새 규제의 직접 영향과 판단 범위
현재 근거만으로는 AI 기본법이 병원 마케팅에 새로 부과하는 의무를 단정할 수 없습니다. 새 규제의 직접 적용 여부와 기존 개인정보 안내의 자동화된 결정·처리방침 항목을 구분해 업무 변경 필요성을 검토해야 합니다. 병원이 사용하는 AI의 역할과 개인정보 처리 현황은 지금 정리할 수 있지만, 그 정리만으로 새 규제의 적용 결론까지 내릴 수는 없습니다.
개인정보보호위원회 안내는 사람에 대한 최종 결정과 실제 개인정보 처리 내용을 판단할 자료가 됩니다. AI 기본법의 적용 조건이나 병원에 요구하는 변경 사항을 설명하는 직접 근거는 별도로 필요합니다. 실장은 새 규제 때문에 달라진다고 전달받은 업무마다 출처와 해당 조건을 요청하고, 기존 개인정보 관리에서 필요한 정비 사항은 따로 기록합니다.
| 영향 검토 항목 | 개인정보 안내로 확인되는 내용 | 새 규제 근거가 필요한 내용 |
|---|---|---|
| 사람에 대한 AI 결정 | 최종 결정과 자동화된 결정 해당 여부를 판단할 필요 | AI 기본법이 해당 업무에 추가로 요구하는 조치 |
| 개인정보 처리방침 | 실제 처리 현황에 맞는 내용 작성과 공개 | 새 규제로 추가되거나 변경되는 기재 사항 |
| 입력 정보의 가명처리 | 해당 처리의 목적·항목·기간과 제공받는 자 기재 | 병원의 해당 사용 방식에 적용되는 별도 요구 |
표의 개인정보 안내 항목은 AI 기본법이 새로 만든 의무를 뜻하지 않습니다. 마케팅 담당자는 변경 요청서에 근거 문서 이름과 대상 업무를 함께 기재하고, 근거가 없는 요청은 확정된 변경 목록에 포함하지 않습니다. 적용 여부를 판단할 자료가 없다는 상태와 적용되지 않는다는 결론도 따로 기록해야 합니다.
근거의 공백과 업무 기록의 차이
새 규제의 직접 근거가 부족해도 병원 내부의 사용 현황 조사까지 미룰 필요는 없습니다. 원장과 실장은 법적 적용 결론을 내리는 작업과 현재 업무를 기록하는 작업을 나누어 진행합니다. 사용 목적, 입력하는 정보, 결과를 사용하는 부서, 사람이 결정에 참여하는 방식은 담당자에게 받아 정리할 수 있습니다.
반대로 AI라는 이름이 포함된 서비스라는 이유만으로 모든 업무를 동일하게 취급해서는 안 됩니다. 홍보 문안의 표현을 제안하는 사용 방식과 개인정보를 처리해 사람에 관한 결과를 확정하는 사용 방식은 질문할 내용이 다릅니다. 기능 이름이나 계약서의 소개 문구보다 병원에서 실제로 수행하는 작업을 기준으로 조사 대상을 정합니다.
변경 근거와 실제 사용 방식의 연결
업무 변경 검토는 새 규제의 직접 근거 유무, 병원의 실제 AI 사용 방식, 담당자에게 요청할 변경 사항 순서로 진행합니다. 각 단계의 자료가 다음 단계의 판단을 뒷받침하도록 기록합니다. 실장은 출처를 수집하는 사람과 실제 운영 내용을 설명할 사람을 정하고, 두 사람이 같은 업무 이름을 사용하도록 요청합니다.
- 새 규제로 변경해야 한다는 업무를 목록으로 만들고, 그 주장을 뒷받침하는 공식 문서와 적용 조건을 요청합니다.
- 마케팅 담당자는 업무별 입력 자료와 결과물, 결과를 전달받는 부서, 최종 결정 담당자를 기재합니다.
- 개인정보 담당자는 실제 처리 현황을 설명할 자료와 현재 처리방침을 준비하고, 설명이 필요한 차이를 기록합니다.
- 실장은 근거와 운영 자료가 갖춰진 항목부터 변경안을 논의하고, 미확정 항목에는 추가 질문과 답변 담당자를 지정합니다.
자료를 준비할 때 환자별 원자료를 회의 문서에 복사할 필요는 없습니다. 처리하는 정보의 종류와 사용 목적, 전달 관계를 설명하는 자료부터 요청합니다. 개별 기록이 꼭 필요한지는 개인정보 담당자가 별도로 판단하도록 하고, 변경 검토에 불필요한 개인정보는 제외합니다.
사용 방식별 담당자 질문과 준비 자료
| 병원 AI 사용 방식 | 담당자에게 확인할 사항 | 확인 후 검토할 업무 변경 |
|---|---|---|
| 홍보 문안의 표현 제안 | 입력 정보의 종류와 결과물 사용 범위 | 입력 자료 선정과 결과 전달 절차 |
| 사람에 관한 판단 결과 생성 | 결과의 확정 방식과 사람의 개입 내용 | 최종 결정 담당자와 권리 요청 대응 절차 |
| 입력 정보의 가명처리 활용 | 모델 성능 향상·신규 서비스 개발 목적의 처리 여부 | 실제 처리에 해당하는 처리방침 설명 |
| 외부 업체를 통한 정보 처리 | 업체의 실제 처리 내용과 전달 관계 | 처리 현황 자료와 위탁·제공 관련 설명 |
마케팅 담당자는 작업 설명서와 사용 중인 설정 내용을, 외부 업체는 병원 정보가 어떻게 처리되는지 설명하는 자료를 준비합니다. 개인정보 담당자는 현행 처리방침과 업체 답변을 대조해 추가로 물을 사항을 정리합니다. 표의 변경 항목은 논의할 업무를 제시한 것이며, 모든 병원에 일괄 적용되는 의무 목록은 아닙니다.
답변이 모이면 실장은 변경 내용, 근거, 영향을 받는 업무, 결정 담당자를 같은 기록에 기재합니다. 추가 자료가 필요한 항목에는 부족한 정보와 요청 상대를 명시합니다. 새 규제 적용이 미확정인 항목에 기존 개인정보 안내만 첨부해 변경 사유를 확정해서는 안 됩니다.
최종 결정에 대한 사람의 개입 기록
사람에 관한 결과를 AI가 만들 때는 직원이 화면을 열었다는 사실만으로 판단을 끝내지 않습니다. 개인정보보호위원회 안내는 해당 결과가 최종 결정인지, 자동화된 결정에 해당하는지를 확인하고 해당하는 권리를 보장하도록 설명합니다. 병원은 결과가 확정되는 시점과 사람이 수행한 판단을 업무 기록으로 남겨 담당자의 판단 자료로 사용합니다.
기록에는 사람이 원자료를 대조하는지, 결과를 수정하거나 채택하지 않을 수 있는지, 최종 결과를 누가 전달하는지를 포함합니다. 승인 버튼을 누르는 작업과 내용을 판단해 결정을 내리는 작업을 같은 절차로 기록하지 않습니다. 거부·설명·검토 요구에 관한 대응은 해당 여부와 조건을 담당자가 검토한 뒤 정하며, AI 결과가 있다는 이유만으로 권리의 적용 범위를 단정하지 않습니다.
처리 현황과 처리방침 설명의 연결
개인정보 처리방침의 정비 범위는 병원과 업체가 실제로 수행하는 처리 내용에서 정합니다. 개인정보보호위원회 작성지침은 법령상 기재 사항을 포함하고, 지침의 권장 사항도 반영하도록 안내합니다. 위탁이나 가명정보 처리처럼 해당되는 경우에 작성하는 항목은 실제 처리 유무를 먼저 가린 뒤 문서에 반영합니다.
생성형 AI 서비스에서 입력 정보를 가명처리해 모델 성능 향상이나 신규 서비스 개발에 활용한다면, 작성지침은 처리 목적·항목·기간을 기재하도록 안내합니다. 제삼자에게 제공하는 경우에는 제공받는 자도 포함합니다. 병원 담당자는 업체가 그런 처리를 하는지와 병원 정보가 그 대상인지 각각 질문하고, 답변 없이 다른 서비스의 작성 예시를 복사하지 않습니다.
실제 처리는 있는데 설명이 없거나, 설명은 있는데 해당 처리를 하지 않는다면 담당자는 차이가 발생한 이유를 기록합니다. 이후 수정할 문구와 운영 절차를 함께 정하며, 처리방침 문구의 변경만으로 실제 처리의 적법성이 판단됐다고 보고하지 않습니다.
같은 서비스 이름 아래의 사용 차이
같은 AI 서비스를 사용하더라도 부서마다 입력 자료와 결과의 용도가 다르면 별도 업무로 기록합니다. 마케팅 부서의 계약 자료만으로 다른 부서의 사용 방식까지 설명할 수는 없습니다. 실장은 서비스 이름을 기준으로 목록을 끝내지 않고, 사용 목적이 달라지는 지점마다 담당자에게 처리 내용을 요청합니다.
이때 업무 이름만 다르고 실제 처리 과정이 같다면 공통 자료를 함께 사용할 수 있습니다. 입력 정보의 종류, 외부 전달 관계, 결과의 확정 방식 중 달라지는 항목은 별도 설명을 추가합니다. 공통 자료가 있다는 이유로 차이를 생략하지 말고, 변경이 필요한 업무의 범위를 해당 담당자가 알 수 있게 기재합니다.
자주 묻는 질문
업체의 규제 대응 완료 안내를 그대로 받아도 됩니까?
완료라는 표현만으로 병원에 필요한 조치까지 끝났다고 판단할 수는 없습니다. 업체에 대응한 규제의 이름, 조치 범위, 병원이 별도로 수행할 사항을 요청합니다. 답변의 대상이 서비스 운영인지 병원의 개별 사용인지도 명확히 해야 합니다.
규제 설명 자료마다 결론이 다르면 어떻게 처리합니까?
서로 다른 결론을 하나로 합쳐 내부 안내를 만들지 않습니다. 각 자료의 발표 시점과 다루는 대상, 결론에 전제된 조건을 함께 기재합니다. 차이가 해소되지 않으면 담당자가 답해야 할 질문으로 남기고 공식 근거를 추가로 요청합니다.
개인정보를 쓰지 않는 홍보 작업도 목록에 넣어야 합니까?
사용 현황을 빠짐없이 정리하려면 목록에 포함하는 편이 적절합니다. 개인정보를 사용하지 않는다는 운영 설명을 기재하되, 그 사실만으로 새 규제 전체의 적용 여부를 결론 내리지는 않습니다. 해당 작업에 대한 직접 근거가 확보되면 그 범위에서 판단합니다.
새 기능을 추가하면 기존 검토 결과를 그대로 써도 됩니까?
새 기능이 기존 판단의 전제를 유지하는지부터 판단해야 합니다. 입력 정보나 결과의 사용 목적, 외부 처리 관계가 달라진다면 관련 자료를 갱신합니다. 달라진 부분과 영향받는 업무를 기록하면 전체 업무를 처음부터 다시 조사하는 일을 줄일 수 있습니다.
개인정보 절차를 정비하면 광고 게시도 승인됩니까?
개인정보 절차의 정비만으로 광고 게시 승인이 끝나지는 않습니다. 의료광고 규정의 해석과 광고 심의 대상 판단은 광고 관련 담당자에게 별도로 요청합니다. 마케팅 담당자는 개인정보 관련 결정과 광고 관련 판단을 서로 다른 승인 기록으로 관리합니다.