생성형 도구 도입 체크리스트의 개인정보 항목

업무 목적과 필요한 정보의 기록

생성형 도구 도입 체크리스트의 개인정보 항목은 업무 목적과 필요한 정보, 정보가 들어오는 경로·처리 단계, 보유·파기·외부 전달 조건, 보호조치와 담당자 확인을 묶어 구성합니다. 각 항목에 확인 근거와 미확인 사항을 기록하는 실행안으로 설계합니다.

병원 마케팅 담당자는 첫 칸에 도구로 수행할 작업과 결과물을 사용할 대상을 기재합니다. ‘마케팅에 활용’처럼 넓은 표현 대신 어떤 자료로 어떤 문서를 만들려는지 설명합니다. 이어서 작업에 필요한 정보의 종류와 개인정보 없이 수행할 수 있는 범위를 기재합니다. 이때 필요하다고 기재한 정보가 곧 입력을 허용받은 정보라는 뜻은 아닙니다.

개인정보보호위원회의 생성형 인공지능 개인정보 처리 안내서는 사용 목적을 정하면 필요한 개인정보와 후속 단계의 위험을 판단할 수 있다고 설명합니다. 병원은 이 내용을 검토표의 출발 질문으로 옮겨 업무 설명과 정보의 필요성을 함께 기록합니다. 목적이 여러 개라면 하나의 답변에 합치지 않고 작업별로 질문을 작성합니다.

질문마다 남길 답변의 범위

검토표에는 도구 이름만 기재하지 말고 병원이 예정한 사용 방식도 함께 설명합니다. 같은 서비스라도 문서를 직접 입력하는 작업과 다른 시스템에서 자료를 가져오는 작업은 질문의 대상이 달라질 수 있습니다. 담당자는 업무 설명을 읽은 사람이 정보의 출발점과 결과물의 사용처를 이해할 수 있도록 범위를 좁힙니다.

답변 칸은 ‘예·아니요’만 선택하는 형태보다 실제 처리 내용을 서술할 수 있는 형태로 설계합니다. 해당 여부를 답한 뒤 그 판단을 뒷받침하는 문서와 조건을 남기도록 합니다. 아직 자료가 없거나 설명이 불명확하면 그 상태를 기록하고, 빈칸을 처리 없음으로 해석하지 않습니다.

이 검토표는 병원이 필요한 질문과 답변 자료를 정리하는 문서입니다. 개별 환자 자료의 입력 가능 여부나 동의·계약의 법적 필요성을 자체적으로 확정하는 용도로 사용하지 않습니다. 그런 판단이 필요한 항목은 별도 판단 요청 대상으로 표시합니다.

처리 경로에 따른 작성 순서

담당자는 업무 목적을 기재한 다음 정보의 이동을 따라 질문을 작성합니다. 개인정보 처리방침 작성지침은 생성형 인공지능의 개인정보 항목을 수집 경로, 처리 단계, 활용 목적에 따라 나누어 설명하도록 안내합니다. 병원 검토표에서는 이 기준을 작업 순서에 적용하되, 실제 처리 여부가 밝혀지지 않은 항목을 미리 확정하지 않습니다.

1. 마케팅 담당자는 수행할 업무와 필요한 정보 항목을 작성하고 개인정보 담당자에게 전달합니다.
2. 업무를 설명할 수 있는 담당자는 직접 입력, 파일 전달, 다른 시스템과의 연결 등 예정된 유입 경로를 기재합니다.
3. 개인정보 담당자는 입력 이후의 처리와 결과물 저장, 보유·파기·외부 전달에 관한 질문을 작성합니다.
4. 관련 담당자는 보호조치 자료와 답변 근거를 연결하고, 해결되지 않은 질문을 검토 기록에 남깁니다.

직접 입력한 문서만 질문 대상으로 삼으면 생성 결과나 이용 과정의 기록을 누락할 수 있습니다. 작성지침은 입력 정보와 생성 결과가 수집·저장되는 경우의 설명뿐 아니라 이용기록과 기기정보 등 생성·수집되는 개인정보의 기재도 다룹니다. 담당자는 병원의 사용 방식에서 이런 처리가 발생하는지 묻고, 자료에 없는 처리 내용을 추정해 채우지 않습니다.

근거와 미확인 사항을 남기는 칸

검토표의 각 행에는 질문 하나와 그에 대한 근거를 연결합니다. 여러 처리 조건을 한 행에 합치면 일부 답변만 받아도 전체가 완료된 것으로 오해할 수 있습니다. 보유 대상, 파기 대상, 외부 전달 대상이 다르면 행을 추가해 각각 답변을 남깁니다.

담당자는 자료의 문서명과 근거가 있는 위치를 남겨 다른 사람이 같은 내용을 찾을 수 있게 합니다. 결과 칸에는 설명을 받았다는 사실만 쓰지 않고 어떤 정보와 조건에 적용되는 답변인지 기재합니다. 답변을 기다리는 항목에는 추가 질문과 답변을 요청할 상대를 함께 기록합니다.

미확인과 해당 없음의 판단 기록

자주 틀리는 부분은 답변을 찾지 못한 상태를 ‘해당 없음’으로 처리하는 것입니다. 해당 없음은 예정된 업무와 처리 범위를 근거로 그 항목이 적용되지 않는다고 판단한 결과여야 합니다. 설명 자료가 없거나 서로 다른 답변이 있으면 미확인으로 남기고, 판단에 부족한 내용을 구체적으로 기재합니다.

외부 전달 항목에서도 ‘있음’ 또는 ‘없음’만으로 기록을 끝내지 않습니다. 전달이 있다는 답변을 받았다면 어떤 정보가 누구에게 어떤 목적으로 이동하는지 추가 질문을 작성합니다. 제공·위탁·국외 이전에 관한 설명은 각각 연결하고, 담당자가 용어를 임의로 확정하지 않도록 판단 요청이 필요한 부분을 표시합니다.

보유와 파기 항목의 답변 대상도 명시해야 합니다. 입력 자료에 대한 설명을 받았는데 생성 결과나 이용기록까지 같은 조건으로 처리된다고 확대 해석해서는 안 됩니다. 담당자는 답변이 다루는 정보의 범위를 결과 칸에 기재하고, 나머지는 별도 질문으로 남깁니다.

도입 판단에 전달할 검토 기록

도입 판단에 전달하는 문서에는 완료한 질문과 해결되지 않은 질문을 따로 정리합니다. 완료 표시는 앞에서 정한 기준에 따라 근거와 적용 조건이 기록된 항목에 사용합니다. 이는 해당 답변의 기록이 완료됐다는 뜻이며, 도구의 개인정보 안전성을 보장한다는 뜻은 아닙니다.

생성형 인공지능 개인정보 처리 안내서는 개인정보 보호책임자 중심의 관리체계와 관련 절차·결과의 문서화를 제시합니다. 병원은 검토 의견이 도입 결정까지 전달되도록 담당자 이름, 의견, 판단이 필요한 사유를 기록합니다. 보호조치 설명을 확보했더라도 병원에서 준비해야 할 조치가 남아 있다면 그 내용을 별도로 기재합니다.

최종 전달본에는 미확인 사항이 예정된 업무의 어느 단계와 관련되는지 설명합니다. 결정권자가 ‘자료 부족’이라는 표현만 받으면 무엇을 추가로 요청해야 하는지 알기 어렵습니다. 담당자는 필요한 답변과 그 답변을 받아야 판단할 수 있는 업무 범위를 연결해 전달합니다.

조건이 달라진 답변의 재사용 기준

기존 검토표를 복사할 때는 과거 답변이 새 업무에도 적용되는지 가려야 합니다. 서비스 이름이 같아도 자료를 전달하는 방식이나 결과물을 사용하는 대상이 달라지면 답변의 전제가 달라질 수 있습니다. 담당자는 이전 근거를 그대로 옮기기 전에 이번 업무와 다른 조건을 기재합니다.

변경이 없는 항목은 재사용 사유를 남기고, 조건이 달라진 항목은 새 질문으로 작성합니다. 과거에 완료한 표시를 새 문서에 자동으로 옮기지 않습니다. 여러 부서가 같은 양식을 사용한다면 공통 질문은 유지하되 각 부서의 업무 설명과 답변 기록은 별도로 관리합니다. 이후 의견이 달라졌을 때에는 기존 결과를 지우지 말고 변경 사유를 덧붙여 판단 경과를 남깁니다.

자주 묻는 질문

도입 검토표에 환자 자료 원본을 첨부해야 합니까?

질문을 설명하기 위해 환자 자료 원본을 첨부하는 방식은 피합니다. 자료의 종류와 포함된 정보 항목을 목록으로 작성하면 업무 설명에 필요한 내용을 전달할 수 있습니다. 근거 문서에도 개인정보가 포함돼 있다면 검토에 필요한 범위로 내용을 정리하고 원본 접근은 별도로 관리합니다.

공급자의 답변이 병원 양식과 다르면 어떻게 합니까?

답변 형식을 통일하기보다 병원 질문과 공급자 답변이 연결되도록 관리합니다. 담당자는 답변 문서에서 해당 내용을 찾을 수 있는 위치를 병원 양식에 기재합니다. 연결할 답변이 없는 질문만 추가 요청 목록으로 작성하면 같은 설명을 다시 요구하는 일을 줄일 수 있습니다.

답변 문서에 영업상 비밀이 포함되면 어떻게 관리합니까?

병원 내부에서도 문서 전체를 모든 직원에게 공유할 필요는 없습니다. 검토에 참여하는 사람과 자료를 열람할 범위를 정하고, 도입 결정에 필요한 요약을 별도로 작성합니다. 원본은 문서 관리 담당자가 정해진 보관 방식에 따라 관리하도록 합니다.

체크리스트에 비용과 작업 속도를 함께 넣어도 됩니까?

같은 도입 문서에 포함할 수 있지만 개인정보 항목의 답변과 다른 평가 항목은 따로 정리합니다. 비용이나 작업 속도가 유리하다는 이유로 개인정보 질문의 미응답 상태를 완료로 처리하지 않습니다. 종합 판단을 전달할 때도 각 평가의 결과가 별도로 읽히도록 구성합니다.

검토한 뒤 도입하지 않기로 결정하면 기록을 삭제합니까?

도입하지 않았다는 이유만으로 검토 기록을 즉시 삭제할 필요는 없습니다. 병원은 결정 사유와 기록의 업무상 필요성을 기준으로 보관 여부를 정합니다. 기록 자체에 개인정보가 포함돼 있다면 병원의 해당 자료 관리 기준에 따라 보유와 파기를 처리합니다.

이어서 읽을 주제

환자 질문 수집을 이어 읽으면 병원 업무에 필요한 질문을 정리하면서 수집 대상과 사용 목적을 어떻게 좁힐지 검토할 수 있습니다. 도구 도입 준비와 실제 자료 수집을 별도 업무로 설계할 때 참고할 주제입니다.