네 영역의 평가는 개별 제품이 아니라 기업의 조직 구성과 관리 절차를 대상으로 이루어집니다. 레드팀과 AI 거버넌스 체계의 운영, 보안책임자 지정, SBOM 관리 등은 모두 사내에 해당 기능이 갖추어져 있고 실제로 운영되고 있는지를 확인하기 위한 항목이며, 인증심의위원회가 서면조사 뿐만 아니라 현지조사를 실시하는 것도 같은 맥락입니다. 또한 이러한 평가는 기업의 인증 취득 일정에 직접 영향을 미친다는 점에 유의할 필요가 있습니다. 규정 제25조제1항제1호는 우수 관리체계 인증을 받은 자가 독립형 디지털의료기기소프트웨어에 대한 허가 또는 인증을 받으려는 경우 우수 관리체계 인증서를 제출할 것을 요건으로 하고 있어, 허가를 신청하는 시점에 이미 인증을 받은 상태여야 합니다. 그런데 그러한 인증을 위한 평가가 조직의 운영 실태를 대상으로 이루어지기 때문에 인증을 신청하는 시점에는 해당 체계가 이미 가동되고 있어야 하고, 여기에 서면조사와 현지조사를 거치는 심의 기간이 더해집니다. 이는 특정 제품의 허가를 준비하면서 병행할 수 있는 절차가 아니라, 그에 앞서 선제적으로 준비해야 하는 별도의 과정입니다.
3. 기업이 점검해야 할 사항
(1) AI 적용 제품은 보건의료데이터 확보가 자료제출 의무면제 여부를 좌우합니다.
별표 3에 명시된 목적에 해당하고 임상적 유효성을 표방하지 않더라도, AI가 적용된 검사·진단·임상적 관리유도·기타 기능은 면제 대상에서 제외되고, 소프트웨어 검증 및 유효성 자료에 보건의료데이터 등을 활용한 성능 검증 결과가 포함되어야 첨부서류 중 일부를 제출한 것으로 간주됩니다. 따라서, 성능 검증에 사용할 보건의료데이터의 확보 가능성을 개발 초기단계에서 확인해야 합니다.
(2) 종전 기준을 전제로 준비하던 건은 재검토가 필요합니다.
개정 전 제25조제2항제1호마목은 「디지털의료제품 분류 및 등급 지정 등에 관한 규정」에 따라 2등급으로 분류되는 소프트웨어 기능에 대해, 독립형 디지털의료기기소프트웨어 검증 및 유효성에 관한 자료에 임상적 사용환경을 고려한 분석적 성능 검증 자료를 포함하는 경우 임상시험 등 평가에 관한 자료를 일부 제출한 것으로 보도록 했으나, 이 조항은 이번 개정으로 삭제되었습니다. 따라서, 종전 기준을 전제로 개발을 진행해 온 제품의 경우 개정 후 별표 3에 명시된 유형에 해당하는지 여부부터 다시 점검해야 합니다.
(3) 실사용평가 특례를 통해 받은 허가·인증은 잠정적입니다.
제품 정보와 실사용평가계획서만으로 허가·인증을 받는 경우, 허가증·인증서는 "추가심사결과 통지일까지"만 유효하고, 추가심사 결과 식약처장이 타당하다고 인정해야 허가증·인증서가 다시 발급되는 구조입니다. 따라서, 허가·인증의 존속이 추가심사 결과에 달려 있고, 결과보고서에는 개인정보 보호 준수 근거가 포함되어야 하므로, 특례를 신청하기 전에 의료기관과의 데이터 확보 계약과 개인정보 처리의 법적 근거를 정리해 둘 필요가 있습니다.
4. 관련 정책·입법 동향
4.1 「AI 기본의료 전략」
정부는 2026년 8월 6일 제12차 국가정책조정회의에서 범정부 「AI 기본의료 전략」을 확정했습니다. 전국 보건소·보건지소와 취약지 일차의료기관에 영상판독·진료기록 자동화·만성질환 관리를 지원하는 일차의료 AI 지원 패키지를 보급하고, 전국 책임의료기관 72개소를 연결하는 '공공의료 AI 고속도로'를 올해 하반기 9개소 시범 개통을 시작으로 2027년 30개소, 2029년 72개소로 확대하는 내용 등이 포함되어 있습니다. 또한, 국내 임상 데이터와 독자 모델에 기반한 '한국형 소버린 의료 AI'를 개발하고, AI 기반 최적 의료서비스에 대한 보상 체계와 의료 AI 윤리·보안 가이드라인도 마련할 방침입니다.
식약처의 이번 개정이 제출 자료의 기준과 특례의 적용 범위를 정비한 것이라면, 이 전략은 의료 AI가 사용되는 현장과 그 지원 체계를 다루고 있습니다. 개정 고시가 이미 시행 중인 것과 달리 보상 체계와 가이드라인 등은 아직 방침 단계이므로, 사업 계획에는 확정된 규제 요건과 향후 정해질 사항을 구분해서 반영할 필요가 있습니다.
4.2 「디지털 헬스케어 진흥 및 보건의료정보 활용 지원에 관한 법률안」
2026년 8월 26일 「디지털 헬스케어 진흥 및 보건의료정보 활용 지원에 관한 법률안」(의안번호 2220797)이 발의되었습니다. 기업 입장에서 눈여겨볼 사항은 다음 세 가지입니다. 보건복지부 소관의 제정법안으로, 디지털 헬스케어 서비스와 제품의 개념을 정립하고 보건복지부장관이 3년마다 기본계획을 수립하도록 합니다. 이 법안이 말하는 디지털 헬스케어 제품에는 「디지털의료제품법」에 따른 디지털의료제품이 포함되므로, 이번 개정 고시의 적용을 받는 제품도 그 대상이 됩니다. 실무상 눈여겨볼 부분은 다음 세 가지입니다.
▪ 보건의료정보의 가명처리 — 가명처리의 법적 근거를 두고, 기관 보건의료정보 심의위원회의 설치·심의를 의무화하며, 가명처리를 통한 인간대상연구에 대해서는 서면동의와 심의를 면제할 수 있도록 합니다.
▪ 전송요구권 — 보건의료정보주체가 개인보건의료정보처리자에게 본인의 정보를 본인 또는 개인보건의료정보 관리전문기관으로 전송해 줄 것을 요구할 수 있도록 하고, 전송대상에 디지털의료제품을 통해 생성·수집된 정보를 포함합니다.
▪ 시범사업과 규제특례 — 신규 디지털 헬스케어 서비스 등에 대한 시범사업, 신속처리, 허가등의 일괄처리, 임시허가, 그리고 실증을 위한 규제특례를 신설합니다. 임시허가와 실증특례의 유효기간은 각각 2년 이하의 범위에서 대통령령으로 정하고 1회 연장할 수 있습니다.
5. 시사점
이번 개정으로 달라진 점은 세 가지로 정리됩니다. 심사 대상이 개별 제품에서 기업의 관리 역량으로 넓어졌고, 종전에는 허가 전에 유효성 확인이 이루어졌으나 개정을 통해 잠정적 허가와 추가심사를 거치는 절차로 바뀌었으며, 일부 유형에 대해서는 시험을 새로 실시하는 대신 축적된 보건의료데이터로 성능을 검증하는 방식이 가능하게 되었습니다.
기업 입장에서는 대응의 단위가 달라졌다는 것을 뜻합니다. 종전에는 제품별로 자료를 준비하는 것이 중심이 되었으나, 이제는 보건의료데이터를 확보하고 이를 처리할 수 있는 조직 체계를 갖추는 것이 중요해졌습니다. 성능 검증에 사용할 데이터를 조달하는 일이나 우수 관리체계 인증이 요구하는 조직과 절차를 갖추는 일은 특정 제품에 한정되지 않으므로, 전사적인 점검과 준비가 필요합니다.
디지털의료제품법이 시행 2년차에 접어들면서 규제는 제도 설계에서 운용 단계로 넘어가고 있습니다. 이번 개정이 축적된 심사 사례에 대한 분석을 토대로 이루어진 것처럼, 앞으로의 기준도 실무가 쌓이는 순서대로 구체화될 것으로 보입니다. 다만 보건의료데이터를 확보하고 인증에 필요한 조직 체계를 구축하는 것은 단기간에 달성할 수 있는 것이 아닌 만큼, 각각에 소요되는 기간을 제품 개발 로드맵 설계 단계에서부터 반영해 선제적으로 준비할 필요가 있습니다. | 
