귀하의 임상 소프트웨어(clinical software)가 규제 대상 의료기기(regulated medical device)인지 여부는 소프트웨어가 어떻게 구축되었느냐가 아니라, 그것이 어떤 기능을 수행한다고 주장하느냐에 따라 결정됩니다. 동일한 모델이라도 의도된 용도(intended-use) 선언에 따라 규제 대상이 아닌 행정 도구가 될 수도 있고, 클래스 III(class III) 의료기기가 될 수도 있으며, 그 선언은 귀하가 작성하기 나름입니다.

정보 제공 목적이며, 법률적 조언이나 임상적 또는 규제적 조언이 아닙니다. 2026년 8월 4일에 검토되었습니다. 의료기기 분류(Device classification)는 사실 관계에 따라 달라지며, 잘못 분류했을 경우의 결과에는 집행 조치 및 제품 회수가 포함됩니다. 규제 전문가를 활용하십시오. 이 페이지는 답변을 결정하는 질문들을 설명할 뿐, 귀하의 제품에 대한 답변을 대신해주지는 않습니다.

관할권별 요약

유럽 연합 (European Union). 소프트웨어가 의료기기 규정(Regulation (EU) 2017/745, Medical Device Regulation, MDR)에 명시된 정의에 따라 제조자가 의료적 목적(질병의 진단, 예방, 모니터링, 예측, 예후, 치료 또는 완화)으로 의도한 경우 의료기기에 해당하며, 검체(specimens)를 대상으로 하는 경우 체외 진단 의료기기 규정(In Vitro Diagnostic Regulation (EU) 2017/746, IVDR)의 해당 정의를 따릅니다. 임상 의사결정 지원(clinical decision support)에 대한 예외 조항은 없습니다. 기기의 사용을 구동하거나 영향을 미치는 소프트웨어, 또는 진단이나 치료 목적으로 의사결정을 내리는 데 사용되는 정보를 제공하는 소프트웨어는 의료기기에 포함됩니다.

미국 (United States). 소프트웨어가 질병의 진단, 치료, 완화, 처치 또는 예방을 목적으로 사용된다면 연방 식품·의약품·화장품법(Federal Food, Drug, and Cosmetic Act)에 따라 의료기기에 해당합니다. 하지만 2016년 21세기 치료법(21st Century Cures Act)에 의해 추가된 섹션 520(o)는 네 가지 누적 조건을 충족하는 특정 임상 의사결정 지원(clinical decision support) 소프트웨어를 의료기기 정의에서 완전히 제외합니다. 이러한 예외 조항은 유럽 연합(EU)에는 없으며, 이는 두 체제 사이의 가장 큰 구조적 차이점입니다.

EU: 자격 요건 확인 후 분류

두 가지 질문이 순차적으로 이어집니다. 자격 요건(Qualification)은 그것이 의료기기(device)에 해당하는지를 묻습니다. 분류(Classification)는 어떤 등급(class)인지를 묻는데, 이는 적합성 평가(conformity assessment) 경로와 인증기관(notified body)의 개입 여부를 결정합니다.

자격 요건 (Qualification)

1. 소프트웨어인가? 입력 데이터를 처리하고 출력 데이터를 생성하는 일련의 명령어 집합입니다.
2. 저장, 보관, 통신 또는 단순 검색을 넘어 데이터에 대해 특정 동작을 수행하는가? 이미지를 변경 없이 보여주는 뷰어(viewer)는 의료기기가 아니지만, 이미지를 분할(segmentation)하는 소프트웨어는 동작을 수행하는 것입니다.
3. 해당 동작이 개별 환자의 이익을 위한 것인가? 연구를 위해 인구 집단 수준의 역학적 결과물을 생성하는 소프트웨어는 특정 환자에 대한 결과를 생성하는 소프트웨어와 다르게 취급됩니다.
4. 제조사가 의료적 목적을 의도하는가? 이는 의도된 목적(intended purpose) 기술서, 라벨링, 사용 설명서(instructions for use) 및 홍보 자료를 통해 결정됩니다. 마케팅 문구는 의도된 목적의 증거가 되며, 이것이 규제 팀이 마케팅 문구를 검토하는 이유입니다.

소프트웨어의 자격 요건 및 분류에 관한 MDCG 가이드라인(MDCG 2019-11)은 이 분석을 위한 작업 문서입니다. 이 문서는 현재의 AI 제품 열풍 이전에 작성되었으나, 여전히 유럽 규제 기관들이 적용하는 참조 기준입니다.

분류 (Classification)

자격 요건을 충족하는 소프트웨어는 MDR 부속서 VIII(Annex VIII)의 분류 규칙에 따라 분류되며, 규칙 11(Rule 11)은 진단 또는 치료 목적으로 의사결정에 사용되는 정보를 제공하도록 의도된 소프트웨어를 규정합니다. 규칙 11의 구조에 따르면, 이러한 소프트웨어는 기본적으로 Class IIa에 해당합니다. 만약 해당 결정이 건강의 심각한 악화나 수술적 개입을 초래할 수 있다면 Class IIb가 되며, 사망이나 돌이킬 수 없는 건강 악화를 초래할 수 있다면 Class III가 됩니다. 생리적 과정을 모니터링하도록 의도된 소프트웨어는 Class IIa이며, 모니터링되는 매개변수의 변동이 즉각적인 위험을 초래할 수 있는 경우에는 Class IIb입니다. 그 외의 모든 것은 Class I에 해당합니다.

Rule 11의 실질적인 영향은 거의 모든 진단용 AI가 Class I에 해당하지 않으며, Class I을 초과하는 모든 것은 인증기관 (Notified Body)의 검토가 필요하다는 점입니다. 인증기관의 역량은 MDR이 적용된 이후 유럽 시장의 제약 요인이 되어 왔으며, 이는 규제 준수의 문제라기보다는 일정 관리의 현실적인 문제입니다.

미국: 의료기기 정의와 CDS 제외 규정 (carve-out)

임상 의사결정 지원 (CDS, Clinical Decision Support) 제외를 위한 네 가지 조건은 누적적입니다. 즉, 하나라도 충족하지 못하면 해당 소프트웨어는 의료기기에 해당합니다. 법령을 의역하면 다음과 같습니다:

1. 의료 영상, 체외 진단 기기 (IVD)의 신호 또는 신호 획득 시스템의 신호를 획득, 처리 또는 분석하도록 의도되지 않아야 합니다. 이 조건을 충족하지 못하는 경우가 흔하며 즉각적인 판단 기준이 됩니다. 영상이나 파형 데이터(waveform data)를 다루는 모든 것은 첫 번째 단계에서 제외 규정에서 벗어납니다.
2. 환자에 대한 의료 정보 또는 동료 검토를 거친 임상 연구 및 임상 진료 지침과 같은 기타 의료 정보를 표시, 분석 또는 출력하도록 의도되어야 합니다.
3. 의료 전문가에게 예방, 진단 또는 치료에 관한 지원 또는 권고를 제공하도록 의도되어야 합니다.
4. 전문가가 권고의 근거를 독립적으로 검토할 수 있도록 하여, 권고 사항에 전적으로 의존하지 않게끔 의도되어야 합니다.

네 번째 조건은 대부분의 AI 제품이 실패하는 지점이며, 그 이유를 솔직하게 짚어볼 필요가 있습니다. 검토 가능한 근거 없이 점수만을 출력하는 모델은 독립적인 검토를 가능하게 하지 않습니다. 2022년 9월에 확정된 FDA의 제외 규정에 관한 가이드라인은 좁은 관점을 취했습니다. 즉, 소프트웨어는 근거를 설명하고, 입력값과 관련 출처를 식별해야 하며, 전문가가 출력을 그대로 수용하기보다 스스로 결론에 도달할 수 있도록 제시되어야 합니다. "임상의가 동의하지 않을 수 있을 정도로 충분히 설명 가능해야 함(Explainable enough for a clinician to disagree with)"은 이를 잘 나타내는 실무적인 재진술이며, 이는 규제적 결과가 뒤따르는 제품 요구사항입니다.

또한, 이러한 제외(carve-out) 조항은 의료 전문가 (health care professionals)를 지원하는 소프트웨어에만 해당된다는 점에 유의하십시오. 환자나 간병인에게 권장 사항을 제공하는 소프트웨어는 이에 포함되지 않습니다.

미국 내 경로, 그리고 대부분의 AI 기기가 사용하는 방식

FDA는 승인한 AI 기반 의료 기기 목록을 공개적으로 유지하고 있습니다. 2024년과 2025년 사이에 항목 수가 1,000개를 넘어섰으며, 대다수는 영상의학 (radiology) 분야입니다. 이러한 분포는 시사하는 바가 큽니다. 영상학은 정량화 가능한 종점 (endpoints), 확립된 비교 대상 기기, 그리고 판독 가능한 성능 비교가 가능하지만, AI 제품의 승인이 가장 어려운 분야는 종점이 측정이 아닌 임상적 판단 (clinical judgement)인 영역입니다.

승인 후 모델 변경

이것이 의료용 AI를 일반 소프트웨어와 구분 짓는 질문이며, 개발 팀들이 뒤늦게 깨닫게 되는 지점입니다.

전통적으로, 승인된 기기에서 안전성이나 유효성에 중대한 영향을 미칠 수 있는 변경이 발생하면 새로운 제출 (submission)이 필요합니다. 재학습 (retrain)을 의도하는 모델의 경우, 재학습할 때마다 제출을 해야 한다는 의미이며, 이는 상업적으로 불가능합니다.

이를 해결하는 메커니즘은 **사전 결정된 변경 관리 계획 (predetermined change control plan)**입니다. 최초 제출 시, 향후 예상되는 수정 사항, 이를 개발·검증·구현할 방법론, 그리고 그 영향에 대한 평가를 기술합니다. FDA가 이 계획을 승인하면, 계획 범위 내의 변경은 새로운 제출 없이 수행할 수 있습니다. FDA는 2024년 12월에 AI 기반 기기 소프트웨어 기능에 대한 사전 결정된 변경 관리 계획의 마케팅 제출에 관한 가이드라인을 확정했으며, 이 메커니즘은 2022년 입법을 통해 추가된 법적 근거를 가지고 있습니다 — 이 페이지에서는 해당 조항 번호를 인용하지 않습니다.

설계상의 결과로, 당신은 제출하기 전에 무엇을 변경할 수 있도록 허용할지를 결정해야 합니다. 새로운 사이트 데이터에 대한 재보정 (recalibration)을 예상하는 계획은 새로운 아키텍처 (architecture)를 예상하는 계획과는 매우 다르며, 나중에 다시 돌아가지 않고서는 그 범위를 넓힐 수 없습니다. 변경 관리 계획 (change control plan)은 모델을 선택하는 과정 중에 작성해야 하며, 선택한 이후에 작성해서는 안 됩니다.

EU에는 이에 직접적으로 대응하는 규정이 없습니다. MDR (의료기기 규정) 하에서는 설계 또는 의도된 목적에 대한 중대한 변경이 발생할 경우 인증 기관 (notified body)의 개입이 필요하며, 소프트웨어에 있어 무엇이 중대한 변경인지에 대한 가이드라인은 지속적으로 학습하는 시스템 (continuously learning systems)을 염두에 두고 작성되지 않았습니다. 실제로 AI 장치를 만드는 유럽 제조업체들은 모델을 고정(lock)하고 변경 관리 (change management)를 통해 재검증을 수행하며, 이는 더 느린 방식입니다.

AI Act가 어떻게 중첩되는가

의료기기는 AI Act (AI 법)의 부속서 I (Annex I) — 즉, EU 조화 입법 목록 — 의 적용을 받습니다. 제6조 제1항에 따라, 그러한 제품의 안전 구성 요소이거나 그 자체가 그러한 제품인 AI 시스템은, 해당 제품이 제3자 적합성 평가 (third-party conformity assessment)를 받아야 하는 경우 고위험 (high-risk)으로 분류됩니다. 따라서 AI가 포함된 Class IIa 이상의 장치는 고위험 AI 시스템이 되며, 해당 법안의 조항은 일반적인 적용 시점이 아닌 2027년 8월부터 적용됩니다.

AI Act는 중복을 피하려고 노력합니다. 제품이 이미 부속서 I 입법에 따라 적합성 평가를 받는 대상인 경우, AI Act의 요구 사항은 별도의 평가가 아닌 기존 평가의 일부로서 평가되며, 단일 기술 문서 (technical documentation) 세트로 두 가지를 모두 충족할 수 있습니다. 이는 실질적인 완화 조치이지만, 아무것도 없는 것은 아닙니다. 제8조부터 제15조는 데이터 거버넌스 (data governance), 로깅 (logging), 인간의 감독 설계 (human oversight design), 사이버 보안 (cybersecurity)에 관한 요구 사항을 추가하는데, 이는 MDR이 동일한 용어로 명시하지 않은 내용들이며, 당신의 기존 기술 파일 (technical file)에는 이미 포함되어 있지 않을 것입니다.

미국의 경우 한 가지 층위가 더 추가됩니다. 보호 대상 건강 정보 (Protected Health Information, PHI)를 처리하는 임상 소프트웨어는 HIPAA의 규제를 받으며, 이는 의료기기 규제와는 별개의 영역(orthogonal)이며 종종 더 즉각적인 문제가 됩니다. 언어 모델과 함께 HIPAA가 허용하는 사항을 참조하세요.

범용 모델 문제 (The general-purpose model problem)

두 규제 체계 모두 고정되고 테스트 가능한 기능을 가진 소프트웨어를 위해 구축되었습니다. 임상적으로 사용되는 범용 언어 모델은 세 가지 구체적인 방식으로 이 체계들에 부담을 주며, 두 규제 기관 중 어느 곳도 이 세 가지 중 어느 것도 완전히 해결하지 못했습니다.

• 불확정적인 의도된 용도 (Indeterminate intended use). 의료기기 규제는 정의된 의도된 목적 (intended purpose)에 의존합니다. 어떤 임상적 질문에도 답할 수 있는 모델은 정해진 목적이 없으며, 이것이 제품을 제출하기 전에 특정 적응증 (indication)으로 좁히는 이유입니다. 또한 임상용으로 마케팅되는 범용 어시스턴트가 세분화 (segmentation) 도구보다 규제 대상으로서 훨씬 더 까다로운 이유이기도 합니다.
• 비결정론적 출력 (Non-deterministic output). 성능 테스트는 안정적인 입출력 관계를 가정합니다. 샘플링 (sampling)은 동일한 입력에 대해 서로 다른 출력을 생성하므로, 증거는 분포적 (distributional)이어야 하며, 수락 기준 (acceptance criteria) 또한 처음부터 그에 맞춰 작성되어야 합니다.
• 통제 범위를 벗어난 모델 업데이트. 만약 귀하의 의료기기가 제3자가 호스팅하는 모델을 호출한다면, 해당 모델의 제조사는 귀하에게 알리지 않고 모델을 변경할 수 있습니다. 이는 두 규제 체계 하에서 모두 귀하가 수행하지 않았고 사전에 검증할 수 없는 귀하의 의료기기에 대한 변경에 해당합니다. 실행 가능한 유일한 해결책은 폐기 통지 의무가 포함된 계약을 통한 버전 고정 (version pinning) — 모델 변경 조항 참조 — 또는 직접 제어할 수 있는 가중치 (weights)를 호스팅하는 것입니다.

한편, 주변 환경 문서화 (ambient documentation), 코딩 지원 (coding support), 서신 초안 작성 (letter drafting)과 같은 행정적 용도들은 의료적 주장 (medical claim)을 하지 않기 때문에 의료기기 규제 범위 밖에 있는 경우가 많습니다. 그 경계는 매우 중요한 지지대 역할을 하지만, 보기보다 훨씬 더 얇습니다. 진단을 제안하기 시작하는 문서화 도구는 그 의도된 목적 (intended purpose)이 변경된 것이며, 의도된 목적은 제품이 무엇을 하는지 명시하는 모든 채널에서 당신이 말하는 바에 의해 확립됩니다.

관련 항목

• EU AI Act의 위험 계층, 사례 포함
• 금융 서비스에서의 모델 리스크 거버넌스 (Model Risk Governance)