이번 개정을 통해 제품 심사의 예측 가능성이 높아진 동시에 심사의 초점이 제품에서 기업의 관리 역량으로 옮겨간 만큼, 기업 역시 성능검증에 사용할 보건의료데이터의 확보와 조직 차원의 거버넌스 구축의 양 측면에서 대응해야 할 필요가 있습니다. 이번 TLI는 개정 내용과 구체적으로 기업이 검토해야 할 사항을 짚어보고 관련 입법 동향도 함께 살펴봅니다.
1. 개정의 배경과 개정 전후
1.1 기존 구조
「디지털의료제품법」이 시행됨에 따라(2025. 1. 24.) 디지털의료기기의 제조허가 또는 제조인증을 받으려는 경우 원칙적으로 임상시험 자료 등을 제출해야 하고, 고시가 정하는 예외 사유에 해당할 경우 관련 자료를 제출하지 않아도 되거나 그 일부를 제출한 것으로 간주되었습니다. 예외 사유에는 사용목적이 '정보 제공 또는 관리' 등의 분야로서 임상적 유효성을 표방하지 않고, 식약처장이 인정하는 경우가 포함되었습니다. 문제는 어떤 제품이 예외에 해당하는지에 대한 문언이 포괄적이고 식약처장의 인정이라는 재량 요건이 있어, 기업으로서는 개발 초기에 임상시험의 필요 여부를 예측하는 데 어려움이 있었고, 이는 개발 일정과 자금 계획 전반의 불확실성으로 이어졌습니다.
1.2 개정 전후 비교
개정 전후의 예외 관련 규정 및 특례의 적용 범위를 비교하면 아래와 같습니다.
| 구분 | 개정 전 | 개정 후 |
| 예외의 근거 | 제25조제2항제1호라목 – 사용목적이 '정보제공 또는 관리 등의 분야'로서 임상적 유효성을 표방하지 않고, 그 근거를 제출하여 식약처장이 인정하는 경우 | ① 제25조제1항제4호 — 사용목적이 별표 3에 해당하고 임상적 유효성을 표방하지 않는 경우 ② 제25조제2항제1호라목 — ①에 해당하더라도 AI가 적용된 검사·진단·임상적 관리유도·기타 유형인 경우로서, 검증 및 유효성 자료에 보건의료데이터 등을 활용한 성능 검증 결과를 포함하는 경우 |
| 예외의 효과 | 임상시험 등 평가에 관한 자료를 일부 제출한 것으로 간주 | ① 임상시험 등 평가에 관한 자료를 제출하지 않을 수 있음 ② 종전과 같이 임상시험 등 평가에 관한 자료를 일부 제출한 것으로 간주 |
1.3 허가 등의 대상 여부 확인하기
시행규칙 제11조는 제조업허가와 제조허가·인증·신고 자체가 필요 없는 경우를 규정하고 있습니다. 특히 제6호는 의료인의 업무를 지원하는 독립형 디지털의료기기소프트웨어 중 ① 전자의무기록의 작성·관리·보존, ② 임상검사실 검사 또는 의료기기 관련 데이터(의료영상 제외)의 전송·저장·형식 변환·표시, ③ 임상적·학술적으로 검증된 보건의료정보를 식약처장이 고시하는 방법에 따라 수집·처리·분석 목적으로 사용하는 것을 명시하고 있습니다. 따라서, 정보 제공·관리 성격의 제품의 경우 별표 3의 유형을 검토하기 전에 이 조항의 해당 여부를 먼저 확인하실 필요가 있습니다. 다만 시행규칙 제30조제1항제2호에 따라, 제11조제6호에 해당하는 기기를 제조업허가 등이 제외된 범위에서 사용하는 경우를 실사용 평가의 대상에 포함하고 있으므로 이에 해당하는지 여부도 함께 확인해야 합니다.
2. 우수관리체계 특례 확대와 8월 가이드라인
2.1 인증받은 기업에 대한 특례
우수 관리체계 인증을 받은 기업에 대한 특례는 두 조항에 나뉘어 규정되어 있습니다. 각각 면제 대상이 다르므로 구분해서 살펴볼 필요가 있습니다.
1) 첨부서류 면제(제25조제1항제1호): 우수 관리체계 인증서를 제출할 경우 소프트웨어 검증 및 유효성, 전자적 침해행위 보호 조치, 사용적합성에 관한 자료를 제출하지 않아도 됩니다. 임상시험 등 평가에 관한 자료는 여기에 포함되지 않습니다. 종전에는 2등급 독립형 디지털의료기기소프트웨어의 인증만 해당되었으나, 이번 개정을 통해 등급 미지정 제품이 포함되었고, 2등급 제품의 경우에도 인증뿐만 아니라 허가까지 그 대상이 넓어졌습니다.
2) 실사용평가를 통한 유효성 입증(제28조): 임상시험 등 평가에 관한 자료를 제품 정보, 실사용평가계획서, 실사용평가결과보고서로 갈음할 수 있습니다. 또한 실사용평가결과보고서의 제출 기한이 허가·인증 후 1년이 되는 날부터 30일 이내에서, 허가·인증 후 3년 이하의 범위에서 실사용평가가 종료되는 날부터 30일 이내로 연장되었습니다.
2.2 2026년 8월 12일, 우수 관리체계 인증 가이드라인 발간
7월 고시 개정 당시 식약처는 이 인증에 관한 세부 가이드라인을 마련하겠다고 밝혔고, 2026년 8월 12일 「디지털의료기기 우수 관리체계 인증 가이드라인」이 발간되었습니다. 가이드라인은 법령이 아닌 안내서이므로 그 자체로 새로운 의무를 만들지는 않지만, 인증의 평가항목과 신청·심의 절차를 구체화하고 있어, 특례 활용을 검토하는 기업에게는 실무상 실질적인 기준이 됩니다.
인증은 내·외부 전문가로 구성된 인증심의위원회가 서면조사와 현지조사를 거쳐 적합하다고 판단한 경우에만 부여되며, 평가는 다음 네 개 영역으로 나누어 이루어집니다.
| 영역 | 평가 대상 |
| AI 제어조치 | 시스템 취약점을 확인하기 위해 의도적으로 적대적 공격을 수행하는 독립적인 평가체계(레드팀) 및 임상전문가를 기반으로 한 AI 거버넌스 체계의 운영 |
| 안전관리 | AI 디지털의료기기의 사용목적, 입력데이터 요건, 주의·금기사항, 성능지표, 한계점 등 AI의 설명가능성 관련 정보의 제공 |
| 전자적 침해행위 예방 및 대응 | 보안책임자 지정, 소프트웨어 구성요소 명세서(SBOM)에 기반한 보안 취약점 식별·분석·대응 |
| 품질관리 | 품질관리체계의 수립 및 이행, 프로젝트/조직 단위의 성과 관리체계의 수립 및 이행 |
네 영역의 평가는 개별 제품이 아니라 기업의 조직 구성과 관리 절차를 대상으로 이루어집니다. 레드팀과 AI 거버넌스 체계의 운영, 보안책임자 지정, SBOM 관리 등은 모두 사내에 해당 기능이 갖추어져 있고 실제로 운영되고 있는지를 확인하기 위한 항목이며, 인증심의위원회가 서면조사 뿐만 아니라 현지조사를 실시하는 것도 같은 맥락입니다. 또한 이러한 평가는 기업의 인증 취득 일정에 직접 영향을 미친다는 점에 유의할 필요가 있습니다. 규정 제25조제1항제1호는 우수 관리체계 인증을 받은 자가 독립형 디지털의료기기소프트웨어에 대한 허가 또는 인증을 받으려는 경우 우수 관리체계 인증서를 제출할 것을 요건으로 하고 있어, 허가를 신청하는 시점에 이미 인증을 받은 상태여야 합니다. 그런데 그러한 인증을 위한 평가가 조직의 운영 실태를 대상으로 이루어지기 때문에 인증을 신청하는 시점에는 해당 체계가 이미 가동되고 있어야 하고, 여기에 서면조사와 현지조사를 거치는 심의 기간이 더해집니다. 이는 특정 제품의 허가를 준비하면서 병행할 수 있는 절차가 아니라, 그에 앞서 선제적으로 준비해야 하는 별도의 과정입니다.
3. 기업이 점검해야 할 사항
(1) AI 적용 제품은 보건의료데이터 확보가 자료제출 의무면제 여부를 좌우합니다. 별표 3에 명시된 목적에 해당하고 임상적 유효성을 표방하지 않더라도, AI가 적용된 검사·진단·임상적 관리유도·기타 기능은 면제 대상에서 제외되고, 소프트웨어 검증 및 유효성 자료에 보건의료데이터 등을 활용한 성능 검증 결과가 포함되어야 첨부서류 중 일부를 제출한 것으로 간주됩니다. 따라서, 성능 검증에 사용할 보건의료데이터의 확보 가능성을 개발 초기단계에서 확인해야 합니다.
(2) 종전 기준을 전제로 준비하던 건은 재검토가 필요합니다. 개정 전 제25조제2항제1호마목은 「디지털의료제품 분류 및 등급 지정 등에 관한 규정」에 따라 2등급으로 분류되는 소프트웨어 기능에 대해, 독립형 디지털의료기기소프트웨어 검증 및 유효성에 관한 자료에 임상적 사용환경을 고려한 분석적 성능 검증 자료를 포함하는 경우 임상시험 등 평가에 관한 자료를 일부 제출한 것으로 보도록 했으나, 이 조항은 이번 개정으로 삭제되었습니다. 따라서, 종전 기준을 전제로 개발을 진행해 온 제품의 경우 개정 후 별표 3에 명시된 유형에 해당하는지 여부부터 다시 점검해야 합니다.
(3) 실사용평가 특례를 통해 받은 허가·인증은 잠정적입니다. 제품 정보와 실사용평가계획서만으로 허가·인증을 받는 경우, 허가증·인증서는 "추가심사결과 통지일까지"만 유효하고, 추가심사 결과 식약처장이 타당하다고 인정해야 허가증·인증서가 다시 발급되는 구조입니다. 따라서, 허가·인증의 존속이 추가심사 결과에 달려 있고, 결과보고서에는 개인정보 보호 준수 근거가 포함되어야 하므로, 특례를 신청하기 전에 의료기관과의 데이터 확보 계약과 개인정보 처리의 법적 근거를 정리해 둘 필요가 있습니다.
4. 관련 정책·입법 동향
4.1 「AI 기본의료 전략」
정부는 2026년 8월 6일 제12차 국가정책조정회의에서 범정부 「AI 기본의료 전략」을 확정했습니다. 전국 보건소·보건지소와 취약지 일차의료기관에 영상판독·진료기록 자동화·만성질환 관리를 지원하는 일차의료 AI 지원 패키지를 보급하고, 전국 책임의료기관 72개소를 연결하는 '공공의료 AI 고속도로'를 올해 하반기 9개소 시범 개통을 시작으로 2027년 30개소, 2029년 72개소로 확대하는 내용 등이 포함되어 있습니다. 또한, 국내 임상 데이터와 독자 모델에 기반한 '한국형 소버린 의료 AI'를 개발하고, AI 기반 최적 의료서비스에 대한 보상 체계와 의료 AI 윤리·보안 가이드라인도 마련할 방침입니다.
식약처의 이번 개정이 제출 자료의 기준과 특례의 적용 범위를 정비한 것이라면, 이 전략은 의료 AI가 사용되는 현장과 그 지원 체계를 다루고 있습니다. 개정 고시가 이미 시행 중인 것과 달리 보상 체계와 가이드라인 등은 아직 방침 단계이므로, 사업 계획에는 확정된 규제 요건과 향후 정해질 사항을 구분해서 반영할 필요가 있습니다.
4.2 「디지털 헬스케어 진흥 및 보건의료정보 활용 지원에 관한 법률안」
2026년 8월 26일 「디지털 헬스케어 진흥 및 보건의료정보 활용 지원에 관한 법률안」(의안번호 2220797)이 발의되었습니다. 기업 입장에서 눈여겨볼 사항은 다음 세 가지입니다. 보건복지부 소관의 제정법안으로, 디지털 헬스케어 서비스와 제품의 개념을 정립하고 보건복지부장관이 3년마다 기본계획을 수립하도록 합니다. 이 법안이 말하는 디지털 헬스케어 제품에는 「디지털의료제품법」에 따른 디지털의료제품이 포함되므로, 이번 개정 고시의 적용을 받는 제품도 그 대상이 됩니다. 실무상 눈여겨볼 부분은 다음 세 가지입니다.
▪ 보건의료정보의 가명처리 — 가명처리의 법적 근거를 두고, 기관 보건의료정보 심의위원회의 설치·심의를 의무화하며, 가명처리를 통한 인간대상연구에 대해서는 서면동의와 심의를 면제할 수 있도록 합니다.
▪ 전송요구권 — 보건의료정보주체가 개인보건의료정보처리자에게 본인의 정보를 본인 또는 개인보건의료정보 관리전문기관으로 전송해 줄 것을 요구할 수 있도록 하고, 전송대상에 디지털의료제품을 통해 생성·수집된 정보를 포함합니다.
▪ 시범사업과 규제특례 — 신규 디지털 헬스케어 서비스 등에 대한 시범사업, 신속처리, 허가등의 일괄처리, 임시허가, 그리고 실증을 위한 규제특례를 신설합니다. 임시허가와 실증특례의 유효기간은 각각 2년 이하의 범위에서 대통령령으로 정하고 1회 연장할 수 있습니다.
5. 시사점
이번 개정으로 달라진 점은 세 가지로 정리됩니다. 심사 대상이 개별 제품에서 기업의 관리 역량으로 넓어졌고, 종전에는 허가 전에 유효성 확인이 이루어졌으나 개정을 통해 잠정적 허가와 추가심사를 거치는 절차로 바뀌었으며, 일부 유형에 대해서는 시험을 새로 실시하는 대신 축적된 보건의료데이터로 성능을 검증하는 방식이 가능하게 되었습니다.
기업 입장에서는 대응의 단위가 달라졌다는 것을 뜻합니다. 종전에는 제품별로 자료를 준비하는 것이 중심이 되었으나, 이제는 보건의료데이터를 확보하고 이를 처리할 수 있는 조직 체계를 갖추는 것이 중요해졌습니다. 성능 검증에 사용할 데이터를 조달하는 일이나 우수 관리체계 인증이 요구하는 조직과 절차를 갖추는 일은 특정 제품에 한정되지 않으므로, 전사적인 점검과 준비가 필요합니다.
디지털의료제품법이 시행 2년차에 접어들면서 규제는 제도 설계에서 운용 단계로 넘어가고 있습니다. 이번 개정이 축적된 심사 사례에 대한 분석을 토대로 이루어진 것처럼, 앞으로의 기준도 실무가 쌓이는 순서대로 구체화될 것으로 보입니다. 다만 보건의료데이터를 확보하고 인증에 필요한 조직 체계를 구축하는 것은 단기간에 달성할 수 있는 것이 아닌 만큼, 각각에 소요되는 기간을 제품 개발 로드맵 설계 단계에서부터 반영해 선제적으로 준비할 필요가 있습니다.
* * *
법무법인(유) 린 APT(AI, Platform, Technology) 그룹 디지털 헬스케어팀은 국내 기업들의 규제 이슈에
전략적인 원스톱(One-Stop) 토탈 솔루션(Total Solution)을 제공하고 있습니다.
상기 내용에 대해 문의사항이 있으시면 언제든지
법무법인(유) 린 APT(AI, Platform, Technology) 그룹 디지털 헬스케어팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.
