상담 목적과 AI 작업의 관계
환자 상담 내용을 AI 도구에 넣을지는 상담 때 수집했다는 사실만으로 정하지 않습니다. AI에 맡길 일이 원래 상담 목적과 어떻게 연결되는지, 환자에게 미칠 영향과 정보의 처리 경로·보호조치를 확인해 개인정보 담당자와 입력 전에 판단해야 합니다.
병원 담당자는 먼저 상담 정보를 받은 이유와 AI로 수행하려는 일을 각각 문장으로 작성합니다. ‘상담 업무 지원’처럼 넓은 표현 대신 누구의 어떤 요청을 처리하려고 받았는지, AI 결과를 누가 어떤 업무에 사용할지 기재합니다. 두 목적에 상담이라는 말이 들어간다는 이유만으로 같은 범위의 이용이라고 결론 내리지 않습니다.
개인정보보호위원회의 분야별 개인정보 보호 안내서는 추가 이용을 판단할 때 당초 목적과의 관련성, 수집 정황에 따른 예측 가능성, 정보주체의 이익 침해 여부, 안전성 확보조치를 고려하도록 설명합니다. 병원에서는 이 항목을 특정 상담 자료와 특정 AI 작업에 연결해 기록해야 합니다. 작업 이름만 적으면 실제로 어떤 판단을 AI에 맡기는지 알기 어렵습니다.
| AI에 맡길 상담 작업 | 원래 수집 목적과의 관계 | 환자 영향과 추가 확인 사항 |
|---|---|---|
| 진행 중인 상담의 답변 초안 작성 | 환자가 요청한 상담 답변을 지원하는지 검토 | 잘못된 답변이 전달될 가능성과 직원의 수정 절차 |
| 상담 후 후속 안내 항목 정리 | 당시 요청한 후속 조치에 포함되는지 대조 | 환자가 요청하지 않은 연락이나 조치로 이어지는지 |
| 상담 직원의 교육 자료 작성 | 개별 상담 제공과 교육 목적의 차이 기록 | 환자의 사정이 교육 참여자에게 전달되는 범위 |
| 상담 운영 개선 항목 추출 | 상담 제공에서 운영 분석으로 확장되는 내용 기재 | 결과가 특정 환자의 응대 방식에 영향을 주는지 |
표의 작업명은 입력 허용 목록이 아닙니다. 같은 답변 초안 작성이라도 결과를 사용하는 사람과 후속 조치가 달라지면 판단에 필요한 사실도 달라집니다. 담당자는 작업명 옆에 결과의 사용처까지 작성해 검토 자료로 제출합니다.
예측 가능성과 환자 영향의 판단
추가 이용의 예측 가능성은 직원에게 익숙한 업무인지가 아니라 정보를 받을 당시의 정황과 처리 관행에 비추어 판단합니다. 당시 상담 안내, 환자의 요청 내용, 병원이 설명한 이용 범위를 모아 AI 작업과 연결되는 근거를 기재합니다. 근거가 없으면 ‘환자도 예상했을 것’이라는 추정을 사실처럼 작성하지 않습니다.
환자 영향은 AI 결과가 실제 조치로 이어지는 과정에서 따집니다. 담당자는 부정확한 결과 때문에 답변이 누락되거나 환자의 요청과 다른 안내가 전달될 가능성을 기록합니다. 개인정보 담당자에게는 결과를 전달하기 전 사람이 판단하는 절차와 잘못된 결과를 수정할 방법도 함께 제출합니다.
입력 전 자료 준비와 검토 순서
입력 전 검토는 목적을 정리한 뒤 환자 영향과 처리 조건을 연결하는 순서로 진행합니다. 실장은 상담 업무 자료를, AI 작업 담당자는 작업 설명과 도구 이용 자료를 준비합니다. 개인정보 담당자는 두 자료를 함께 받아 미확인 사항과 추가 판단이 필요한 내용을 정리합니다.
- 상담 담당자는 당시의 수집 목적을 설명하는 안내와 요청 내용을 준비하고, AI 작업 담당자는 수행할 작업과 결과 사용처를 작성합니다.
- 업무 책임자는 앞에서 정한 기준에 따라 목적의 관계와 환자 영향을 기록하고, 상담 내용에 건강정보가 포함되는지도 표시합니다.
- AI 작업 담당자는 실제 사용할 환경에서 정보가 전달되고 보관되는 경로를 정리하며, 처리 조건을 뒷받침하는 문서를 모읍니다.
- 개인정보 담당자는 판단 자료를 검토하고 입력 가능 여부, 보류 사유 또는 추가로 필요한 자료를 기록합니다. 담당자는 그 결과가 나오기 전 환자 상담 내용을 입력하지 않습니다.
자료를 준비하기 위해 상담 내용을 먼저 도구에 보내서는 안 됩니다. 작업 설명과 처리 조건은 실제 환자 정보를 입력하지 않은 상태에서 정리합니다. 판단에 필요한 원본 상담 자료는 병원 내부의 접근 권한에 따라 개인정보 담당자에게 전달합니다.
해당 작업의 처리 경로 기록
처리 조건은 도구의 이름에 대한 평가보다 해당 작업에서 정보가 어디로 이동하는지를 중심으로 작성합니다. 담당자는 실제 사용할 계정과 환경을 기준으로 전송, 보관, 접근, 결과 이용 과정을 기록합니다. 문서에서 알 수 없는 내용은 안전하다고 추정하지 않고 별도의 질문으로 남깁니다.
| 해당 작업의 처리 경로 | 확인된 처리·보호 조건 | 담당자 검토가 필요한 미확인 사항 |
|---|---|---|
| 병원 자료에서 도구로 전송 | 전달 대상과 전송 중 보호에 관한 문서 내용 | 병원이 파악하지 못한 전달 대상의 존재 |
| 도구 안에서 처리·보관 | 작업에 적용되는 이용 목적과 보관 조건 | 상담 처리 외의 이용 여부와 적용 범위 |
| 도구 내 자료에 접근 | 접근 권한 관리와 접근 통제에 관한 설명 | 열람 가능한 사람과 실제 권한 설정 |
| 결과를 병원 업무에 사용 | 결과 수신자와 병원 내부의 관리 방법 | 결과가 전달되는 추가 대상과 사용 목적 |
개인정보보호위원회 안내서는 접근 권한 관리, 접근 통제, 암호화, 접속기록 관리 등을 안전성 확보조치로 제시합니다. 병원 담당자는 ‘보안을 적용한다’는 문구만 옮기지 말고 해당 작업에 적용되는 조치와 그 근거를 기재합니다. 필요한 설명을 얻지 못한 항목은 공급자에게 물을 내용과 병원 내부에서 정할 내용을 따로 정리합니다.
건강정보를 일반 상담 항목으로 취급한 오류
상담 게시판이나 전화 상담에서 받은 내용도 건강정보를 포함할 수 있습니다. 담당자는 연락처 중심의 상담 양식이라는 이유로 전체 내용을 일반 정보로 처리하지 않습니다. 환자가 자유롭게 작성한 설명에 병력이나 신체적·정신적 장애에 관한 내용이 있는지 검토 자료에 표시합니다.
개인정보보호위원회 안내서는 민감정보를 수집·이용할 때 별도의 동의 또는 구체적인 법령상 근거를 확인해야 한다고 설명합니다. 건강정보가 포함된 작업은 원래 목적과의 관계만 기록하고 검토를 끝내지 않습니다. 개인정보 담당자가 해당 정보의 처리 근거와 AI 작업에 적용되는 범위를 함께 판단하도록 관련 문서를 준비합니다.
안내서의 상담 게시판 설명에는 상담에 필요한 성명과 이메일주소의 처리에 관한 내용이 있으며, 해당 문답은 약국 편에 실려 있습니다. 이를 근거로 병원의 모든 상담 내용이나 외부 AI 입력까지 허용된다고 확대하지 않습니다. 정보의 수집 단계에 관한 설명과 이번 AI 작업에 대한 판단은 서로 다른 질문으로 관리합니다.
결론보다 판단 범위를 남기는 기록
입력 검토 기록에는 ‘사용 가능’이라는 결론만 남기지 않습니다. 어떤 상담 자료를 어떤 작업에 사용하려고 했는지, 어떤 문서와 업무 사실을 근거로 결정했는지 함께 기재합니다. 담당자 의견이 필요한 부분과 사실 자료로 해소된 부분을 나누면 후속 질문의 대상을 정할 수 있습니다.
보류할 때도 부족한 자료를 구체적으로 작성합니다. 목적을 설명할 자료가 없는지, 환자 영향에 대한 업무 책임자의 판단이 필요한지, 처리 경로에 대한 공급자 답변이 필요한지를 각각 기록합니다. 실장은 보류 사유에 따라 자료 준비를 맡길 사람을 정하고, 미확인 항목을 빈칸으로 남긴 채 입력을 진행하지 않습니다.
작업 명칭과 실제 결과 사용의 차이
결과 사용처가 아직 결정되지 않았다면 넓은 활용 가능성을 전제로 승인받지 않습니다. 먼저 수행할 업무를 특정하고, 나중에 결정할 활용은 이번 검토 범위에서 제외했다고 기재합니다. 업무 책임자는 여러 목적을 한꺼번에 묶은 요청을 각각의 작업으로 나누어 제출합니다. 이렇게 작성한 기록은 특정 작업에 대한 판단이며, 도구 전체에 대한 포괄적인 사용 허가로 취급하지 않습니다.
자주 묻는 질문
환자가 먼저 AI 사용을 요청하면 동의 문제는 해결되나요?
환자의 요청이 있다는 사실만으로 동의 필요 여부나 적법성이 확정되지는 않습니다. 요청한 작업의 내용과 환자에게 설명한 사항을 기록하고 개인정보 담당자가 처리 근거를 판단하도록 전달합니다. 직원은 요청을 받았다는 이유로 검토를 생략하지 않습니다.
원장이 사용을 허락하면 개인정보 담당자의 검토를 대신할 수 있나요?
업무상 사용 결정과 개인정보 처리에 대한 검토는 따로 기록하는 것이 좋습니다. 원장이 사용을 요청했더라도 개인정보 담당자가 판단할 자료를 함께 준비합니다. 한 사람이 두 역할을 맡는 경우에도 어떤 사실과 기준으로 결정했는지 기록합니다.
입력 직전에 환자가 상담 요청을 철회하면 어떻게 처리하나요?
아직 입력하지 않았다면 예정한 작업을 보류하고 철회한 요청의 범위를 기록합니다. 상담을 계속할 필요가 있는지와 별도로 남은 업무가 있는지는 상담 책임자에게 묻습니다. 개인정보 담당자에게 변경된 사정을 전달한 뒤 작업 필요성을 다시 판단합니다.
검토를 기다리는 동안 환자 답변을 미뤄야 하나요?
AI 작업의 보류와 환자 상담의 진행 여부를 같은 결정으로 처리하지 않습니다. 상담 책임자는 기존 업무 방식으로 답변할 수 있는지 판단하고 필요한 직원에게 업무를 맡깁니다. AI 입력 승인을 기다린다는 이유만으로 환자의 요청을 방치하지 않습니다.
상담 내용의 추가 이용이 반복되면 무엇을 더 준비해야 하나요?
개인정보보호위원회 안내서는 추가 이용이 지속될 경우 판단 기준을 개인정보 처리방침에 공개하고 개인정보 보호책임자가 그 기준에 따른 이용 여부를 점검하도록 설명합니다. 반복 작업을 계획하는 병원은 개인정보 보호책임자에게 지속 이용 여부와 관련 절차를 검토해 달라고 요청합니다. 개별 입력에 대한 기록만으로 반복 이용에 필요한 절차를 대신하지 않습니다.