정부가 환자 의료정보를 활용하는 대규모 언어모델(LLM)의 국내 서버 운영을 원칙으로 하고, 해외 서버 기반 서비스 이용은 제한하는 방향으로 가이드라인 개정을 추진한다.

3일 보건복지부가 최근 공개한 ‘보건의료데이터 활용 가이드라인’ 6차 전부개정안에 따르면 보건의료 분야의 생성형 인공지능(AI) 활용 기준이 구체화됐다.

특히 이번 개정안은 챗GPT와 제미나이, 클로드 등을 사례로 들며 LLM 서비스를 운영 방식에 따라 4가지 유형으로 나누고, 유형별 의료데이터 활용 가능 여부를 새롭게 제시했다.

우선 의료인이 의료데이터를 연계해 LLM을 진단 보조 등에 사용하거나 연구자가 LLM을 활용해 연구하는 경우 서버가 국내에 있어야 한다는 원칙을 제시했다. 

LLM 서비스에 입력한 의료정보가 저장되거나 해당 서비스의 모델 학습에 사용되지 않도록 해야 한다는 기준도 명시했다.

이에 따라 해외 서버에서 운영되는 일반 구독형 챗GPT, 제미나이, 클로드 등은 의료데이터 활용이 불가능한 서비스로 분류됐다. 입력한 환자정보가 해외 서버에 저장되거나 AI 학습에 이용될 위험이 있다는 이유에서다.

반면 챗GPT와 제미나이, 클로드 기업용 상품 등 보안형 AI 서비스는 일정 조건을 충족하면 제한적으로 활용할 수 있도록 했다.

구체적으로는 입력한 의료정보가 저장되거나 AI 학습에 사용되지 않아야 하며, 서버도 국내에 있어야 한다. 개정안은 보안형 기업용 서비스라도 국내 서버를 갖춘 경우에만 제한적으로 허용토록 했다.

아마존웹서비스, 마이크로소프트 애저, 구글 클라우드 등을 활용한 폐쇄형 AI 서비스에도 국내 서버와 정보유출 및 학습 차단 조건이 적용된다. 의료기관이 국내에 자체 서버를 구축하거나 빌려 AI를 운영하는 방식은 허용 대상으로 분류했다.

결국 의료기관이 환자정보를 LLM 서비스에 입력해 활용하려면 제품뿐 아니라 실제 서버 위치와 의료정보 저장·학습 여부까지 확인해야 하는 셈이다.

가명 정보 위험도 따라 DRB 심의 차등화

이번 개정안은 LLM을 포함해 이미 개발된 AI를 진료에 활용할 때 적용되는 데이터 심의 기준도 구분했다.

이미 개발된 AI를 진단보조 등 업무에 사용할 때는 기관보건의료정보심의위원회(DRB) 심의를 받지 않아도 된다. 다만 의료정보를 가명처리해 연구에 활용하는 경우에는 별도 기준이 적용된다.

의료데이터 가명처리의 적정성을 검토하는 절차도 간소화하는 방안을 제시했다.

가명정보 처리 위험도가 낮은 경우에는 담당자 1명이 적정성을 검토하고 DRB 심의를 면제할 수 있다. 

중위험은 담당자와 심의위원 등 2명 이상이 참여하는 신속심의를, 고위험은 DRB가 5명으로 구성된 경우 최소 3명이 참여하는 정규심의를 적용할 수 있도록 했다.

작성 필수서류도 위험도에 따라 3종, 7종, 9종으로 구분했다. 기존 가명정보 활용과 유사하거나 반복되는 경우에는 변경 사항과 재식별 위험 증가 여부를 중심으로 검토할 수 있도록 했다.

이밖에 가명 처리한 의료데이터를 원격으로 분석할 수 있도록 연구환경과 보안 기준을 제시했다. 가명정보는 분석환경 밖으로 반출하지 못하고, 익명화된 통계 등 개인을 알아볼 수 없는 결과만 반출하도록 했다.

복지부는 3일까지 개정안에 대한 의견을 수렴하고, 이달 중 가이드라인을 개정할 계획이다.