업체의 사업 지속성과 도구의 안전성
AI 도구 공급 업체의 안정성은 개인정보 처리방침의 구체성과 실제 사용 환경의 안전성 평가 자료를 확인해 판단합니다. 이 자료를 업체의 재무 건전성이나 서비스 지속성의 증명으로 해석하지 않으며, 근거가 없는 부분은 판단을 유보해야 합니다.
병원이 먼저 정할 것은 업체에 대한 종합 평가가 아니라 자료별로 답할 수 있는 질문입니다. 개인정보 처리 설명은 어떤 정보를 어떤 목적으로 처리하는지 판단하는 근거이고, 안전성 평가 결과는 특정 조건에서 도구가 어떻게 동작했는지 판단하는 근거입니다. 서로 다른 자료의 결론을 합쳐 업체 전체가 안정적이라고 기재하면 평가 범위를 벗어납니다.
| 확인 영역 | 확인할 문서·평가 자료 | 그 자료로 알 수 없는 것 |
|---|---|---|
| 개인정보 처리 설명 | 처리방침 본문의 수집 항목·목적·보유기간·제공 및 위탁 설명 | 실제 시스템이 설명대로 동작하는지 여부 |
| 실제 환경의 안전성 | 평가 대상·환경·방법·결과가 기재된 문서 | 시험하지 않은 조건에서의 안전성 |
| 사업 지속성 | 업체가 별도로 제출한 재무·서비스 운영 관련 자료 | 장래의 재무 건전성과 서비스 지속 보장 |
담당자는 자료를 받았는지 여부와 그 자료로 판단할 수 있는 범위를 따로 기록합니다. 업체가 여러 문서를 제출해도 병원의 이용 조건과 연결되지 않는 문서는 결론의 근거에서 제외합니다. 문서가 많다는 이유로 미확인 항목을 줄이지 않습니다.
처리방침 요약과 본문의 구체성
개인정보보호위원회의 「개인정보 처리방침 작성지침」은 주요 개인정보 처리 표시를 중요 사항의 요약으로 설명하며, 자세한 내용은 처리방침 본문에서 확인하도록 안내합니다. 수집 항목이나 보유기간이 다양하면 요약 표시에 대표 항목만 담길 수 있습니다. 병원 담당자는 아이콘이나 간단한 설명만 읽고 해당 도구의 처리 조건을 확정하지 않습니다.
본문에서는 수집하는 개인정보의 항목과 목적, 보유기간, 제3자 제공 및 위탁사항, 고충처리부서 또는 개인정보 담당 부서의 설명을 찾습니다. 이어서 각 설명이 병원이 이용하려는 서비스에 적용되는지 대조합니다. 여러 서비스를 함께 설명한 문서라면 해당 도구에 적용되는 부분을 업체에 명시해 달라고 요청합니다.
구체성은 문서 길이보다 필요한 질문에 답할 수 있는지로 판단합니다. 보유기간이 항목마다 다른데 대표 기간만 기재되어 있거나 처리 목적의 표현이 넓어 예정 업무와 연결하기 어렵다면 추가 설명이 필요합니다. 담당자는 모호한 문구와 그 문구 때문에 결정하지 못한 사항을 함께 기재합니다.
문서에서 평가 자료로 이어지는 확인 순서
실무 담당자는 처리방침 본문을 먼저 읽고, 실제 환경의 안전성 평가 자료를 받은 뒤, 사업 지속성의 미확인 항목을 정리합니다. 준비 자료에는 이용하려는 도구명, 예정 업무, 입력할 자료의 유형, 연결할 시스템의 범위를 포함합니다. 환자 정보나 병원의 실제 업무 자료를 첨부하지 않고도 요청 내용을 설명할 수 있도록 작성합니다.
- 처리방침 본문을 확보하고 병원 이용에 적용되는 설명과 답이 없는 항목을 기록합니다.
- 업체에 안전성 평가 문서를 요청하고 평가 대상과 병원의 예정 사용 환경을 대조합니다.
- 재무·서비스 운영 관련 자료를 별도로 요청하고 답변이 없는 사항은 판단 유보로 남깁니다.
업체에 보내는 질문은 자료의 존재 여부만 묻지 않고 답변의 근거까지 요구합니다. 전화나 상담에서 설명을 들었다면 해당 설명이 담긴 문서나 서면 답변을 요청합니다. 담당자는 답변 문구를 그대로 결론으로 옮기지 않고, 근거가 어느 질문까지 답하는지 기재합니다.
| 업체에 물을 항목 | 받은 답변과 근거 | 미확인 사항 |
|---|---|---|
| 해당 도구에 적용되는 개인정보 처리 조건 | 처리방침의 해당 부분과 추가 서면 설명 | 적용 서비스나 처리 항목이 불명확한 부분 |
| 실제 동작 환경에서 수행한 안전성 평가 | 평가 대상·환경·방법·결과 문서 | 병원의 이용 조건과 다른 부분 |
| 외부 모델에 직접 접근하기 어려울 때의 평가 방식 | 입력 질문과 산출물 평가 또는 업체 평가 방식 설명 | 평가하지 못한 위험과 제한 조건 |
| 재무 상태와 서비스 운영을 설명할 자료 | 업체가 제출한 관련 자료와 설명 | 자료가 없거나 설명 범위를 벗어난 사항 |
외부 모델의 대체 평가 준비
개인정보보호위원회의 「생성형 인공지능 개발·활용을 위한 개인정보 처리 안내서」는 외부 모델 등에 직접 접근하기 어려울 때 대체 검사 방법을 고려할 수 있다고 설명합니다. 모델에 질문을 입력해 산출물을 평가하거나, 공급 업체에 평가데이터를 전달하는 방식이 포함됩니다. 병원은 직접 분석할 수 없다는 이유만으로 평가 자료 요청을 생략하지 않습니다.
담당자는 예정 업무에서 도구에 요구할 동작과 허용하기 어려운 응답을 문장으로 정리합니다. 평가용 입력은 공개된 정보나 개인을 식별할 수 없는 시험 문구로 준비하고, 무엇을 평가하려는지 함께 설명합니다. 업체가 시험을 수행한다면 입력 조건과 결과를 병원이 어떤 형태로 받을 수 있는지 사전에 합의합니다.
평가 문서의 적용 범위와 누락 항목
안전성 평가 문서가 있어도 병원의 예정 사용 환경에 적용할 수 있는지는 별도로 판단해야 합니다. 안내서는 실제 동작 환경에서 정확도, 안전조치 우회 시도에 대한 저항성, 학습데이터 유출·노출 가능성 등 프라이버시 위험을 점검하고 결과를 문서로 관리하도록 설명합니다. 병원 담당자는 평가 문서에 이 항목들이 어떤 방식으로 다뤄졌는지 읽고, 빠진 항목을 기록합니다.
평가 대상이 외부 모델 자체인지, 병원이 사용할 연결 시스템까지 포함하는지도 가려야 합니다. 병원에서 추가하는 입력 방식이나 연결 조건이 평가 환경에 없다면 그 차이를 업체에 전달하고 추가 평가가 필요한지 질문합니다. 원래 평가 결과를 변경된 환경 전체에 적용하지 않습니다.
결과 문서에는 시험한 조건뿐 아니라 시험하지 못한 조건도 남겨야 합니다. 업체가 문제가 발생하지 않았다고 답해도 평가 방법과 대상 범위가 없다면 병원의 판단 근거로 충분하지 않습니다. 실무 담당자는 누락 내용을 보완 요청 목록으로 만들고, 답변을 받은 항목만 기록을 갱신합니다.
사업 지속성 자료의 요청과 판단 유보
재무 상태와 서비스 운영에 관한 자료 요청은 병원이 추가로 수행할 실무 절차입니다. 처리방침과 안전성 평가 자료를 받았다는 사실만으로 이 요청을 생략하지 않습니다. 원장이나 실장은 업체가 설명할 수 있는 재무 현황과 서비스 운영 계획의 자료 범위를 질문하고, 제출 가능한 근거를 요청합니다.
관련 자료를 받더라도 병원 담당자가 업체의 재무 건전성을 확정하거나 서비스 지속을 보장하는 결론을 내리지 않습니다. 제출 시점과 설명 대상이 병원이 계약하려는 업체에 해당하는지 기재하고, 답변을 받지 못한 부분은 남겨 둡니다. 결정을 내려야 한다면 미확인 상태에서 감당하기 어려운 업무 의존이 생기는지 따로 판단합니다.
서비스 브랜드와 자료 발행 주체의 차이
익숙한 서비스 이름이 기재되어 있어도 자료를 발행한 주체가 병원에 도구를 공급하는 업체와 같은지는 확인해야 합니다. 외부 모델 개발사의 평가 문서를 공급 업체가 전달한 경우, 그 문서는 개발사가 평가한 대상에 관한 근거로 읽습니다. 공급 업체가 추가한 구성까지 평가했다는 뜻으로 확대하지 않습니다.
담당자는 서비스 이름, 공급 업체명, 자료 발행 주체를 각각 기재합니다. 이름이 다르면 업체에 각 주체가 맡는 기능과 해당 문서의 적용 대상을 설명해 달라고 요청합니다. 관계가 명확해지기 전에는 유명한 브랜드의 문서를 공급 업체 전체의 안정성 근거로 사용하지 않습니다.
자주 묻는 질문
안전성 평가 문서가 외국어로 되어 있으면 어떻게 읽어야 하나요?
번역본을 활용하되 평가 대상과 제한 조건의 표현은 원문과 대조합니다. 의미가 불명확한 용어는 업체에 설명을 요청하고, 번역 과정에서 해석이 갈린 부분을 기록합니다. 요약 번역만으로 평가 결과의 적용 범위를 확정하지 않습니다.
업체가 비공개 자료의 열람만 허용하면 어떻게 기록하나요?
열람 전에 병원이 기록할 수 있는 항목과 내부 공유 범위를 업체에 묻습니다. 허용된 범위에서 문서명, 열람 시점, 판단에 사용한 내용을 남깁니다. 자료를 보관할 수 없다면 이후 판단 근거를 다시 열람할 수 있는 방법도 요청합니다.
업체 담당자의 답변이 서로 다르면 무엇을 요청해야 하나요?
서로 다른 답변의 문구와 질문 내용을 함께 보내 통일된 서면 설명을 요청합니다. 담당자의 직함이나 응답 속도만으로 어느 답변이 맞는지 결정하지 않습니다. 업체가 답변을 정정하면 정정된 내용과 그 근거를 함께 보관합니다.
유통 업체를 통해 구매하면 누구에게 자료를 요청하나요?
구매 창구에 자료 요청을 전달하고 실제 공급 업체의 설명을 받을 수 있는 담당자를 요청합니다. 유통 업체가 답하는 내용과 공급 업체가 발행한 문서를 따로 기록합니다. 판매 설명만으로 기술적 평가 질문까지 답이 끝났다고 처리하지 않습니다.
병원 내부에서 제출 자료를 공유할 때 무엇을 주의해야 하나요?
자료를 받은 목적과 이용 조건에 맞게 공유 범위를 정합니다. 내부 전달본에는 업체의 답변과 병원의 해석을 별도 항목으로 표시합니다. 해석이 확정되지 않은 문구에는 미확정 표시를 남겨 다른 담당자가 업체의 공식 답변으로 오인하지 않도록 합니다.