도도 함께 도입했습니다. 심의 체계가 없어 연구를 시작하지 못하던 병원에도 실질적인 경로가 생겼습니다.
개인정보보호위원회는 2026년 3월 「가명정보 처리 가이드라인」을 전면 개정해 판단 체계를 위험도 기반으로 바꿨습니다. 위험 수준에 따라 절차와 서류를 차등화하면서 서식은 24종에서 10종으로 줄었습니다. 영상·이미지·음성 같은 비정형 데이터에는 전수 검수 대신 표본 검수를 적용할 수 있도록 안내했습니다. 의료 영상을 다루는 병원이라면 이 대목이 특히 중요합니다.
두 상황은 검토 주체도, 사전 절차도, 실패하는 지점도 다릅니다.
구분 | 연구·개발 목적 활용 | 일상 업무용 외부 AI 사용 |
|---|---|---|
대표 상황 | 진단 보조 모델 학습, 코호트 분석 | 진료 요약, 문서 작성, 민원 응대 |
검토 주체 | IRB·DRB 등 심의 기구 | 병원 개인정보 보호책임자와 정보보안 담당 |
사전 절차 | 가명처리 계획과 적정성 검토 | 입력 금지 항목과 사용 도구 지정 |
데이터 범위 | 목적에 필요한 항목으로 한정 | 원칙적으로 환자 식별정보 입력 금지 |
가장 흔한 실패 | 목적 범위를 넘는 항목까지 수집 | 직원이 개인 계정 AI에 환자 정보를 붙여 넣음 |
연구용 활용은 절차를 밟아 열어 가는 문제입니다. 일상 업무용 사용은 기준을 정해 막는 문제입니다.
일상 업무용 사용을 방치하면 어떤 일이 벌어지는지는 이미 조사로 확인됩니다. 삼성SDS가 2026년 5월 기준으로 발표한 국내 기업 생성형 AI 활용 실태 조사에서 회사 승인 없이 직원이 비용을 부담해 생성형 AI를 쓰는 비중은 38%였습니다. 회사가 보안을 보장하는 엔터프라이즈 버전을 정식 계약한 비중 24%보다 높습니다. 병원에서 같은 일이 벌어지면 손봐야 할 대상은 AI 제품이 아닙니다. 직원의 입력 습관입니다.
기준이 없을 때 조직에서 실제로 발생하는 문제는 AI 거버넌스 공백의 신호에서 사례별로 정리했습니다. 사내 데이터를 AI에 연결하는 방식 자체가 궁금하다면 사내 데이터를 AI에 쓰는 방법을 함께 보시면 됩니다.
초기 검토에서 가장 빠른 길은 데이터가 움직이는 경로를 한 장에 그려 보는 것입니다. 법령을 외우는 일은 그다음입니다. 네 가지를 순서대로 적으면 검토 범위가 정해집니다.
어떤 데이터가 들어가는가?
항목 단위로 적습니다. "진료기록"이 아니라 "방문일, 진단코드, 처방명, 검사 수치"처럼 적어야 식별 위험을 판단할 수 있습니다.
데이터는 어디로 전달되고 저장되는가?
병원 내부 서버인지, 국내 클라우드인지, 해외 리전인지를 확인합니다. 학습 데이터로 재사용되는지는 계약서에서 짚습니다.
누가 어떤 목적으로 사용하는가?
접근 권한을 가진 직군과 사용 목적을 명시합니다. 권한이 부서 단위로만 정의돼 있으면 이 단계에서 걸립니다.
AI가 만든 결과는 어디에 쓰이는가?
참고 자료로 끝나는지, 진료나 청구 같은 실제 의사결정에 반영되는지에 따라 검증 수준이 달라집니다.
데이터 흐름 네 가지를 적고 나면 다음 회의 안건이 바뀝니다. "어떤 AI가 좋은가" 대신 "이 흐름에서 어느 구간을 병원 안에 남길 것인가"를 논의하게 됩니다.
아래 여섯 항목 중 3개 이상에 해당하면 데이터 활용 기준을 문서로 정할 시점입니다. 5개 이상이면 AI 제품 검토보다 정보 취급 기준 수립을 먼저 진행하시기를 권합니다.
직원의 외부 AI 사용 현황이 파악되지 않습니다
개인 계정으로 어떤 AI 서비스를 업무에 쓰는지 확인된 자료가 없습니다.
AI를 써도 되는지 묻는 문의가 반복됩니다
진료 요약이나 문서 작성에 AI를 써도 되느냐는 질문이 현업에서 계속 올라옵니다.
입력 범위를 정한 문서가 없습니다
환자 정보를 어디까지 입력해도 되는지 기준을 적어 둔 문서가 없습니다.
데이터 반출 이력이 흩어져 있습니다
연구 목적으로 데이터를 내보낸 기록이 부서별로 따로 관리됩니다.
계약서의 재사용·재식별 조항이 확인되지 않습니다
외부 업체와 데이터를 주고받는 계약에 재사용 금지와 재식별 금지 조항이 있는지 확인된 바 없습니다.
AI 결과의 검증 절차가 없습니다
AI 결과가 진료나 청구 판단에 쓰이는데 누가 어떻게 검증하는지 정해져 있지 않습니다.
데이터부터 모으고 목적을 나중에 정합니다
목적이 없으면 가명처리 범위도, 심의 대상도 정할 수 없어 검토가 처음으로 되돌아갑니다.
이름 삭제를 가명처리로 착각합니다
남은 항목의 조합으로 개인이 좁혀지는지 확인하지 않으면 적정성 검토에서 되돌아옵니다.
일상 업무용 사용을 검토 대상에서 뺍니다
실제 사고는 연구 과제보다 직원의 붙여 넣기에서 더 자주 발생합니다.
한 번에 전 부서로 확대합니다
한 업무, 한 데이터 범위에서 검증한 뒤 넓히는 편이 되돌리는 비용이 훨씬 적습니다.
의료 데이터 규제를 확인하다 보면 질문은 결국 하나로 모입니다. "그래서 우리 병원은 무엇부터 시작해야 하는가?"
규정 확인은 출발점일 뿐입니다. 실제 도입은 해결할 업무를 정하고 그 업무에 필요한 데이터를 확인한 뒤 위험을 점검하고 좁은 범위에서 검증하는 순서로 진행됩니다. 병원에서 어떤 업무가 먼저 후보가 되는지는 병원 업무 자동화 후보 판별 기준에서 정리했습니다.
NextGenAI는 기업과 의료기관의 AI 도입을 데이터 흐름 진단부터 시작하는 방식으로 지원합니다. 무료 AX 진단에서는 데이터 흐름 네 단계를 함께 그리고 지금 검토가 필요한 구간과 미뤄도 되는 구간을 구분해 드립니다.
의료 데이터 규제는 사용 가능 여부를 데이터 종류, 처리 목적, 처리 환경 세 가지로 나눠 판단합니다. "의료 데이터는 AI에 쓸 수 있다" 또는 "쓸 수 없다"로 한 번에 결론이 나지 않습니다. 원본 진료기록을 외부 AI에 그대로 넣는 경우와 가명처리한 데이터를 병원 내부 환경에서 연구 목적으로 분석하는 경우는 검토 절차부터 다릅니다.
RELATED · 함께 읽으면 좋은 글
AI 거버넌스가 없을 때 실제로 생기는 5가지 리스크를 정리했습니다. 7문항 자가진단 체크리스트와 시작 3단계, 비용·기간 기준까지 담았습니다.
