진료기록을 요약하거나 진료의뢰서·소견서 초안을 작성하기 위해 챗GPT를 사용하는 의료인이 늘고 있습니다.
환자의 이름과 주민등록번호만 삭제하면 개인정보가 아니라고 생각해 검사 결과, 수술기록이나 상담 내용을 그대로 입력하는 경우도 있는데요.
그러나 진료기록에는 나이, 성별, 진료일, 병명, 수술 부위와 과거력처럼 환자를 추정할 수 있는 정보가 다수 포함돼 있습니다. 환자 이름을 지웠다는 이유만으로 개인정보보호법과 의료법 문제가 모두 해결되는 것은 아닙니다.
개인정보보호위원회도 2026년 8월 생성형 AI에 개인정보·민감정보와 회사 내부자료를 그대로 입력하지 말고, 입력 자료의 학습 이용 및 저장 설정을 확인하라고 안내했습니다. 병원에서 승인받지 않은 외부 AI 서비스를 사용하는 이른바 '섀도우 AI'도 새로운 정보보안 문제로 떠오르고 있는데요.
오늘은 환자 이름을 삭제한 진료기록도 개인정보에 해당하는지, 진료 목적으로 챗GPT에 입력하면 허용되는지, 병원에서 생성형 AI를 사용하려면 어떤 조건을 갖춰야 하는지 살펴보겠습니다.
환자 이름만 삭제하면 개인정보보호법상 문제가 없을까요?
개인정보보호법에서 말하는 개인정보는 이름이나 주민등록번호가 적힌 정보에 한정되지 않습니다. 해당 정보만으로 특정인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 누구인지 확인할 수 있다면 개인정보에 포함됩니다.
예를 들어 지역에서 드물게 시행된 수술의 날짜, 환자의 연령과 사고 경위가 함께 입력됐다면 성명이 없어도 병원 직원이나 주변 사람이 환자를 알아볼 수 있습니다. 엑스레이·CT 이미지에도 환자번호와 촬영일 같은 정보가 표시돼 있을 수 있습니다.
또한, 이름을 가리는 작업은 익명처리보다 가명처리에 가까울 때가 많은데요. 가명정보는 추가 정보 없이는 특정인을 바로 알아볼 수 없도록 처리한 정보일 뿐, 개인정보보호법의 적용을 완전히 벗어난 정보가 아닙니다. 더구나 화면에서 이름만 지우고 나머지 진료기록을 그대로 복사한 정도라면 법에서 요구하는 가명처리가 제대로 이뤄졌다고 인정받기도 어렵습니다.
환자 진료를 위한 목적이면 챗GPT에 입력해도 될까요?
병원은 환자를 진료하고 진료기록을 작성하기 위해 건강정보를 처리할 수 있습니다. 그렇다고 진료 과정에서 확보한 정보를 외부 생성형 AI 서비스에 자유롭게 전송할 수 있는 것은 아닙니다.
환자의 병명, 치료 내용과 검사 결과는 개인정보보호법상 민감정보입니다. 민감정보는 별도의 동의나 법령상 근거가 있는 경우에 처리할 수 있고, 분실·유출되지 않도록 안전성 확보조치를 해야 합니다.
개인정보보호법 제23조(민감정보의 처리 제한)
① 개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. <개정 2016. 3. 29.>
1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우
② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다. <신설 2016. 3. 29.>
③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다. <신설 2023. 3. 14.>
외부 AI 서비스에 환자정보를 입력했다면 그 이용 구조부터 확인해야 합니다.
병원의 업무를 처리하는 정식 수탁업체에 맡긴 것인지, 서비스 사업자에게 개인정보를 제공한 것인지, 정보가 해외 서버로 이전되는지가 각각 문제가 될 수 있습니다.
의료법상 비밀 누설 문제도 따로 검토해야 합니다.
의료인과 의료기관 종사자는 진료 과정에서 알게 된 환자의 비밀을 법령상 근거 없이 누설하거나 발표해서는 안 됩니다. 법원도 환자의 신뢰를 바탕으로 알게 된 구체적인 진료 내용은 의료법이 보호하는 비밀에 해당한다고 보고 있습니다.
아직 국내에서 의료인이 일반 챗GPT에 환자 진료기록을 입력한 행위를 직접 판단한 판례가 충분히 축적된 것은 아닙니다. 다만 병원이 승인하지 않은 개인 계정으로 식별 가능한 진료정보를 입력했다면 개인정보의 목적 외 이용·제공, 안전조치 의무와 의료상 비밀 보호 문제가 함께 제기될 수 있습니다.
학습 기능을 끄거나 유료 계정을 사용하면 괜찮을까요?
대화 내용을 모델 학습에 사용하지 않도록 설정하면 정보가 추가 학습에 활용될 위험을 줄일 수 있습니다. 그러나 학습 기능을 껐다는 사실만으로 병원의 법적 의무가 모두 충족되지는 않습니다.
병원이 정식 계약을 맺은 기업용 AI라면 개인정보 처리위탁 계약, 보안 수준, 국외 이전 구조와 접근권한을 검토한 뒤 제한된 용도로 사용할 수 있습니다. 이때도 직원이 개인 계정을 사용하거나 병원에서 허용하지 않은 앱에 자료를 옮기지 못하도록 해야 합니다.
환자에게 AI를 사용해도 된다는 동의만 받으면 언제나 적법해지는 것도 아닙니다. AI 업체가 병원의 수탁자인지 제3자인지에 따라 고지할 내용이 달라지고, 민감정보 처리와 국외 이전 동의가 필요한 상황도 구분해야 합니다. 실제 운영 구조를 정하지 않은 채 포괄적인 동의서 문구만 추가하는 방식은 충분한 대응이 되기 어렵습니다.
이미 환자 진료기록을 입력했다면 어떻게 해야 할까요?
의사나 직원이 개인 챗GPT 계정에 환자정보를 입력한 사실을 발견했다면 대화를 급히 삭제하고 상황을 덮기보다 전송된 정보의 범위부터 확인해야 합니다.
먼저 입력한 프롬프트와 첨부파일, 입력 시각, 사용 계정, 서비스 설정을 확인해야 합니다. 환자 성명 외에 생년월일, 환자번호, 진료일, 희귀질환, 영상정보처럼 개인을 알아볼 수 있는 자료가 포함됐는지도 살펴봐야 합니다.
확인해야 할 자료는 다음과 같습니다.
개인정보 유출에 해당한다고 판단되면 개인정보 보호책임자에게 보고하고, 해당 서비스 사업자에 자료 삭제와 보존 범위를 문의해야 합니다. 유출된 정보의 종류와 규모, 환자에게 발생할 위험에 따라 개인정보보호위원회 신고와 정보주체 통지가 필요한지도 검토해야 합니다.
재발을 막으려면 병원 차원의 생성형 AI 이용기준을 마련하는 편이 현실적입니다. 사용 가능한 서비스와 금지 자료를 정하고, 환자정보를 입력해야 하는 업무라면 승인 절차와 비식별화 기준을 두어야 합니다. 의료진뿐 아니라 진료의뢰서, 보험사 회신, 민원 답변을 작성하는 원무과 직원도 교육 대상에 포함해야 합니다.
환자의 이름만 삭제한 진료기록은 다른 정보와 결합해 환자를 알아볼 수 있다면 여전히 개인정보이고, 병명과 치료 내용은 보호 수준이 높은 민감정보입니다. 일반 챗GPT에 실제 환자의 진료기록을 입력해 문서를 작성하는 방식은 이름 삭제만으로 안전하다고 보기 어렵습니다.
병원에서 생성형 AI를 사용하려면 먼저 환자를 식별할 수 있는 정보를 제거하고, 병원이 승인한 서비스인지, 저장·학습·국외 이전 조건과 개인정보 처리계약이 갖춰졌는지를 확인하시기 바랍니다.
법률상담문의 아래 전화번호를 클릭하시면 직접 연결됩니다.
02-2038-9185
