간단 요약: **AI 법(규정 (EU) 2024/1689)**은 위험에 따라 AI 시스템을 규제합니다. 건강 관련해서는 세 가지 상황이 중요합니다. 의료기기의 일부이거나 의료기기의 안전 구성 요소인 AI 시스템은 MDR 또는 IVDR에 따라 제3자 적합성 평가가 필요한 경우 고위험으로 분류됩니다(부록 I). 이 경우 위험 관리, 데이터, 문서화, 로깅, 투명성, 인간 감독, 정확성 및 사이버 보안에 대한 법의 요구 사항을 충족해야 하며, 이는 기기의 적합성 평가와 함께 평가됩니다. 응급 분류 또는 의료 서비스 접근 결정에 사용되는 AI는 기기법 외부에서도 부록 III에 따라 고위험으로 분류됩니다. 보조 도구 및 챗봇은 고위험이 아니더라도 투명성 의무를 가지며(사람들은 자신이 AI와 대화하고 있음을 알아야 하며, 생성된 콘텐츠는 표시되어야 함), 이 법은 2024년 8월 1일에 발효되었으며 의무는 2027년까지 단계적으로 시행됩니다. 위원회는 2025년 말 일부 마감일을 조정할 것을 제안했으므로 현재 상태를 확인해야 합니다.
위험 피라미드
EU AI Act는 AI 시스템을 등급별로 분류합니다. 2025년 2월부터 금지된 금지 행위, 부속서 I(인증 기관이 필요한 의료 기기 내 AI) 및 부속서 III(응급 분류, 의료 서비스 접근)에 따른 고위험 시스템, 건강 챗봇과 같은 투명성 의무가 있는 제한적 위험 시스템, 특정 의무가 없는 최소 위험 도구, 제공업체 의무가 있는 범용 AI 모델이 있습니다.
| 등급 | 건강 관련 예시 | 결과 |
|---|---|---|
| 금지 (제5조) | 취약점을 이용하는 조작 기술, 안면 인식 무차별 스크래핑, 직장 또는 학교에서의 감정 인식(의료 및 안전 용도 예외) | 2025년 2월 2일부터 금지됨 |
| 고위험, 부록 I | 통지 기관이 필요한 의료기기 또는 IVD의 AI(대부분의 Class IIa 이상 소프트웨어): 영상 AI, 의사 결정 지원, 용량 계산기 | MDR/IVDR 적합성 평가 내에서 평가되는 완전한 고위험 요구 사항 |
| 고위험, 부록 III | 응급 전화 및 환자 분류 시스템; 공중 보건 혜택 및 서비스 자격 평가 AI; 생체 인식 분류; 의료 종사자에 대한 고용 결정 | 부록 III 규칙에 따른 완전한 고위험 요구 사항, 자체 평가 또는 통지 기관, EU 데이터베이스 등록 |
| 제한적 위험(투명성, 제50조) | 건강 챗봇 및 보조 도구, 건강 관련 AI 생성 텍스트 또는 이미지, 딥페이크 유형 콘텐츠 | AI 상호 작용 공개; 생성된 콘텐츠 표시; 관련 시 인간 감독 |
| 최소 위험 | 스팸 필터, 예약 최적화, 관리 도구 | 특정 의무 없음; 자발적 코드 |
| 범용 AI 모델(제5장) | 건강 제품에 사용되는 기반 모델 | 제공업체 의무: 기술 문서, 저작권 정책, 교육 요약; 시스템 위험 모델에 대한 추가 의무 |
의료기기가 아니고 부록 III에 해당하지 않는 건강 앱(AI 요약 기능이 있는 기록, 대화형 인터페이스가 있는 증상 일기)은 제한적 등급에 속합니다. 투명성 및 직원을 위한 일반적인 AI 리터러시 의무(제4조)와 GDPR이 이미 요구하는 모든 사항이 적용됩니다. 동일한 앱에 진단 또는 치료에 대한 정보를 제공하는 기능이 추가되면 MDR에 따라 기기가 되고, 통지 기관이 관련된 경우 AI 법에 따라 고위험이 됩니다. 의료기기 소프트웨어 참조.
고위험 요구 사항(제3장, 제2절)
EU AI Act에 따른 고위험 AI 시스템은 위험 관리 시스템, 교육 및 테스트 데이터에 대한 데이터 거버넌스, 기술 문서 및 로깅, 배포자에 대한 투명성, 설계 시 인간 감독, 정확성, 견고성 및 사이버 보안, 품질 관리 시스템, CE 마킹을 통한 적합성 평가, 시판 후 모니터링 및 사고 보고, 부속서 III 시스템의 경우 EU 데이터베이스 등록이 필요합니다.
- 수명 주기 전반에 걸친 위험 관리 시스템(제9조), 기기의 경우 ISO 14971과 통합.
- 데이터 거버넌스(제10조): 교육, 검증 및 테스트 데이터는 관련성 있고 대표적이며 편향에 대해 검토되었으며 출처가 문서화되어야 함; 편향 수정을 위한 특수 범주 데이터 처리는 특정 조건 하에 허용됨.
- 기술 문서(제11조, 부록 IV) 및 기록 보관/로깅(제12조)으로 추적성 확보.
- 배포자를 위한 투명성 및 지침(제13조).
- 설계상의 인간 감독(제14조): 이해, 재정의 및 중지 능력.
- 정확성, 견고성 및 사이버 보안(제15조), 선언된 지표 포함.
- 품질 관리 시스템(제17조), 기기의 경우 ISO 13485 시스템 확장.
- 적합성 평가, CE 마크 및 두 규정 모두를 포함하는 EU 적합성 선언; 부록 III 시스템의 경우 EU 데이터베이스 등록.
- 시장 출시 후 모니터링 및 심각한 사고 보고(제72-73조), MDR 감시와 조정.
- 배포자(병원, 클리닉)는 자체 의무를 가짐: 지침에 따른 사용, 인간 감독, 로그, 정보 제공, 공공 기관의 경우 기본권 영향 평가(제27조).
MDR 및 IVDR과의 중복
EU AI Act는 설계상 MDR 및 IVDR과 중복됩니다. 부속서 I에 나열된 의료 기기 내 AI의 경우, 해당 법률의 요구 사항은 동일한 인증 기관에서 장치의 적합성 평가의 일부로 평가되며, 단일 문서 세트와 하나의 품질 시스템을 사용합니다. CEN-CENELEC JTC 21의 조화 표준은 발행되면 적합성 추정치를 제공할 것입니다.
이 법은 두 번째 병렬 프로세스를 피하기 위해 작성되었습니다. 부록 I 기기의 경우 AI 요구 사항은 MDR/IVDR 적합성 평가의 일부로 동일한 통지 기관에 의해 평가되며, 이 기관은 AI 법에 대해서도 지정되어야 합니다. 문서는 단일 세트로 구성될 수 있으며, 품질 시스템은 하나입니다. 조화 표준(AI 위험, 데이터 품질, 견고성)은 CEN-CENELEC JTC 21에서 개발 중이며 적합성 추정치를 제공합니다. 표준이 존재하기 전까지 제조업체는 ISO/IEC 42001, ISO/IEC 23894 및 기기 표준을 사용합니다. 의료기기 조정 그룹 및 AI 위원회는 공동 지침을 발표할 것으로 예상되며, 시장 출시 후 및 사고 보고의 상호 작용은 주목할 영역입니다.
타임라인
EU AI Act는 2024년 8월 1일에 발효되었습니다. 금지 및 AI 리터러시 의무는 2025년 2월 2일부터 적용되었고, 범용 모델 의무는 2025년 8월 2일부터, 부속서 III 고위험 시스템을 포함한 대부분의 법률은 2026년 8월 2일부터, 의료 기기 내 AI와 같은 부속서 I 고위험 시스템은 제안된 조정에 따라 2027년 8월 2일부터 적용됩니다.
- 2024년 8월 1일: 발효.
- 2025년 2월 2일: 금지 및 AI 리터러시 의무 적용.
- 2025년 8월 2일: 범용 AI 모델 의무; 거버넌스(AI 사무국, 당국 통지); 처벌.
- 2026년 8월 2일: 부록 III 고위험 시스템 및 투명성 의무를 포함한 법의 대부분 적용.
- 2027년 8월 2일: 부록 I 고위험 시스템(의료기기와 같은 규제 제품의 AI) 및 2025년 8월 이전에 시장에 출시된 범용 모델.
2025년 11월 위원회는 "디지털 옴니버스" 내에서 표준 및 지원 도구의 가용성에 고위험 규칙의 적용을 연계할 것을 제안했으며, 이는 2026년 및 2027년 날짜를 변경할 수 있습니다. 이 제안은 작성 시점에 협상 중이었습니다. 위의 날짜는 채택된 법으로 간주하고 변경 사항은 공식 저널을 따르십시오.
건강 앱 팀이 지금 해야 할 일
EU AI Act에 따른 건강 앱 팀의 실질적인 단계는 각 AI 기능을 장치, 부속서 III 또는 투명성 등급으로 분류하고, AI 상호 작용을 공개하고 생성된 콘텐츠를 표시하고, 하위 그룹별 교육 데이터 및 평가를 문서화하고, 출력을 초안으로 하여 인간이 제어하도록 하고, 범용 모델 공급업체로부터 문서를 얻고, GDPR 작업을 병행하여 실행하는 것입니다.
- 각 AI 기능 분류: 기기인지 아닌지(건강 앱이 의료기기인가?); 부록 III 해당 여부; 그렇지 않은 경우 투명성 등급.
- AI 상호 작용 공개 및 생성된 콘텐츠 표시: 지금 바로 수행하십시오. 비용이 들지 않으며 요구될 것입니다.
- 데이터 및 평가 문서화: 교육 및 테스트 데이터의 출처, 성능 측정 방법, 하위 그룹별 측정 방법; 이는 제10조 및 제15조의 핵심이며 좋은 엔지니어링이기도 합니다(의료 데이터 AI: 지도).
- 인간의 통제 유지: 출력은 초안 및 제안으로, 자동 확정되는 임상 사실은 없음; AI가 생성한 내용과 누가 수락했는지에 대한 로그 기록.
- 모델 공급업체 확인: 범용 모델 제공업체는 자체 파일에 필요한 문서를 제공해야 합니다.
- GDPR 작업 실행(자동 결정에 대한 제22조, DPIA) 병행; AI 법은 GDPR을 대체하지 않습니다(GDPR 제9조).
Anpheros에서
Anpheros의 AI 기능은 개인 기록에 포함된 내용을 재진술하고 위치를 파악하며 AI로 공개됩니다. 진단하거나 치료를 권장하지 않으므로 제품은 의료기기가 아니며 법의 투명성 등급에 속합니다. 모델 사용은 문서화되고, 출력은 출처를 표시하며, 보조 도구가 생성하는 내용은 사람이 주장하지 않는 한 기록의 임상 사실이 되지 않습니다.
이 페이지는 제품 및 엔지니어링 팀을 위한 규정을 설명합니다. 법률 자문이 아니며, 출처 아래 링크된 텍스트가 권위입니다. 마지막 검토: 2026년 10월.
관련 페이지
- 의료 데이터 AI: 지도
- 의료기기 소프트웨어: MDR 및 IEC 62304 등급
- 건강 앱이 의료기기인가? EU MDR 규칙 11
- 건강 데이터에 대한 GDPR 제9조
- 건강 데이터 규제 지도
- 의료 기록에 대한 RAG
출처
- 규정 (EU) 2024/1689 (AI 법), EUR-Lex
- 유럽 위원회: AI 법 (정책 페이지 및 타임라인)
- 유럽 위원회: AI 사무국
- 규정 (EU) 2017/745 (MDR), EUR-Lex
- CEN-CENELEC JTC 21: 인공 지능
- ISO/IEC 42001:2023, AI 관리 시스템
자주 묻는 질문
AI가 포함된 모든 의료기기가 AI 법에 따라 고위험인가요?
MDR 또는 IVDR에 따라 제3자 적합성 평가를 받는 기기만 해당하며, 이는 대부분의 Class IIa 이상 소프트웨어입니다. 자체 인증되는 Class I 기기에 AI가 포함된 경우 부록 I 고위험은 아니지만, 법의 일반 및 투명성 의무는 여전히 적용됩니다.
AI 법이 미국 회사에 적용되나요?
예, AI 시스템이 EU 시장에 출시되거나 그 출력이 EU에서 사용될 때 MDR 및 GDPR과 동일하게 적용됩니다. EU 외부의 제공업체는 고위험 시스템에 대해 공인 대리인을 지정해야 합니다.
AI에 대해 두 번째 CE 마크가 필요한가요?
아니요. 부록 I 기기의 경우 하나의 적합성 평가가 두 규정을 모두 포함하며, 하나의 CE 마크 및 적합성 선언은 두 규정을 모두 참조합니다. 문서는 AI 법의 요구 사항을 포함해야 합니다.
건강 챗봇에 어떤 변화가 있나요?
투명성: 사용자는 AI와 상호 작용하고 있음을 알려야 하며, 생성된 콘텐츠는 표시되어야 하며, 직원은 AI 리터러시가 필요합니다. 챗봇이 개별 진단 또는 치료 조언을 제공하면 의료기기가 되며 상황이 완전히 달라집니다.
샌드박스에서 무료로 사용해 보세요
5분 만에 첫 FHIR 호출. 환자의 동의가 내장된 HL7 FHIR R4 API: 샌드박스에서 먼저 사용해보고, 자체 앱 또는 병원 시스템을 연결하세요.
무료 · 합성 환자 30명 · 카드 불필요
Anpheros는 환자가 직접 관리하고 어떤 병원과도 공유할 수 있는 의료 기록을 EU 기반의 HL7 FHIR R4 플랫폼에서 구축합니다. 이 가이드들은 건강 정보를 이해하고 정리하는 데 도움을 드리며, 의사의 진료를 대체하지 않습니다.
Anpheros 소개 →