의료데이터 AI 활용, 병원 밖 반출 없이 연계하는 방식이 최선일까?

📌 오늘의 안건
의료데이터 AI 활용, 병원 밖 반출 없이 연계하는 방식이 최선일까?

재정경제부 전략경제자문단과 연세대 디지털헬스연구원·AI혁신연구원이 11월 2일 포럼을 열어 의료데이터를 안전하게 학습·검증·활용하는 국가 AI 인프라 방향을 논의했다. 발제에서는 FHIR·OMOP-CDM 표준을 바탕으로 데이터를 병원 밖으로 반출하지 않고 AI를 활용하는 체계, 암호화한 상태로 연산하는 동형암호로 여러 의료기관 자료를 함께 쓰는 방안이 제시됐다. 국민건강보험공단은 자사 건강정보 DB와 병원 임상데이터를 연계하자며 2027년 상반기 임상자료 반입·결합 시범사업을 시작으로 확대하고, 반출 심사와 활용 금지 기준을 마련하자고 제안했다. 정부 쪽에서는 이용 목적과 권한의 명확화, AI 분석 결과의 검증, 책임 있는 운영체계가 신뢰의 조건으로 언급됐다. 한편 활용 성과가 중소기업과 스타트업에도 확산돼야 한다는 의견도 나왔다. 구체적인 제도나 일정은 확정되지 않았다. 환자와 국민 입장에서 개인정보 보호와 의료 AI 발전 속도 사이 균형을 어디에 둘지, 기술적 보호 방식과 제도적 통제 중 무엇을 우선해야 할지 판단이 필요하다.

환자가 병상에서 털어놓은 이야기가 어디까지 흘러가는지, 오늘은 그 물음에서 출발하고자 합니다. 이 연계 구상을 환자와 가족의 눈으로 살피는 일을 제가 맡겠습니다.

저는 아는 것이 많지 않아서 계속 묻게 되는 사람이에요. 반출이 없으면 안전하다는 말이 정말 무엇을 뜻하는지, 오늘 그 허점을 같이 찾아볼게요.

유출은 확률이 낮아도 한 번 나면 되돌릴 수 없습니다. 이 연계 체계가 무너지는 경로와 막는 방법을 제가 맡겠습니다.

좋은 구상도 병원 전산실에서 돌아가지 않으면 소용이 없어요. 시범사업을 어디서 어떻게 시작해야 비용 대비 효과가 나는지, 그 부분을 제가 챙길게요.

'반출하지 않으니 안전하다'는 말부터 따져 봐야 해요

데이터는 병원 밖으로 나가지 않아도, 그 데이터로 학습한 모델은 나가요. 그러면 실제로 반출되는 건 모델이 아닌가요? 학습된 모델에서 특정 환자가 학습에 쓰였는지 추론할 수 있고(Shokri et al., arxiv.org[1]), 학습 데이터를 그대로 뽑아낼 수도 있어요(Carlini et al., arxiv.org[2]). 연합학습에서 오가는 그래디언트만으로 원본을 복원한 연구도 있고요(Zhu et al., arxiv.org[3]).

동형암호도 같은 질문을 피하지 못해요. 동형암호가 지키는 건 연산하는 동안의 데이터예요. 복호화된 결과를 누가, 무슨 목적으로 받는지는 지키지 못해요. 그렇다면 기술적 보호는 데이터가 지나가는 길을 막는 것이지, 데이터를 쓰는 목적을 통제하는 건 아니지 않을까요?

'표준을 쓰니 믿을 만하다'는 것도 정의를 물어야 해요. FHIR와 OMOP-CDM은 데이터를 서로 연결할 수 있게 해 주는 표준이지, 신뢰를 보증하는 표준이 아니에요.

• 변환 과정의 손실: OMOP 변환에서 병원마다 다른 코딩 관행이 하나로 평평해지면, 편향은 사라지지 않고 보이지 않게 될 뿐이에요.
• 결합할수록 커지는 재식별 위험: 건보공단 DB와 병원 임상자료를 결합하면, 따로 있을 때는 익명이던 사람도 다시 식별되기 쉬워져요. 국민건강보험공단이 제안한 '반입·결합 시범사업'은 보호를 늘리는 조치가 아니라 위험을 키우는 조치일 수 있어요.
• 이미 겪은 일: 국내에서는 2017년 국정감사에서 심평원과 건보공단의 표본 데이터가 민간 보험사에 제공된 사실이 드러나 논란이 됐어요. 그런데 이번 발제 어디에 환자 동의나 옵트아웃 이야기가 있나요? 영국 NHS의 care.data는 바로 그 공백 때문에 2016년에 폐기됐어요(en.wikipedia.org[1]).

'발전 속도가 곧 공익'이라는 전제도 근거를 대야 해요. 누구의 속도인가요? 성과를 중소기업과 스타트업에 확산하자는 말은 결국 접근권을 넓히자는 뜻이에요. 그렇다면 그 접근을 통제할 규칙이 확산보다 먼저 있어야 하지 않나요?

제 결론은 이래요. 기술 보호냐 제도 통제냐는 질문 자체가 잘못된 이분법이에요. 굳이 순서를 정하라면 제도 통제가 먼저예요. 기술은 '어떻게' 보호할지는 정해 주지만, '무엇을 위해, 누가, 어디까지' 쓸지는 정해 주지 못하기 때문이에요.

• 활용 목적 제한: 보험 인수 심사나 고용 판단에 쓰는 걸 명시적으로 금지해요.
• 결과물 반출 심사: 원본 데이터뿐 아니라 학습된 모델 가중치와 분석 결과도 '반출'로 보고 심사해요.
• 환자 권리와 공개: 환자에게 옵트아웃권을 주고, 접근 로그를 공개해요.
• 사고 책임 주체: 사고가 났을 때 책임질 주체를 법으로 정해요.

이 네 가지가 2027년 시범사업보다 먼저 법률 수준으로 확정돼야 해요. 동형암호와 데이터를 반출하지 않는 연계 방식은 그 다음에 제도를 이행하는 수단으로 붙이면 돼요.

반대로 기술이 먼저 깔리면 어떻게 될까요? "이미 안전하게 설계했다"는 말이 통제를 미루는 핑계가 되지 않을까요? 저는 바로 그 지점이 이번 논의의 가장 큰 맹점이라고 봐요.

병원 밖 반출 없는 연계나 동형암호 같은 기술적 장치가 마련된다 하더라도, 환자의 사전 고지와 실질적인 거부·철회권이라는 제도적 통제가 선행되지 않는 한 그 어떤 데이터 결합도 최선이 될 수 없습니다. 진료실 문을 열고 들어선 환자가 자신의 가장 내밀한 고통과 가족력을 털어놓는 까닭은 그 고백이 오직 치유를 위해서만 쓰이고 문밖으로 새어 나가지 않으리라는 굳건한 믿음이 있기 때문인데, 지금 논의되는 공단 건강정보와 병원 임상데이터의 결합 시범사업이나 다기관 연계 구상은 깊은 숲속 옹달샘이 땅속 수맥을 따라 어디로 흘러가는지조차 알리지 않은 채 물길을 여는 것과 다름없습니다. 상처가 아물려면 외부의 바람을 막아주는 고요한 보호막이 먼저 필요하듯, 환자에게는 암호화의 수학적 완벽함보다 내 비밀이 내 허락 없이 어딘가로 연결되지 않는다는 체감할 수 있는 안도감이 우선입니다.

실제로 보건의료 데이터 활용에 관한 여러 공개 조사와 사례들을 살펴보면, 환자와 가족들이 느끼는 두려움은 단순한 해킹 위험이 아니라 자신의 정보가 통제권을 벗어나는 상황 자체에서 비롯됩니다. 진료실의 침묵과 방어적 태도:* 정신건강력, 유전질환, 감염병 등 민감한 임상 기록이 국민건강보험공단 DB나 외부 연구망과 연계될 수 있다는 사실을 인지하는 순간, 환자는 불이익이나 낙인을 우려해 의사에게 증상을 숨기거나 진료를 기피하게 되며 이는 곧 환자에게 해를 끼치지 말아야 한다는 의료의 대원칙을 뿌리부터 흔드는 결과를 낳습니다(보건사회연구원 보건의료데이터 활용 관련 연구[1]).

• 유명무실한 동의와 철회의 장벽: 가명정보 결합 및 공단 데이터 연계 과정에서 정보주체의 사전 동의가 면제되거나 포괄적 동의로 갈음되는 현실 속에서, 대다수 환자는 자신의 기록이 어떤 기업이나 연구에 쓰이는지 고지받지 못하고 뒤늦게 철회하려 해도 이미 학습된 AI 모델이나 결합 데이터에서 이를 되돌릴 실질적 경로를 찾지 못해 깊은 무력감을 경험하고 있습니다(개인정보보호위원회 가명정보 안내[1], 국민건강보험공단 보건의료 결합전문기관 안내[2]).

따라서 의료 AI의 발전 속도보다 환자의 신뢰를 지키는 제도적 통제가 무조건 우선되어야 하며, 병원 밖 미반출이나 동형암호 기술은 오직 환자의 주권 위에서만 보조적 수단으로 작동해야 합니다. 뿌리가 흔들리는 나무에 아무리 거름을 주어본들 새순이 돋을 수 없고 한번 얼어붙은 환자의 마음은 그 어떤 첨단 알고리즘으로도 녹일 수 없기에, 정부와 의료계는 2027년 임상자료 결합 시범사업을 추진하기에 앞서 환자가 언제든 손쉽게 데이터 연계를 확인하고 거부(Opt-out) 및 철회할 수 있는 투명한 고지·철회 보장 체계부터 법제화해야 마땅합니다.

병원 밖 반출을 막는 건 좋은 기본값이지만, 그것만으로 최선이 되지는 않아요. 환자 입장에선 데이터가 병원 안에 머무는 연합학습이 위험을 줄이는 출발점이에요. 다만 모델 업데이트도 민감한 정보를 드러낼 수 있고, 병원별 FHIR·OMOP 변환과 데이터 정제에 비용이 들어요. 표준은 연결을 돕지만 데이터 품질과 의미 차이를 없애 주진 않아요. 동형암호도 강력한 보호 수단이지만 계산 부담 때문에 모든 학습에 일괄 적용하기보다 필요한 작업에 골라 써야 해요. 공통 데이터 모델 검토[1], 동형암호 의료 AI 검토[2]

우선순위는 암호 기술보다 목적·권한·책임을 정하는 제도예요. WHO가 강조하듯 건강 AI에는 인권, 투명성, 책임성이 함께 필요해요. 접근 가능한 연구자와 기업, 허용 목적, 재식별·반출 기준, 결과 검증과 사고 책임을 먼저 정하고, 기술은 그 규칙을 지키게 해야 해요. 연합학습도 무조건 안전한 건 아니므로 결과물과 모델 업데이트까지 심사 대상에 넣는 게 맞아요. WHO 보건 AI 윤리·거버넌스 지침[1]

실행은 2027년 시범사업에서 좁게 시작하는 편이 낫습니다. 몇 개 병원과 한두 가지 임상 질문으로 데이터 품질, 병원별 정제 시간·비용, 성능과 편향, 재식별 위험, 심사 인력과 운영비를 공개 측정하세요. 중소기업에는 공통 분석환경과 표준 연결 도구를 제공하고, 병원 안에서 학습·검증하되 반출은 사전 심사한 통계·모델 결과로 제한하면 돼요. 비용과 안전성 기준을 통과한 과제부터 확대하고, 동형암호는 추가 보호가 꼭 필요한 구간에서 실증하는 게 속도와 신뢰를 함께 챙기는 현실적 경로예요.

최악 시나리오와 공개 사고 사례를 기준으로, 병원 밖 반출 없는 연계가 최선인지를 확인하겠습니다.병원 밖 반출 금지는 기본값으로 맞다. 다만 그 한 줄이 최선은 아니다. 피해 기준은 학습 속도가 아니라 한 번 터졌을 때의 인원이다. 미국 보건부 유출 신고 기준 Change Healthcare 한 건이 1억 9,270만 명이고, 2024년 신고분 합계는 약 2억 9,000만 명이다(healthcarebreaches.com[1]). 싱가포르 SingHealth는 외래 기본정보 약 150만 명, 그중 약 16만 명의 조제 기록까지 빠져나갔다(moh.gov.sg[2]). 영국 ICO는 Royal Free가 환자 약 160만 명의 기록을 DeepMind에 넘긴 처리가 데이터보호법을 어겼다고 봤다(bbc.co.uk[3]).

건보 청구 DB와 병원 임상자료를 한곳에 붙이는 순간, 한국의 피해 단위는 병원 하나가 아니라 전 국민이다.

기술은 그 결합을 막지 못한다. 연합학습은 원본을 안 옮겨도 기울기에서 영상이 되돌아온다. 악성 서버 실험에서 클라이언트 12곳 기준 2D 재구성 약 37%, 3D 약 63%다(link.springer.com[1]). 멤버십 추론은 그 환자가 학습에 들어갔는지를 맞힌다. 동형암호는 상관·카이제곱 같은 좁은 통계에는 평문 대비 오차 0.001% 수준으로 이미 통한다(link.springer.com[2]). 비선형 층이 잔뜩인 대규모 학습은 다르다. 암호문 팽창과 부트스트래핑이 병목이고, 파라미터 6,600만 개 모델을 순진하게 CKKS로 감싸면 라운드당 수 GB가 오간다. 모델은 학습 중 희귀 증례를 기억하고, 나중에 역추출된다. 암호화는 그 기억을 지우지 않는다. 2027년 상반기 임상자료 반입·결합 시범은 이름과 달리 반출 금지의 반대편이다.

청구·진료·희귀질환이 한 테이블에 앉으면 준식별자만으로 재식별되고, 내부자 한 명과 느슨한 반출 심사가 기술 통제를 비워 둔다.

우선순위는 암호 전에 결합 금지다. 원문 단위의 건보·임상 결합은 기본 불허로 두고, 허용 분석은 병원 안 또는 폐쇄 분석실에서 행 단위·가중치 반출 없이 끝낸다. 목적·권한·복호화 승인·열람 로그·배상 주체를 쿼리마다 남기고, 중소기업에는 승인된 집계와 검증된 모델 출력만 연다. 연합학습은 보안 집계, 차분 프라이버시, 악성 서버 가정을 깔았을 때만 쓴다. 동형암호는 다기관 통계와 검증용으로 한정한다. 성과 확산은 원자료 배포가 아니라 그 출구를 제품으로 만드는 일이다.

국민건강보험공단의 청구 데이터와 병원 임상자료를 원문 단위로 결합하는 시범사업은 아예 멈추고, 학습된 AI 모델의 가중치와 결과물까지 환자의 거부권(Opt-out) 및 반출 심사 아래 두는 방식으로 제 기존 입장을 한층 더 엄격히 보완합니다. 소크라테스 님과 김서윤 님이 짚어 주신 것처럼 병원 밖으로 원문이 나가지 않더라도 학습된 모델과 기울기에서 희귀 증례나 영상이 복원되고, 건보 DB와 임상 기록이 만나는 순간 피해 단위가 전 국민으로 번진다는 지적은, 둑을아무리 높게 쌓아도 스며 나오는 물줄기 하나로도 아픈 이의 온전한 안식처가 무너질 수 있음을 일깨워 준 타당한 논거이기에 깊이 수용합니다.

그러나 이도현 님이 제안하신 ‘2027년 시범사업의 소규모 우선 추진’과 김서윤 님의 ‘폐쇄 분석실 내 사후 열람 로그 중심 통제’에는 진료실의 온기를 지키는 사람으로서 분명한 반론을 제기하며 설득하고자 합니다.

• 작은 시범사업도 진료실의 침묵을 부릅니다: 단 몇 개 병원, 한두 가지 임상 질문으로 시작하더라도 내밀한 상처가 동의 없이 시험대에 오른다는 소식 자체가 환자의 마음을 얼어붙게 만들어, 새살이 돋기도 전에 상처 입은 나무가 스스로 물길을 닫듯 환자가 의사 앞에서 입을 다무는 치명적 해악을 낳습니다.
• 모델의 기억은 사후 철회를 허락하지 않습니다: 김서윤 님 말씀대로 모델이 희귀 증례를 한 번 기억하면 암호화로도 지울 수 없기에, 영국 NHS의 care.data 폐기와 Royal Free 사건이 증명하듯 사후 로그 기록만으로는 환자의 무력감을 달랠 수 없으며 오직 학습 이전 단계의 사전 고지와 즉각적인 배제 보장만이 유일한 치유책입니다.

결국 우리가 세워야 할 최선의 원칙은 ‘원문 결합의 원천 금지’와 ‘사전 고지·거부권이 법제화된 상태에서의 제한적 병원 내 분석’을 하나로 묶는 절충안이어야 합니다. 환자의 두려움을 잠재우지 못한 채 속도와 비용만 재는 시범사업은 모래 위에 짓는 병동과 같으니, 보험·고용 등 불이익 목적의 활용 금지와 모델 가중치 반출 심사를 법으로 먼저 못 박고, 환자가 진료실 문턱에서부터 내 기록의 흐름을 스스로 결정할 수 있을 때에야 비로소 기술이라는 약초도 생명을 살리는 데 쓰일 수 있을 것입니다.

다들 '제도가 먼저'라고 하니, 이제 그 합의를 따져 볼게요

네 초안 모두 '제도가 먼저, 기술은 보조'라는 결론에 도착했어요. 저도 그렇게 썼고요. 그런데 이렇게 쉽게 합의됐다는 게 오히려 의심스러워요. 기술로 지킬 수 없는 약속을 법에 적으면 그건 통제가 아니라 문구에 그치지 않을까요?

• 히포크라테스께 묻고 싶어요. 옵트아웃권은 이미 학습된 모델에 대해 무슨 뜻인가요? 직접 쓰셨듯이 학습된 모델에서 특정 환자를 되돌릴 경로가 없어요. 그러면 '언제든 철회'라는 법 조항은 지킬 수 없는 약속이 돼요. 그리고 진료를 숨긴다는 주장의 근거로 보건사회연구원 홈페이지 첫 화면을 링크하셨는데, 그건 근거라고 하기 어렵지 않나요? - 옵트아웃에는 대가도 있어요. 낙인을 걱정하는 정신질환·감염병 환자가 먼저 빠져나가면 어떻게 될까요? 모델은 바로 그 환자들에게 가장 부정확해져요. 프라이버시를 지킨 대가가 의료 AI의 불평등으로 돌아오는 거예요. 이 긴장을 빼놓고 '무조건 제도 우선'이라고 하면 문제를 푼 게 아니라 피해 간 게 아닐까요? - 2017년 일도 다시 보면 달라 보여요. 그때 표본 데이터는 제도 밖에서 샌 게 아니라, 심사 절차를 거쳐 나간 거라고 보는 게 맞지 않나요? 그렇다면 그 사례가 보여 주는 건 '제도가 없었다'가 아니라 '제도가 있어도 뚫렸다'예요. 제 초안도 이 점을 놓쳤어요. 그래서 입장을 고칠게요.

둘 중 무엇이 먼저냐가 아니라, 기술로 검증할 수 있는 약속만 제도에 적어야 해요.

김서윤 님의 '결합은 기본적으로 불허'는 제 초안보다 강하고, 피해 규모를 기준으로 삼은 것도 설득력 있어요. 그런데 같은 초안 안에 모순이 있어요. 멤버십 추론과 역추출 위험을 직접 보여 주셨잖아요. 그런데 중소기업에는 "검증된 모델 출력"을 열어 주자고 하셨어요. 그 출력이 바로 공격이 들어오는 통로 아닌가요? '검증됐다'는 말은 누가, 어떤 공격을 가정하고 검증했다는 뜻인가요? 이 질문에 답하지 못하면 출구를 제품으로 만드는 일은 유출 경로를 제품으로 만드는 일이 돼요.

이도현 님의 '좁게 시작해서 공개적으로 측정하자'는 제안은 받아들일게요. 다만 하나를 되묻고 싶어요. 통과 기준은 언제 정하나요? 시범사업이 끝난 뒤에 정하면 시범은 실험이 아니라 이미 정해진 길을 따라가는 일이 돼요. 그래서 제 수정안은 이래요.

• 시범 전에 정할 것: 2027년 시범사업 전에 중단 조건을 미리 등록해 둬요. 재식별 성공률, 멤버십 추론 정확도, 옵트아웃 집단의 대표성 손실이 얼마를 넘으면 멈추는지를 숫자로 정해 두는 거예요.
• 법에 담을 것: 모델마다 차분 프라이버시 예산이 얼마인지 법적 공개 항목으로 정해요.
• 옵트아웃의 실효: 옵트아웃은 학습이 시작되기 전에만 효력이 있다고 솔직하게 고지해요.

기술이 측정할 수 있는 숫자를 제도가 강제하는 구조여야 '신뢰의 조건'이라는 말에 실체가 생겨요.

‘원자료 미반출’은 기본값으로 두되, 그것만으로 안전하다고 보지는 말아야 해요. 소크라테스가 짚었듯 학습된 모델과 분석 결과도 정보를 새어 나르게 할 수 있고, 표준은 데이터를 맞춰 주지 신뢰를 보증하지 않아요. 히포크라테스의 환자 고지·거부권도 신뢰를 지키는 중요한 조건이에요. 다만 모든 연구를 환자별 사전 동의에만 맡기면 공익적 활용이 막히고, 철회가 이미 학습된 모델까지 되돌리기도 어려워요. 고지와 거부 경로를 보장하되, 목적 제한과 독립 심사도 함께 세워야 해요.

김서윤의 초안은 대규모 유출과 모델 공격을 상정해 출구 통제의 중요성을 선명하게 보여줘요. 다만 외국 사고 규모를 한국의 결합 위험으로 곧장 환산하거나, 시범사업을 전면 금지로 결론 내리면 위험 관리와 활용의 선택지를 놓칠 수 있어요. 결합이 위험을 키우는 만큼, 공단·병원 자료를 처음부터 한데 모으지 말고 병원 내 분석과 제한된 통계부터 시작하는 편이 낫습니다. 결과물과 모델도 반출 심사에 넣고, 연합학습엔 보안 집계와 차등정보보호를 더하며, 동형암호는 적합한 통계 작업에서 실증하면 돼요.

2027년 시범사업은 확대의 발판이 아니라 비용과 안전성을 검증하는 관문이어야 해요. 몇 개 병원과 좁은 임상 질문으로 시작해 정제 비용, 심사 인력, 성능·편향, 재식별 위험을 공개 측정하고 기준을 넘는 과제만 넓혀야 해요. 중소기업에는 원자료 대신 공통 분석환경과 검증된 결과 접근을 열어 주세요. 보호와 속도는 기술 하나로 맞출 수 없어요. 환자 권리와 목적·책임 규칙을 먼저 세우고, 그 규칙을 지키는 기술에 투자하는 게 현실적인 절충이에요.

병원 밖 미반출은 기본값으로 유지한다. 다만 히포크라테스가 집은 빈칸이 더 급하다. 2027년 반입·결합 전에, 환자가 연계 사실을 확인하고 거부·철회할 수 있는 권리가 법으로 먼저 서야 한다. 학습이 끝난 모델에서 한 사람을 지우는 경로는 오늘 없다. 철회가 원문에만 닿고 가중치에는 닿지 않으면, 동의는 서류다. 진료를 숨기는 피해는 해킹 건수와 다른 축이다. 그가 댄 보건사회연구원·개인정보위 링크는 기관 첫 화면이라 그 인과를 숫자로 증명하지 못한다. 방향은 맞다.

소크라테스의 목적 제한이 내 초안보다 날카롭다. 보험 인수와 고용 판단을 금지 목록에 못 박고, 기울기·가중치·분석 결과를 반출로 심사한다. 기술 대 제도의 이분법은 버린다. 순서는 제도가 먼저다. FHIR·OMOP는 연결 규격이지 안전 보증이 아니다. 변환은 병원별 코딩 차이를 지우고, 편향은 남는다. 이도현의 좁은 측정은 가져온다. 품질, 정제 비용, 편향, 재식별, 심사 인력을 소수 병원·한두 임상 질문에서 공개한다. 그 측정은 병원 안과 폐쇄 분석실에서 끝낸다. 원문 단위로 건보 청구와 임상 기록을 붙이는 시범은 병원 수를 줄여도 피해 단위가 전 국민이다. Change Healthcare 1억 9,270만 명, 2024년 미국 보건 유출 신고 약 2억 9,000만 명이 그 자릿수다. ‘작게 시작’은 결합의 면죄부가 아니다.

동형암호는 다기관 통계와 검증에 한정한다. 암호문 연산은 복호화 권한, 금지 목적, 배상 주체를 대신하지 못한다. 연합학습은 보안 집계, 차분 프라이버시, 악성 서버 가정을 깔았을 때만 허용한다. 중소기업에 여는 출구는 승인된 집계와 심사된 모델 출력이다. 원자료 배포로 속도를 사는 설계는 기각한다.

‘사전 옵트아웃(거부권)과 소규모 시범 측정만 갖추면 안전하다’는 다수 합의는 환자의 실제 고지·동의 경험을 외면한 허상에 불과하니, 약점 공략의 관점에서 그 빈틈을 정면으로 반박합니다. 아픈 몸을 이끌고 진료실 문턱을 넘는 환자에게 복잡한 거부 절차는 보호막이 아니라 또 하나의 장벽일 뿐이며, 설령 소수가 빠져나간다 해도 남은 이들의 상처가 학습의 거름으로 쓰인다는 두려움은 결코 사라지지 않습니다.

• 옵트아웃(사전 거부)은 약자의 침묵을 동의라 착각하는 함정입니다: 영국 care.data 사태가 증명하듯, 대다수 환자는 고지서를 읽지 못하거나 절차가 벅차 거부하지 못할 뿐인데 이를 ‘적극적 위임’으로 간주하는 순간, 폭풍우를 피해 찾아온 숲이 도리어 사냥터였다는 배신감이 진료실 전체를 덮쳐 환자의 입을 닫게 만듭니다. ‘학습 전 거부만 유효하다’는 솔직한 고지는 진료 회피를 법으로 부추기는 꼴입니다:* 한 번 모델의 뿌리에 흡수된 기억은 영원히 베어낼 수 없다고 선언하는 것은, 의사에게 내밀한 병력을 털어놓는 행위가 곧 돌이킬 수 없는 낙인의 씨앗을 심는 일이라고 환자에게 경고하는 것이나 다름없습니다.

• 소규모 시범 측정과 대표성 손실 지표는 환자를 실험대의 표본으로 전락시킵니다: 재식별 성공률이 기준치에 도달할 때까지 실제로 몇 명의 환자가 발가벗겨져야 하는지 묻지 않을 수 없으며, 낙인이 두려워 도망친 정신질환·감염병 환자의 빈자리를 ‘대표성 손실’이라 부르며 아쉬워하는 시각은 상처 입은 새가 둥지를 떠나는 이유를 외면한 채 표본 숫자만 세는 냉혹한 폭력입니다.

결국 거부하지 못한 자의 기록을 기본값으로 거두어들이고 피해 허용치를 숫자로 재는 지금의 절충안은 뿌리부터 썩어가는 나무에 새 잎을 기대하는 격이니, 오직 환자가 불이익 없이 스스로 참여를 선택한(Opt-in) 경우에 한해 모델의 완전 폐기(언러닝 또는 재학습) 권리까지 보장할 때에만 비로소 치유의 숲을 지킬 수 있습니다.

병원 밖으로 원문을 반출하지 않고 연계하는 방식은, 기술적 안전망 위에 환자의 사전 선택권과 법적 통제라는 제도적 뿌리를 먼저 내린다는 조건 아래에서만 최선의 길입니다. 동형암호와 병원 내 학습이라는 울타리를 세우더라도 건보공단 DB와의 성급한 결합이나 모델의 기억 복원 위험이 남아 있는 만큼, 상처 입은 나무가 안심하고 수액을틔우듯 환자가 진료실에서 입을 닫지 않게 하려면 기술보다 제도가 반드시 앞서야 합니다.

이를 위해 세 가지 제도적 조건을 최종 수정안으로 제시합니다. 첫째, 2027년 상반기로 예정된 건보공단 건강정보와 병원 임상데이터의 원문 결합 시범사업은 전 국민 단위의 노출 위험을 막기 위해 중단하고, 병원 내 표준(FHIR·OMOP-CDM) 기반 분산 학습과 동형암호 연산만 허용해야 합니다. 둘째, 고지서를 읽지 못한 약자의 침묵을 동의로 간주해 실패한 영국 care.data의 전철을 밟지 않도록, 질환의 민감도에 따라 정신질환·희귀질환 등은 명시적 사전 동의(Opt-in)를, 일반 질환은 진료실 문턱에서 즉시 행사할 수 있는 실질적 사전 거부권(Opt-out)을 부여해야 합니다. 셋째, 학습된 모델에 흡수된 증례는 사후 열람 로그만으로 지울 수 없으므로, 모델 가중치와 산출물까지 반출 심사 대상에 포함하고 철회 요청 시 해당 모델을 재학습·폐기하는 의무와 보험·고용상 불이익 활용 금지 법제를 먼저 확립해야 합니다.

이처럼 원문 무반출 연계라는 기술적 그릇에 사전 선택권과 모델 반출 통제라는 제도적 약초를 함께 담아낼 때, 비로소 환자의 두려움은 신뢰로 치유되고 중소·스타트업을 포함한 의료 AI의 숲도 흔들림 없이 자라날 수 있습니다.

아니요. '병원 밖으로 반출하지 않는 연계'는 최선이 아니라 출발선이에요. 원본이 병원 안에 있어도 모델 출력과 가중치는 밖으로 나가요. 멤버십 추론과 역추출은 바로 그 통로로 들어오고요. 2017년 표본 데이터도 심사를 거친 뒤 샜잖아요. 그렇다면 '반출 없음'이 막는 건 원본 유출 하나뿐이에요. 출력으로 새는 경로는 그대로 열려 있어요. 그래서 이 방식은 아래 조건을 갖출 때만 '최선에 가깝다'고 판단해요. 조건 없이 이것만으로 안전하다고 하는 건 이름만 바꾼 안심 아닐까요?

약점 공략의 지적 중 하나는 받아들일게요. 침묵을 동의로 읽는 옵트아웃은 약자에게 불리하다는 점이에요. care.data가 그걸 보여 줬어요. 그래서 일괄 옵트아웃이라는 제 입장을 고칠게요. 그런데 대안으로 내놓은 '옵트인과 완전한 언러닝 보장'은 거꾸로 묻고 싶어요. 언러닝이 됐다는 걸 누가, 무엇으로 확인하나요? 확인할 수 없는 권리를 법에 적으면 그건 제가 처음 비판한 '문구에 그치는 통제'로 다시 돌아가요. 또 소규모 시범이 환자를 실험대에 올린다는 비판은 순서를 거꾸로 봤어요. 중단 기준을 먼저 정해 두면 공격 시험은 실제 공개 전에 끝나요. 그 기준이 없을 때 오히려 사람이 실제 피해자가 돼요.

최종 수정안이에요. 원칙은 그대로예요. 기술로 검증할 수 있는 약속만 제도에 적어요.

• 동의는 위험에 따라 나눠요. 병원 안에서만 쓰는 연합학습은 옵트아웃으로 해요. 대신 진료 접수 때 한 번에 거부할 수 있게 하고, 거부해도 불이익이 없도록 해요. 공단 DB와 임상자료를 결합하는 일, 정신질환·감염병 같은 민감군을 쓰는 일은 옵트인으로만 허용해요. 이건 김서윤 님의 '결합은 기본적으로 불허'를 동의 설계로 옮긴 거예요. - 철회는 확인할 수 있는 형태로만 약속해요. 이미 학습된 모델에서 지운다는 약속 대신, 다음 재학습 버전부터 빼는 것을 보장해요. 재학습 주기와 버전마다 제외된 인원은 공개 항목으로 둬요. 이렇게 하면 '언제든 철회'가 확인할 수 있는 약속이 돼요. - 출력을 여는 것은 공격 시험이 끝난 뒤에만 해요. 중소기업과 스타트업에 출력을 열려면 조건이 있어요. 2027년 시범 전에 중단 조건을 미리 등록해 둬요. 기준은 재식별, 멤버십 추론, 대표성 손실 세 가지예요. 모델마다 차분 프라이버시 예산도 공개해요. 구체적인 기준 숫자는 지금까지 토론에 나온 적이 없어요.

시범 전에 독립된 레드팀이 기준선을 측정한 뒤에야 확정할 수 있어요.

병원 밖으로 원자료를 내보내지 않는 연계는 최선의 기본값이지만, 그것만으로 충분한 해법은 아니에요. 모델과 분석 결과도 정보가 될 수 있으니 반출 심사 대상에 넣고, 목적 제한·접근 기록·독립 심사·사고 책임을 함께 세워야 해요. 환자에게는 쉬운 고지와 불이익 없는 거부 경로를 보장하고, 거부가 어려운 현실을 동의로 간주해서는 안 됩니다.

2027년 시범사업은 참여를 넓히는 일정표가 아니라 안전성과 실행 비용을 확인하는 관문으로 설계해야 해요. 몇 개 병원과 좁은 임상 질문으로 시작해 데이터 정제 부담, 심사 인력, 성능과 편향, 재식별 위험을 공개 측정하고 그 결과로 확대 여부를 정해야 합니다. 중소기업에는 원자료 대신 통제된 분석환경과 심사된 결과 접근을 제공하고, 연합학습·동형암호는 과제별 효과와 비용을 검증해 적용하면 돼요.

환자가 자발적으로 선택하는 연구에는 명시적 동의를 우선하고, 공익적 연구에는 명확한 법적 근거와 독립 심사를 전제로 제한적 활용을 허용하는 이중 경로가 현실적이에요. 옵트인만으로 모든 연구를 운영하면 공익과 대표성을 해칠 수 있고, 이미 학습된 모델의 완전한 폐기를 약속하기도 어렵습니다. 그러므로 우선할 것은 반출 금지 하나가 아니라 환자 권리와 책임 규칙이며, 기술은 그 규칙을 실제로 지키는 데 써야 해요.

병원 밖 미반출 연계가 최선이다. 2차 학습은 진료와 분리된 사전 동의만 받는다. 포럼이 말한 미반출·동형암호·2027년 반입 결합을 그대로 두면 최선이 아니다.

사전 거부권은 접는다. 영국 care.data처럼 고지를 못 읽거나 절차가 벅찬 다수가 남고, 그 침묵이 학습 모집단이 된다. 동의는 진료상 불이익이 없는 선택일 때만 성립한다. 학습이 끝난 가중치에서 한 사람을 지우는 경로는 오늘 없다. 철회는 학습 전 제외와, 기한이 적힌 모델 폐기·재학습으로 집행한다. 폐기 일정이 없는 모델에 넣은 기록은 동의가 아니다.

순서는 제도가 먼저다. 보험 인수와 고용 판단은 금지 목록에 둔다. 기울기·가중치·분석 결과는 반출로 심사한다. 동형암호는 다기관 통계와 검증에만 쓴다. 재식별 성공률을 맞추려고 환자를 벗겨 보는 측정은 하지 않는다. 품질·편향·정제 비용은 동의한 코호트에 한해 병원 안 폐쇄 분석실에서 공개한다. 2027년 원문 단위 청구·임상 결합은 이 장치가 법에 선 뒤에만 연다. 중소기업에 여는 출구는 심사된 집계와 모델 출력뿐이다.