AI 기본법과 디지털의료기기 대체 관계, 제34조 의무는 어디까지 갈음될까?

AI 의료기기 사업자라면 이런 말을 한 번쯤 들어보셨을 수 있어요.

“디지털의료제품법에 따라 품질관리기준 적합판정을 받았으니 AI 기본법 대응도 끝난 것 아닌가요?”

결론부터 말하면 그렇지 않습니다. 디지털의료제품법상 요건 하나를 충족했다고 해서 AI 기본법 제34조의 모든 의무가 한꺼번에 사라지는 구조는 아니에요.

정확한 구조는 제34조 제1항 제1호부터 제5호까지 각각 별도의 대체요건이 있고, 해당 요건을 충족한 항목만 이행한 것으로 본다는 것입니다. 다섯 항목의 대체요건을 모두 충족하면 결과적으로 제1호부터 제5호까지 모두 이행한 것으로 볼 수 있어요.

여기서 ‘면제’보다 ‘갈음’ 또는 ‘이행한 것으로 간주’라는 표현이 더 정확합니다. 위험관리를 하지 않아도 된다는 의미가 아니라, 디지털의료제품법에 따라 이미 수행한 위험관리와 품질관리 조치를 AI 기본법상 위험관리 이행으로 인정해 중복을 줄여주는 구조이기 때문이에요.

근거는 AI 기본법 제34조와 AI 기본법 시행령 제27조 및 별표 1입니다.

전체 면제가 아닌 항목별 대체

AI 기본법 제34조 제3항은 인공지능사업자가 다른 법령에 따라 제34조 제1항 각 호에 준하는 조치를 이행한 경우 대통령령이 정하는 바에 따라 해당 조치를 이행한 것으로 보도록 규정하고 있어요.

시행령 제27조 제5항은 구체적인 대체 관계를 별표 1에 연결합니다. 즉, “디지털의료기기 규제를 받는다”는 사실만으로 자동 처리되는 것이 아니라 별표 1에 적힌 요건을 항목별로 충족했는지 확인해야 해요.

제34조 의무와 디지털의료기기 대체요건

실무에서 먼저 확인할 구조를 표로 정리하면 다음과 같습니다.

다만 제조업자와 수입업자, 제품 유형, 허가, 인증, 신고 형태에 따라 적용되는 조문과 자료가 달라질 수 있는데요. 자사 제품과 업무 유형을 기준으로 시행령 별표 1 원문을 반드시 다시 대조해야 합니다.

위험관리방안의 대체요건

제1호는 위험관리방안의 수립, 운영입니다. 이를 갈음하려면 디지털의료제품법에 따른 제조 또는 수입 품질관리체계를 갖추고, 같은 법 제24조 제2항에 따른 디지털의료기기소프트웨어 품질관리기준 적합판정을 받아야 해요.

요건을 충족하면 AI 기본법용 위험관리체계를 처음부터 별도로 하나 더 만드는 부담은 줄어듭니다. 하지만 이것을 “위험관리를 안 해도 된다”로 이해하면 안 돼요. 의료기기 규제에 따라 이미 구축한 위험관리체계로 AI 기본법상 위험관리를 갈음하는 것입니다.

실무에서는 다음 사항을 확인하는 것이 좋습니다.

QMS 적용범위에 해당 AI 제품과 현재 모델 버전이 포함되는지

적합판정서의 대상 제품과 유효범위가 일치하는지

AI 모델, 학습데이터, 임계값과 성능 변경이 변경관리 절차에 포함되는지

데이터 드리프트와 성능 저하가 시정, 예방조치 대상에 포함되는지

위험관리정책과 조직체계의 주요 내용을 사업장이나 홈페이지에 게시했는지

위험관리 이행 근거를 5년간 보관할 수 있는지

특히 기존 QMS가 일반 소프트웨어 결함과 제조 품질만 다루고, AI 편향, 데이터 변화, 모델 성능 저하와 오답 위험을 포함하지 않는다면 AI 특화 항목을 보완하는 편이 안전합니다.

설명 방안의 대체요건

제2호는 AI가 도출한 최종결과, 결과 도출에 활용된 주요 기준, 학습데이터 개요 등에 대한 설명 방안입니다.

제조 또는 수입 허가, 인증, 신고를 마치고, 디지털의료기기소프트웨어에 법정 정보를 표시하거나 첨부하는 요건을 충족하면 제2호를 이행한 것으로 볼 수 있어요.

다만 허가자료를 제출했다는 사실만으로 이용자에게 충분한 설명이 제공됐다고 단정하기는 어렵습니다.

다음 내용을 실제 표시자료와 사용설명서가 포괄하는지 확인해야 해요.

제품의 사용목적과 작동원리

주요 성능과 적용 대상

사용할 수 없는 조건과 알려진 한계

AI 결과가 의료진 판단을 보조하는지 자동으로 결정하는지

오답이나 성능 저하가 발생할 수 있는 조건

학습데이터 개요와 주요 판단기준에 관한 설명

업데이트로 변경된 성능과 제한사항

품목허가 자료가 규제기관 제출용으로만 존재하고 의료진이나 이용자가 볼 수 없다면, 사용자용 설명자료와 안전 사용 가이드를 별도로 보완할 필요가 있습니다. 설명 방안의 주요 내용을 홈페이지 등에 게시했는지도 함께 확인해야 해요.

이용자 보호 방안의 대체요건

제3호는 이용자 보호 방안의 수립, 운영입니다. 디지털의료제품법 제13조의 제조, 수입업자 준수사항을 이행한 경우 AI 기본법상 이용자 보호 방안을 이행한 것으로 보는 구조예요.

기존 의료기기 품질체계에서 운영하는 이상사례 보고, 제품 불만 처리, 안전성 정보 수집, 회수, 사용중지, 시정, 예방조치, 제품 추적과 변경관리 절차를 활용할 수 있습니다.

그렇다고 기존 절차의 이름만 바꾸면 충분한 것은 아닌데요. AI와 관련된 오류가 실제 절차 안으로 들어와야 합니다.

AI 오답과 성능 저하를 이상사례, 불만 유형에 포함

의료진과 환자의 AI 관련 문의, 이의제기 창구 마련

AI 결과 오류에 대한 사람의 재검토 절차 마련

위해 우려가 있을 때 사용중지, 롤백, 회수 여부를 결정하는 기준 마련

접수, 조사, 조치와 종결 이력을 증빙으로 보관

이용자 보호 방안도 시행령 제27조에 따라 주요 내용을 사업장이나 홈페이지 등에 게시해야 해요.

사람의 관리, 감독 대체요건

제4호는 고영향 AI에 대한 사람의 관리, 감독입니다. 디지털의료제품법에 따라 품질책임자를 둔 경우 제4호를 이행한 것으로 볼 수 있어요. 별도의 ‘AI 감독책임자’라는 직책을 반드시 새로 만들 필요는 낮습니다.

하지만 품질책임자가 서류상으로만 지정돼 있고 AI 시스템을 통제할 수 없다면 실질적인 감독이라고 보기 어려울 수 있어요. 다음 권한과 절차를 품질책임자 업무에 연결하는 것이 좋습니다.

AI 제품 출시와 주요 업데이트 검토

성능 저하 시 사용 제한 또는 운영중단 결정

모델 또는 소프트웨어 버전 롤백

데이터 드리프트와 집단별 성능 차이 검토

이상사례와 중대한 오답 조사

시정, 예방조치 검토와 승인

의료진, 병원 고객의 이의제기 재검토

또한 시행령 제27조는 관리, 감독하는 사람의 성명과 연락처를 사업장이나 홈페이지 등에 게시하도록 규정해요. 개인정보 노출을 줄이기 위해 개인 휴대전화보다 업무용 연락처와 공식 이메일을 사용하는 것이 적절합니다.

문서 작성, 보관의 대체요건

제5호는 안전성, 신뢰성 확보 조치의 내용을 확인할 수 있는 문서의 작성과 보관입니다. 이 항목도 단순히 QMS 적합판정서 한 장만 보유했다고 끝나는 구조는 아니에요.

시행령 별표 1이 연결하는 제조, 수입 품질관리체계, 디지털의료기기소프트웨어 품질관리기준 적합판정과 관련 품질관리체계 요건을 모두 충족했는지 확인해야 합니다.

별도의 거대한 AI 보고서를 처음부터 다시 만들 필요는 낮지만, 최소한 다음 자료는 제품 단위로 묶어두는 것이 좋아요.

제조, 수입 허가, 인증, 신고 자료

제조, 수입 품질관리체계 관련 자료

소프트웨어 품질관리기준 적합판정서와 적용범위

위험관리 파일과 위험평가 결과

소프트웨어 검증, 밸리데이션 자료

임상적 성능자료

학습데이터와 시험데이터 개요

모델, 소프트웨어 버전과 변경관리 기록

이상사례, 불만, 회수와 시정, 예방조치 기록

품질책임자 지정과 권한 문서

각 자료가 제34조 어느 항목을 충족하는지 보여주는 대응표

AI 기본법 시행령은 제34조 조치의 이행 근거를 5년간 보관하도록 정하고 있어요. 다른 의료기기 관련 법령이나 내부 품질기준에서 더 긴 기간을 요구한다면 더 긴 보존기간을 따르는 편이 안전합니다.

제34조 대응표가 필요한 이유

기존 QMS 문서가 수십 개 있어도 어떤 자료가 AI 기본법 제34조의 어느 항목을 충족하는지 바로 설명하지 못하면 대응 과정이 길어질 수 있어요.

그래서 새로운 문서를 무작정 늘리기보다 제34조 대응표를 먼저 만드는 것이 효율적입니다.

이 표를 만들면 기존 문서로 충분한 부분과 AI 특화 보완이 필요한 부분을 한눈에 구분할 수 있어요.

그래도 별도로 확인할 AI 기본법 의무

제34조 제1호부터 제5호를 모두 이행한 것으로 보더라도 AI 기본법의 다른 의무까지 함께 면제되는 것은 아닙니다.

다음 사항은 별도로 확인해야 해요.

제33조에 따른 고영향 AI 해당 여부 사전검토

제31조에 따른 AI 기반 제품, 서비스라는 사실의 사전고지

시행령 제27조 제1항에 따른 위험관리, 설명, 이용자 보호, 감독자 정보 게시

별표 1 대체요건 충족과 제34조 이행 근거의 5년 보관

제35조에 따른 고영향 AI 영향평가 노력

개인정보 보호법, 의료법, 생명윤리법 등 관련 법령상 의무

제34조 제1항 제6호에 따라 향후 정해질 수 있는 안전성, 신뢰성 조치

따라서 “제34조가 갈음되니 AI 기본법 전체 대응이 끝났다”고 표현해서는 안 돼요.

디지털의료기기 사업자의 실무 대응

가장 현실적인 방식은 의료기기 문서와 AI 기본법 문서를 따로 두 세트 만드는 것이 아닙니다.

기존 의료기기 QMS 문서, 허가, 인증, 신고 자료, 표시자료, 품질책임자 체계와 이용자 보호 절차를 먼저 모아야 해요.

그다음 제34조 제1호부터 제5호까지 대응표를 만들고, 각 항목의 대체요건과 실제 적용범위를 확인합니다.

이 과정에서 AI 모델 변경, 학습데이터 개요, 데이터 드리프트, 성능 모니터링, 오답 이의제기와 사람의 재검토처럼 기존 QMS가 충분히 다루지 못한 항목만 보완하면 돼요.

마지막으로 게시 의무를 이행하고, 적합판정서와 대응표, 보완자료, 게시 화면과 변경 이력을 제품별 문서함에 연결해 5년 이상 보관하는 흐름이 적절합니다.

정리하면

QMS 적합판정 하나로 AI 기본법 제34조 전체가 자동 처리되는 것은 아닙니다.

위험관리, 설명 방안, 이용자 보호, 사람의 감독, 문서 작성, 보관에는 각각 별도의 대체요건이 있어요. 요건을 충족한 항목만 이행한 것으로 보며, 다섯 항목의 요건을 모두 충족해야 제1호부터 제5호까지 모두 대응했다고 정리할 수 있습니다.

실무의 핵심은 새로운 서류를 무조건 많이 만드는 데 있지 않아요. 기존 의료기기 QMS와 허가자료를 제34조 항목별로 연결하고, 부족한 AI 특화 항목만 보완하는 것이 중요합니다.

함께 보면 좋은 글

AI 의료기기, 디지털의료제품법만 지키면 AI 기본법 의무도 끝날까?

병, 의원이 의료기기 AI를 쓸 때 AI 기본법도 확인해야 할까?

AI 의료기기를 도입한 병원과 개발사 중 누가 책임질까?