IRB와 AI 연구 — 동의서에 AI 사용을 어떻게 명시할까
한줄 요약
AI를 활용한 의료 연구는 연구 유형에 따라 IRB 요건이 다르며, 환자 동의서와 개인정보 처리에서 새로운 조항이 필요하다.
AI 연구가 IRB 심사에 가져온 새로운 쟁점들
2023년 이후 국내 IRB(기관생명윤리위원회) 심사에서 AI 관련 연구가 급증하면서, 기존 심사 기준으로는 판단하기 어려운 사안들이 생겨났다. 핵심 쟁점은 세 가지다.
- 기존 데이터에 AI를 적용하면 새로운 연구인가
- 해외 AI API로 환자 데이터를 전송하는 것이 합법인가
- AI가 생성한 결과에 대한 책임 소재는 어디에 있는가
연구 유형별 IRB 요건
유형 1: EMR 후향적 연구 + AI 분석
기존에 수집된 EMR 데이터를 AI 알고리즘으로 분석하는 경우다. 전통적인 후향적 차트리뷰는 IRB 면제(Exemption) 또는 신속심사(Expedited Review)가 가능했지만, AI 분석을 추가하면 심사 범위가 확대될 수 있다.
기관마다 판단이 다르므로, IRB 사무국에 사전 문의가 필수다. 특히 AI가 새로운 진단 패턴을 발견하는 탐색적 연구는 전체심사(Full Board Review)로 분류될 수 있다.
유형 2: AI 진단 보조 전향적 연구
AI 모델이 환자 진료에 직접 영향을 미치는 전향적 연구는 새로운 의료기기 임상시험에 준하는 심사를 받는다. 식약처 「의료기기 임상시험 계획 승인에 관한 규정」의 적용을 받으며, 임상시험용 의료기기(AI 소프트웨어) 승인 절차가 추가된다.
이 경우 IRB 승인 외에 식약처 임상시험계획(IND) 승인이 별도로 필요하다.
유형 3: LLM으로 논문 초안 작성
ChatGPT나 Claude로 논문 초안, 번역, 교정을 하는 행위 자체는 인간 대상 연구가 아니므로 IRB 대상이 아니다. 그러나 투고 저널에 AI 사용 여부를 공시해야 하며, ICMJE(International Committee of Medical Journal Editors) 가이드라인은 AI를 공저자로 등재하는 것을 금지한다.
환자 동의서 AI 조항 예시문
국내 IRB에서 요구하는 AI 관련 동의서 문구의 표준 형식은 아직 없다. 다음은 실무에서 활용 가능한 예시다.
[AI 분석 사용에 관한 동의]
본 연구에서는 귀하의 의료 정보(진단명, 검사 결과, 처방 기록)를
인공지능(AI) 알고리즘으로 분석합니다.
- 분석 목적: [연구 목적 기재]
- 사용 AI 시스템: [시스템명 및 개발사 기재]
- 데이터 보관 위치: 국내 서버 (해외 전송 없음)
- 분석 결과의 귀하 진료 영향 여부: 없음 / 있음(구체적으로 기재)
- 데이터 보관 기간: 연구 종료 후 [N]년
귀하는 언제든지 동의를 철회할 수 있으며,
이 경우 기존 수집 데이터의 삭제를 요청할 수 있습니다.익명화 vs 가명처리 — AI 학습 데이터 기준
개인정보보호법 제2조에 따라 두 개념을 구분해야 한다.
- 익명처리(Anonymization): 추가 정보 없이 개인을 재식별할 수 없도록 처리. IRB 면제 가능. AI 모델 공개 배포 시 사용.
- 가명처리(Pseudonymization): 추가 정보와 결합하면 재식별 가능. 개인정보보호법상 여전히 개인정보. IRB 필요, 단 일부 요건 완화.
AI 학습 데이터로 활용할 경우 원칙적으로 익명처리가 권장되지만, 임상 데이터는 희귀 진단명, 드문 수술 기록 등으로 인해 완전한 익명화가 어렵다. 이 경우 가명처리 + 접근통제 + IRB 승인 조합이 현실적인 선택이다.
식약처 의료 AI 임상시험 가이드라인 (2023)
식약처는 2023년 「인공지능(AI) 의료기기의 임상 유효성 평가 가이드라인」을 발표했다. 주요 내용은 다음과 같다.
- AI 모델의 성능(AUC, 민감도/특이도)뿐 아니라 임상적 유용성(Net Benefit)을 함께 평가할 것
- 훈련 데이터와 평가 데이터의 기관 분리 요구
- 소수 집단(고령, 여성, 특정 지역)에서의 서브그룹 분석 요구
- 모델 버전 업데이트 시 재평가 요건 명시
한국 IRB 심사에서 AI 관련 자주 나오는 질문 5가지
- “AI가 어느 수준의 의사결정을 하는가?” — 보조(Advisory) vs 자율(Autonomous)을 명확히 해야 한다.
- “AI 모델의 편향 검토를 했는가?” — 훈련 데이터의 인구통계학적 분포를 제출해야 한다.
- “모델 실패 시 안전장치가 있는가?” — 임상의 최종 확인 프로세스를 기술해야 한다.
- “AI 분석 결과를 환자에게 고지하는가?” — 고지 여부와 방법을 동의서에 명시해야 한다.
- “해외 API를 사용하는가?” — 데이터 국외 이전에 해당하는지 법적 검토가 필요하다.
데이터 국외 이전 금지 조항
OpenAI API, Google Cloud AI, AWS SageMaker 등 해외 AI 서비스를 사용하면 환자 데이터가 해외 서버로 전송된다. 개인정보보호법 제28조의8은 개인정보의 국외 이전 시 정보주체 동의 또는 계약 이행 목적임을 요구한다.
의료기관은 진료 목적 외 환자 데이터 해외 이전에 제한이 있으므로, 국내 서버에 배포된 오픈소스 모델(예: Llama, Gemma)을 사용하거나, 완전한 익명화 후 해외 API를 사용하는 것이 현실적인 대안이다.
IRB 사전 문의 체크리스트
연구 계획 단계에서 IRB 사무국에 사전 문의할 때 다음 항목을 미리 정리해두면 심사 기간을 단축할 수 있다.
- 사용할 AI 시스템의 명칭, 버전, 개발사, 서버 위치
- AI가 환자 진료에 직접 영향을 미치는지 여부 (yes/no)
- 데이터 국외 이전 여부 및 관련 계약 내용
- 익명화 또는 가명처리 방법과 검증 절차
- AI 분석 결과를 연구 참가자에게 고지하는지 여부
핵심 정리
- AI 후향적 연구도 IRB 사전 문의가 필수이며, 기관마다 판단 기준이 다르다
- 전향적 AI 진단 보조 연구는 식약처 의료기기 임상시험 요건이 추가된다
- 동의서에 AI 시스템명, 데이터 보관 위치, 국외 이전 여부를 명시해야 한다
- 가명처리 데이터도 개인정보보호법상 개인정보이므로 IRB 승인이 원칙이다
- 해외 AI API 사용 시 데이터 국외 이전 조항 검토가 선행돼야 한다