[PEDIEN] 디지털의료제품법 시행규칙이 AI 의료기기 인허가의 문턱 자체를 다시 그리고 있다.
본지가 식품의약품안전처의 디지털의료기기 허가 통계와 2025년 2월 28일 제정·시행된 시행규칙, 그리고 하위 고시 세 건을 교차 분석한 결과, 이번 규칙의 핵심은 단순한 서류 추가가 아니라 '완제품 허가' 중심이던 평가 축을 '구성요소·생애주기' 중심으로 옮겨놓은 데 있었다.
특히 사이버보안과 사용적합성 요건이 기존 15개 안팎에서 35개 수준으로 두 배 넘게 늘어난 대목은, 진입 비용을 끌어올리는 동시에 '무엇을 준비하면 통과하는지'를 사전에 보여주는 예측 가능성의 확대이기도 하다.
산업계가 체감하는 혼란의 상당 부분은 여기서 비롯된다.
숫자부터 보자.
식약처 집계를 보면 디지털의료기기 허가는 2017년 첫 1건에서 출발해 2018년 4건, 2019년 13건에 그쳤다.
그러던 것이 2023년 63건, 2024년 109건으로 뛰었고, 디지털의료제품법이 본격 시행된 2025년에는 1월부터 7월까지 반년 남짓 만에 65건이 품목허가를 받았다.
누적으로는 2025년 7월 기준 388건.
임상시험계획 승인도 220건을 웃돌고, 디지털치료기기(DTx) 허가도 9건에 이른다.
모바일 앱, AI 병리판독 소프트웨어, 비대면 진단기기로 품목이 다변화하는 흐름이 통계에 그대로 찍혀 있다.
디지털의료제품법 시행규칙, 무엇이 달라졌나
디지털의료제품법은 2024년 1월 공포돼 2025년 1월 24일 시행됐다.
디지털의료기기·디지털융합의약품을 묶어 하나의 법으로 규율한 것은 세계에서 처음 있는 입법례로 평가된다.
종전에 의료기기법의 '소프트웨어 의료기기(SaMD)'와 체외진단의료기기법의 '체외진단 소프트웨어'로 흩어져 있던 분류는 삭제됐고, 이들은 디지털의료기기라는 단일 범주로 재편됐다.
여기에 비교적 위험이 낮은 '디지털의료·건강지원기기'는 1년의 유예를 거쳐 2026년 1월 24일부터 별도 체계로 들어온다.
즉 산업계는 2025년과 2026년, 두 해에 걸쳐 두 번의 시행 시점을 통과하는 중이다.
옛 체계와 새 체계가 한동안 겹쳐 돌아간다는 뜻이기도 하다.
시행규칙과 하위 고시가 손본 지점은 네 갈래로 요약된다.
첫째, 사용적합성과 전자적 침해행위(사이버보안) 대응에 관한 자료 요건이 대폭 세분화됐다.
현장에서는 이를 두고 요구 항목이 15개에서 35개 수준으로 늘었다고 설명한다.
USB 등 데이터 전송 기능이 사실상 통신으로 간주되고, CD·SD카드 등 일부만 예외로 인정되는 식으로 보안 경계가 넓어졌다.
둘째, 완제품이 아닌 'AI 모델' 같은 구성요소 단위에서 성능을 평가하는 제도가 들어온다.
구성요소란 독립적 기능을 갖고 제품 성능에 영향을 주는 센서·프로그램 등을 말하는데, 이 단위 평가는 2026년부터 작동한다.
셋째, 디지털 건강지원기기에는 기업이 원할 때 스스로 신고하는 자율신고제가 도입됐고, 자율성능인증제는 연구용역을 거쳐 뒤이어 제도화될 예정이다.
넷째, AI 특유의 잦은 업데이트를 감안해 허가 때 '변경관리계획'을 미리 제출하면, 이후 학습데이터 갱신 등 변경을 신속 절차로 처리하도록 했다.
본지 분석의 첫 번째 결론은 이렇다.
이번 규칙은 규제를 '강화'한 것이자 동시에 '예측 가능하게' 만든 양면 조치다.
사용적합성 항목이 두 배로 늘어난 것은 분명한 부담이지만, 뒤집어 보면 심사자가 무엇을 확인하려는지를 목록으로 드러낸 것이다.
그간 소프트웨어 기업들이 가장 힘들어한 지점은 요건의 양이 아니라 '어디까지 준비해야 통과하는지 모르는' 불확실성이었다.
체크리스트화는 이 불확실성을 줄인다.
두 번째 결론은 변경관리계획이 사실상 이번 개편의 중심축이라는 점이다.
AI 의료기기는 허가 시점의 성능이 끝이 아니라 데이터가 쌓일수록 바뀐다.
과거엔 알고리즘이 바뀔 때마다 변경허가를 다시 받아야 했고, 이는 혁신의 속도를 꺾는 병목이었다.
변경관리계획은 '앞으로 이런 범위와 방식으로 바꾸겠다'는 설계를 미리 승인받아, 그 범위 안의 개선은 빠르게 반영하도록 한다.
본지가 보기에 이 장치야말로 허가 건수 급증의 숨은 동력이며, 미국·유럽이 제도화한 사전변경관리 틀과 같은 방향을 향한다.
세 번째 결론은 구성요소 단위 성능평가가 산업 구조를 바꾼다는 것이다.
완제품이 아니라 AI 모델·알고리즘 같은 부분을 떼어 평가·활용할 길이 열리면, 모델 공급사와 완제품 제조사가 분화하는 '분업형 생태계'가 커질 수 있다.
소규모 AI 개발사가 자사 모델을 구성요소로 검증받아 여러 완제품에 납품하는 구조가 가능해지는 셈이다.
다만 이 제도는 2026년 본격화 예정이라, 당분간은 과도기적 혼선이 불가피하다.
다른 나라와 비교하면 한국의 위치는
국제적으로 견주면 한국의 선택이 더 또렷해진다.
미국 식품의약국(FDA)은 AI·머신러닝 기반 소프트웨어 의료기기에 '사전 변경관리계획(PCCP)'을 명문화해, 재허가 없이 사전 승인된 범위 내 개선을 허용한다.
한국의 변경관리계획은 이 틀과 사실상 같은 문제의식을 공유한다.
다만 미국은 개별 가이던스와 지정제도(De Novo 등)를 쌓아 올린 '판례형' 접근인 반면, 한국은 단일 법으로 뼈대를 세운 '성문법형'이라는 차이가 있다.
속도와 일관성은 후자가 앞설 수 있고, 유연성은 전자가 앞설 수 있다.
유럽연합은 의료기기규정(MDR)에 더해 2024년 발효된 인공지능법(AI Act)이 의료용 AI 상당수를 '고위험'으로 분류해 이중의 적합성 평가를 요구한다.
위험 관리와 투명성, 데이터 거버넌스 요구가 촘촘하지만, 두 규범이 겹치면서 기업 부담과 해석 혼선이 크다는 지적이 유럽 내부에서도 나온다.
한국이 디지털의료제품을 한 법으로 묶은 것은 이 '규범 중첩' 문제를 처음부터 피하려는 설계로 읽힌다.
일본은 의료기기 프로그램(SaMD)에 대해 2단계 승인과 우선심사(사키가케) 트랙을 운영하며 상용화를 앞당겨 왔는데, 한국의 우수관리체계 특례·자율신고제가 겨냥하는 '빠른 시장 진입'과 결이 비슷하다.
세 나라를 나란히 놓고 보면, 한국은 '세계 첫 단일법'이라는 제도적 베팅으로 속도와 예측 가능성을 동시에 쥐려 한다는 점이 두드러진다.
물론 반론과 한계도 분명하다.
요건이 두 배로 늘어난 만큼, 자본과 규제 인력이 부족한 스타트업에는 진입장벽이 될 수 있다.
식약처는 우수관리체계(GMP 등) 인증을 받은 기업에는 소프트웨어 검증·사이버보안·사용적합성 자료 제출을 면제하는 특례를 두고, 그 대상을 종전 2등급 독립형 소프트웨어 '인증'에서 등급 미지정 제품과 '허가'까지 넓혔다.
역량 있는 기업에는 길을 터주되, 체계를 갖추지 못한 신생 기업에는 상대적으로 문이 좁아지는 구조다.
자율신고제 역시 '자율'인 만큼 사후관리와 책임 소재를 어떻게 설계하느냐에 따라 안전망이 느슨해질 위험을 안고 있다.
규칙의 취지가 현장에서 실제로 작동하는지는 2026년 구성요소 평가와 건강지원기기 체계가 돌아가 봐야 판가름 날 것이다.
기업과 당국은 지금 무엇을 해야 하나
진단과 원인을 종합하면, 남은 과제는 '늘어난 요건'을 '예측 가능한 통과 경로'로 전환하는 일이다.
본지는 세 가지 행동을 권한다.
먼저, 기업은 사용적합성과 사이버보안을 개발 이후의 '서류 작업'이 아니라 설계 단계의 '아키텍처'로 끌어올려야 한다. 35개 수준으로 늘어난 요건은 완제품을 다 만든 뒤 끼워 맞추려 하면 재설계 비용으로 되돌아온다.
요구 항목을 제품기획서에 처음부터 반영하고, 우수관리체계 인증을 조기에 확보해 자료 면제 특례의 궤도에 올라타는 편이 비용·시간 모두에서 유리하다.
다음으로, AI 제품을 가진 기업이라면 변경관리계획을 '선택지'가 아닌 '기본값'으로 삼아야 한다.
학습데이터가 바뀌고 성능이 진화하는 제품일수록, 변경의 범위·조건·검증 방식을 허가 단계에서 최대한 구체적으로 설계해 두는 것이 재허가 병목을 피하는 사실상 유일한 길이다.
구성요소 단위 평가가 2026년 작동하는 만큼, 자사 모델을 독립 구성요소로 검증받아 공급·재사용하는 전략도 지금부터 검토할 시점이다.
끝으로, 규제당국은 '늘린 요건'에 상응하는 '안내의 밀도'를 책임져야 한다.
요건을 두 배로 늘렸다면, 민원인 안내서·사례집·사전검토 창구를 그만큼 두텁게 운영해 해석 리스크를 흡수해야 한다.
자율신고제와 자율성능인증제는 사후관리 지표와 책임 규정을 함께 설계해야 '자율'이 '사각지대'로 변질되지 않는다.
세계 첫 단일법이라는 실험의 성패는, 법조문이 아니라 현장에서 쌓일 사례의 투명성에 달려 있다.
검증 노트
본 기사는 2026-10-04 기준으로 작성됐다.
허가 건수(2017년 1건→2025년 7월 누적 388건, 2024년 109건, DTx 9건, 임상시험계획 승인 220여 건)는 식품의약품안전처 집계를 인용한 전문매체 보도를 교차 확인했다.
사용적합성·사이버보안 요건의 15→35개 확대, 구성요소 단위 성능평가(2026년 시행), 자율신고제·자율성능인증제, 변경관리계획, 우수관리체계 자료 면제 특례는 디지털의료제품법 시행규칙(2025-02-28 제정·시행)과 하위 고시, 전문가 해설을 대조해 확인했다.
미국 FDA의 사전변경관리계획(PCCP), EU 의료기기규정·인공지능법, 일본의 SaMD 2단계·우선심사는 공개된 제도 개요를 근거로 비교했다.
세부 수치는 발표 시점에 따라 갱신될 수 있어 '2025년 7월 기준' 등 시점을 함께 표기했다.
기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국
원본 데이터
본 기사 수치의 근거 데이터입니다. 출처를 표기하면 인용·재사용할 수 있습니다.
| 항목 | 수치 | 비고 |
|---|---|---|
| 디지털의료기기 허가 (2017년) | 1건 | 첫 허가 |
| 디지털의료기기 허가 (2018년) | 4건 | |
| 디지털의료기기 허가 (2019년) | 13건 | |
| 디지털의료기기 허가 (2023년) | 63건 | |
| 디지털의료기기 허가 (2024년) | 109건 | |
| 디지털의료기기 허가 (2025년 1~7월) | 65건 | 반년 남짓 품목허가 |
| 디지털의료기기 허가 누적 | 388건 | 2025년 7월 기준 |
| 임상시험계획 승인 | 220건 | 220건을 웃돎 |
| 디지털치료기기(DTx) 허가 | 9건 | |
| 사이버보안·사용적합성 요구 항목 | 15개 → 35개 수준 | 두 배 넘게 증가 |
| 디지털의료제품법 공포 | 2024년 1월 | |
| 디지털의료제품법 시행 | 2025년 1월 24일 | |
| 시행규칙 제정·시행 | 2025년 2월 28일 | |
| 디지털의료·건강지원기기 별도 체계 적용 | 2026년 1월 24일 | 1년 유예 |
| EU 인공지능법(AI Act) 발효 | 2024년 | 의료용 AI 상당수 고위험 분류 |
출처: 식품의약품안전처