병원 복도 한켠에서 영상 판독 보조 프로그램을 시연하던 다섯 명짜리 팀을 떠올려보자. 알고리즘은 돌아가고, 임상의도 관심을 보인다. 그런데 다음 단계로 넘어가려면 설명 자료, 위험 관리 기록, 데이터 출처 정리, 사후 모니터링 계획이 필요하다. 이 팀에서 그 일을 할 사람은 몇 명일까.
국내 AI 규율은 법에서 시행령으로, 다시 하위 고시로 내려오며 한 벌의 체계를 갖췄다. 행정예고 절차가 마무리되면서 사업자가 무엇을 지켜야 하는지 문장으로는 대체로 정리됐다. 국제기구 차원에서도 기업이 스스로 AI 관리 상태를 점검하도록 돕는 실사 지침 논의가 이어졌다. 규범이 문서가 되는 국면은 지났고, 이제는 그 문서를 누가 실제로 이행하느냐가 남았다.
규제의 강도만큼 중요한 것이 그 분포다. 고위험으로 분류되기 쉬운 영역은 의료·진단·건강관리처럼 사람의 몸에 직접 닿는 분야다. 그런데 그 분야에 뛰어든 국내 사업자 상당수는 인력 수십 명 규모의 초기 기업이다. 법이 요구하는 안전 관리 체계는 대기업의 준법 조직에는 업무 한 줄이지만, 이들에게는 제품 개발과 맞바꿔야 하는 선택이 된다.
그래서 이 글의 주장은 하나다. 안전 규제의 비용을 누가 어떻게 치를지 설계하지 않으면, 국내 의료 AI는 위험한 서비스를 걸러내는 대신 작은 회사를 걸러내는 쪽으로 정리된다.
반론은 분명하고 강하다. 의료는 실패의 대가를 환자가 치르는 영역이니, 규모가 작다는 이유로 검증을 덜 받게 하는 것은 위험하다. 동의한다.
완화해야 한다는 이야기가 아니다. 같은 기준을 요구하되, 그 기준을 충족하는 데 드는 실무 부담을 개별 기업이 각자 처음부터 만들어내도록 두는 설계가 문제라는 뜻이다.
표준 문서 양식, 공용 검증 데이터셋, 규제 대응을 대신 처리해주는 공동 인프라는 안전을 낮추지 않으면서 비용만 낮춘다. 임상 검증에 쓸 데이터를 병원마다 새로 계약해 확보해야 하는 상황이 이어지면, 결국 병원 네트워크를 가진 쪽만 살아남는다. 시장을 가르는 기준이 안전성에서 조달 능력으로 옮겨가는데, 이는 규제가 의도한 결과가 아니다.
제도가 완성됐다는 말은 종종 끝났다는 뜻으로 읽힌다. 그러나 규범이 조문으로 정리된 시점은 오히려 이행 비용을 관찰하기 시작할 때다. 고시 이후 국내 의료 AI 기업의 인허가 신청 건수가 어떻게 움직이는지, 초기 기업의 신규 진입이 줄어드는지가 이 설계의 성적표가 된다. 그 통계는 몇 분기 뒤에야 형태를 갖출 것이다.
환자에게 이 논의는 추상적이지 않다. 판독 보조 프로그램이 큰 병원에만 깔릴 것인지, 지방 중소병원 진료실에도 들어갈 것인지가 여기서 갈린다. 안전을 지키는 비용을 사회가 함께 나눌 때, 진료실 화면에 뜨는 보조 소견 한 줄은 서울의 대형 병원 밖에서도 볼 수 있게 된다.
규제가 지켜야 할 대상은 기술의 목록이 아니다. 그 화면을 마주하는 사람의 하루다.
