최근 의사와 환자의 대화를 듣고 진료기록을 자동으로 작성해 주는 AI 서비스가 출시 2개월 만에 300개 이상 병·의원에 도입됐다고 합니다.
진료가 끝나면 생성형 AI가 SOAP 형식의 차트를 만들고, 이를 EMR에 바로 입력할 수 있는 서비스도 가능하다고 합니다. 직접 차트를 작성하는 시간을 줄일 수 있다는 장점 때문에 일선 업계의 반응이 뜨겁지만, 주의할 부분이 있습니다. 환자의 이름과 증상, 병력, 처방 정보를 외부 AI 서비스에 입력해도 되는지, AI가 잘못 작성한 내용을 그대로 저장하면 누가 책임지는지 살펴봐야 합니다.
오늘은 AI 진료기록을 사용할 때 의사가 직접 확인해야 하는 범위와 환자 동의가 필요한 경우, 병원이 도입 전에 갖춰야 할 절차를 살펴보겠습니다.
AI가 진료기록 초안을 작성하는 것만으로 의료법 위반일까요?
의료법 제22조는 의료인이 진료기록부를 갖추고 환자의 주된 증상과 진단, 치료 내용 등 의료행위에 관한 사항과 의견을 상세히 기록하고 서명하도록 규정하고 있습니다. 또한 진료기록을 거짓으로 작성하거나 고의로 사실과 다르게 추가·수정해서는 안 됩니다.
하지만 이 규정이 의사가 모든 문장을 직접 타이핑해야 한다는 뜻은 아닙니다. 음성인식 프로그램이나 문서작성 보조도구를 이용하는 것처럼, 생성형 AI를 활용해 진료기록의 초안을 만드는 것도 가능하다고 볼 수 있습니다.
다만 AI는 의료법상 진료기록의 작성 주체가 될 수 없습니다. 최종적으로 기록 내용을 확인하고 자신의 이름으로 서명한 의료인이 해당 진료기록에 대한 책임을 부담합니다. 따라서 AI가 작성한 문장을 의사가 검토하고 실제 진료 내용에 맞게 수정한 뒤 확정했다면, 단순히 AI를 사용했다는 이유만으로 의료법 위반이 되지는 않습니다.
반대로 AI가 만든 기록을 검토하지 않고 자동으로 EMR에 저장하도록 설정했다면 문제가 달라집니다. 환자가 말하지 않은 증상이나 시행하지 않은 검사가 기록되거나, 처방 용량과 치료 부위가 잘못 기재됐는데도 의사가 그대로 서명했다면 AI가 작성했다는 이유로 책임을 피하기 어렵습니다.
환자의 진료 내용을 생성형 AI에 입력하려면 동의를 받아야 할까요?
환자의 질병, 증상, 투약 내역과 검사 결과는 개인정보보호법상 민감정보에 해당합니다. 따라서 병원이 진료 과정에서 적법하게 수집한 정보라고 하더라도, 이를 아무 생성형 AI 서비스에 입력할 수 있는 것은 아닙니다.
특히 개인 계정으로 사용하는 공개형 생성형 AI에 환자의 이름, 주민등록번호, 연락처, 진단명이나 검사 결과를 그대로 입력하는 방식은 위험합니다. 입력한 정보가 어디에 저장되는지, 서비스 개선이나 AI 학습에 이용되는지, 국내 서버와 해외 서버 중 어디로 전송되는지 확인하기 어렵기 때문입니다.
AI 업체가 병원의 지시에 따라 진료기록 작성 업무만 수행하는 수탁자라면, 모든 경우에 별도의 제3자 제공 동의가 필요한 것은 아닐 수 있습니다. 그러나 병원은 위탁계약을 체결하고 처리 목적과 범위, 재위탁 여부, 보유기간, 파기방법과 안전조치 등을 명확히 정해야 합니다. 개인정보 처리방침에도 위탁 사실을 적절하게 공개해야 합니다.
반면 업체가 입력된 진료정보를 자체 AI 학습이나 서비스 개발에 이용한다면, 단순한 업무위탁을 넘어 제3자 제공 또는 별도 목적의 이용으로 평가될 수 있습니다. 이 경우에는 별도의 법적 근거와 환자 동의가 필요한지 검토해야 합니다. 해외 서버로 정보가 전송된다면 개인정보의 국외이전 요건도 함께 확인해야 합니다.
개인정보보호위원회도 생성형 AI를 활용할 때 입력 정보가 학습에 사용되는지, 대화 기록의 저장·삭제와 학습 거부 설정이 가능한지, 해외 이전이 이루어지는지를 확인하도록 안내하고 있습니다. 환자와의 대화를 녹음해 AI 진료기록을 만드는 서비스라면 녹음 사실과 이용 목적, 처리 방식도 환자에게 명확하게 알려야 합니다. 진료를 위해 수집한 정보를 기록 자동화에 이용할 수 있는지와 음성파일이 저장되는지까지 구분해 확인하는 것이 안전합니다.
AI가 사실과 다른 진료기록을 만들면 의사가 처벌될까요?
생성형 AI는 문맥상 자연스럽지만 사실과 다른 내용을 만들어 내는 이른바 '환각' 오류를 일으킬 수 있습니다. 환자가 호소하지 않은 증상을 추가하거나, 과거 병력을 현재 병력으로 잘못 정리하고, 비슷한 이름의 약품이나 검사로 바꾸는 경우가 대표적입니다.
AI의 오류가 발견됐다는 사실만으로 의료인이 곧바로 처벌되는 것은 아닙니다. 중요한 것은 의료인이 실제 진료 내용과 AI의 초안을 비교해 확인했는지, 잘못된 내용을 인식하고도 그대로 확정했는지입니다.
의료법상 진료기록을 거짓으로 작성하거나 고의로 사실과 다르게 추가·수정한 경우에는 의사면허 자격정지 등 행정처분이 문제 될 수 있습니다. 단순한 오기나 기술적 오류라 하더라도, 그 기록을 토대로 잘못된 처방이나 수술이 시행돼 환자에게 손해가 발생했다면 의료과실에 따른 민사·형사책임도 검토될 수 있습니다.
AI가 진단명과 처치 내용을 자동으로 분석해 건강보험 청구코드까지 생성하는 경우에는 더욱 주의해야 합니다. 시행하지 않은 검사나 처치를 청구하거나 비급여 진료를 급여로 청구했다면, 부당이득 환수와 업무정지뿐 아니라 거짓청구에 따른 형사책임으로 이어질 수 있기 때문입니다. 청구 프로그램이 자동으로 입력했다는 사정만으로 병원이나 의료인의 책임이 사라지지는 않습니다.
따라서 AI가 만든 진료기록은 '완성된 기록'이 아니라 '검토 전 초안'으로 표시하고, 의료인이 최종 승인하기 전에는 처방·청구 시스템과 연동되지 않도록 절차를 분리할 필요가 있습니다.
병원이 AI 진료기록 서비스를 도입하기 전에 무엇을 확인해야 할까요?
AI 진료기록 서비스를 도입할 때는 편의성과 정확도만 비교해서는 부족합니다. 환자정보가 서비스 제공 과정에서 어떻게 처리되는지, 문제가 발생했을 때 어느 업체가 어떤 책임을 부담하는지까지 계약서와 시스템 설정을 통해 확인해야 합니다.
우선 환자 이름과 연락처 등 불필요한 식별정보는 AI에 입력하지 않거나 가명처리할 수 있는지 살펴봐야 합니다. 입력한 음성과 진료정보가 AI 학습에 사용되지 않도록 설정할 수 있는지, 처리 후 즉시 삭제되는지, 서버가 국내에 있는지도 확인해야 합니다.
병원과 AI 업체 사이의 개인정보 처리 위탁계약에는 처리 목적과 정보 항목, 접근 권한, 보유기간, 재위탁 및 국외이전 여부, 사고 발생 시 통지와 손해배상 절차를 구체적으로 정할 필요가 있습니다. 직원이 개인용 생성형 AI 계정에 환자정보를 입력하지 못하도록 내부 이용 지침과 접근통제 절차도 마련해야 합니다.
진료기록 작성 과정에서는 AI가 생성한 초안과 의사가 수정·확정한 최종본을 구분해 보존하는 것이 좋습니다. 누가 언제 기록을 확인하고 수정했는지 알 수 있도록 접속기록과 수정 이력도 남겨야 합니다. 이를 통해 오류가 발생했을 때 AI의 문제인지, 의료인의 확인 과정에서 발생한 문제인지 객관적으로 복원할 수 있습니다.
생성형 AI를 이용하면 진료기록 작성 시간을 줄일 수 있지만, 기록 작성과 환자정보 보호에 관한 법적 책임까지 AI 업체로 넘어가는 것은 아닙니다. AI가 작성한 초안을 의사가 직접 확인했는지, 환자정보가 정해진 목적 범위에서만 처리됐는지, 기록과 수정 이력을 추적할 수 있는지가 핵심입니다.
따라서 병원은 서비스를 도입하기 전에 자동저장과 자동청구 기능부터 켜기보다 개인정보 처리 구조와 의사의 최종 확인 절차를 먼저 설계해야 합니다. 이미 개인용 생성형 AI에 환자정보를 입력해 왔다면 입력 내역과 저장·학습 설정, 외부 전송 여부를 확인하고, 필요한 경우 기록 삭제와 내부 보안조치를 진행할 필요가 있습니다.
법률상담 문의: 02-2038-9185
