AI 법의 고위험 기준과 당사의 MDR QMS 간의 5가지 격차

SaMD(Software as a Medical Device) 제조업체에서 지난주 저에게 연락하여 AI 법의 고위험 분류가 기존 MDR Class IIa SaMD와 중복되는지 물었습니다. 간단히 말해 '예'입니다. 더 길게 설명하자면, 그 중복이 위원회의 지침이 제시하는 것보다 훨씬 복잡하며, 두 프레임워크 간의 격차가 제가 예상하지 못했던 방식으로 저희 QMS 워크플로우에서 나타나고 있습니다.

저는 지난 몇 주 동안 AI 법 제6조(고위험 분류 규칙), 제17조(고위험 AI 시스템 제공업체의 QMS 요구사항), 그리고 관련 부속서들을 기존 MDR 기술 파일 구조와 대조하며 검토했습니다. 실제 현장에서 저에게 나타나는 내용은 다음과 같습니다.

위원회가 약속한 중복 영역

AI 법의 전문(recitals)과 공동 위원회 지침은 명확합니다. 의료 기기가 부속서 I에 따라 고위험 AI 시스템인 경우, 제조업체는 MDR 적합성 평가 경로를 따르며, AI 법의 수평적 요구사항은 MDR 프레임워크가 다루는 범위 내에서 충족된 것으로 간주됩니다. 물론 Q&A는 초안을 거치며 발전했고 최신 버전이 초기 버전보다 더 구체적이지만, 그 핵심 문구인 '범위 내에서(to the extent)'라는 표현이 많은 역할을 하고 있습니다.

실제로는 다음과 같은 의미입니다. 만약 귀사의 MDR 기술 파일이 이미 위험 관리, 데이터 거버넌스, 투명성, 인간의 감독, 시판 후 모니터링을 다루고 있다면, AI 법은 이를 중복하도록 요구하지 않습니다. 하지만 이들 영역 중 일부에 대한 AI 법의 기대치는 MDR 기준선보다 더 나아가기 때문에, 바로 그곳에서 격차가 발생합니다.

실제 격차가 존재하는 곳

저는 아직 명확한 매핑을 갖지 못한 5가지 영역을 검토하고 있습니다. 만약 귀사 팀이 명확한 매핑을 가지고 계시다면, 기꺼이 듣고 싶습니다.

• Article 9의 위험 관리 vs ISO 14971. ISO 14971은 위험 기반(risk-based)이며 생애주기 전반에 걸쳐 적용됩니다. AI 법(AI Act) 제9조는 특정 위험 범주(기본권, 편향, 환경, 안전 등)와 위험 수용 기준에 대해 더 구체적인 규정을 담고 있습니다. MDR 프레임워크는 자연스럽게 '기본권' 위험 등록부(risk register)를 생성하지 않습니다. 따라서 우리는 이를 별도의 산출물로 추가하고, ISO 14971의 위험 관리 파일과 상호 참조하고 있습니다.
• Article 10의 데이터 거버넌스. MDR은 부속서 XIV에 따라 대표성 있는 데이터와 임상 증거를 요구하지만, AI 법의 데이터 거버넌스 요건은 더 세분화되어 있습니다. 여기에는 데이터 품질 기준, 편향 탐지, 데이터 출처(data provenance), 주석 처리 절차 등이 포함됩니다. 이러한 세분화는 의미가 큽니다. 우리는 공지 기관(notified body)과의 사전 제출 서신에서 이전에 기술 파일만으로는 답변할 수 없었던 질문들을 접하고 있습니다.
• Article 13의 투명성 및 Article 16의 제공자 의무. MDR의 사용 설명서(Instructions for use)는 잘 알려져 있습니다. AI 법은 한 단계를 더 추가합니다: 사용 설명서는 간결하고, 완전하며, 정확하고, 명확해야 하며, 고위험 시스템의 경우 제공자는 배포자에게 해당 시스템의 특성, 기능 및 제한 사항에 대한 정보도 제공해야 합니다. 따라서 사용 설명서가 이 모든 것을 담을 적절한 장소가 아닙니다. 일부는 이전에 존재하지 않던 배포자 대상 문서(deployer-facing documentation)에 포함되어야 합니다.
• Article 14의 인간 감독. MDR의 '의도된 목적(intended purpose)' 및 '사용자(user)' 구성은 AI 법의 인간 감독 모델보다 범위가 좁습니다. AI 법은 시스템이 사용 기간 동안 자연인에 의해 효과적으로 감독되어야 함을 요구합니다. 이는 MDR이 대부분의 장치에 요구하지 않는 특정 설계 선택(킬 스위치, 설명 인터페이스, 오버라이드 메커니즘)을 내포합니다. SaMD(Software as a Medical Device)의 경우 이것은 격차가 아니라 새로운 증거 범주입니다.

Article 72에 따른 시판 후 모니터링 대 MDR PMS/PSUR

AI Act는 심각한 사고의 능동적 모니터링 및 보고 기한 등 자체적인 시판 후 모니터링 시스템 기대치를 가지고 있습니다. 이는 MDR의 경계(vigilance) 및 PSUR 주기와 명확하게 일치하지 않습니다. 두 규제 체계가 상충하는 것은 아니지만, 동일하지는 않습니다. 위임 법규(delegated act)가 정렬을 명확히 할 때까지 저희는 양쪽 모두를 충족하기 위해 나란히 사고 로그(side-by-side incident log)를 유지하고 있습니다.

아직 아무도 답할 수 없는 신고 기관의 문제점

제가 가장 불편하게 느끼는 부분입니다. 위원회 지침은 MDR 신고 기관이 MDR 경로를 통해 AI Act 적합성 평가를 수행한다고 명확히 합니다. 실제로는 이는 EU 어디에 위치하든 귀사의 신고 기관이 대부분의 감사관들이 교육받을 당시 존재하지 않았던 AI Act 요구 사항에 대해 평가하도록 요청받는다는 의미입니다. 제가 지금까지 본 감사 체크리스트들은 기관마다 일관성이 없습니다. 동일한 SaMD(Software as a Medical Device)가 서로 다른 감사관들로부터 실질적으로 다른 질문을 받을 수 있습니다. 공정하게 말하자면, 상황 자체가 진정으로 새롭고 교육이 따라잡는 중입니다. 하지만 저는 고객들에게 2025년과 2026년까지 더 긴 감사 주기와 더 많은 문서 변경(document churn)에 대비하여 예산을 책정하도록 조언하고 있습니다.

제가 실제로 QMS에서 하고 있는 일

실질적으로, 저는 AI Act를 기존의 MDR 전용 QMS에 통합하려고 시도하는 것을 중단했습니다. 저는 이를 명시적인 상호 참조(cross-references)가 있는 병행 프레임워크로 취급하고 있으며, 이는 의료기기 회사를 위한 EU AI Act 관련 qmsWrapper 작성물에서 찾았던 틀과 비슷합니다. 저에게 효과적인 접근 방식은

제가 업무에 필요한 기능은 교차 참조 오류를 줄여주는 것입니다. SaMD(Software as a Medical Device)의 위험 관리 파일이 변경되면 AI Act Article 9 매핑을 자동으로 플래그 해야 합니다. 데이터 품질과 관련된 CAPA가 발생하면 Article 10 검토를 요청해야 합니다. 변경 통제, CAPA, 그리고 위험 관리를 위한 네이티브 워크플로우 통합은 화려하지 않지만, 프레임워크 간의 격차가 지적 사항(finding)이 되는 것을 막아줍니다.

제가 여전히 불확실한 부분

Article 72에 따른 시판 후 모니터링 의무를 MDR PSUR 및 감시 시스템을 통해 완전히 이행할 수 있을지는 아직 확신하지 못합니다. 위원회는 두 가지가 위임 법규(delegated act)를 통해 조화될 것이라고 암시했지만, 해당 위임 법규는 아직 최종 확정되지 않았습니다. 따라서 저는 중복 보고(double-reporting)를 하고 있습니다.

제가 명확한 답변을 얻지 못한 또 다른 부분은 스위스 MRA와의 상호 작용입니다. 스위스는 AI Act의 규제 범위에 속하지 않지만, 스위스 소재 제조업체가 EU 시장에 출시하는 의료 기기는 해당됩니다. 제가 이 체제 안에서 일해야 한다는 사실이 늘 그렇듯이 약간 불쾌합니다.

저와 같은 매핑 작업을 진행하시는 분들께 여쭙고 싶습니다. Article 9 위험 등록부(risk register)를 ISO 14971과 함께 어떻게 처리하고 계신가요? 두 문서를 병렬로 운영하시나요, 아니면 두 프레임워크를 모두 만족시키면서도 모든 항목을 중복하지 않는 단일 위험 파일에 통합하는 방법을 찾으셨나요?

공개 정보: 저는 qmsWrapper에서 근무합니다.