의료 데이터를 AI에 사용해도 되나요?

의료 데이터 규제는 사용 가능 여부를 데이터 종류, 처리 목적, 처리 환경 세 가지로 나눠 판단합니다. "의료 데이터는 AI에 쓸 수 있다" 또는 "쓸 수 없다"로 한 번에 결론이 나지 않습니다. 원본 진료기록을 외부 AI에 그대로 넣는 경우와 가명처리한 데이터를 병원 내부 환경에서 연구 목적으로 분석하는 경우는 검토 절차부터 다릅니다.

환자 이름을 지우면 의료 데이터를 AI에 넣어도 되나요?

이름만 지운다고 안전해지지 않습니다. 의료 데이터 규제는 삭제한 항목의 개수가 아니라 남은 데이터로 개인을 알아볼 가능성을 봅니다. 희귀 질환 진단명, 특정 날짜의 수술 이력, 소규모 지역의 연령·성별 조합은 이름이 없어도 개인을 좁힙니다. 이런 항목이 남아 있으면 재식별 위험은 그대로입니다.

가명정보란 무엇이고, 익명정보와 어떻게 다른가요?

가명정보는 추가 정보를 쓰지 않으면 특정 개인을 알아볼 수 없도록 처리한 개인정보입니다. 대응표 같은 추가 정보와 결합하면 다시 식별할 수 있으므로 여전히 개인정보이고, 재식별 금지와 안전조치 의무가 남습니다. 익명정보는 다릅니다. 복원해 식별할 수 없는 상태라 개인정보에 해당하지 않습니다.

MRI나 CT 같은 의료 영상도 같은 기준으로 보나요?

의료 영상도 개인 식별 위험을 검토해야 하는 대상입니다. 개인정보보호위원회는 2026년 3월 「가명정보 처리 가이드라인」을 전면 개정하면서 영상·이미지·음성을 비정형 데이터로 분류했습니다. 전수 검수가 현실적으로 어려운 대규모 비정형 데이터에는 표본 검수 방식을 적용하도록 안내했습니다.

연구 목적이면 환자 동의 없이 의료 데이터를 쓸 수 있나요?

개인정보 보호법은 통계작성, 과학적 연구, 공익적 기록보존 목적에 한해 가명정보를 정보주체 동의 없이 처리할 수 있도록 허용합니다. 다만 동의 면제가 절차 면제를 뜻하지는 않습니다. 가명처리 계획과 적정성 검토, 기관생명윤리위원회(IRB)나 기관보건의료정보심의위원회(DRB) 심의 같은 절차는 그대로 남습니다.

규모가 작은 의원도 의료 데이터 규제를 검토해야 하나요?

병상 수나 직원 수와 관계없이 환자 정보를 외부 AI 서비스에 입력하는 순간 검토 대상이 됩니다. 오히려 소규모 기관일수록 직원 개인 계정으로 AI를 쓰는 비중이 높아 관리 공백이 생기기 쉽습니다. 2025년 12월 31일 시행된 개정 「보건의료데이터 활용 가이드라인」은 공용 DRB 제도를 도입했습니다. 자체 심의 기구를 두기 어려운 중소 의료기관이 이 제도를 활용하면 됩니다.

의료 데이터 규제 검토에 시간이 얼마나 걸리나요?

소요 기간은 활용 유형에 따라 크게 갈립니다. 일상 업무용 AI의 입력 기준을 정하는 일은 데이터 흐름 정리와 문서화 수준이라 비교적 빨리 끝납니다. 연구·개발 목적으로 가명정보를 구축하는 경우는 가명처리 계획 수립과 심의 일정이 붙어 기관의 심의 주기에 좌우됩니다. 기간을 추정하려면 먼저 어느 유형에 해당하는지부터 확정해야 합니다.

의료 데이터 규제 검토가 제대로 됐는지는 무엇으로 확인하나요?

문서 한 장으로 확인합니다. 어떤 데이터 항목이 어디로 전달돼 누가 어떤 목적으로 쓰고 그 결과가 어디에 반영되는지, 이 네 가지가 한 장에 적혀 있어야 합니다. 각 구간의 책임자까지 지정돼 있으면 검토가 작동합니다. 이 문서가 없으면 담당자가 바뀌는 순간 판단 기준도 함께 사라집니다.

의료 데이터 규제, AI에 써도 될까? 판단 기준 3가지

TL;DR — 한 눈에 보는 핵심

의료 데이터 규제는 AI 사용 여부가 아니라 어떤 데이터를, 무슨 목적으로, 어떤 환경에서 처리하는지를 봅니다.
환자 이름을 지운 것만으로는 안전이 확보되지 않습니다. 남은 항목의 조합으로 개인을 알아볼 가능성까지 검토해야 합니다.
보건복지부와 개인정보보호위원회는 2025년 12월 31일 「보건의료데이터 활용 가이드라인」 개정본을 시행해 공용 DRB 제도를 도입했습니다.
개인정보보호위원회는 2026년 3월 「가명정보 처리 가이드라인」을 위험도 기반으로 전면 개정하고, 의료 영상 같은 비정형 데이터에 표본 검수를 허용했습니다.
병원이 먼저 할 일은 AI 제품 비교가 아니라 데이터가 들어가고 나가는 흐름을 네 단계로 그려 보는 것입니다.

"우리 병원 진료 자료를 AI로 분석해 보면 어떨까요?"

회의에서 이 말이 나오면 대화는 대개 세 가지 질문에서 멈춥니다. "진료기록을 외부 AI에 넣어도 법적으로 괜찮은가?", "환자 이름만 지우면 되는 것 아닌가?", "규제가 있다는데 그럼 의료 AI는 아예 못 쓰는 것 아닌가?"

의료 데이터 규제는 AI 도입의 첫 관문입니다. 다만 이 관문은 "된다/안 된다"의 이분법으로 작동하지 않습니다. 무엇을, 왜, 어떻게 처리하는지 세 가지가 결론을 만듭니다. 이 글에서는 그 세 가지 판단 기준과 병원이 AI 제품을 비교하기 전에 먼저 그려야 할 데이터 흐름 네 단계를 정리합니다.

의료 데이터를 AI에 넣기 전에 왜 멈칫하게 될까요?

병원이 가진 데이터에는 특정 개인을 알아볼 수 있는 정보가 촘촘히 섞여 있기 때문입니다. 이 불안은 정확한 직관입니다. 규제 이해도 여기서 출발합니다.

진료기록에는 한 사람을 알아볼 수 있는 정보가 섞여 있습니다

진료기록에는 이름과 연락처만 있지 않습니다. 방문 날짜, 진단명, 처방 내역, 검사 수치, 영상 자료가 한 사람의 시간 순서대로 쌓여 있습니다. 개인정보 보호법은 건강에 관한 정보를 민감정보로 분류해 일반 개인정보보다 엄격한 처리 요건을 적용합니다. 그래서 "AI가 편리하니 일단 넣어 보자"는 접근이 위험합니다.

이름을 지웠다고 항상 안전해지지는 않습니다

이름과 주민등록번호를 삭제해도 재식별 위험이 자동으로 사라지지는 않습니다. 희귀 질환 진단명, 특정 날짜의 수술 이력, 소규모 지역의 연령·성별 조합처럼 남은 항목만으로 개인이 좁혀지는 경우가 있습니다. 의료 데이터 규제가 보는 기준은 남은 데이터로 개인을 알아볼 가능성입니다. 지운 항목이 몇 개인지는 따지지 않습니다.

의료 데이터 규제는 무엇을 기준으로 판단하나요?

의료 데이터 규제는 어떤 데이터를 어떤 목적으로 어떤 환경에서 처리하는지를 봅니다. AI라는 기술을 쓰는지 자체는 판단 기준이 아닙니다. 실무에서는 세 가지 질문으로 압축됩니다.

무엇을 쓰는가? 진료기록인지, 검사 수치인지, 의료 영상인지, 아니면 이미 통계로 집계된 자료인지 확인합니다.
왜 쓰는가? 과학적 연구인지, 병원 내부 행정 업무 지원인지, 외부에 제공할 서비스 개발인지 구분합니다.
어떻게 쓰는가? 데이터가 병원 밖으로 나가는지, 누가 접근하는지, 처리 후 어디에 남는지 짚습니다.

세 질문에 답하지 못하면 어떤 법 조항을 읽어도 결론이 나오지 않습니다. 답이 정리되는 순간 검토할 절차의 범위는 크게 좁아집니다.

가명정보는 이름표를 다른 번호로 바꾼 데이터에 가깝습니다

가명정보는 추가 정보를 사용하지 않으면 특정 개인을 알아볼 수 없도록 처리한 개인정보를 말합니다. 환자 이름표를 떼고 번호를 붙인 데이터라고 보면 실무 감각에 가깝습니다. 그 번호와 실제 환자를 잇는 대응표는 병원만 따로 보관합니다. 개인정보 보호법은 통계작성, 과학적 연구, 공익적 기록보존 목적에 한해 가명정보를 정보주체의 동의 없이 처리할 수 있도록 허용합니다.

다만 가명처리를 했다고 해서 모든 활용이 열리지는 않습니다. 가명정보는 여전히 개인정보입니다. 재식별 금지 의무와 안전조치 의무가 그대로 남습니다.

구분	원본 진료데이터	가명정보	익명정보
개인 식별 가능성	직접 식별 가능	추가 정보가 있으면 식별 가능	복원해 식별할 수 없음
정보주체 동의	원칙적으로 필요	통계작성·과학적 연구 등 법정 목적에서는 불필요	개인정보가 아니므로 해당 없음
주로 쓰는 상황	진료와 청구 등 본래 목적	연구·AI 학습 데이터 구축	통계 공개, 외부 공유

가명처리는 규제를 없애 주지 않습니다. 관리 의무를 계속 지는 조건으로 활용 범위를 넓혀 줄 뿐입니다.

활용 목적과 처리 환경까지 함께 봅니다

같은 진료 데이터라도 병원 내부 폐쇄망에서 처리할 때와 외부 클라우드 AI 서비스로 보낼 때는 검토 항목이 달라집니다. 처리 환경은 데이터 종류만큼 결론을 크게 흔듭니다.

그럼 의료 데이터를 AI에 전혀 쓸 수 없나요?

그렇지 않습니다. 정부는 오히려 의료 데이터 활용 절차를 정비해 왔습니다.

보건복지부와 개인정보보호위원회는 2025년 12월 31일 「보건의료데이터 활용 가이드라인」 개정본을 시행했습니다. 개정본은 기관생명윤리위원회(IRB)와 기관보건의료정보심의위원회(DRB)의 표준 심의 절차를 제시했습니다. 자체 DRB를 꾸리기 어려운 중소 의료기관을 위한 공용 DRB 제도도 함께 도입했습니다. 심의 체계가 없어 연구를 시작하지 못하던 병원에도 실질적인 경로가 생겼습니다.

개인정보보호위원회는 2026년 3월 「가명정보 처리 가이드라인」을 전면 개정해 판단 체계를 위험도 기반으로 바꿨습니다. 위험 수준에 따라 절차와 서류를 차등화하면서 서식은 24종에서 10종으로 줄었습니다. 영상·이미지·음성 같은 비정형 데이터에는 전수 검수 대신 표본 검수를 적용할 수 있도록 안내했습니다. 의료 영상을 다루는 병원이라면 이 대목이 특히 중요합니다.

연구용 AI와 일상 업무용 AI는 같은 질문으로 볼 수 없습니다

두 상황은 검토 주체도, 사전 절차도, 실패하는 지점도 다릅니다.

구분	연구·개발 목적 활용	일상 업무용 외부 AI 사용
대표 상황	진단 보조 모델 학습, 코호트 분석	진료 요약, 문서 작성, 민원 응대
검토 주체	IRB·DRB 등 심의 기구	병원 개인정보 보호책임자와 정보보안 담당
사전 절차	가명처리 계획과 적정성 검토	입력 금지 항목과 사용 도구 지정
데이터 범위	목적에 필요한 항목으로 한정	원칙적으로 환자 식별정보 입력 금지
가장 흔한 실패

연구용 활용은 절차를 밟아 열어 가는 문제입니다. 일상 업무용 사용은 기준을 정해 막는 문제입니다.

일상 업무용 사용을 방치하면 어떤 일이 벌어지는지는 이미 조사로 확인됩니다. 삼성SDS가 2026년 5월 기준으로 발표한 국내 기업 생성형 AI 활용 실태 조사에서 회사 승인 없이 직원이 비용을 부담해 생성형 AI를 쓰는 비중은 38%였습니다. 회사가 보안을 보장하는 엔터프라이즈 버전을 정식 계약한 비중 24%보다 높습니다. 병원에서 같은 일이 벌어지면 손봐야 할 대상은 AI 제품이 아닙니다. 직원의 입력 습관입니다.

기준이 없을 때 조직에서 실제로 발생하는 문제는 AI 거버넌스 공백의 신호에서 사례별로 정리했습니다. 사내 데이터를 AI에 연결하는 방식 자체가 궁금하다면 사내 데이터를 AI에 쓰는 방법을 함께 보시면 됩니다.

병원에서 먼저 확인할 것은 AI 제품보다 데이터 흐름입니다

초기 검토에서 가장 빠른 길은 데이터가 움직이는 경로를 한 장에 그려 보는 것입니다. 법령을 외우는 일은 그다음입니다. 네 가지를 순서대로 적으면 검토 범위가 정해집니다.

어떤 데이터가 들어가는가?
항목 단위로 적습니다. "진료기록"이 아니라 "방문일, 진단코드, 처방명, 검사 수치"처럼 적어야 식별 위험을 판단할 수 있습니다.
데이터는 어디로 전달되고 저장되는가?
병원 내부 서버인지, 국내 클라우드인지, 해외 리전인지를 확인합니다. 학습 데이터로 재사용되는지는 계약서에서 짚습니다.
누가 어떤 목적으로 사용하는가?
접근 권한을 가진 직군과 사용 목적을 명시합니다. 권한이 부서 단위로만 정의돼 있으면 이 단계에서 걸립니다.
AI가 만든 결과는 어디에 쓰이는가?
참고 자료로 끝나는지, 진료나 청구 같은 실제 의사결정에 반영되는지에 따라 검증 수준이 달라집니다.

데이터 흐름 네 가지를 적고 나면 다음 회의 안건이 바뀝니다. "어떤 AI가 좋은가" 대신 "이 흐름에서 어느 구간을 병원 안에 남길 것인가"를 논의하게 됩니다.

우리 병원도 지금 의료 데이터 규제 검토가 필요한가요?

아래 여섯 항목 중 3개 이상에 해당하면 데이터 활용 기준을 문서로 정할 시점입니다. 5개 이상이면 AI 제품 검토보다 정보 취급 기준 수립을 먼저 진행하시기를 권합니다.

직원의 외부 AI 사용 현황이 파악되지 않습니다
개인 계정으로 어떤 AI 서비스를 업무에 쓰는지 확인된 자료가 없습니다.
AI를 써도 되는지 묻는 문의가 반복됩니다
진료 요약이나 문서 작성에 AI를 써도 되느냐는 질문이 현업에서 계속 올라옵니다.
입력 범위를 정한 문서가 없습니다
환자 정보를 어디까지 입력해도 되는지 기준을 적어 둔 문서가 없습니다.
데이터 반출 이력이 흩어져 있습니다
연구 목적으로 데이터를 내보낸 기록이 부서별로 따로 관리됩니다.
계약서의 재사용·재식별 조항이 확인되지 않습니다
외부 업체와 데이터를 주고받는 계약에 재사용 금지와 재식별 금지 조항이 있는지 확인된 바 없습니다.
AI 결과의 검증 절차가 없습니다
AI 결과가 진료나 청구 판단에 쓰이는데 누가 어떻게 검증하는지 정해져 있지 않습니다.

의료 데이터 규제 검토에서 자주 반복되는 실패 네 가지

데이터부터 모으고 목적을 나중에 정합니다
목적이 없으면 가명처리 범위도, 심의 대상도 정할 수 없어 검토가 처음으로 되돌아갑니다.
이름 삭제를 가명처리로 착각합니다
남은 항목의 조합으로 개인이 좁혀지는지 확인하지 않으면 적정성 검토에서 되돌아옵니다.
일상 업무용 사용을 검토 대상에서 뺍니다
실제 사고는 연구 과제보다 직원의 붙여 넣기에서 더 자주 발생합니다.
한 번에 전 부서로 확대합니다
한 업무, 한 데이터 범위에서 검증한 뒤 넓히는 편이 되돌리는 비용이 훨씬 적습니다.

다음 단계는 규제가 아니라 도입 순서입니다

의료 데이터 규제를 확인하다 보면 질문은 결국 하나로 모입니다. "그래서 우리 병원은 무엇부터 시작해야 하는가?"

규정 확인은 출발점일 뿐입니다. 실제 도입은 해결할 업무를 정하고 그 업무에 필요한 데이터를 확인한 뒤 위험을 점검하고 좁은 범위에서 검증하는 순서로 진행됩니다. 병원에서 어떤 업무가 먼저 후보가 되는지는 병원 업무 자동화 후보 판별 기준에서 정리했습니다.

기업 AI 도입 준비 과정을 전체로 보고 싶다면AX 컨설팅이란? 도입 4단계·비용 총정리AI 도입을 검토하는 회사는 대개 비슷한 자리에서 출발합니다. 임직원은 이미 ChatGPT를 켜 두고 쓰지만 그 사용이 회사 차원의 성과로 모이지는 않습니다. 부서마다 자동화 도구를 하나씩 실험하는데 보안, 데이터, 비용 기준은 정리되지 않은 채 흩어져 있습니다. 경영진은 "어디부터 손대야 ROI가 나오나"를 묻고, 실무 리더는 "이게 우리 업무에 실제로…

NextGenAI는 기업과 의료기관의 AI 도입을 데이터 흐름 진단부터 시작하는 방식으로 지원합니다. 무료 AX 진단에서는 데이터 흐름 네 단계를 함께 그리고 지금 검토가 필요한 구간과 미뤄도 되는 구간을 구분해 드립니다.

의료 데이터 규제, AI에 써도 될까? 판단 기준 3가지