식약처 AI 디지털의료기기 '우수 관리체계 인증' 가이드라인 해부(2026-08-12 제정): GMP 간주·실사용평가 3년·4대 영역 통과 전략

식약처가 2026년 8월 12일 제정한 AI 디지털의료기기 우수 관리체계 인증 가이드라인의 규제 특례(GMP 적합판정 간주, 임상자료 면제·대체, 실사용평가 3년)와 4대 심사 영역(AI 제어조치·안전관리·전자적 침해예방·품질관리) 통과 전략을 심층 분석합니다.

대한민국 식품의약품안전처(MFDS) 디지털의료제품지원총괄과가 2026년 8월 12일 「디지털의료제품법」에 따른 'AI 디지털의료기기 우수 관리체계 인증 가이드라인'을 제정·발간했습니다.

2025년 1월 시행(2026년 1월 24일 2단계 확대 시행)에 들어간 「디지털의료제품법」(법률 제20057호)은 기존의 하드웨어 중심 의료기기법 체계에서 벗어나 독립형 소프트웨어 의료기기(SaMD)와 인공지능(AI) 기반 의료제품의 전주기 관리를 위해 신설된 특별법입니다. 이번 가이드라인은 동법 및 하위 고시인 **「우수 관리체계 인증 기준에 관한 규정」(식약처 고시 제2조~제9조)**이 규정하는 인증 제도의 세부 심사 기준과 행정 절차를 명확히 제시한 첫 공식 기술 지침입니다.

인공지능 의료기기 시장이 기존의 '단순 판독 보조 고정 알고리즘'에서 생성형 AI(Generative AI), 멀티모달 입출력 모델, 현장 연속학습(Continual Learning) 시스템으로 급격히 진화함에 따라, 과거처럼 고정된 알고리즘에 대해 모든 임상 데이터를 사전에 완결 짓고 허가를 받는 전통적 심사 방식은 심각한 허가 병목을 초래해 왔습니다.

식약처의 이번 '우수 관리체계 인증'은 기업의 거버넌스와 품질 역량을 종합 평가하여 ① GMP 적합판정 간주, ② 임상 제출자료 일부 면제 및 대체, ③ 3년 기한의 실사용평가(Real-World Evaluation) 유예라는 파격적인 규제 특례를 부여합니다.

본고에서는 2026년 8월 12일 제정된 가이드라인의 3대 규제 특례, 4개 심사 영역(AI 제어·안전·보안·품질), 인증심의위원회의 서면·현장 심사 통과 전략, 그리고 미국 FDA 및 EU MDR 대응과의 글로벌 연계 방안을 상세히 분석합니다.

[식약처 AI 디지털의료기기 우수 관리체계 인증 개요 (2026-08-18 기준)]

• 소관 부서: 식품의약품안전처 디지털의료제품지원총괄과 (2026-08-12 보도자료)
• 제정 일자: 2026년 8월 12일 공식 발간
• 법적 근거: 「디지털의료제품법」 및 「우수 관리체계 인증 기준에 관한 규정」(식약처 고시) 제2조~제9조
• 3대 특례: GMP 적합판정 간주 / 임상자료 일부 면제·대체 / 실사용평가 3년 유예
• 4대 심사 영역: ❶ AI 제어조치 ❷ 안전관리(설명가능성) ❸ 침해행위 예방(SBOM) ❹ 품질관리
• 관련 선행 분석:
  - 디지털의료제품법 법체계: [디지털의료제품법(DMPA) 총론 및 3대 분류 체계](/blog/mfds-digital-medical-products-act-dmpa-korean-samd-ai-device-2026)
  - 국가별 AI 변경관리: [AI 의료기기 사후 변경관리(PCCP) 비교](/blog/korean-samd-ai-device-change-control-pccp-dmpa-idaten-singapore-apac-2026)
  - 미국 FDA 510(k) 연계: [한국 AI 방사선 진단 510(k) 제품코드 지도](/blog/korean-ai-radiology-fda-510k-predicate-product-code-map)

1. 왜 지금 '우수 관리체계 인증'인가 — 생성형·연속학습 AI와 기존 허가 패러다임의 충돌

식약처의 AI 의료기기 누적 허가 실적은 2023년 62건에서 2024년 108건, 2025년 157건으로 가파르게 증가해 왔습니다. 그러나 최근 국내외 제약·바이오 및 헬스케어 현장에 도입되는 신규 SaMD는 과거의 룰 기반이나 고정 합성곱신경망(CNN)을 넘어섰습니다:

생성형 AI 모델의 비결정론적 출력: 대규모 언어·비전 모델(LLM/LVM)은 동일한 입력에 대해서도 맥락에 따라 다양한 보고서나 판독 요약을 생성하므로, 고정된 테스트 세트 기반의 사전자료만으로 모든 유효성을 검증하기 어렵습니다.
연속학습(Continual Learning)에 따른 데이터 드리프트: 병원 내 EMR/PACS 데이터가 축적됨에 따라 모델이 지속 업데이트되는데, 매번 업데이트마다 확증 임상시험을 재실행하는 것은 소프트웨어 개발 주기(CI/CD)와 양립할 수 없습니다.
높은 임상시험 비용과 출시 지연: 전향적 다기관 임상시험을 완료하기까지 2~~3년의 시간과 수억~~수십억 원의 CRO 비용이 소요되어 혁신 기술의 상용화가 지체되었습니다.

이에 식약처는 "제품 단위의 고정된 시험검사"에서 "기업의 전주기 AI 소프트웨어 라이프사이클 관리 능력(우수 관리체계)"을 심사하는 방향으로 규제 패러다임을 전격 전환한 것입니다.

2. 인증이 풀어주는 3가지 파격적 규제 특례

가이드라인에 따라 식약처 우수 관리체계 인증을 획득한 기업은 품목 허가 및 제조·품질 관리 전반에서 다음 세 가지 혜택을 받습니다.

[우수 관리체계 인증 3대 규제 특례 구조]

┌─────────────────────────────────────────────────────────────┐
│ 1. 디지털의료기기 GMP 적합판정 간주                             │
│    • 인증 기간 동안 해당 기업의 제조소는 디지털의료기기 GMP 적합   │
│      판정을 받은 것으로 간주 (품목 추가 시 절차 반복 불요)        │
├─────────────────────────────────────────────────────────────┤
│ 2. 인허가 신청 시 제출서류 일부 면제 및 대체                    │
│    • '임상시험 평가 자료 등 제출서류의 일부' 면제·대체 제출      │
├─────────────────────────────────────────────────────────────┤
│ 3. 실사용평가(Real-World Evaluation) 3년 유예 제도            │
│    • 확증 임상자료 대신 '실사용평가계획서' 제출로 선(先) 허가 취득   │
│    • 출시 후 3년 이내 실제 임상 현장 데이터 기반 결과보고서 제출    │
└─────────────────────────────────────────────────────────────┘

1) 디지털의료기기 GMP 적합판정 간주

전통적 의료기기 제조소는 정기 갱신 및 신규 품목군 추가 시마다 엄격한 KGMP 현장 정밀실사를 받아야 했습니다. 그러나 우수 관리체계 인증을 획득하면 「디지털의료제품법」에 따른 디지털의료기기 GMP 적합판정을 취득한 것으로 법적 간주됩니다. 이는 다수의 파이프라인(예: 흉부 CT 판독 보조, 뇌 MRI 분할, 안저 검사 등)을 보유한 AI 전문 기업이 신제품을 출시할 때마다 반복되던 GMP 적합판정 절차를 사실상 생략할 수 있게 해 줍니다.

2) 인허가 제출서류의 일부 면제 및 대체

기업이 사전에 검증된 AI 형상관리, 데이터 파이프라인 통제, 내부 검증 표준 운영 절차(SOP)를 가동하고 있음을 식약처가 공인했으므로, 보도자료가 명시한 대로 인허가 신청 시 '임상시험 평가 자료 등 제출서류의 일부'를 면제받거나 대체 제출할 수 있습니다. 인증에서 공인받은 공통 기술문서·변경관리 체계가 있다면 품목별 반복 제출 부담이 줄어드는 것이 실무적 기대치입니다.

3) 실사용평가(Real-World Evaluation, RWE) 3년 유예

가장 실질적인 혜택은 임상 증거 생성의 시간축 변경입니다.

기존 경로: 전향적 확증 임상시험 결과보고서가 완결되어야만 품목허가 승인.
인증 기업 특례: 신청 시점에 표준화된 **'실사용평가계획서(RWE Plan)'**를 제출하여 우선 시장에 진입한 후, 실제 의료기관(상급종합병원, 건강검진센터 등)에서 제품을 사용하면서 수집된 임상성능 데이터를 분석하여 허가일로부터 3년 이내에 '실사용평가 결과보고서'를 제출함으로써 최종 유효성을 확정 짓습니다.

이는 국내 첨단재생바이오법(첨생법 조건부품목허가 제도 참조)의 3상 유예 모델을 소프트웨어 의료기기에 맞게 이식한 것으로, 국내 기업의 현금흐름 창출과 시장 선점을 획기적으로 앞당깁니다.

3. 4대 심사 영역에서 실제로 평가하는 핵심 요건

인증심의위원회는 기업의 소프트웨어 개발 및 운영 시스템을 **4개 영역(AI 제어조치, 안전관리, 전자적 침해행위 예방, 품질관리)**으로 나누어 심사합니다. 각 영역별 필수 구축 항목은 다음과 같습니다.

심사 영역	핵심 규제 요구사항	기업이 제출·구축해야 하는 실무 증빙 (산출물)
❶ AI 제어조치 (AI Governance)	• 레드팀(Red Team) 운영 체계 • 임상 전문가 자문 거버넌스 • 편향(Bias) 및 환각(Hallucination) 완화	• 적대적 공격·이상치 테스트를 수행하는 사내/외부 레드팀 운영 규정 및 결과보고서 • 진료과별 전문의가 참여하는 AI 임상평가위원회 회의록 • 학습·검증 데이터셋의 인구통계학적 다양성 검증서
❷ 안전관리 (Explainability)	• AI 설명가능성 정보 제공 • 사용목적 및 성능 한계점 투명성 • 주의·금기사항 명문화	• 의료진 대상 설명가능성(Explainability) 기술문서 (히트맵/Grad-CAM 신뢰구간 지표 등) • 사용자 매뉴얼 내 '권장 입력 데이터 품질 요건' 및 '금기 임상 상태' 표기 • 잘못된 추론 발생 시 의료진 알림 프로토콜
❸ 전자적 침해예방 (Cybersecurity)	• 보안책임자 공식 지정 • 소프트웨어 자재명세서(SBOM) 관리 • 취약점 탐지 및 사고대응 체계	• CISO 또는 소프트웨어 보안책임자 임명 공문 및 역할 정의서 • CycloneDX 또는 SPDX 표준 형식의 공식 SBOM(Software Bill of Materials) • 오픈소스 라이브러리 CVE 취약점 자동 패치 프로세스 및 모의 침투테스트 보고서
❹ 품질관리 (Quality & KPI)	• 안전성·유효성 성과 목표 수립 • 출시 후 지속적 성능 모니터링 • 시정 및 예방조치(CAPA) 연동	• 연간 AI 성능 지표(AUROC, 민감도, 특이도, F1-score) 유지 계획서 • 데이터 드리프트 발생 시 알고리즘 롤백(Roll-back) 절차서 • 사용자 불만 및 오진 사례에 대한 AI 전용 CAPA 절차서

4. 인증심의위원회 평가 절차 및 현지조사 실무

우수 관리체계 인증은 서류 접수만으로 끝나지 않습니다. 산·학·연·병 전문가로 구성된 인증심의위원회의 2단계 엄격한 검증을 통과해야 합니다.

[우수 관리체계 인증 심사 절차 흐름도]

[신청서 접수 (e-Medi 시스템)]
           │
           ▼
[1단계: 서면 심사 (Document Review)]
• 4대 영역별 규정, SOP, 증빙 데이터 적합성 검토
• 보완 요구 (미비 서류 수정)
           │
           ▼
[2단계: 현지조사 (On-Site Audit)]
• 개발 서버, 형상관리 시스템(Git/CI-CD), 데이터 저장소 접근 권한 실사
• 보안책임자 및 AI 개발 리더 인터뷰 (레드팀 시연, SBOM 추출 시연)
           │
           ▼
[인증심의위원회 최종 의결] ──▶ [적합 판정 시 '우수 관리체계 인증서' 발급 (인증마크 부여)]

현지조사에서 걸릴 수 있는 취약점 — 제도 초입 단계의 예상 점검 포인트

인증 실적이 아직 없는 시행 초기 제도이므로, 아래는 가이드라인·보도자료의 요건 문면에서 예상되는 점검 포인트입니다.

형식적인 레드팀 운영: 사내 개발자가 자사 모델을 단순히 돌려본 것을 레드팀으로 제출하는 경우 ── 보도자료는 레드팀을 '시스템 취약점 점검을 위해 의도적으로 적대적 공격을 수행하는 독립적인 평가체계'로 정의하므로, 독립적 검증자 또는 임상 전문가가 적대적 노이즈·극단적 예외 사례(Edge cases)로 모델 한계를 테스트한 객관적 기록이 핵심 증빙이 됩니다.
SBOM 업데이트 단절: 초기 허가 시점의 오픈소스 목록만 보관하고, 빌드 파이프라인에서 실시간으로 생성·관리되는 SBOM 체계가 없는 경우.
설명가능성 지표의 추상성: "AI가 판단 근거를 시각화함"이라고만 쓰고, 해당 시각화 지표가 임상적으로 왜 신뢰할 수 있는지에 대한 통계적 설명이 부재한 경우.

5. 실사용평가(RWE) 3년 운용 실무: 계획서 작성부터 사후 관리까지

실사용평가 특례를 적용받는 기업은 제품 출시 후 3년간 실사용 데이터를 정밀하게 추적 관리해야 합니다.

[실사용평가 3년 라이프사이클 로드맵]

허가 신청 시점 ──▶ [실사용평가 계획서 제출]
                    • 목표 환자 수, 참여 의료기관 수, 1차 평가변수 정의
                    • 데이터 수집 프로토콜 (IRB 승인 요건 포함)
                         │
1년차 ~ 2년차  ──▶ [중간 모니터링 및 성능 이상 감지]
                    • 실제 임상 환경에서의 민감도/특이도 추적
                    • 성능 저하(Drift) 발견 시 즉시 보정 및 식약처 보고
                         │
3년차 만료 전  ──▶ [실사용평가 결과보고서 최종 제출]
                    • 수집된 RWD의 통계적 유의성 및 안전성 확증
                    • 식약처 최종 승인 ──▶ 완전 허가(Full Approval)로 영구 전환

주의: 3년 내 결과보고서 미제출 또는 실패 시의 불이익
정당한 사유 없이 3년 이내에 결과보고서를 제출하지 않거나, 실사용 데이터에서 당초 계획했던 유효성 기준치를 현저히 미달하는 경우 인허가 유지가 어려워질 수 있습니다(허가 취소·제조·판매 정지 등 행정조치로 이어질 수 있음). 따라서 진입 전 참여 병원과의 데이터 연동 계약을 사전에 완료해야 합니다.

6. 기업 역량 인증 vs 제품별 PCCP: 개념 비교 및 병행 전략

한국 기업들이 가장 많이 혼동하는 개념이 바로 식약처의 우수 관리체계 인증과 국가별 **사전 변경관리 계획(PCCP)**의 관계입니다.

구분	우수 관리체계 인증 (DMPA 가이드라인)	사전 변경관리 계획 (PCCP / 기허가 변경계획서)
적용 대상 단위	기업(법인 / 조직) 단위의 QMS 역량	개별 제품(소프트웨어 단일 품목) 단위
핵심 목적	기업의 전반적 신뢰도를 인정하여 GMP 간주 및 서류 면제	허가 후 특정 알고리즘 업데이트의 사전 승인
규제 혜택	GMP 간주, RWE 3년 유예, 공통 서류 면제	계획된 범위 내 변경 시 허가 변경 심사 면제
글로벌 대응	EU MDR Annex IX QMS 인증과 유사 개념(FDA에는 직접 대응 제도 없음, QMSR 실사 기반)	미국 FDA PCCP 및 APAC PCCP와 1:1 대응

두 제도는 상호 배타적이지 않으며 병행 운용됩니다. 즉, 기업은 '우수 관리체계 인증'을 취득해 기본 체력을 공인받고, 개별 제품 허가 시에는 'PCCP'를 탑재하여 버전 업데이트를 무심사로 빠르게 진행하는 것이 최선의 규제 전략입니다.

7. 글로벌 진출과의 연계: 국내 인증을 FDA 510(k) 및 EU MDR 제출의 레퍼런스로 쓰는 법

국내 인증 준비에 투입되는 자원은 결코 '국내용 매몰 비용'이 아닙니다. 가이드라인이 요구하는 4대 영역의 산출물은 미국 FDA와 유럽 MDR의 최신 요구조건과 정확히 맞물려 있습니다:

[국내 인증 산출물의 글로벌 규제 매핑]

식약처 인증 산출물                        글로벌 인허가 매핑 (FDA / EU)
─────────────────────────────────────────────────────────────────────────────
• SBOM 및 보안책임자 체계   ──────▶ FDA 사이버보안 문서 요건(Section 524B)의 핵심 기반
• 설명가능성 & 한계점 문서  ──────▶ EU AI Act 제13조(투명성) 문서 요건과 정합
• 레드팀 편향 검증 보고서   ──────▶ FDA GMLP(Good Machine Learning Practice) 원칙 이행 증빙
• 실사용평가(RWE) 3년 데이터 ─────▶ EU MDR Post-Market Clinical Follow-up(PMCF) 계획의 데이터 기반

한국 AI 의료기기 기업(한국 AI 방사선 진단 510(k) 지도 참조)은 국내 인증용으로 작성된 기술문서를 영문화 및 모듈화하여 미국 510(k)/De Novo 제출 패키지로 즉시 전환해야 합니다.

8. 다음 90일 실행 순서: 국내 SaMD 기업을 위한 로드맵

[우수 관리체계 인증 신청 90일 실행 계획]

Day 1 ~ 30: 내부 Gap Analysis 및 보안책임자 공식 임명
  ├── CISO 또는 SaMD 보안책임자 공식 임명 및 직무기술서 배포
  ├── 전체 소프트웨어 저장소의 SBOM 자동 추출 파이프라인(CI/CD) 구축
  └── 사내 AI 윤리 및 거버넌스 규정 제정

Day 31 ~ 60: 레드팀 운영 및 설명가능성 문서 패키징
  ├── 외부 자문의 또는 독립 검증팀을 통한 적대적/이상치 데이터 테스트 수행
  ├── 사용자 설명가능성 지표(신뢰구간, 주의사항, 금기) UI/UX 반영 및 매뉴얼화
  └── 실사용평가(RWE) 대상 품목의 평가계획서 초안 작성

Day 61 ~ 90: e-Medi 접수 및 모의 현지실사 준비
  ├── 식약처 e-Medi 시스템을 통한 '우수 관리체계 인증 신청서' 공식 접수
  ├── 서면 심사 보완 대응팀 구성
  └── 개발 서버 접근 권한 및 Git 로그 점검을 포함한 사내 모의 현지실사 완료

자주 묻는 질문 (FAQ)

Q1. 우수 관리체계 인증을 받으면 기존 의료기기 KGMP 정기실사가 완전히 면제되나요?

디지털의료제품법 관할 하의 디지털의료기기(소프트웨어 전용) GMP 적합판정을 받은 것으로 법적 간주됩니다. 따라서 해당 제도 관할 품목군에 대해서는 별도의 GMP 적합판정 절차를 반복하지 않아도 됩니다. 단, 하드웨어 의료기기(물리적 제조 라인)를 병행 제조하는 기업은 기존 KGMP 체계의 실사를 별도로 받아야 합니다.

Q2. 실사용평가 결과보고서를 3년 기한 내에 제출하지 못하면 어떻게 되나요?

정당한 연장 사유(식약처 인정 사유) 없이 3년 내 결과보고서를 제출하지 않거나 최종 유효성 입증에 실패하면, 품목허가 취소·제조·판매업무 정지 등 행정처분을 받을 수 있습니다. 따라서 실사용평가 계획서 수립 시 달성 가능한 임상 평가지표(Endpoint)를 현실적으로 설정해야 합니다.

Q3. 인증은 기업(법인) 단위인가요, 개별 제품 단위인가요?

기업(법인 또는 조직) 단위의 관리 역량 인증입니다. 한 번 인증을 획득하면 유효기간 동안 해당 기업이 개발·제조하는 모든 디지털의료기기 파이프라인에 대해 공통 규제 혜택(GMP 간주, 서류 간소화)이 적용됩니다.

Q4. 연속학습형 AI가 아닌 단순 고정 알고리즘 AI 기기도 인증을 신청할 가치가 있나요?

충분히 가치가 있습니다. 고정 알고리즘 기반 제품이라도 향후 지속적인 버전 업데이트가 예정되어 있거나 다수의 파이프라인을 순차 출시할 계획이라면, GMP 간주와 심사 기간 단축만으로도 상당한 비용 절감 및 타임투마켓 가속 효과를 누릴 수 있습니다.

Q5. SBOM과 보안책임자 지정은 인증 신청 전에 반드시 완료되어 있어야 하나요?

원칙적으로 그렇습니다. 보안책임자 지정과 SBOM 기반 침해 대응은 4대 영역 중 '전자적 침해행위 예방·대응'의 핵심 요건으로 명시되어 있으므로, 신청 전에 구축을 완료하는 것이 안전합니다. 완비되지 않은 상태로 신청하면 서면 심사에서 보완 요구가 예상됩니다.

참고 출처

식품의약품안전처 보도자료 (2026-08-12): 식약처, AI 디지털의료기기 우수 관리체계 인증 가이드라인 마련 (디지털의료제품지원총괄과, 보도자료 관리번호 seq=50266)
https://www.mfds.go.kr/brd/m_99/view.do?seq=50266
식약처 누리집 법령정보 ▸ 공무원지침서/민원인안내서: AI 디지털의료기기 우수 관리체계 인증 가이드라인 원문 (보도자료 첨부파일로도 확인 가능)
https://www.mfds.go.kr/brd/m_1060/list.do
국가법령정보센터: 「디지털의료제품법」(법률 제20057호, 2025-01-24 시행, 2026-01-24 2단계 확대 시행) 및 「우수 관리체계 인증 기준에 관한 규정」(식약처 고시, 제2조~제9조)
https://www.law.go.kr
식약처 e-Medi 전자민원시스템: 디지털의료제품 민원안내 및 우수 관리체계 인증 신청 포탈
https://emedi.mfds.go.kr/msismext/emd/bif/digitInfoIntrcnView.do
BioIn (국가생명공학정책연구센터): 식약처 AI 디지털의료기기 우수 관리체계 인증 가이드라인 전문 해설 (2026-08)
https://www.bioin.or.kr