사전 위험 점검과 법정 평가의 차이
AI 도구 도입 전에는 개인정보 위험을 미리 점검해야 합니다. 이를 모든 병원의 법정 개인정보 영향평가 의무로 단정하지 말고, 공공기관의 의무 대상 확인과 AI 활용에 따른 위험요인·개선조치 검토를 구분해야 합니다. 원장과 실장은 예정된 업무에서 어떤 개인정보를 처리하는지 먼저 정리하고, 개인정보 담당자에게 의무 대상 판단에 필요한 조건을 전달합니다.
생성형 인공지능 개발·활용을 위한 개인정보 처리 안내서는 개인정보 영향평가를 개인정보 보호 원칙을 AI 제품과 서비스에 반영하는 실천 수단으로 설명합니다. 공공기관에는 요건에 따른 의무가 있으며, 민간 부문도 개인정보 침해가 우려되면 영향평가를 위해 적극 노력해야 한다고 안내합니다. 민감한 개인정보를 처리하거나 정보주체의 권리에 중대한 영향을 줄 수 있는 AI 시스템에는 영향평가 실시를 권장합니다.
기관 조건과 개인정보파일 조건
개인정보보호위원회의 개인정보 처리방침 작성지침은 공공기관이 구축·운용·연계·변경하려는 개인정보파일을 의무 대상 판단의 출발점으로 설명합니다. 민감정보·고유식별정보 처리 여부, 다른 파일과의 연계, 파일 규모, 평가 이후 운용 체계 변경에 따라 대상 조건이 달라집니다. 병원 담당자는 기관의 성격과 예정된 파일 처리를 정리한 뒤 해당 기준을 원문과 대조해야 합니다.
| 구분 | 안내서가 설명하는 대상과 쓰임 | 병원이 확인할 사항 |
|---|---|---|
| 공공기관의 의무 대상 | 정해진 조건에 해당하는 개인정보파일의 위험 분석과 개선사항 도출 | 기관 성격과 파일의 구축·운용·연계·변경 내용 |
| 민간 부문의 평가 노력 | 개인정보 침해 우려가 있을 때 영향평가를 위한 적극적 노력 | 예정된 처리에서 침해 우려가 생기는 이유 |
| AI 시스템의 평가 권장 | 대규모·민감한 처리 또는 권리에 중대한 영향을 주는 시스템의 평가 | 정보의 성격과 AI 결과가 사람에게 미치는 영향 |
| 도입 전 실무 위험 점검 | 영향평가의 위험 분석과 개선 취지를 업무 설계에 적용 | 위험을 줄일 조치와 아직 해결하지 못한 사항 |
표의 마지막 항목은 병원이 도입 판단을 준비하는 실무 절차이며, 공식 평가를 수행했다는 뜻으로 사용하지 않습니다. 내부 문서에도 사전 위험 점검인지 공식 개인정보 영향평가인지 명칭을 분명히 기재합니다. 기관 성격이나 파일 조건이 불명확하면 해당 사실부터 추가로 조사하고 의무 여부 결론을 유보합니다.
업무 설계 단계에서의 논의
안내서는 새로운 개인정보 처리가 시작되기 전에 가능한 이른 시점부터 관련 부서가 보호조치를 논의하도록 설명합니다. 병원에서는 도구 구매 여부만 결정하기보다 입력 자료, 연결 업무, 결과 사용처를 정하는 단계에서 개인정보 담당자를 참여시키는 방식으로 적용할 수 있습니다. 자료 전달 방식이 정해지기 전에 논의하면 불필요한 개인정보 처리를 줄이는 대안도 도입 조건에 포함할 수 있습니다.
활용 계획부터 개선조치까지의 순서
실장은 도입 요청을 취합하고, 업무 담당자는 AI가 맡을 작업과 사용할 자료를 설명하는 문서를 준비합니다. 개인정보 담당자는 처리 흐름과 공식 영향평가 대상 조건을 검토하고, 기술 담당자는 제안된 보호조치를 구현할 수 있는지 답합니다. 한 사람이 여러 업무를 맡더라도 각 단계에서 어떤 역할로 판단했는지 기록합니다.
- 업무 담당자가 활용 목적, 입력 정보, 외부 전달 여부, 결과를 사용할 업무를 기재합니다. 자료가 어디에서 들어와 누구에게 전달되는지 처리 흐름도 함께 작성합니다.
- 개인정보 담당자가 기관 성격과 개인정보파일의 예정된 처리 내용을 대상 기준과 대조합니다. 의무 여부를 판단할 자료가 부족하면 부족한 항목과 추가 조사 담당자를 명시합니다.
- 업무 담당자와 기술 담당자가 예상 위험별 개선조치를 제안합니다. 개인정보 담당자는 조치의 이행 근거와 남은 위험을 정리해 도입 결정권자에게 전달합니다.
준비 자료에는 업무 설명서, 사용할 정보의 항목 목록, 자료 이동 경로, 권한 계획을 포함합니다. 공급자의 설명을 활용할 때는 어느 문서의 어떤 조건을 근거로 삼았는지 함께 기재합니다. 예정 사항과 실제로 시험한 사항을 따로 표시해야 결정권자가 준비 수준을 오해하지 않습니다.
예상 위험과 개선조치의 기록
다음 표는 병원이 도입 전 논의를 기록하기 위한 구성안입니다. 위험을 적은 뒤 조치 이름만 나열하지 말고, 담당자가 이행 여부를 판단할 근거와 미해결 사항을 같은 행에 기재합니다. 아래 항목은 업무 설계를 위한 예시이며 도구별 전체 점검 목록이나 플랫폼의 공통 기능을 뜻하지 않습니다.
| 도입 전 예상 위험 | 검토할 개선조치 | 조치 확인 결과와 미해결 사항 |
|---|---|---|
| 작업에 필요 없는 환자 정보까지 입력 | 입력 항목 축소와 개인정보 없는 자료 사용 가능성 검토 | 제외한 항목과 작업상 여전히 필요한 정보 기재 |
| 의도하지 않은 경로로 자료 전달 | 전달 경로 제한과 외부 전송 조건 정리 | 확인한 이동 경로와 설명이 부족한 경로 기재 |
| 업무와 무관한 직원의 자료 접근 | 역할에 따른 접근 범위 설정 | 설정 근거와 제한을 시험하지 못한 접근 기재 |
| 개인정보가 포함된 결과의 과도한 공유 | 결과 수신자 제한과 공유 전 검토 절차 마련 | 수신 범위와 통제하기 어려운 공유 방식 기재 |
개선조치는 병원이 수행할 작업과 공급자에게 설명을 요청할 항목으로 나누어 관리합니다. 내부에서 해결할 수 없는 조건은 완료로 처리하지 않고 답변을 기다리는 상태로 남깁니다. 담당자는 그 조건이 해결되지 않았을 때 허용할 수 없는 업무 범위도 함께 제시합니다.
미해결 위험을 반영한 도입 판단
사전 점검 결과는 도입 가능 여부만 표시하는 문서보다 허용 범위와 보류 사유를 설명하는 문서로 작성합니다. 개인정보 담당자가 남은 위험을 제출하면 결정권자는 그 위험이 예정된 개인정보 처리에 직접 영향을 주는지 판단합니다. 필요한 통제를 구현하지 못했거나 자료 이동 경로를 설명할 수 없다면 해당 처리가 포함된 도입을 보류하는 방안을 검토합니다.
다른 업무까지 모두 같은 결론으로 처리할 필요는 없습니다. 개인정보를 사용하지 않는 작업으로 목적을 충족할 수 있다면 업무 담당자가 별도의 활용 계획을 제출하고, 결정권자가 그 범위에 한정한 사용 여부를 결정할 수 있습니다. 이때 보류한 업무와 허용한 업무의 입력 조건을 문서에 명시해 현장에서 범위가 확대되지 않도록 합니다.
결정 근거와 조치 증거의 연결
생성형 인공지능 개발·활용을 위한 개인정보 처리 안내서는 개인정보 보호책임자 중심의 관리체계와 위험 경감 조치, 관련 절차·결과의 체계적인 문서화를 설명합니다. 병원은 이를 도입 단계에 적용해 업무 요청, 위험 분석, 조치 증거, 최종 판단을 연결한 기록을 만들 수 있습니다. 결정문에는 누가 어떤 자료를 근거로 어느 업무를 허용하거나 보류했는지 기재합니다.
조치를 계획했다는 사실과 조치가 작동한다는 근거는 서로 다릅니다. 기술 담당자는 설정 내역이나 개인정보 없는 시험 자료로 수행한 결과를 제출하고, 개인정보 담당자는 그 근거가 해소하려는 위험에 대응하는지 평가합니다. 아직 시행하지 않은 조치는 예정으로 표시하고, 이를 전제로 한 판단에는 시행 완료 후 도입한다는 조건을 명시합니다.
기록에는 원본 환자 자료를 불필요하게 포함하지 않습니다. 위험 설명에 실제 개인정보가 없어도 된다면 정보 항목과 처리 방식만으로 근거를 작성합니다. 증거 자료에 개인정보가 포함되어야 하는 상황은 별도 취급 조건을 정한 뒤 문서 접근 범위를 제한합니다.
점검을 위한 자료 요청의 제한
사전 점검을 이유로 공급자나 협력업체에 환자 자료부터 전달하지 않습니다. 담당자는 먼저 업무 설명과 정보 항목만으로 처리 조건에 관한 답변을 받을 수 있는지 판단합니다. 기능 시험이 필요하면 개인정보 없는 자료로 시험 목적을 충족할 수 있는지 기술 담당자에게 요청합니다.
일정이 촉박하다는 이유로 자료 전달을 준비 단계의 예외로 취급해서는 안 됩니다. 시험에 사용할 자료도 예정된 처리 흐름에 포함하고, 전달 필요성이 설명되지 않으면 시험 방식을 변경하거나 진행을 보류합니다. 준비 과정에서 새롭게 발생하는 처리도 도입 판단 자료에 포함해야 합니다.
자주 묻는 질문
민간 병원은 자체 위험 점검만 하면 충분한가요?
자체 점검을 했다는 이유만으로 필요한 평가 노력을 모두 이행했다고 단정할 수 없습니다. 처리의 민감성이나 권리에 미치는 영향 때문에 더 깊은 평가가 필요할 수 있으므로, 담당자는 자체 점검이 다루지 못한 범위를 결정권자에게 설명합니다.
공식 평가의 대상 기준을 내부 문서에 모두 옮겨야 하나요?
기준 전체를 복사하기보다 판단에 적용한 조건과 참조 문서를 기재하는 방식이 실무에 적합합니다. 규모 조건처럼 판단에 직접 필요한 내용은 원문과 대조해 기록하고, 해석이 불명확한 부분은 결론과 분리해 추가 검토 항목으로 남깁니다.
공급자의 보안 인증이 있으면 위험 분석을 생략해도 되나요?
인증 유무만으로 병원이 계획한 개인정보 처리의 위험을 설명할 수는 없습니다. 담당자는 인증이 다루는 범위와 병원의 사용 방식 사이에 빠진 조건이 있는지 대조하고, 인증으로 설명되지 않는 항목에 대한 근거를 요청합니다.
기존 전산시스템 평가 결과를 AI 도입에 사용할 수 있나요?
기존 평가 자료는 현재 계획과 관련된 내용을 검토하는 참고 자료로 활용할 수 있습니다. 새 활용에서 입력 정보나 전달 경로가 달라진다면 해당 내용을 추가로 분석해야 하며, 기존 평가가 새 도입까지 포괄한다고 단정해서는 안 됩니다.
사전 점검 결과를 개인정보 처리방침에 반드시 공개해야 하나요?
개인정보 처리방침 작성지침은 영향평가 수행 결과의 기재를 선택 사항으로 설명하면서 포함을 권장합니다. 내부 사전 점검 결과를 공식 영향평가 수행 결과와 같은 명칭으로 게시하지 않으며, 공개 내용을 정할 때에는 실제 수행한 평가의 성격과 공개 범위를 별도로 검토합니다.