[Ethics for Artificial Intelligence: Focus on the Use of Radiology Images].

The importance of ethics in research and the use of artificial intelligence (AI) is increasingly recognized not only in the field of healthcare but throughout society. This article intends to provide domestic readers with practical points regarding the ethical issues of using radiological images for AI research, focusing on data security and privacy protection and the right to data. Therefore, this article refers to related domestic laws and government policies. Data security and privacy protection is a key ethical principle for AI, in which proper de-identification of data is crucial. Sharing healthcare data to develop AI in a way that minimizes business interests is another ethical point to be highlighted. The need for data sharing makes the data security and privacy protection even more important as data sharing increases the risk of data breach. Copyrights

서론

인공지능의 연구 개발 및 활용에서 윤리의 중요성이 의료분야뿐 아니라 전 사회적으로 점차 널리 인식되고 있다. 다양한 위치와 성격을 가진 여러 국제기구, 정부, 학계 및 산업계 조직들이 이미 많은 수의 인공지능 관련 윤리원칙들을 제시하고 있다(12). Table 1은 대표적 국제기구들이 제시하는 인공지능 관련 윤리원칙들에 대한 요약을 보여준다(3456). EU, OECD, 그리고 UNESCO의 지침은 사회 전 분야를 포함하는 포괄적 지침이며, WHO의 지침은 보건의료 분야 인공지능에 대한 지침이다. 우리나라도 2020년 12월 과학기술정보통신부가 주축이 되어 4차산업혁명위원회가 사람이 중심이 되는 인공지능[AI] 윤리기준을 발표하였고, 이 윤리 기준은 1) 인간 존엄성 원칙, 2) 사회의 공공선 원칙, 3) 기술의 합목적성 원칙의 3대 기본원칙과 1) 인권보장, 2) 프라이버시 보호, 3) 다양성 존중, 4) 침해금지, 5) 공공성, 6) 연대성, 7) 데이터 관리, 8) 책임성, 9) 안전성, 10) 투명성의 10대 핵심요건을 제시하고 있다(2). 영상의학 분야에 대한 인공지능 윤리 기준도 발표되었다. American College of Radiology (ACR), European Society of Radiology (ESR), Radiological Society of North America (RSNA), Society for Imaging Informatics in Medicine (SIIM), European Society of Medical Imaging Informatics (EuSoMII), Canadian Association of Radiologists (CAR), 그리고 American Association of Physicists in Medicine (AAPM)가 공동으로 발표한 ‘Ethics of Artificial Intelligence in Radiology: European and North American Multisociety Statement’가 대표적이며(78910), 이 외에도 Canadian Association of Radiologists와 The Royal Australian and New Zealand College of Radiologists가 개별적으로 발표한 윤리 기준도 있다(1112). 이러한 윤리 기준들은 인공지능을 통해 인류의 복리를 증진시키고 위해가 되는 요소를 최소화하며 이러한 효과가 모든 개인들에게 차별 없이 공정하게 적용될 수 있도록 하기 위한 여러 가지 내용을 포함하고 있으며 따라서 윤리 기준들 간에 유사한 부분이 많다.

Table 1

A Summary of the Ethical Guidelines for AI Proposed by Representative International Organizations

Organization	EU High-Level Expert Group on AI		OECD Committee on Digital Economy Policy		UNESCO		WHO
Title	Ethics Guidelines for Trustworthy AI		Recommendation of the Council on AI		Recommendation on the Ethics of AI		Ethics and Governance of AI for Health
Release date	April, 2019		May, 2019		November, 2021		June, 2021
Scope	All areas		All areas		All areas		Health
Summary	Four ethical principles:		Five principles for responsible stewardship of trustworthy AI:		Principles:		Key ethical principles for the use of AI for health:
		1) Respect for human autonomy 2) Prevention of harm 3) Fairness 4) Explicability		1) Inclusive growth, sustainable development and well-being 2) Human-centred values and fairness 3) Transparency and explainability 4) Robustness, security and safety 5) Accountability		1) Proportionality and Do No Harm 2) Safety and security 3) Fairness and non-discrimination 4) Sustainability 5) Right to privacy, and data protection 6) Human oversight and determination 7) Transparency and explainability 8) Responsibility and accountability 9) Awareness and literacy 10) Multi-stakeholder and adaptive governance and collaboration		1) Protecting human autonomy (also entails data protection, i.e., protection of privacy and confidentiality) 2) Promoting human well-being and safety and the public interest 3) Ensuring transparency, explainability and intelligibility 4) Fostering responsibility and accountability 5) Ensuring inclusiveness and equity 6) Promoting AI that is responsive and sustainable
	Seven key requirements:
		1) Human agency and oversight 2) Technical robustness and safety 3) Privacy and data governance 4) Transparency 5) Diversity, non-discrimination and fairness 6) Environmental and societal well-being 7) Accountability
URL	https://data.europa.eu/doi/10.2759/177365		https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0449		https://en.unesco.org/artificial-intelligence/ethics		https://www.who.int/publications/i/item/9789240029200

AI = artificial intelligence

인공지능에 대한 윤리적 고려 사항들은 넓고 다양하여 이 글에서 이들을 포괄적으로 다루는 것은 효과적이지 않고 앞에서 이야기한 이미 나와 있는 여러 윤리원칙을 직접 참고할 것을 권장한다. 이 종설은 범위를 좁혀 영상의학 영상데이터를 인공지능 연구에 활용할 때 개인정보의 보호와 데이터에 대한 권리 관점에서 윤리적으로 고려할 사항들을 가능한 실용적으로 고찰하고자 한다. 영상의학과 의사 입장에서 현재 가장 자주 직접 맞닥뜨리게 되는 인공지능 관련 윤리적인 이슈는 인공지능 연구와 관련하여 영상데이터를 활용할 때 개인정보의 보호와 데이터에 대한 권리—특히, 데이터의 상업적 활용이 포함된 경우—에 대한 사항들이다. 이와 관련된 구체적 내용들은 일반적 윤리적 원칙뿐 아니라 법 · 제도와도 직접 연결되어 있어 국가마다 약간 차이가 있을 수 있다. 최근 우리나라에 관련된 개인정보 보호법이 개정 시행되었고(법률 제16930호, 시행 2020년 8월 5일) 보건복지부가 이 법에 대한 일종의 “해설서”로 2021년 1월 28일 2021년] 보건의료 데이터 활용 가이드라인을 발표하였다. 이 종설은 국내 독자들에게 실용적인 정보를 제공하기 위해 이들 국내법과 정부 제도에 바탕을 두었다.

인공지능 연구에서 개인정보 보호와 관련된 법 · 제도

인공지능의 연구 개발 및 활용에서 개인정보 보호는 매우 중요한 윤리적 원칙이다. 따라서, 우리나라에도 인공지능 연구에 개인정보 보호를 위한 법 · 제도가 마련되어 있다.

개정 개인정보 보호법

2020년 8월 5일부로 시행된 개정 개인정보 보호법에 의하면(13), 데이터가 1) 추가 정보의 사용 또는 결합 없이는 특정 개인을 알아볼 수 없도록 의도적으로 가명처리 되었거나 또는 2) 연구 목적으로 사용하기 전부터 가명정보로 생성되어 있는 경우, 이 데이터를 정보 주체인 연구 대상자 개개인의 동의 없이 1) 통계작성, 2) 과학적 연구, 3) 공익적 기록보존 목적으로 사용할 수 있다. 참고로, 개인정보 보호법은 일상적인 용어 사용과는 달리 ‘가명’과 ‘익명’을 구별하고 있는데, 가명정보는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하여 추가 정보의 사용 또는 결합 없이는 특정 개인을 알아볼 수 없도록—이를 가명처리라 한다—한 것을 의미하며 익명정보는 어떠한 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보를 말한다. 따라서, 익명정보는 개인정보 유출의 문제가 전혀 없어 더 이상 개인정보가 아니기 때문에 개인정보 보호법의 적용대상이 되지 않는다. 인공지능 연구에 사용되는 의료 데이터를 언급할 때, 익명정보의 법적 정의를 만족하는 경우는 사실상 없기 때문에, ‘가명정보’ ‘가명처리’라는 용어를 사용하는 것이 바람직하다. 의료인공지능 연구 개발은 많은 경우 궁극적으로 상용화 목적의 인공지능 의료기기를 개발하려는 경우가 많은데, 개인정보 보호법은 과학적 연구를 “기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구”라 정의하여 상용화 목적의 개발 연구를 구체적으로 명시하지 않았다. 다만, 이후에 나온 2021년] 보건의료 데이터 활용 가이드라인은 과학적 연구에 대해 “새로운 기술 · 제품 · 서비스의 연구 개발 및 개선 등 산업적 목적의 연구 포함”이라고 좀 더 구체적으로 기술하고 있다(14). 따라서, 약간의 모호함이 있지만, 적절한 가명처리를 한다면 의료 데이터를 정보 주체인 연구 대상자 개개인의 동의 없이 상업적 판매를 목적으로 하는 인공지능 연구 개발에 이용할 수 있다고 판단된다.

생명윤리 및 안전에 관한 법률

진료 목적으로 수집된 데이터를 이용하는 인공지능 연구는 임상연구에 관한 법률인 생명윤리 및 안전에 관한 법률에 따른 인간대상연구에 해당되며 따라서 개인정보 보호법뿐 아니라 생명윤리 및 안전에 관한 법률을 준수하여 한다. 즉, 연구 수행에 앞서 연구 계획에 대해 Institutional Review Board (이하 IRB)—식품의약품안전처에서는 ‘임상시험심사위원회’로 표기하고, 보건복지부에서는 ‘기관생명윤리위원회’로 명명한다—의 승인을 받아야 한다. 따라서, 연구 대상자로부터의 동의에 대한 면제 승인을 포함한 IRB의 연구 계획 승인이 없다면 개인정보 보호법에도 불구하고 가명처리된 개인정보를 연구 대상자 개개인의 동의 없이 연구에 이용하는 것은 불가능하다. IRB는 연구 대상자로부터 동의 면제 승인을 위해 1) 대상자에게 동의를 받는 것이 현실적으로 불가능한가, 2) 대상자가 동의를 거부할 특별한 사유가 없고, 동의를 받지 아니하여도 연구 대상자에게 미치는 위험이 극히 낮은 임상연구인가, 3) 개인정보를 익명 또는 가명처리하여 연구를 진행하는가 또한, 익명 또는 가명처리하는 방법이 타당하고, 개인정보를 보호하기 위한 안전조치가 적절한가, 4) 연구의 대상과 성격이 한정되어 있는가, 5) 연구의 필요성이 인정되는가, 6) 관련 규정에서 동의 면제를 허용하는 연구인가 등 여러 가지 기준들을 모두 검토한다(15). 따라서, 연구 대상자 개개인의 동의 없이 의료 데이터를 이용하여 인공지능 연구를 하기 위해서는 개인정보 보호법이 요구하는 적절한 가명처리 외에도 IRB로부터 연구 대상자로부터 동의에 대한 면제 승인을 받기 위해 필요한 다른 여러 기준들도 충족하여야 한다.

IRB와 데이터 심위위원회

개정 개인정보 보호법에 따르면, 의료 데이터를 이용하는 인공지능 연구를 하기 위해서는 기존의 IRB 심사와 더불어 데이터 심위위원회의 심사를 거치야 한다. IRB는 의료 데이터의 사용 외에도 연구와 관련된 모든 윤리적 요소들을 종합적으로 검토하는 기구이며, 데이터 심위위원회는 개인정보 보호법에 따라 가명처리 적정성 검토를 실시하고 아울러 가명정보의 기관 내 활용, 기관 외 제공, 결합신청의 적정성 검토 등을 실시할 수 있는 독립 위원회이다. 데이터 심위위원회 심의는 기관 내부 위원회 또는 외부기관 위원회 위탁을 통해 모두 가능하며, 위원회의 설치 및 운영에 대한 자세한 내용은 2021년] 보건의료 데이터 활용 가이드라인에서 확인할 수 있다.

개인정보 보호법 적용대상이 아닌 경우에 대한 주의 사항

개정 개인정보 보호법에 의하면 개인정보는 살아 있는 개인에 관한 정보로 정의되어 있다. 따라서, 사망한 사람의 의료 정보는 개인정보 보호법의 적용을 받지 않는다. 이 내용을 “사망한 사람의 의료 정보는 가명처리에 신경 쓸 필요가 없다”는 식으로 오해하지 말아야 한다. 사망한 사람의 의료 정보를 연구에 활용할 때에도 적절한 가명처리는 윤리적으로 매우 중요하다. 가령, 적절한 가명처리가 되지 않아 정보가 유출될 경우 사망자의 가족, 지인 등에게 위해가 발생될 수도 있다. 의료 데이터를 진료가 아닌 이차적 목적으로 연구에 활용할 때 특정 개인을 알아볼 수 없도록 적절한 가명처리를 통해 개인정보를 보호하는 것은 항상 유념해야 하는 중요한 윤리적 사항이다. 적절한 가명처리는 개인정보 보호법뿐 아니라 생명윤리 및 안전에 관한 법률도 중요하게 다루는 부분이다. 사망한 사람의 의료 정보를 연구에 사용할 때 적절한 가명처리를 하지 않는다면 IRB로부터 승인을 받기 어려울 것이며, 궁극적으로 해당 데이터를 사용하는 연구가 불가능하게 될 수 있다.

연구 후 연구자료 보관에 있어 개인정보 보호법과 생명윤리 및 안전에 관한 법률의 차이점

개인정보 보호법은 개인정보의 보호를 우선하는 입장이며 2021년] 보건의료 데이터 활용 가이드라인은 개인정보의 잠재적인 재식별 위험을 최소화하기 위해 가명정보는 활용이 종료된 이후 지체 없이 파기할 것을 권장하고 있다. 이와는 달리 생명윤리 및 안전에 관한 법률은 1) 연구계획서 및 IRB 심의 결과, 2) 연구 대상자로부터 받은 서면동의서 또는 IRB의 서면동의 면제 승인서, 3) 개인정보의 수집이용 및 제공 현황, 4) 연구 결과물 등이 포함된 연구 종료 보고서 및 IRB의 조사감독 결과를 연구가 종료된 시점부터 3년간 보관하도록 의무화하고 있고 후속 연구, 기록 축적 등을 위해 보관이 필요한 경우에는 IRB 심의를 거쳐 보관기간을 연장할 수 있도록 하고 있어 개인정보 보호법과 차이가 있다. 생명윤리 및 안전에 관한 법률은 개인정보 보호 관점보다는 연구자는 연구 대상자가 자신에 관한 정보의 공개를 청구하거나 하는 경우 등에 충실히 대응하기 위하여 연구 관련 정보를 보관할 의무를 갖는다는 시각을 반영한다. 그런데, 생명윤리 및 안전에 관한 법률이 말하는 ‘연구 결과물’의 정의에 모호함이 있어 가령 인공지능 연구에서 얻어진 수집, 정리, 레이블링 과정을 거친 데이터를 연구 결과물로 볼 수 있는지 불분명하다. 이런 데이터는 개인정보 보호법에 따르면 연구에 활용이 종료된 이후 지체 없이 파기가 되어야 하나, 만일 생명윤리 및 안전에 관한 법률의 ‘연구 결과물’에 포함된다면 연구 종료 후 적어도 3년간 보관되어야 하므로 상충이 발생한다. 이러한 혼선을 피하기 위해 향후 인공지능 연구에 이용된 의료 데이터의 사후 조치에 대한 구체적인 유권해석 또는 법제도 보완이 필요할 것으로 판단된다.

개인정보 보호를 위한 가명처리

적절한 가명처리는 연구에서 개인정보 보호를 위한 핵심 방법이다. 따라서, 우리나라의 경우 윤리적 원칙을 넘어 구체적 책임과 방법이 법 · 제도를 통해 제시되어 있다.

적절한 가명처리 및 관리의 책임

개정 개인정보 보호법은 이를 지키지 않을 경우 강한 법적 처벌을 부과할 수 있도록 하고 있다. 가명처리 절차에 따라 특정 개인을 알아볼 수 없도록 처리한 가명정보를 이용해 정해진 활용 목적 외에 특정 개인을 식별하는 행위를 하는 경우, 가명정보를 분실 · 도난 · 유출 · 위조 · 변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적 · 관리적 및 물리적 조치를 하지 않았거나 이로 인해 가명정보를 분실 · 도난 · 유출 · 위조 · 변조 또는 훼손당한 자, 개인을 알아볼 수 있는 정보가 생성되었음에도 가명정보의 이용을 중지하지 아니하거나 이를 회수 · 파기하지 아니한 경우 등 위반사항에 대해 높은 금액의 벌금 또는 징역형이 부과된다. 따라서, 연구자와 기관은 개인의 재 식별화가 되지 않도록 적절한 가명처리를 하여야 하고 승인받은 연구목적 외에 가명정보가 다른 용도로 오용되지 않도록 관리할 책임을 갖는다.

적절한 가명처리 방법

적절한 가명처리의 방법과 관련하여, 2021년] 보건의료 데이터 활용 가이드라인에 권장 방법이 제시되어 있다. 여기에 제시된 방법이 아닌 신기술 등 다른 방법 및 이를 채용한 소프트웨어 등을 활용하여 가명처리를 할 경우, 적절성 · 효과성 · 안전성 등을 외부 전문가에게 평가받은 뒤(외부 전문가로부터의 평가 보고서는 해당 기관이 보유한 개인정보의 정보 주체가 널리 확인할 수 있는 방법으로 완전히 공개되어야 함) 데이터 심의위원회 승인하에 실시할 수 있다. 2021년] 보건의료 데이터 활용 가이드라인은 개인정보 보호법에 따라 개인을 알아볼 수 없도록 하기 위해서는 어떤 정보를 삭제해야 하는지 일정 수준 구체적인 안내와 예시를 제시하고 있지만, 소위 하나의 정답—예로서, 미국의 법인 Health Insurance Portability and Accountability Act (HIPAA)의 경우는 구체적으로 18가지 특정 정보 항목을 지정하고 있다—을 제시하지는 않아 약간의 혼선의 여지가 있다. 이러한 이유로 기관마다 가명처리의 구체적 내용과 수준에 약간의 차이가 있을 수 있다. 적절한 가명처리의 방법은 의료 데이터의 종류에 따라 다를 수 있고, 한 시점에는 적절한 가명처리가 이루어졌다 하더라도 이후 기술의 변화 · 발전으로 개개인의 재식별이 가능해지는 상황이 발생할 수도 있다는 점 등을 고려하면, 실제로 모든 상황에 획일적인 기준을 적용하기는 어려울 것이다. 따라서, 연구자는 가명처리를 계획할 때 2021년] 보건의료 데이터 활용 가이드라인의 내용을 꼼꼼히 확인하는 것이 좋으며 또한 연구자가 소속된 기관이 제시하는 기준을 잘 파악하여야 한다.

영상의학 영상데이터의 가명처리 방법

2021년] 보건의료 데이터 활용 가이드라인이 제시하는 영상의학 영상데이터의 가명처리 방법의 구체적인 내용은 다음과 같다.

일반적 고려 사항

식별자(예, 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 보험가입자번호, 환자번호, 이름, 웹사이트 ID, 사번 등)를 삭제 또는 일련번호로 대체

주요 인적 사항과 관련하여, 주소는 시군구까지만 남기고 읍면동 이하 상세주소 삭제, 연령/생일은 연 · 월까지만 남기고 일자는 삭제

인종 · 민족에 관한 정보는 원칙적으로 별도 가명처리가 불필요하나, 연구 목적상 필요성을 데이터 심위위원회에서 살펴야 함

국적 정보는 별도 가명처리 불필요하나, 다만 총 인구 10만 명 미만 국가는 국적 정보 삭제 필요

영상의학 영상 관련 별도의 고려 사항

Digital imaging and communications in medicine (이하 DICOM) 파일의 헤더 등 메타데이터 상의 식별자를 삭제

영상 상에 환자 번호 · 성명 등 식별자를 표시한 것을 삭제 또는 마스킹

단층촬영 · 3D 영상정보의 경우 영상정보 신체의 표면 가장자리를 삭제하는 소프트웨어를 적용

초음파 영상과 같이 식별자가 영상의 일부로 영상 내에 픽셀로 들어가 있는 경우 DICOM 헤더 등 메타데이터 상의 식별자를 삭제하는 것으로 없어지지 않으므로 별도의 주의가 필요하다. 단층촬영 · 3D 영상정보의 경우 신체의 표면 가장자리를 삭제하는 소프트웨어를 적용하도록 한 것은, 일반적인 체내 영상은 그 자체로 개인의 식별이 어려우나, 신체의 내 · 외부를 함께 촬영한 단층촬영, 3차원 이미지의 경우 3차원 재건 기술을 활용하면 체외 실루엣을 복구해낼 수 있어 이 과정에서 얼굴 사진이나 신체의 모양 등이 노출될 수 있으며 특별한 추가 정보 없이도 개인식별이 가능할 수 있기 때문이다(16). 그런데, 추가의 세부적인 규정 없이 일괄적으로 신체의 표면 가장자리를 삭제하도록 규정을 만든 것이 적절한지에 대해서 약간의 논란이 있다. 가령, 얼굴 부위를 제외한 다른 신체 부위를 3차원 재건 기술로 만든 체외 실루엣을 가지고 개인을 식별하는 것은 사실상 불가능하며, 기형 진단과 같은 특정 상황에서는 체외 실루엣 자체가 중요한 의학적 진단 정보를 제공할 수 있어 이러한 경우는 신체의 표면 가장자리를 삭제하는 것이 지나치다는 지적이 있다. 기형 진단 연구와 관련하여 추가의 주의사항으로, 희귀질환(희귀질환관리법에 따름) 대상 연구의 경우 연구 대상자의 정보 유출의 위험이 크기 때문에 연구 대상자 본인의 동의를 받아 활용하는 것이 원칙이므로, 만일 희귀질환과 관련된 기형의 영상을 활용하는 연구를 계획한다면 앞의 설명과는 별개로 연구 대상자 본인의 동의를 얻은 후 영상을 활용하여야 한다.

데이터 및 데이터의 경제적 가치에 대한 권리 관점

데이터를 연구에 사용할 수 있는 권리와 데이터에 대한 소유 · 공유 권리 및 데이터로부터 발생하는 경제적 가치에 대한 권리는 별개의 사안이다. 진료를 통해 얻어진 의료 데이터는 자연스럽게 의료기관에 축적되어 의료기관이 “소유”하게 되지만, 그렇다고 해서 의료 데이터를 진료가 아닌 연구 개발과 같이 이차적 목적으로 사용할 때 의료기관이 데이터와 관련된 모든 권리를 가진다고 볼 수는 없을 것이다. 의료 데이터를 진료가 아닌 이차적 목적으로 사용할 때 권리에 대한 정의는 국가 · 사회마다 어느 정도 차이가 있겠지만(17), 환자나 의료기관은 각각 제공된 진료와 이에 대한 비용 지불을 통해 모두 상응하는 보상을 받기 때문에, 의료 데이터를 진료가 아닌 이차적 목적으로 사용할 때는 어느 쪽도 데이터에 대해 절대적인 권리를 주장하기는 어려우며 이 경우 의료 데이터는 공공재(public good)로 인식되어야 한다는 견해가 강하다(18). 공공재의 관점에서 보면, 이차적 목적으로 사용되는 의료 데이터가 어느 특정 개인 또는 집단의 이익을 위해 사용되는 것은 적절치 않으며 미래 환자들에게 골고루 혜택이 갈 수 있도록 사용되어야 할 것이다. 따라서, 의료기관이 특정 개인 · 집단과 의료 데이터 사용에 배타적 사용 계약을 맺는 것, 특정 개인 · 집단이 의료 데이터를 독점적으로 사용하는 것, 의료 데이터 자체를 사거나 파는(또는 되파는) 것은 비윤리적인 행위로 인식된다(18).

이차적 목적으로 사용되는 의료 데이터를 공공재로 생각하더라도, 의료 데이터를 이용하여 인공지능 알고리즘을 연구 개발하여 경제적 가치가 발생하였을 때 데이터 자체의 가치와 연구 개발 활동(예, 데이터 레이블링, 알고리즘 코딩 등)이 창출한 가치는 구분되어야 하며 연구 개발 활동이 만든 가치에 대해서는 합리적인 보상이 있어야 할 것이다. 그런데, 인공지능의 경우 두 가지 가치 요소의 구분이 쉽지 않을 수 있다. 수많은 환자들로부터 수집하여 잘 정제 가공한 대규모 데이터는 가치를 제공할 수 있지만 개별 환자의 원 데이터는 사실상 가치를 제공하지 못하기 때문에 연구 개발 활동을 배제한 개별 환자의 의료 데이터 자체의 가치를 어느 정도로 생각해야 하는지에 대해 모호함이 있다. 또한, 원래 환자의 데이터는 공공재라 하더라도 수집, 정리, 레이블링 과정을 거친 데이터는 연구 개발 활동을 통해 추가의 가치가 더해진 것으로 더 이상 공공재로 보기는 어렵다(18). 반면, 데이터가 없이는 인공지능 알고리즘이 존재할 수 없기 때문에 원 데이터 자체의 중요성과 가치에 좀 더 무게를 두어야 한다는 입장도 있을 수도 있다.

개정 개인정보 보호법과 2021년] 보건의료 데이터 활용 가이드라인은, 아마도 이러한 어려운 판단을 고려하여, 적절하게 가명처리된 의료 데이터를 상업적 판매를 목적으로 하는 인공지능 연구 개발에 이용할 수 있도록 하고는 있지만 의료 데이터를 상업적으로 이용하는 것에 조심스럽게 접근하고 있는 것으로 보인다. 가령, 2021년] 보건의료 데이터 활용 가이드라인은 가명정보를 재제공할 목적(즉, A가 가명처리를 한 정보를 B에게 제공하고, B가 별도의 과학적 연구 등을 수행하지 않고 C에게 정보를 제공하는 경우)으로 제공받는 것을 금지하고 있다. 이는 개인정보 보호 목적과 의료 데이터 자체를 사고파는 것을 막는 목적으로 생각된다. 가명정보의 재제공과 관련하여 하나 주의하여야 할 것이 있는데, 보건복지부가 만든 2021년] 보건의료 데이터 활용 가이드라인과는 별개로 개인정보보호위원회가 만든 가명정보 처리 가이드라인은 가명정보의 재제공을 허용하고 있지만 의료 데이터의 경우 보건복지부의 2021년] 보건의료 데이터 활용 가이드라인이 우선적으로 적용되므로 의료 데이터에 대해서는 가명정보의 재제공이 금지된다는 점이다. 가명처리된 의료 데이터를 제3자에게 재제공할 필요가 발생하는 경우, 원 개인정보처리자화 협의를 거쳐(또는 계약에 따라 승인을 받아) 심의위원회의 심의를 거쳐 제공 여부를 결정하여야 한다. 또한, 개인정보 보호법은 가명화된 의료 데이터 제공에 대응되는 대가를 받는 것을 금지하지는 않지만(개인정보 보호법 시행령 제29조의3제5항: 결합전문기관은 결합 및 반출 등에 필요한 비용을 결합신청자에게 청구할 수 있다), 2021년] 보건의료 데이터 활용 가이드라인은 사회적인 통념 등을 고려할 때 과도한 데이터 활용 대가는 지양하고 수익이 발생할 경우 기관 내 자체 의학연구비, 분석환경 보강, 보안시스템 구축·강화, 정보 주체 권익보호 등의 목적으로 사용할 것을 권장하고 있다.

연구 데이터의 학술적 공유 및 인공지능 데이터의 투명성 관점

의료 데이터가 진료가 아닌 이차적 목적으로 사용될 때는 공공재의 성격이 있다는 것 외에 몇 가지 다른 이유로 인공지능 연구 개발에 사용된 의료 데이터에 대한 공개 · 공유의 필요성이 제기되고 있다. 첫째, 과학 연구 데이터의 공유 필요성에 대한 인식이 확대되고 있다(1920). 연구 데이터의 공유는 연구의 투명성과 진실성을 높이고 연구 데이터의 재사용 · 재분석을 가능하게 함으로써 새로운 정보와 지식의 발견을 돕는다. 이러한 이유로 연구비 제공기관들이 연구비를 지원받는 연구들에 대해 연구 데이터 공유를 요구하기 시작하였으며, 과학학술지 들도 점차 연구 데이터 공유를 권장하고 있다. 같은 취지로, 국제의학편집인위원회(International Committee of Medical Journal Editors; 이하 ICMJE)의 경우 2018년 7월 1일부로 중재적 임상시험 결과를 논문으로 ICMJE 학술지에 투고할 연구 데이터에 대한 공유선언문(data sharing statement)을 포함하도록 요구하고 있다(21). 둘째, 인공지능 알고리즘의 투명성을 높이기 위해 연구에 사용된 데이터를 공개 · 공유하는 것이 권장된다. 인공지능 알고리즘의 정확도 및 예측결과는 학습데이터와 검증데이터에 크게 영향을 받는다. 편향된 학습데이터로 만들어진 인공지능 알고리즘은 편향된 결과를 제시하고, 학습데이터와 차이가 있는 검증데이터에서는 인공지능의 정확도가 많이 감소할 수 있다. 이로 인해 의료 분야 인공지능 알고리즘의 성능이 일반화되지 못하고 의료기관 및 적용 환경에 따라 크게 차이가 날 수 있음이 잘 알려져 있다(2223). 아울러, 딥러닝과 같은 매우 복잡한 알고리즘의 경우, 인공지능 알고리즘이 왜 어떤 결과를 제시하였는지 설명이 거의 불가능하다(black box). 따라서, 차별 없고, 안전한 인공지능을 만들고 사용하기 위해서는 학습 및 검증 데이터에 대한 투명성이 매우 중요하며 투명성은 인공지능 관련 윤리원칙의 주요 항목이다(Table 1). 인공지능 연구에 사용된 데이터를 공개 · 공유함으로써 투명성을 높일 수 있다.

이와는 반대로, 연구 데이터 공유는 개인정보 유출의 위험을 증가시키는 잠재적 문제를 가지고 있다(24). 특히, 인공지능 연구는 일반적으로 대규모의 데이터를 다루기 때문에 개인정보 유출의 위험성이 더 크다. 개인정보의 유출은 단지 윤리적 문제를 넘어 개인정보를 처리하는 연구자 및 기관에 법적 책임과 처벌을 발생시킬 수 있다. 이러한 이유로, 인공지능 연구에 사용된 데이터를 공개 · 공유하는 일은 아직 드물다. 우리나라의 경우, 앞에서 설명한 것처럼 2021년] 보건의료 데이터 활용 가이드라인도 개인정보의 잠재적인 재식별 위험을 최소화하기 위해 가명정보는 활용이 종료된 이후 지체 없이 파기할 것을 권장하고 있다. 추가로, 인공지능 연구를 통해 파생된 수집, 정리, 레이블링 과정을 거친 데이터는 원래 환자의 데이터와는 달리 온전히 공공재로 보기 어렵고 잠재적인 경재적 가치를 가지고 있다는 점도 이러한 데이터를 보유하고 있는 기관이 먼저 적극적으로 데이터를 공개 · 공유하는 것을 꺼리는 요인이 될 수 있다.

결론

인공지능의 연구 개발 및 활용에서 윤리의 중요성이 의료분야뿐 아니라 전 사회적으로 점차 널리 인식되고 있다. 인공지능의 연구 개발 및 활용에서 개인정보 보호는 매우 중요한 윤리적 원칙이며 연구 데이터의 적절한 가명처리는 개인정보 보호를 위한 핵심 방법이다. 아울러 인공지능 연구 개발에 의료 데이터를 상업적 이해관계를 최소화하며 윤리적으로 공유할 필요성도 부각되고 있다. 이는 의료 데이터가 진료가 아닌 이차적 목적으로 사용할 때는 공공재의 성격을 갖는다는 점, 과학 연구 데이터의 공유 필요성에 대한 인식 확대, 인공지능 알고리즘의 투명성 제고에 바탕을 두고 있다. 연구 데이터 공유는 개인정보 유출의 위험을 증가시키므로 개인정보 보호에 더욱 주의가 필요하다. 개인정보 보호와 관련하여 최근 개정된 개인정보 보호법과 보건복지부가 발표한 2021년] 보건의료 데이터 활용 가이드라인의 내용을 숙지할 필요가 있다.