환자가 'AI 말고 사람이 다시 봐 달라'고 하면 — 자동화된 결정과 병원 실무

병원에 AI가 들어오는 자리는 점점 늘고 있습니다. 예약을 배정하고, 문의에 답하고, 위험한 환자를 미리 짚어 줍니다. 그러다 보면 창구나 병동에서 이런 질문을 받게 됩니다. “그건 누가 정한 겁니까?”

여기에 “AI가 정했습니다”라고 답해야 하는 상황이라면, 이미 법이 다루고 있는 영역일 수 있습니다. 개인정보 보호법에는 2023년 개정으로 신설돼 2024년 3월 15일부터 시행된 제37조의2(자동화된 결정에 대한 정보주체의 권리 등)가 있습니다. AI 도입을 검토하는 자리에서는 성능과 가격이 먼저 논의되지만, 이 조항은 도입 이후 창구에서 응대해야 할 일을 미리 정해 둡니다.

법이 말하는 ‘자동화된 결정’은 생각보다 좁습니다

조문은 “완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정”이라고 적고 있습니다. 여기서 무게가 실린 말은 ‘완전히’입니다. 사람의 개입 없이 시스템이 최종 결정까지 내렸을 때를 가리킵니다(법무법인 율촌 뉴스레터).

그래서 병원에서 쓰는 AI 상당수는 곧바로 여기에 들어가지 않습니다. AI가 영상에 표시를 남기고 판독의가 판단하거나, 위험 점수를 띄우고 간호사가 확인해 대응하는 방식이라면 최종 결정을 내린 쪽은 사람입니다. 이런 구조는 ‘완전히 자동화된’ 결정이 아닙니다.

다만 병원 업무 전체를 보면 사람이 거의 개입하지 않는 흐름도 있습니다. 상담 없이 시스템이 곧바로 배정하는 예약, 사람이 읽지 않고 나가는 자동 응대, 예측 점수만으로 자동으로 갈라지는 안내가 그렇습니다. 판단이 애매한 자리는 사람이 형식적으로 승인 버튼만 누르는 경우입니다. 실제로 검토할 시간과 권한, 뒤집을 여지가 없다면 ‘사람이 개입했다’고 말하기 어려워집니다.

정리하면, 우리 병원 AI가 여기에 해당하는지는 제품 이름이 아니라 결정의 마지막 단계를 누가 어떻게 하는지로 갈립니다. 이건 업체가 아니라 병원이 답해야 하는 질문입니다.

권리는 세 갈래이고, 적용 범위가 서로 다릅니다

조문을 실무 언어로 옮기면 이렇습니다.

거부할 권리는 조건이 붙습니다. 완전히 자동화된 결정이면서, 그 결정이 당사자의 권리나 의무에 중대한 영향을 미치는 경우입니다. 조문은 「행정기본법」 제20조에 따른 행정청의 자동적 처분을 제외하고, 계약 이행 등 일부 근거로 이뤄진 경우에도 거부권이 적용되지 않는다는 단서를 두고 있습니다.

설명을 요구할 권리는 범위가 더 넓습니다. 자동화된 결정이 있었다면 그에 대해 설명 등을 요구할 수 있습니다. 병원이 거부나 설명 요구를 받으면, 정당한 사유가 없는 한 그 결정을 적용하지 않거나 사람이 다시 처리하는 등 필요한 조치를 해야 합니다. 요구가 들어온 뒤에 방법을 고민하면 늦습니다. 사람이 다시 볼 경로를 미리 만들어 두라는 뜻으로 읽는 편이 맞습니다.

미리 공개할 의무는 요구가 없어도 병원이 먼저 해야 하는 일입니다. 시행령 제44조의4(자동화된 결정의 기준과 절차 등의 공개)는 홈페이지 등에 공개할 항목을 정해 두었습니다. 자동화된 결정이 이뤄진다는 사실과 목적, 대상이 되는 사람의 범위, 결정에 쓰이는 주요 개인정보의 유형과 그 결정과의 관계, 결정 과정에서의 고려사항과 처리 절차, 민감정보나 14세 미만 아동의 개인정보를 쓴다면 그 목적과 항목, 그리고 거부·설명을 요구할 수 있다는 사실과 그 방법입니다. 병원에서 다루는 건강 정보는 민감정보에 해당하므로 네 번째 항목이 특히 걸립니다.

개인정보보호위원회는 2024년 9월 「자동화된 결정에 대한 정보주체의 권리 안내서」를 내어 이 내용을 사례 중심으로 정리했습니다(정책브리핑 보도자료).

도입 전에 먼저 답해 둘 것

첫째, 목록을 만듭니다. 원내에서 돌아가는 AI를 한 줄씩 적고, 각각에 대해 최종 결정을 사람이 하는지 시스템이 하는지 표시합니다. 애매한 항목은 애매하다고 적어 두는 편이 낫습니다. 이 목록이 없으면 나머지 판단은 시작되지 않습니다.

둘째, 사람이 다시 보는 경로를 정합니다. 환자가 “사람이 다시 봐 달라”고 했을 때 누가 받고, 누가 다시 검토하고, 며칠 안에 답할지를 정해 둡니다. 담당자가 정해져 있지 않으면 창구 직원이 혼자 감당하게 됩니다.

셋째, 설명할 수 있는지를 계약 단계에서 확인합니다. 업체가 결정 근거를 설명해 주지 않는 구조라면, 요구를 받았을 때 답할 사람은 병원입니다. 무엇을 근거로 이 점수가 나오는지 문서로 받아 둘 수 있는지 계약 전에 물어야 합니다. 관련 질문은 사이트의 도입 체크리스트에 정리해 두었습니다.

넷째, 개인정보 처리방침을 손봅니다. 공개 의무는 별도 페이지가 아니라 이미 운영 중인 처리방침에 반영하는 일이 될 가능성이 큽니다. 개별 적용은 병원마다 다르므로 법률·개인정보 보호 담당자의 확인을 거치는 편이 안전합니다. 이 글은 일반적인 정보 정리이지 법률 자문이 아닙니다.

핵심 요약

• 개인정보 보호법 제37조의2는 2024년 3월 15일부터 시행 중이며, AI를 포함한 완전히 자동화된 시스템이 내린 결정을 다룹니다.
• 사람이 최종 판단을 하는 의사결정 지원 방식은 대체로 여기에 들어가지 않지만, 형식적인 승인만 거치는 흐름은 다시 살펴봐야 합니다.
• 거부권은 ‘완전 자동 + 중대한 영향’이라는 조건이 붙고, 설명 요구권은 그보다 넓게 적용됩니다.
• 시행령 제44조의4는 요구가 없어도 미리 공개할 항목 다섯 가지를 정해 두었고, 병원의 건강 정보는 민감정보에 해당합니다.
• 도입 전에 원내 AI 목록, 사람이 다시 보는 경로, 업체의 설명 가능 여부, 처리방침 반영을 확인해 두는 편이 낫습니다.

관련해서 AI로 ‘안 올 환자’를 미리 맞힌다면과 의료 AI가 ‘무엇을’ 예측하는지 봐야 하는 이유도 함께 보시면 좋습니다.