자주 묻는 질문
병원 행정·간호 종사자가 의료 AI를 접하며 실제로 궁금해하는 질문에 답합니다. 일반 정보이며, 특정 환자에 대한 진단·치료 조언이 아닙니다.
AI 의료기기를 도입할 때 가장 먼저 확인해야 할 것은 무엇인가요?
가장 먼저 그 제품이 식품의약품안전처(식약처) 허가·인증·신고를 받은 의료기기인지 확인하는 것이 기본입니다. 진단·예측 등 의료 목적의 소프트웨어는 의료기기에 해당할 수 있고, 이 경우 식약처 허가 대상입니다. 허가 여부와 품목명·등급·허가번호 등은 식약처 의료기기 전자민원창구에서 조회할 수 있습니다. 그다음으로 확인할 것은 다음과 같습니다. 어떤 환자들을 대상으로 검증되었는지, 우리 병원 환자 구성과 맞는지 봅니다. 또 기존 업무 흐름·전자의무기록과 연동되는지, 개인정보는 어떻게 처리되는지, 유지보수와 문제 발생 시 책임은 누가 지는지도 함께 살핍니다.
제안서에 나오는 민감도·특이도 같은 성능 숫자는 어떻게 읽어야 하나요?
민감도는 실제 질병이 있는 사람 중 검사가 양성으로 나오는 비율, 특이도는 질병이 없는 사람 중 음성으로 나오는 비율입니다. 두 값은 검사 도구 자체의 성능을 나타냅니다. 그런데 현장에서 더 중요한 '양성 결과가 실제 질병일 확률(양성예측도)'은 그 질병이 얼마나 흔한지(유병률)에 따라 크게 달라집니다. 식약처가 설명한 자가검사키트 예시를 보면 이렇습니다. 민감도 90%·특이도 99%인 좋은 검사라도, 100명 중 3명이 감염된 상황에서는 양성이 실제 감염일 확률이 약 73.6%입니다. 그런데 100명 중 1명만 감염된 상황이라면 이 확률은 약 47.6%까지 떨어집니다. 즉 같은 성능 숫자라도 우리 병원 환자에서 그 질병이 얼마나 흔한지에 따라 실제 체감 정확도가 달라지므로, 제안서의 숫자가 어떤 환자군·유병률에서 나온 값인지 함께 확인해야 합니다.
개발사가 제시한 성능 수치를 그대로 믿어도 되나요?
개발사 내부 성능과 실제 병원 환경 성능은 차이가 날 수 있어, 외부 검증(다른 기관 데이터로의 재평가) 결과를 확인하는 것이 안전합니다. 대표적 사례로, 널리 쓰이던 한 상용 패혈증 예측 모델을 미시간대 연구진이 외부 검증한 JAMA Internal Medicine(2021) 논문에서는 판별력(AUROC)이 0.63으로 나와, 제조사가 보고한 0.76~0.83보다 상당히 낮았습니다. 이는 특정 제품을 비난하려는 것이 아니라, 개발 환경과 실제 사용 환경이 다르면 성능이 달라질 수 있음을 보여주는 예입니다. 따라서 제안서를 볼 때는 누가, 어떤 데이터로, 어디에서 검증했는가를 함께 물어보는 것이 좋습니다.
식약처 허가와 신의료기술평가는 어떻게 다른가요?
둘은 목적과 담당 기관이 다른 별개의 절차입니다. 식약처 허가는 의료기기(제품)의 안전성과 성능을 검증하는 단계로, 시장에 판매·사용되기 위한 전제입니다. 반면 신의료기술평가는 그 기술(의료행위)이 실제 진료에 쓰일 만큼 안전하고 효과가 있는지를 평가하는 절차입니다. 의료법 제53조에 따라 보건복지부 산하 한국보건의료연구원(NECA)이 담당합니다. 식약처 허가를 받은 기기라도 기존 의료기술이 아닌 새로운 의료행위에 해당하면 신의료기술평가를 거쳐야 합니다. 이를 통과해 안전성·유효성을 인정받아야 실제 진료 사용과 건강보험 적용으로 이어질 수 있습니다.
생성형 AI를 진단·처방에 쓰는 별도 규정이 있나요?
네, 있습니다. 식약처는 2025년 1월 「생성형 인공지능 의료기기 허가·심사 가이드라인」을 마련해 발표했습니다. 이 가이드라인은 어떤 경우 생성형 AI가 의료기기에 해당하는지에 대한 사례와 허가 신청서 작성·제출 자료 방법을 안내합니다. 핵심은, 생성형 AI라도 진단·치료 등 의료 목적으로 쓰이면 의료기기 규제 대상이 될 수 있다는 점입니다. 따라서 병원에서 생성형 AI를 진료 의사결정에 직접 활용하려는 제품을 검토할 때는, 그 제품이 의료기기로 허가된 것인지, 아니면 업무 보조용 일반 소프트웨어인지를 구분해서 확인하는 것이 중요합니다.
AI 의료기기는 계속 학습하며 바뀐다는데, 허가받은 뒤 성능이 달라지면 어떻게 관리되나요?
AI 기반 의료기기는 학습데이터 축적과 알고리즘 개선으로 성능이 계속 바뀔 수 있다는 특성이 있습니다. 이를 관리하기 위해 식약처는 허가 이후의 변경관리 제도를 두고 있습니다. 제조사는 앞으로 예상되는 변경 내용과 검증 방법을 담은 변경관리 계획서를 미리 제출해 승인받습니다. 승인된 계획 범위 안의 변경은 추가 허가·심사 없이 제품에 반영할 수 있습니다. 병원 입장에서는 도입한 AI 도구의 버전·성능이 업데이트될 때 그 변경이 승인된 관리 계획 범위 안에서 이뤄지는지, 변경 내역과 재검증 결과를 제공받을 수 있는지 확인하는 것이 좋습니다.
AI가 낸 결과를 그대로 따라도 되나요? 최종 책임은 누구에게 있나요?
AI 결과는 참고 정보이며, 의료적 판단과 결정의 책임은 사람(의료진)에게 있다는 것이 국제적 원칙입니다. 세계보건기구(WHO)는 2021년 「보건의료 AI의 윤리와 거버넌스」에서 여섯 가지 원칙을 제시했는데, 그 첫 번째가 '인간의 자율성 보호'로, 사람이 의료 결정의 통제권을 유지하고 AI가 이를 대체하지 않도록 해야 한다는 것입니다. 나머지 원칙은 인간의 안녕·안전과 공익 증진, 투명성·설명가능성 확보, 책임성, 포용성·형평성, 그리고 지속가능성입니다. 실무적으로는 AI를 최종 결정자가 아니라 판단을 돕는 보조 수단으로 두고, 결과를 사람이 검토·확인하는 절차를 두는 것이 바람직합니다.
병원 업무에 챗GPT 같은 생성형 AI를 써도 되나요?
환자 식별 정보나 민감정보를 담지 않는 일반 업무(예: 공개 문서 초안 작성, 회의록 문장 다듬기, 일반적 정보 검색 보조)에는 활용할 수 있습니다. 다만 입력 데이터가 어떻게 저장·활용되는지는 서비스 종류와 계약 조건에 따라 다릅니다. 개인정보보호위원회는 2025년 8월 「생성형 AI 개발·활용을 위한 개인정보 처리 안내서」를 공개해 활용 단계별로 개인정보 보호를 위해 고려할 사항을 제시했습니다. 병원 차원에서 사용하려면 어떤 정보는 입력 가능하고 어떤 정보는 금지인지, 어떤 서비스를 어떤 계약으로 쓰는지를 명시한 내부 사용 정책을 먼저 마련하는 것이 안전합니다. 참고로 미국의사협회(AMA) 설문에서 의료 현장의 AI 사용률은 2023년 38%에서 2024년 66%로 늘어, 활용 자체는 빠르게 확산되고 있습니다.
생성형 AI(챗GPT 등)에 환자 정보를 입력해도 되나요? 위험은 무엇인가요?
환자를 식별할 수 있는 정보(이름, 병록번호, 진단·처방 내용 등)는 일반 공개용 생성형 AI에 입력하지 않는 것이 원칙입니다. 개인정보보호법상 '건강에 관한 정보'는 민감정보로 분류되어 원칙적으로 처리가 제한되고, 정보주체(그 정보의 주인, 즉 환자 본인)의 별도 동의 또는 법령상 근거가 있어야 처리할 수 있습니다. 개인정보보호위원회는 2025년 8월 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」를 공개했는데, 챗GPT 같은 주요 AI 서비스의 기관용 계약(엔터프라이즈 라이선스)과 이용약관 등을 바탕으로 기관 목적의 활용 시 고려 사항을 제시합니다. 일반적으로 무료·개인용 서비스는 입력한 데이터가 모델 학습 등 사업자 목적에 활용될 수 있어, 기관 차원에서는 계약 조건(데이터 처리방침)을 확인하고 사용하는 것이 안전합니다.
생성형 AI가 만든 답변을 환자 안내문이나 진료 정보에 그대로 써도 되나요?
그대로 사용하는 것은 권하지 않습니다. 생성형 AI는 문장을 매끄럽게 만들어 주지만, 사실과 다른 내용을 그럴듯하게 만들어내는 경우(이른바 환각)가 있어 반드시 사람의 사실 확인이 필요합니다. 특히 약물·용량·검사 해석처럼 오류가 위해로 이어질 수 있는 내용은 담당 의료진이 근거를 확인하고 검토한 뒤에만 사용해야 합니다. 세계보건기구(WHO)도 글·이미지 등 여러 형태의 자료를 함께 다루는 AI(대규모 멀티모달 모델, LMM)에 관한 가이드라인에서 이러한 모델이 부정확하거나 편향된 정보를 생성할 수 있다는 점을 지적하며 신중한 활용을 권고합니다. 또한 안내문 작성 과정에서 특정 환자를 식별할 수 있는 정보를 AI에 입력하지 않도록 주의해야 합니다. 문장 다듬기·구조 잡기 같은 보조 용도로는 유용하지만, 최종 내용의 정확성과 책임은 사람이 진다는 원칙을 지키는 것이 안전합니다.
우리 병원 데이터로 AI를 연구·개발하거나 외부와 공유하려면 무엇을 확인해야 하나요?
환자 데이터는 대부분 개인정보보호법상 민감정보(건강정보)에 해당하므로, 원칙적으로 정보주체(그 정보의 주인, 즉 환자 본인)의 별도 동의나 법령상 근거가 있어야 처리할 수 있습니다. 통계 작성, 과학적 연구, 공익적 기록보존 등의 목적에서는 정보주체 동의 없이 가명정보를 처리할 수 있는 예외가 있지만, 가명처리(추가 정보 없이는 개인을 식별할 수 없게 하는 처리)를 적정하게 수행하고 안전조치를 갖추는 것이 전제입니다. 실무적으로는 연구 목적·법적 근거의 확인, 생명윤리(IRB) 심의 필요 여부, 가명·익명 처리 방법, 외부 제공 시 계약·안전조치, 재식별 위험 관리 등을 사전에 점검해야 합니다. 구체적 판단은 사안별로 다르므로 기관 개인정보보호 담당 부서와 IRB의 검토를 받는 것이 안전합니다.
비개발자인데 의료 AI를 이해하려면 무엇부터 공부하면 되나요?
코딩이나 모델 개발 기술보다, 제안서와 성능 자료를 읽고 올바른 질문을 던지는 능력이 먼저입니다. 실무에서 바로 도움이 되는 최소한의 기초는 다음과 같습니다. 첫째, 성능 지표 읽기(민감도·특이도, 그리고 유병률에 따라 달라지는 양성예측도의 의미). 둘째, 검증의 개념(개발 데이터와 외부 검증의 차이, '어떤 환자군에서 검증했는가'를 묻는 습관). 셋째, 개인정보·규제의 기본(건강정보는 민감정보라는 점, 식약처 허가와 신의료기술평가의 구분). 넷째, 생성형 AI의 한계(그럴듯하지만 틀린 답을 낼 수 있고, 입력 정보의 처리 방식에 따라 유출 위험이 있다는 점). 이 정도만 갖춰도 도입 검토와 제안서 평가에 필요한 판단력을 기를 수 있습니다.