◇ 들어가며

인공지능(AI)은 더 이상 의료의 미래가 아니라 현재다.

영상 판독을 보조하는 알고리즘, 만성질환을 관리하는 디지털 치료기기, 진료기록을 요약하고 임상 의사결정을 돕는 생성형 AI까지, 병원의 진료·연구·운영 전 영역으로 빠르게 들어오고 있다.

이러한 변화는 기술의 문제이자 동시에 제도와 정책의 문제다.

새로운 기술이 환자에게 안전하게, 그리고 신뢰할 수 있는 방식으로 쓰이도록 하는 규범의 틀이 함께 마련되어야 하기 때문이다.

이에 발맞추어 2025년 1월 디지털의료제품법이, 2026년 1월에는 AI 기본법이 시행되었다.

그 사이 개인정보보호위원회도 AI 시대에 맞춘 다양한 안내서를 제시했다.

이러한 변화는 결국 두 개의 축으로 정리된다. 

하나는 ‘의료 AI라는 제품과 기술을 어떻게 규율할 것인가’(디지털의료제품법·AI 기본법)이고, 다른 하나는 ‘그 AI의 근간이 되는 환자 데이터를 어떻게 처리할 것인가’(개인정보 보호법)이다. 

이를 중심으로 최근 동향과 핵심 법제를 살펴보고, 병원이 준비해야 할 과제를 정리한다.

◇ AI·디지털 헬스케어 주요 동향

우선, 의료 AI의 임상 적용이 본격화되었다.

AI 진단보조 소프트웨어가 영상의학·병리 영역에서 판독을 보조하고, 처방형 디지털 치료기기(DTx)가 질환 관리에 도입되고 있다.

최근에는 생성형 AI가 진료기록 작성, 환자 안내, 임상 문헌 검색 등 운영 전반으로 확산되면서 개별 제품을 넘어 병원 업무 흐름 자체를 바꾸고 있다.

주목할 점은 병원이 단순한 ‘이용자’에 머물지 않고, 자체 데이터로 AI 솔루션을 직접 개발하는 ‘개발자’의 지위를 함께 갖게 되었다는 것이다.

다음으로, 의료 전달체계도 제도적 전환을 맞았다. 

2025년 12월 비대면진료를 정식 제도화하는 의료법 개정이 이루어져, 공포 후 1년이 지난 2026년 12월부터 재진 환자·의원급 의료기관을 중심으로 비대면진료가 법적 기반 위에서 운영된다.

전자처방전 전달체계 정비도 함께 추진된다.

끝으로, 데이터 인프라도 고도화되고 있다.

건강정보 고속도로를 통한 진료정보 교류, 의료 마이데이터, 정밀의료를 위한 대규모 바이오 빅데이터 구축이 국가적으로 추진되면서, 병원이 보유한 데이터의 활용 범위와 그에 따르는 책임이 동시에 커지고 있다. 

이러한 동향의 공통분모는 결국 ‘AI’와 ‘데이터’다.

그리고 그 둘은 의료 AI 규제와 개인정보 규제라는 법적 틀과 맞물린다.

◇ 핵심 법제 ① 의료 AI 규제(디지털의료제품법과 AI 기본법)

의료 AI는 하나의 제품에 두 개의 법이 동시에 적용되는 독특한 규율 구조에 놓인다.

제품 단위로 안전성·유효성을 보는 디지털의료제품법과, AI라는 기술 일반을 수평적으로 규율하는 AI 기본법이다. 

두 법을 따로 이해하기보다 그 접점을 파악하는 것이 병원에는 훨씬 실용적이다.

■ 디지털의료제품법 

디지털의료제품법은 2024년 1월 제정되어 2025년 1월 24일 시행되었다.

디지털의료제품법은 기존 의료기기법의 일반적인 관리체계를 토대로 하면서도, 디지털의료기기·디지털융합의약품·디지털의료·건강지원기기를 별도의 법률 아래 유형별로 규율하고, 소프트웨어의 반복적 변경, 사이버보안, 실사용평가 등 디지털의료제품의 특성을 반영한 규제 체계를 마련하였다는 데 의의가 있다.

이에 관해서는 식약처의 ‘인공지능 기술이 적용된 디지털의료기기의 허가·심사 가이드라인’, ‘디지털의료기기소프트웨어 허가·심사 가이드라인’ 및 ‘생성형 인공지능 의료기기 허가·심사 가이드라인’ 등이 마련되었다.

■ AI 기본법 

AI 기본법(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법)은 2025년 1월 제정되어 1년의 유예를 거쳐 2026년 1월 22일 시행되었다. 

AI 전 분야를 포괄하는 수평적 규제를 도입했다는 점에서 주목받는다.

이 법의 핵심은 ‘위험 기반 접근’이다.

사람의 생명·신체의 안전과 기본권에 중대한 영향을 미칠 수 있는 AI를 ‘고영향 AI’로 정의하고 여기에 추가 의무를 부과하는데, 보건의료와 의료기기 분야가 고영향 AI에 해당하는 대표 영역으로 명시되어 있어 의료 AI 상당수가 이 범주에 포섭될 수 있다.

고영향 AI 사업자는 위험관리방안의 수립·운영, AI의 최종 결과 도출 기준과 학습데이터 개요 등에 관한 설명가능성 확보, 이용자 보호방안 마련, 개인정보의 안전한 처리 등 포괄적 책무를 진다.

또한 자사 제품이 고영향 AI에 해당하는지는 과학기술정보통신부의 확인절차를 통해 확인할 수 있고, AI가 사람에게 미치는 영향을 사업자가 스스로 평가하는 영향평가 제도도 운영된다. 

■ 두 법의 접점 

병원 입장에서 유의해야 할 대목은 이 두 규제 체계의 교차점이다. 

의료 AI는 디지털의료제품법과 AI 기본법의 의무를 단순히 합산해서 떠안는 것이 아니다. AI 기본법은 중복규제를 막기 위해, 다른 법령에 따라 안전성·신뢰성 확보에 준하는 조치를 이행하면 그에 상응하는 책무를 이행한 것으로 인정하는 간주규정을 두고 있다(제34조 제3항).

그 구체적인 인정 기준과 절차는 시행령 별표1에 책무별로 매핑되어 있다.

별표1에 따르면, 디지털의료기기로 허가받은 의료 AI는 위험관리뿐 아니라 설명·이용자 보호 책무까지 디지털의료제품법 이행으로 상당 부분 인정받고, 개인정보 보호법상 조치를 갖추면 개인정보 영역 책무도 채워진다.

그러나 디지털의료기기에 해당하지 않는 의료 AI(병원이 자체 개발·운영하는 비허가 솔루션 등)에는 이러한 의료 분야 간주 경로가 없어, 설명가능성·이용자 보호 방안을 별도로 갖춰야 한다.

또한 고영향 AI 해당 여부 확인절차와 영향평가는 디지털의료제품법 허가와는 별개의 트랙으로 남는다.

결국 병원은 자신이 도입·개발하는 의료 AI에 대해 어디까지가 기존 허가로 충족되고 어디서부터 별도 대응이 필요한지를 점검해야 한다. 

◇ 핵심 법제 ② 개인정보 보호법 

의료 AI의 근간은 데이터다.

의료데이터와 관련하여 진료기록의 작성·보존·열람·제공 등 의료법에 특별한 규정이 있는 사항에는 의료법의 해당 규정이 우선 적용되고, 그 밖의 개인정보 처리에는 개인정보 보호법이 적용된다.

최근의 개인정보 보호법의 변화는 네 갈래로 짚을 수 있다.

첫째, 동의 패러다임의 전환이다. 

개인정보위는 2024년 9월 ‘필수동의 관행 개선’ 방침을 밝히며, 정보주체에게 사실상 강제되던 ‘필수동의’를 줄이는 방향으로 규제 환경을 바꿔가고 있다.

개인정보 처리방침 평가제에서도 필수·선택 동의를 형식적으로만 구분한 경우 감점하는 것으로 구체화되었다.

이는 병원에 직접적인 영향을 줄 수 있다.

진료 과정의 개인정보 처리는 동의가 아니라 의료법 제22조(진료기록부 등)와 개인정보 보호법 제15조 제1항 제2호(법령상 의무) 같은 법령상 근거로 처리되는 경우가 많고, 건강검진 사후관리처럼 민감정보 동의가 필요한 영역과는 법적 근거가 다르다.

병원은 동의에 기대온 관행을 재점검해 처리 항목별로 적법한 처리 근거를 갖추고 이를 처리방침에 구분해 기재해야 한다.

특히 동의 없이 처리할 수 있는 개인정보라는 점의 입증책임은 개인정보처리자, 즉 병원이 부담한다는 점(법 제22조 제3항)에 유의해야 한다.

둘째, 자동화된 결정에 대한 정보주체의 권리다(법 제37조의2).

완전히 자동화된 시스템이 정보주체의 권리·의무에 영향을 미치는 결정을 하는 경우, 정보주체는 그 결정에 대한 설명을 요구하고 중대한 영향을 받을 때에는 이를 거부할 수 있다.

AI 진단보조나 자동 판독이 ‘자동화된 결정’에 해당하는 경우, 병원은 환자의 설명요구·거부 요청에 응할 절차를 두어야 한다. 

이는 AI 기본법 제34조제1항이 고영향 AI 사업자에게 요구하는 설명방안 수립(제2호)·사람에 의한 관리·감독(제4호)과 유사한 측면이 있으므로 통합적으로 대응하는 것을 고려할 수 있다.

셋째, 연구·AI 활용의 통로다.

AI 개발에는 민감정보가 대량으로 필요하지만, 민감정보는 별도 동의 등 강화된 규제를 받아 학습데이터 확보가 쉽지 않다.

이를 풀어주는 장치가 가명정보 특례와 합성데이터다.

가명정보는 통계작성·과학적 연구·공익적 기록보존 등을 위해 정보주체 동의 없이 처리할 수 있고(제28조의2), 보건의료데이터 활용 가이드라인은 유전체 등 비정형데이터까지 가명처리 범위를 넓혀왔다.

나아가, 원본의 통계적 특성만 학습해 생성한 합성데이터가 일정한 절차를 거쳐 익명성이 인정된 경우 개인정보 보호법 적용이 배제되어(제58조의2), 민감정보 규제를 완화하면서 대규모 학습데이터를 구축할 수 있는 수단으로 주목받는다.

개인정보위는 합성데이터 생성 참조모델과 안내서를 통해 안전한 생성·검증 절차를 제시하고 있다.

넷째, 의료 데이터의 국경을 넘는 활용이다.

국제공동연구나 클라우드 활용 과정에서 데이터가 국외로 이전될 때에는 동의 또는 계약 등 적법근거 확보, 처리방침 공개, 보호조치의 계약 반영 등이 요구된다.

실제로 서울대병원은 의료 가명정보 플랫폼을 구축해 해외 기관과 국제공동연구를 수행하는 방안으로 규제샌드박스를 활용했고, 2025년 12월에는 가명처리한 사망환자 의료데이터를 국제공동연구에 활용하는 사안에 대해 개인정보위가 비조치의견서 1호를 회신하기도 했다.

이러한 사례들은 병원이 보유 데이터를 어디까지, 어떤 안전조치 아래 활용할 수 있는지에 대한 구체적인 좌표가 된다.

한편 이 분야에서는 경고등도 켜졌다.

명확한 고지나 거부권 없이 이용자 데이터를 AI 학습에 활용하는 관행에 대해 시민단체 신고와 규제당국의 실태점검이 이어졌고, 개인정보위는 사전 고지·옵트아웃·안전조치 미비를 지적하며 개선·시정을 권고한 바 있다.

병원의 자체 AI 학습 역시 자유롭지 않다.

◇ 병원의 대응 과제와 제언

이상의 흐름을 병원의 실천 과제로 옮기면 세 가지로 압축된다.

우선, 원내 데이터 거버넌스를 재정비해야 한다.

모든 개인정보 처리 흐름을 점검해 항목별 적법 처리 근거를 확인하고, 동의에 의존하던 관행을 법령상 근거 중심으로 전환하며, 개인정보 처리방침을 이에 맞게 정비해야 한다.

자체 AI를 학습·운영한다면 사전 고지, 거부권(옵트아웃) 보장, 안전조치를 갖추는 것이 출발점이다.

다음으로, 의료 AI 규제의 공백을 식별하고 대응해야 한다.

앞서 본 대로 디지털의료제품법 허가가 AI 기본법 책무의 전부를 충족시키지는 않는다.

특히 설명가능성과 이용자(환자) 보호 영역은 별도 대응이 필요하므로, 병원은 도입·개발하는 의료 AI에 대해 책무별 충족 현황을 점검하고 AI 거버넌스 체계와 검증 절차를 갖추는 것이 바람직하다.

끝으로, 규제를 ‘준수의 대상’은 물론 ‘활용의 통로’로 삼을 수 있다. 

개인정보위는 규제샌드박스, 사전적정성 검토, 이노베이션 존, 법령 적극해석 및 비조치의견서 제도를 통해 데이터 활용의 길을 열어두고 있다. 

식약처 역시 디지털의료제품의 허가·심사를 지원하는 제도를 두고 있다.

불확실한 영역일수록 이러한 사전 확인·지원 제도를 적극 활용하는 것이 안전하고 빠른 길이다.

결국 핵심은 혁신과 신뢰이다.

디지털의료제품법과 AI 기본법이 의료 AI의 안전을, 개인정보 보호법이 환자 데이터의 신뢰를 근간으로 한다.

새로운 규범의 틀을 단순한 부담이 아니라 신뢰 기반 디지털 전환의 토대로 받아들일 때, 의료 AI는 비로소 환자와 의료진 모두에게 안전한 도구로 자리 잡을 것이다.

67년간 병원 산업과 함께해 온 대한병원협회의 다음 과제도 혁신과 신뢰가 함께 가는 길을 닦는 데 있을 것이다.