1년 쓴 생성형 도구를 다시 평가하는 기준

도입 당시 목적과 현재 업무의 차이

생성형 도구를 오래 사용했다는 이유로 도입 당시 판단을 유지하기보다, 현재 업무 목적과 출력 신뢰도·개인정보 위험·안전조치를 다시 확인해야 합니다. 그 결과에 따라 기존 도구에 계속 맡길 업무와 재확인이 필요한 업무를 나누는 방식을 제안합니다. 사용한 지 일 년이 되었다는 사실은 이번 평가의 계기이며, 공식 평가 주기를 뜻하지 않습니다.

실장은 도입 당시 승인한 업무와 직원이 현재 맡기는 업무를 같은 목록에 기재합니다. 마케팅 문장의 초안을 만드는 데 사용하다가 상담 내용 정리나 외부 서비스 연결까지 맡기게 되었다면, 업무 이름만으로는 달라진 위험을 설명하기 어렵습니다. 입력하는 자료, 결과물을 사용하는 사람, 사람이 개입하는 단계까지 함께 기록해야 합니다. 도입 문서가 없으면 당시 담당자의 설명을 참고하되, 기록으로 입증된 내용과 기억에 의존한 내용을 따로 표시합니다.

빈칸은 문제가 없다는 뜻으로 처리하지 않습니다. 담당자는 자료가 없는 항목에 미확인 사유와 자료를 요청할 상대를 기재합니다. 이번 평가에서는 도입 당시의 선택이 옳았는지를 설명하는 것보다 현재 사용을 승인할 근거가 남아 있는지를 판단합니다.

병원 결과물과 업체 평가 자료의 역할

생성형 인공지능 개발·활용을 위한 개인정보 처리 안내서는 학습데이터나 모델 구조가 달라지면 개인정보 보호, 편향성, 출력 신뢰도가 영향을 받을 수 있어 지속적인 평가와 보완이 필요하다고 설명합니다. 병원은 이 설명을 현재 업무에 적용해 결과물 검토와 업체 안전성 자료 요청을 별도로 진행할 수 있습니다. 문장이 자연스럽다는 평가만으로 개인정보 처리까지 안전하다고 판단해서는 안 됩니다.

병원 담당자는 초안에 없는 사실이 추가되었는지, 요청 조건이 누락되었는지, 수정 후에도 같은 오류가 남는지를 결과물에서 가립니다. 업체에는 해당 도구의 평가 대상, 시험 방법, 발견된 취약점과 위험 경감 조치를 요청합니다. 병원 자료는 실제 업무에서 사용할 수 있는지를 판단하는 데 쓰고, 업체 자료는 병원이 직접 관찰하기 어려운 안전조치의 근거로 사용합니다. 한쪽 자료가 다른 쪽의 평가를 대신하지는 않습니다.

자료 준비부터 사용 범위 결정까지

재평가는 업무 목록을 정리한 뒤 결과물과 안전조치 자료를 모으고, 마지막에 사용 범위를 결정하는 순서로 진행합니다. 담당자가 먼저 사용 유지 결론을 작성하면 불리한 자료를 빠뜨릴 수 있으므로, 결론란은 자료를 검토한 뒤 작성합니다. 실장은 자료 취합 담당자와 업무별 승인자를 정하고 필요한 자료의 보유 여부부터 기록합니다.

1. 실장은 도입 기록과 현재 작업 목록을 대조해 목적, 입력 자료, 결과물 사용처의 변경 사항을 정리합니다. 직원이 관행적으로 추가한 작업도 목록에 포함합니다.
2. 마케팅 담당자는 최근 초안과 최종본을 함께 준비하고, 수정한 이유를 사실 오류·누락·표현 수정 등으로 기록합니다. 시험이 필요하면 실제 환자정보를 넣지 않고 업무 형식과 요청 조건을 재현합니다.
3. 개인정보 담당자는 현재 자료 전달 흐름과 설정 기록을 준비하고 업체에 안전성 시험 자료를 요청합니다. 업체 답변에서는 평가 대상이 병원이 사용하는 기능과 조건을 포함하는지 대조합니다.
4. 원장과 실장은 앞에서 정한 기준으로 업무별 사용 범위를 결정합니다. 승인된 범위, 제한한 작업, 결정을 유보한 사유와 재판단에 필요한 자료를 기록합니다.

수정 기록에는 최종 문장만 남기지 말고 사람이 개입한 이유를 함께 기재합니다. 단순한 문체 변경과 사실을 바로잡은 수정은 사용 범위를 결정할 때 의미가 다릅니다. 진료 설명의 의학적 정확성은 원장이 판단할 내용으로 남기고, 마케팅 담당자가 문장 완성도를 근거로 대신 승인하지 않습니다.

업무별 유지와 조정 기록

사용 범위는 도구 전체에 대한 유지 또는 중단 결정만으로 작성하지 않습니다. 아래 표의 업무는 기록 항목을 설명하기 위한 분류이며, 특정 병원의 이용 현황이나 평가 결과를 뜻하지 않습니다. 담당자는 각 업무에 실제 검토 결과를 기재하고, 조건이 충족되지 않은 작업에는 제한 내용을 명시합니다.

결정 기록은 직원이 다음 작업에서 적용할 수 있는 문장으로 작성합니다. 자료를 받을 때까지 특정 입력을 제한하거나, 최종 검토 없이 결과물을 전달하지 않도록 조건을 명시하는 방식입니다. 실장은 변경한 범위가 실제 작업 요청과 승인 절차에 반영되었는지 점검합니다.

안전성 시험 자료의 적용 조건

업체가 안전성 평가를 했다는 설명만 제시하면, 병원은 어떤 조건에서 얻은 결과인지 추가 자료를 요구합니다. 요청서에는 평가한 모델과 기능, 시험 시점, 개인정보 관련 시험 범위, 발견된 문제와 후속 조치를 포함합니다. 시험 대상에서 제외한 기능이나 아직 해결하지 못한 위험도 답변 항목으로 기재합니다.

개인정보 처리 안내서는 안전조치를 우회하는 비정상적 요청을 차단하는 능력 등을 평가하는 방법이 연구되고 있으며, 레드티밍과 같은 도구로 위험을 평가하고 조치와 결과를 문서화할 필요가 있다고 설명합니다. 병원 담당자는 시험 명칭의 개수보다 현재 사용 조건과 연결되는 설명이 있는지를 판단합니다. 평가 자료에 포함되지 않은 기능을 사용 중이라면 기존 시험 결과를 그 기능의 근거로 확대하지 않습니다.

평가 결과와 후속 조치는 서로 연결해 읽어야 합니다. 취약점을 발견했다는 기록은 있지만 대응 내용이 없거나, 조치를 적용했다는 답변에 재시험 결과가 없다면 남은 질문을 업체에 전달합니다. 자료 요청 기록에는 받은 답변뿐 아니라 답변하지 않은 항목도 남깁니다. 미답변 항목이 어떤 업무의 승인에 영향을 주는지 실장에게 함께 보고합니다.

익숙한 사용 화면 뒤의 처리 변화

사용 화면이나 업무 이름이 같아도 정보가 처리되는 방식은 달라질 수 있습니다. 재평가 담당자는 현재 사용하는 기능에 대화 기억이나 외부 서비스 전달이 포함되는지 업체 설명과 실제 작업 흐름으로 가립니다. 직원이 화면에서 수행하는 작업만 기록하면 그 이후의 전달 과정을 놓칠 수 있습니다.

개인정보 처리 안내서는 기억을 활용하는 방식에 장기 추적과 프로파일링 위험이 있고, 여러 처리 주체와 외부 서비스가 연결되는 방식에서는 개인정보가 여러 시스템으로 공유될 가능성이 있다고 설명합니다. 해당 방식을 사용하는 병원은 어떤 정보가 기억에 사용되는지, 어디로 전달되는지, 각 단계의 행위를 어떻게 통제하는지 업체에 묻습니다. 설명이 불명확하면 담당자는 모르는 전달 대상을 추정해 기록하지 않고, 관련 작업의 승인 여부를 별도로 결정하도록 보고합니다.

자주 묻는 질문

일 년이 되기 전에 재평가를 시작해도 됩니까?

사용 목적이나 자료 처리 방식이 달라졌다면 경과 기간과 관계없이 시작할 수 있습니다. 실장은 변화가 발생한 업무를 먼저 평가 대상으로 선정하고, 다음 정기 검토까지 기다릴 수 있는지 판단합니다. 모든 업무의 평가 일정을 같게 정할 필요는 없습니다.

과거 결과물을 모두 모아야 재평가가 가능합니까?

모든 결과물이 있어야만 평가를 시작할 수 있는 것은 아닙니다. 담당자는 현재 사용하는 업무 유형이 빠지지 않도록 자료를 선정하고, 자료가 없는 기간이나 작업을 기록합니다. 보관된 결과물만으로 과거 사용 전체가 안전했다고 결론 내리지 않습니다.

재평가 중 발견한 직원의 실수도 기록해야 합니까?

도구 자체의 문제인지 사람의 입력이나 전달 과정에서 발생한 문제인지 가리기 위해 기록해야 합니다. 직원 개인에 대한 평가와 업무 원인 기록은 따로 관리합니다. 실수한 이유를 요청 조건, 입력 자료, 승인 절차와 연결해 기재하면 필요한 수정 대상을 정할 수 있습니다.

업체가 시험 자료를 비공개로 처리하면 어떻게 합니까?

전체 보고서 공개가 어렵다면 평가 범위와 한계, 조치 여부를 설명하는 요약 자료를 요청할 수 있습니다. 비공개라는 답변만으로 안전하거나 위험하다고 확정하지 않습니다. 병원이 확보하지 못한 근거와 그로 인해 승인하기 어려운 작업을 결정 기록에 남깁니다.

원장과 담당자의 사용 범위 의견이 다르면 어떻게 합니까?

각자 선호를 적기보다 의견이 다른 항목과 판단에 필요한 자료를 명시합니다. 임상 내용은 원장이 판단하고, 자료 처리 위험은 관련 책임자가 의견을 제시하도록 역할을 정합니다. 실장은 미해결 쟁점이 남은 작업을 이미 승인된 작업과 함께 처리하지 않도록 임시 사용 조건을 정합니다.

이어서 읽을 주제

병원 홈페이지 제작 비용은 제작 범위에 콘텐츠 준비와 검토 업무가 어디까지 포함되는지 판단할 때 이어 읽을 주제입니다. 생성형 도구의 사용 범위를 정한 뒤 홈페이지 제작을 계획한다면, 병원과 제작업체가 각각 준비할 결과물과 수정 책임을 비용 항목에 연결해 정리할 수 있습니다.