EU GMP 부속서 22(인공지능) 확정 카운트다운 — 생성형 AI '임계 GMP 배제' 조항을 한국 CDMO·제약 품질시스템은 어떻게 읽어야 하나

EU GMP 부속서 22(인공지능) 초안과 2026년 가드레일 재검토 현황을 분석한다. 정적 머신러닝 한정 및 생성형 AI·LLM의 '임계 GMP 적용 배제' 실무 의미, 임계/비임계 판정표, 데이터 독립성·설명가능성 요건, 책임자 확인과 한국 CDMO 품질시스템 자가점검 8대 체크리스트.

핵심 결론: 2026년 Q4 확정 목표와 '임계 GMP 배제' 조항의 규제적 본질

유럽연합 집행위원회(EC)와 유럽의약품청(EMA)의 우수의약품제조및품질관리기준(GMDP) 조사관 실무그룹(IWG)은 의약품실사상호협력기구(PIC/S)와 공동으로 마련한 EU GMP 부속서 22(Annex 22: Artificial Intelligence) 최종안을 **2026년 4분기(Q4)**에 유럽 집행위에 제출하는 것을 목표로 개정 작업을 진행하고 있다(2026년 8월 기준 EudraLex Volume 4 및 PIC/S 목록상 초안 상태 유지).

2025년 7월 7일 발표되었던 협의 초안(Consultation Draft)의 핵심 골자는 두 가지다:

적용 대상의 제한: 훈련(Training)이 완료되어 파라미터가 고정된 '정적이고 결정론적인(static and deterministic)' 머신러닝(ML) 모델만을 공식 적용 대상으로 규정한다.
두 가지 명시적 배제(Exclusions): 실시간으로 가중치가 변경되는 '동적 적응형 모델(Dynamic Models)'과 챗봇·LLM 등 '생성형 AI(Generative AI)'는 부속서의 적용 대상에서 원천 제외하며, 특히 생성형 AI는 **"임계(critical) GMP 활동에 사용해서는 안 된다"**고 못박았다.

+---------------------------------------------------------------------------------------------------------+
|                  EU GMP 부속서 22(인공지능) 초안의 적용 범위 및 배제 구조                                |
+---------------------------------------------------------------------------------------------------------+
|                                                                                                         |
|  [공식 적용 대상 : 규제 요건 충족 시 사용 가능]                                                          |
|  - 훈련 완료 후 가중치·파라미터가 동결된 '정적·결정론적 머신러닝(Static Deterministic ML)' 모델          |
|  - (대표 적용 예) 시각 검사(Vision Inspection), 수율 예측, 이상 감지, 크로마토그래피 피크 적분 등        |
|                                                                                                         |
|  [적용 제외 및 제한 : 임계 GMP 사용 금지]                                                                |
|  1. 동적 학습 모델 (Dynamic/Adaptive Learning) : 운영 중 실시간 가중치 변경 -> 밸리데이션 불가로 배제  |
|  2. 생성형 AI 및 대규모 언어모델 (Generative AI / LLM) : 비결정론적 환각(Hallucination) 리스크로 인해   |
|     '임계(Critical) GMP 활동' 사용 배제 (단, 비임계 보조 업무는 자격 갖춘 인간 검토 조건부 허용)         |
|                                                                                                         |
+---------------------------------------------------------------------------------------------------------+

한국 CDMO 및 제약 품질보증(QA) 부서의 즉각적 해석 원칙

많은 제약사들이 생성형 AI 배제를 '기술 혁신에 대한 단순한 규제 지연'으로 가볍게 여기는 경향이 있다. 그러나 규제학적으로 "적용 대상에서 제외(Exclusion from Scope)"한다는 것은 요건을 엄격하게 충족하더라도 임계 영역에는 아예 합법적인 사용 경로가 열리지 않는다는 뜻이다.

2026년 6월 30일~7월 1일 열린 EMA 다자간 워크숍에서 생성형 AI에 대한 '리스크 기반 가드레일' 도입 방안이 논의되었으나, Q4 최종안 확정 전까지 EU 수출·글로벌 공급망에 속한 한국 CDMO·제약 사이트는 (1) 공장 내 AI 도구를 임계/비임계로 즉시 전수 분류하고, (2) 비임계 생성형 AI 사용 시에도 자격화된 품질 책임자의 최종 서명 절차를 문서화해야 한다.

무엇이 '임계(Critical) GMP'인가? — 일탈 조사·배치기록서·SOP 판정 매트릭스

현장에서 가장 혼선이 큰 영역은 제조 현장에 도입 중인 AI/LLM 도구들의 임계성 판정이다. 부속서 22 초안과 GMP 데이터 무결성 원칙(ALCOA+)을 종합한 실무 판정 기준은 다음과 같다.

+---------------------------------------------------------------------------------------------------------+
|                  제조 현장 AI 도입 시 '임계 vs 비임계' GMP 판정 흐름                                    |
+---------------------------------------------------------------------------------------------------------+
|                                                                                                         |
|  [질문 1] AI의 출력이 배치 출하(Release), 거부, 또는 품질 적격성 판단에 직접 영향을 미치는가?            |
|  [질문 2] AI가 공정의 핵심공정변수(CPP)나 핵심품질특성(CQA)을 자동으로 변경·제어하는가?                 |
|  [질문 3] AI가 생성한 텍스트가 원시 데이터(Raw Data)나 시험 성적서의 최종 결론으로 직접 등재되는가?   |
|                                                                                                         |
|       (하나라도 Yes인 경우)  ---------------------------------> [임계 GMP 활동 : 생성형 AI 사용 금지]    |
|                                                                 (정적 ML만 엄격한 CSV/CSA 하에 가능)     |
|                                                                                                         |
|       (모두 No인 경우)      ---------------------------------> [비임계 GMP 활동 : 생성형 AI 보조 가능]  |
|                                                                 (단, 자격을 갖춘 인간의 100% 검토 필수)   |
|                                                                                                         |
+---------------------------------------------------------------------------------------------------------+

제조 품질 실무별 AI 적용 가능 여부 판정표

현장 업무 영역	AI 적용 세부 형태	임계성 등급	부속서 22 기준 허용 여부 및 요구조건
배치 출하 (Batch Release)	AI가 배치 기록을 분석하여 적격/부적격 출하 결정을 자동 승인	임계 (Critical)	생성형 AI 전면 금지 (정적 모델도 전산화시스템 부속서 11에 따른 QP 최종 확인 필수)
일탈 조사 (Deviation Investigation)	LLM이 과거 일탈 데이터베이스를 검색하여 근본 원인(Root Cause) 가설과 시정조치(CAPA) 초안을 작성	비임계 (보조용)	조건부 허용 (작성된 초안을 QA 조사관이 원본 데이터와 1:1 대조·수정하고 최종 서명해야 함)
자동 육안 검사 (Visual Inspection)	딥러닝 비전 알고리즘이 바이알 내 이물(미립자) 및 외관 결함을 1차 스크리닝	임계 (Critical)	정적 ML 허용 (파라미터 동결, 기존 수동 검사 성능 이상 입증(§4.3), 주기적 성능 모니터링 필수)
SOP 및 품질문서 제·개정	생성형 AI가 규정 개정안을 반영하여 표준작업지침서(SOP) 초안 텍스트를 생성	비임계 (보조용)	조건부 허용 (AI 생성 문구를 작성자가 실무 검증하고 정식 변경관리 절차를 통해 승인)
실시간 공정 제어 (Advanced Process Control)	AI가 바이오리액터 pH, 용존산소(DO), 피딩 속도를 실시간으로 폐루프(Closed-loop) 제어	임계 (Critical)	생성형 AI 전면 금지 (정적 모델만 가능하며, 제어 상·하한선 안전 하드웨어 가드레일 필수)
품질 동향 분석 및 연례품질평가(PQR)	AI가 1년간의 배치 수율, 환경 모니터링 데이터 트렌드를 요약 차트화	비임계 (보조용)	허용 (수치 데이터 무결성 검증 및 데이터 누락 여부 담당자 확인 필수)

부속서 22 초안의 핵심 기술 요건 6대 조항 심층 분석

부속서 22는 단순한 개념 지침이 아니라, 정적 ML 시스템의 개발부터 폐기까지 전 생애주기에 걸쳐 다음과 같은 구체적 기술 요건을 요구한다.

+---------------------------------------------------------------------------------------------------------+
|                  EU GMP 부속서 22 초안 핵심 섹션별 요구사항 체계                                        |
+---------------------------------------------------------------------------------------------------------+
|  1. 데이터 독립성 (§6 Data Independence)                                                                |
|     - 훈련(Training), 검증(Validation), 시험(Test) 데이터 세트의 엄격한 물리적/논리적 분리             |
|     - 데이터 누출(Data Leakage) 및 과적합(Overfitting) 방지 입증                                       |
|                                                                                                         |
|  2. 설명가능성 및 해석가능성 (§8 Explainability & Interpretability)                                     |
|     - 블랙박스 모델의 결정 요인을 설명할 수 있는 기법(SHAP, LIME, Feature Importance) 적용             |
|     - 모델의 예측 결과가 생물학적·화학적 공정 원리와 모순되지 않음을 입증                               |
|                                                                                                         |
|  3. 신뢰도 점수 및 미정 플래그 (§9 Confidence Scoring & Flagging)                                       |
|     - 예측·분류 모델은 신뢰도 점수(Confidence Score)를 기록(적용 가능한 경우)                           |
|     - 신뢰도가 낮은 결과는 '미정(undecided)' 플래그 처리을 고려해 신뢰성 낮은 예측 차단               |
|                                                                                                         |
|  4. 변경 통제 및 드리프트 모니터링 (§10 Change Control & Model Drift)                                    |
|     - 데이터 드리프트(입력 데이터 분포 변화) 및 개념 드리프트(공정 특성 변화) 실시간 추적               |
|     - 모델·시스템·공정 변경 시 재시험(retest) 필요성 평가 및 변경 탐지 조치(§10.1~10.4)              |
|                                                                                                         |
|  5. 인정 기준 설정 (§4.3 Acceptance Criteria)                                                           |
|     - AI 시스템의 성능 기준은 기존 인간 작업자 또는 결정론적 기존 공정의 성능 '이상(Equal or Better)'    |
|                                                                                                         |
|  6. 비례적 인간 감독 (§3.3 & §10.5 Proportional Human Oversight)                                       |
|     - 모델의 시험(testing) 수준이 낮을수록 인간 검토 강화 — 공정 임계성과 시험 수준에 따라              |
|       모든 출력의 검토·시험까지 요구될 수 있음 (§10.5)                                                |
+---------------------------------------------------------------------------------------------------------+

인적 검토 계층의 자격화(Human-in-the-Loop Qualification) 프레임

부속서 22 하에서 가장 중요한 방어벽은 **"자격을 갖춘 인간(Qualified Human)"**의 개입이다. AI가 아무리 정교한 일탈 초안을 작성하더라도, 그것을 검토하는 인간 작업자가 AI의 오류나 환각을 잡아낼 수 있는 역량을 갖추지 못했다면 실사(Audit)에서 심각한 데이터 무결성 지적(Critical Observation)을 받게 된다.

인간 검토자 자격화 4대 관리 항목

AI 한계 교육 이수 (Training on Limitations): 검토자는 해당 AI 도구의 훈련 데이터 범위, 알고리즘의 취약 영역, 빈번하게 발생하는 오류 패턴(예: 규정 인용 번호 날조, 과거 무효화된 일탈 사례의 부적절한 참조)에 대한 공식 교육을 이수해야 한다.
검토 추적성 보장 (Audit Trail of Verification): 단순히 AI 출력물 하단에 '승인(Approved)' 버튼을 누르는 것은 인정되지 않는다. 작업자가 AI 생성 문구 중 어느 부분을 수정하고, 원본 배치 기록의 어느 페이지를 대조했는지 전자 감사추적(Audit Trail)에 기록되어야 한다.
독립적 품질부서(QCU) 책임: 현장 제조 부서가 AI 도구로 작성한 문서는 반드시 독립된 품질보증(QA) 부서의 검토와 승인을 거쳐야 한다.
검토자 성과의 주기적 모니터링: 초안 §3.3은 인간 검토자(human-in-the-loop)의 훈련과 지속 성과를 "다른 수동 공정과 동일하게" 모니터링할 것을 요구한다. 검토자가 AI 출력을 실제로 걸러내고 있는지(오류 포획률)를 주기적으로 평가·기록해야 자격화가 완성된다.

미국 FDA 집행 신호와의 대비: 2026-04 경고장서(Warning Letter)의 교훈

미국 FDA 역시 GMP 영역에서의 무분별한 AI 도입에 대해 엄격한 법 집행을 시작했다.

FDA는 **2026년 4월 2일 발부된 경고장서(Warning Letter 320-26-58, Purolea Cosmetics Lab)**에서, 제조사가 AI 도구를 활용하여 원료 시험 규격과 마스터 제조기록서(Master Production Records)를 자동으로 생성하면서도 품질부서(Quality Control Unit)의 적절한 검토와 승인 절차를 거치지 않은 행위에 대해 21 CFR 211.22(c) 위반을 명시적으로 적시했다.

비록 해당 사례가 화장품 사업장(Purolea Cosmetics Lab)에 대한 경고장이지만 인용된 위반은 의약품 CGMP(21 CFR 210·211)이며, 미국 FDA 규제관들이 **"AI로 생성된 문서를 품질부서가 비판적 검토 없이 승인하는 행위"**를 중대한 품질시스템 붕괴로 간주하고 있음을 보여주는 결정적 신호다.

미국 진출을 위한 FDA·EMA 의약품 개발 AI 신뢰성 평가 프레임워크가 제출 데이터의 모델 검증을 다루고, 의료기기 분야의 FDA CSA 컴퓨터 소프트웨어 보증 전환이 위험 기반 검증을 다룬다면, EU GMP 부속서 22는 제조 현장 일상 운영의 직접적 품질 통제를 다룬다는 점에서 한국 제약사의 일상 SOP에 직접적인 영향을 미친다.

한국 CDMO·제약 사이트 자가 점검: 확정 전 정리할 8대 체크리스트

2026년 Q4 최종 부속서 22 확정과 후속 PIC/S 채택에 대비하여, 한국 제조 사이트가 지금 즉시 수행해야 할 8가지 자가 점검 항목은 다음과 같다.

[  ] 1. 사이트 내 AI/ML 사용처 전수 조사 (AI System Inventory)
       - 공정 제어, 비전 검사, 일탈 작성, 문서 검색 등 공장 내 모든 AI 도구 목록화

[  ] 2. 임계(Critical) vs 비임계(Non-Critical) 사용처 분류표 작성
       - 제품 품질 및 배치 출하에 직결되는 임계 영역에 생성형 AI가 연결되어 있는지 점검

[  ] 3. 생성형 AI의 임계 공정 완전 차단 (Air-gapping Critical Paths)
       - 배치 출하 결정 알고리즘 및 CPP 제어 루프에서 LLM 배제 확인

[  ] 4. 비임계 용도 AI 출력물의 인간 검토 SOP 제정
       - LLM 초안 작성 시 원본 데이터 1:1 대조 및 수정 내역 기록 절차 명문화

[  ] 5. 훈련/검증/시험 데이터의 독립성 증빙 파일(Data Integrity Dossier) 구비
       - 비전 검사 딥러닝 모델 등의 데이터 누출(Data Leakage) 부재 입증

[  ] 6. 모델 성능 기준선(Baseline) 및 불확실성 플래그 설정
       - 기존 수동 검사 대비 동등 이상의 정확도 입증 및 신뢰도 저하 시 수동 전환 로직

[  ] 7. AI 벤더사 모델 변경 관리(Vendor Model Change Management) 계약 점검
       - 외부 클라우드 LLM/API 업데이트 시 사전 통지 및 버전 고정(Version Pinning) 여부

[  ] 8. 품질부서(QA) 주관 AI 검토자 자격화(Qualification) 교육 프로그램 수립
       - AI 출력물의 환각 및 오류 식별 역량 평가 기록 관리

자주 묻는 질문 (FAQ)

Q1. 부속서 22는 현재 법적 구속력이 있나요?

2026년 8월 기준 부속서 22는 유럽연합 집행위원회 협의 초안(Draft) 단계이며, EudraLex Volume 4에 공식 게재되기 전까지는 법적 구속력이 없습니다. 그러나 EMA IWG가 2026년 Q4 최종안 확정을 목표로 하고 있고, 글로벌 실사 기관들이 이미 데이터 무결성 및 전산화 시스템(부속서 11)의 연장선상에서 AI 시스템의 신뢰성을 검증하고 있으므로 선제적 대응이 필수적입니다.

Q2. 사내 구축형(On-premise) 프라이빗 LLM을 사용하더라도 일탈 조사에 쓰면 안 되나요?

프라이빗 LLM이라 하더라도 생성형 AI 고유의 비결정론적 특성(동일 입력에 대한 출력 변동성)과 환각 위험은 제거되지 않습니다. 따라서 프라이빗 LLM 역시 일탈 조사의 '초안 보조(Assistance)' 도구로만 사용 가능하며, 최종 근본 원인 판정 및 CAPA 승인은 자격을 갖춘 인간 조사관이 원본 시험 기록과 일탈 현장을 직접 확인하고 서명해야 합니다.

Q3. AI 공급업체가 SaaS 형태로 클라우드 모델을 자동 업데이트하면 어떻게 되나요?

부속서 22가 확정되면 §10(변경 통제·구성 통제) 요건 미충족으로 이어질 수 있습니다. GMP 적격성이 입증된 AI 모델의 가중치나 알고리즘이 벤더사에 의해 임의로 변경되면 시스템의 밸리데이션 상태가 즉시 파괴됩니다. 따라서 제약사는 공급업체와 품질협약(Quality Agreement)을 체결하여 **특정 버전 고정(Version Pinning)**을 의무화하고, 모델 변경 시 사전 통지 및 재시험 기간을 확보해야 합니다.

Q4. 한국 식약처(MFDS) 규정만 따르는 국내 내수용 공장도 이 가이던스를 봐야 하나요?

한국 식약처는 의약품실사상호협력기구(PIC/S)의 회원 기관입니다. 이번 초안은 PIC/S와의 공동 협의(2025년 7월~10월)로 마련된 문서이므로, EU 확정 시 PIC/S GMP 가이드라인(PE 009) 채택이 뒤따를 것으로 업계는 예상합니다. 국내 전용 공장이라도 수출 실사·해외 고객 감사 관점에서 같은 기준이 적용될 가능성이 높으므로 참고할 필요가 있습니다.

Q5. 부속서 22가 확정되면 기존 전산화시스템 가이드라인인 Annex 11은 폐지되나요?

아닙니다. 부속서 22는 전산화 시스템 일반을 규율하는 **Annex 11을 대체하는 것이 아니라, 인공지능 기술의 특수성(학습 데이터, 모델 불투명성, 드리프트 등)을 보완(Complement)**하는 독립 부속서입니다. 따라서 AI 시스템은 Annex 11의 전산화 시스템 요건(접근 권한, 백업, 감사추적)과 Annex 22의 AI 특화 요건을 동시에 충족해야 합니다.

참고 출처

유럽연합 집행위원회 (European Commission): EU GMP Annex 22: Artificial Intelligence — Public Consultation Draft (2025년 7월 7일 발행, EudraLex Volume 4) — EC 공식 문서 다운로드
유럽 의약품청 (EMA): Good manufacturing practice multistakeholder workshop on expert contributions to AI guidance development (Annex 22) (2026년 6월 30일~7월 1일) — EMA 워크숍 공식 포털
유럽 의약품청 (EMA): 3-year work plan for the Inspectors Working Group (GMDP IWG) — EMA 업무계획 원문
미국 식품의약국 (FDA): FDA Warning Letter 320-26-58 (Purolea Cosmetics Lab, issued April 2, 2026) — 21 CFR 211.22(c) AI 품질부서 검토 미흡 적시 사례
PDA (Parenteral Drug Association): Interpreting the Draft Annex 22 on AI in GMP, PDA Journal of Pharmaceutical Science and Technology (2026년 2월)
EudraLex Volume 4: Medicinal Products for Human and Veterinary Use: Good Manufacturing Practice Guidelines