주제 1.5 — 규제 및 규정 준수 환경

한 문장으로: 디지털 보건·돌봄에서 규정 준수는 사후의 법률 문제가 아니라, 겹치는 법적 의무, 의무 표준, 자율 보증의 지도이며, 위험에 비례하고 명확한 책임자를 두고 의도적으로 헤쳐 나가야 한다. 잘못 다루면 벌금 정도가 아니라 안전, 형평성, 대중 신뢰의 실패이기 때문이다.

보건·돌봄에서 이것이 중요한 이유#

대부분의 부문에서 규제는 하한선을 정한다. 따르면 처벌을 피한다. 보건·돌봄에서는 규제 환경이 디지털 시스템이 잘못될 때 사람을 어떻게 해치는지에 관한 어렵게 얻은 교훈을 담고 있다. 잘못 표기된 용량, 사라진 기록, 편향된 알고리즘, 한 사람이 가진 가장 민감한 데이터를 노출하는 침해가 그렇다. 여기서 규정 준수는 그런 피해를 애초에 생각해 보았는지를 보여 주는 대리 지표다. 그것을 서류 작업으로 취급하는 리더는 생각해 보지 않았다고 말하는 것이다.

환경은 또한 실제로 붐비며, 그것이 어려움이다. 환자용 앱 하나가 동시에 한 기관이 규제하는 의료기기일 수 있고, 다른 기관의 관할 아래 개인정보를 처리하며, 국가 평가를 통과해야만 구매되고, 돌봄 규제 기관이 점검하는 서비스 안에 있으며, 각자의 전문직 규제 기관에 책임을 지는 임상의가 만든 것일 수 있다. 이 지도를 일관된 전체로 쓴 사람은 없다. 쌓이면서 생긴 것이다. 리더의 역할은 모든 규칙을 외우는 것이 아니라 지형의 윤곽을 쥐는 것이다. 누가 무엇을 다루는지, 어떤 수단이 의무이고 어떤 것이 권고인지, 여러분의 특정 서비스가 그 안에서 어디에 있는지다.

마지막으로 이것은 공적 자금과 법적 의무의 문제다. 규정에 맞지 않는 시스템을 도입하면 조직이 집행에 노출될 뿐 아니라 환자와 시민에 대한 의무를 위반하는 것일 수 있고, 합법적으로 운영할 수 없는 것에 공적 자금을 쓰는 셈이 된다. 그래서 이 주제는 임상 안전(주제 1.6 — 임상 안전 및 위험 관리), 정보 거버넌스(주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안), 데이터 윤리(주제 1.8 — 데이터 윤리, 동의 및 대중의 신뢰), 보증(주제 6.4 — 거버넌스 및 보증)에 관한 이어지는 더 상세한 주제들의 틀이 된다. 이 주제는 항해사이고, 그 주제들은 상세한 해도다.

핵심 개념#

의무의 세 단계. 가장 유용한 단일 구분은 법적 규제, 의무 표준, 자율 보증 사이의 구분이다. 법적 규제는 법이다. 법적 권한을 가진 규제 기관이 집행하며 타협할 수 없다(예: 데이터 보호법, 또는 의료기기를 등록해야 할 요건). 의무 표준은 1차 입법이 아니더라도 시스템 안에서 운영하려면 충족해야 하는 계약상 또는 정책상의 요건이며, 예를 들어 구매가 그에 조건부로 이루어지는 NHS 국가 수단이 있다. 자율 보증은 신뢰를 쌓고, 조달을 따내고, 미래의 규제에 선제 대응하기 위해 인정된 기준에 비춰 품질을 입증하기로 스스로 선택하는 것이다. 특정 요건이 어느 단계에 속하는지 알면 그것을 놓쳤을 때 무슨 일이 일어나는지 알 수 있다. 기소, 시장 배제, 또는 평판상의 불이익이다.

돌봄품질위원회(CQC). Care Quality Commission은 잉글랜드 보건 및 성인 사회적 돌봄의 독립 규제 기관이다. 서비스가 안전하고, 효과적이며, 배려하고, 반응적이며, 잘 이끌어지는지를 기준으로 제공자를 등록하고, 점검하고, 평가한다. 디지털 서비스도 예외가 아니다. 기술이 돌봄 전달의 일부인 곳에서는 안전과 리더십에 관한 CQC의 질문이 여러분이 운영하는 시스템에까지 미치며, "잘 이끌어지는" 영역은 점차 디지털 및 데이터 성숙도를 파고든다.

MHRA와 의료기기. Medicines and Healthcare products Regulatory Agency(MHRA)는 영국의 의약품과 의료기기를 규제한다. 결정적으로 소프트웨어가 의료기기가 될 수 있다. 의료기기로서의 소프트웨어(SaMD)는 하드웨어 기기의 일부가 되지 않으면서 진단, 예방, 모니터링, 치료라는 의료 목적을 위한 소프트웨어다. 앱이 용량을 계산하거나, 증상을 분류하거나, 영상을 해석한다면 의료기기일 가능성이 매우 높으며, 시장에 내놓기 전에 분류되고, 등록되고, 적절한 적합성 표시를 달아야 한다.

적합성 표시: UKCA와 CE. 영국(그레이트브리튼) 시장에 출시되는 의료기기에는 UKCA 표시(UK Conformity Assessed)가 필요하며, 이는 CE 표시(Conformité Européenne)의 브렉시트 이후 영국판이다. 당분간 CE 표시 기기는 과도기 조치에 따라 그레이트브리튼에서 계속 인정되고, 북아일랜드는 EU 규칙을 따른다. 따라서 필요한 표시는 기기를 어디에 출시하느냐에 달려 있다. 이는 살아 있고 변하는 영역이므로 정확한 요건은 가정하지 말고 확인할 대상으로 다루라.

NICE와 근거 표준 프레임워크. National Institute for Health and Care Excellence(NICE)는 무엇이 효과가 있고 비용 효과적인지에 관한 지침을 낸다. 디지털 보건 기술을 위한 근거 표준 프레임워크(ESF)는 위험에 비례하여 디지털 제품이 시스템이 채택하기 전에 보여 주어야 할 근거를 규정한다. NICE는 MHRA 같은 허가 문지기는 아니지만 그 판단은 구매에 크게 영향을 준다. MHRA 등록을 통과하면 기기가 판매에 안전함을 증명하고, NICE에 부합하는 근거 기대를 충족하면 구매할 가치가 있음을 증명하는 데 도움이 된다(주제 1.3 — 근거 기반 의사결정 참조).

ICO와 데이터 보호법. Information Commissioner's Office(ICO)는 데이터 보호와 정보 공개에 관한 영국의 독립 규제 기관이다. 개인정보를 합법적으로 처리하는 방법을 규율하는 영국 일반 데이터 보호 규정(GDPR)과 Data Protection Act 2018을 집행하며, 건강 데이터는 가장 강한 보호를 받는 "특수 범주"다. ICO는 조사하고, 변경을 명령하고, 상당한 벌금을 부과할 수 있다. 본질은 주제 1.7에서 다루며, 여기서는 ICO가 여러분의 데이터 보호 규제 기관이고 건강 데이터에는 더 높은 기준이 따른다는 점만 기억하면 된다.

NHS 의무 수단. 1차 법률을 넘어 NHS는 자체 의무 수단을 운영한다. Data Security and Protection Toolkit(DSPT)은 NHS 환자 데이터를 다루는 모든 조직이 데이터 보안과 정보 거버넌스 기준을 입증하기 위해 매년 완료해야 하는 자기 평가다. Digital Technology Assessment Criteria(DTAC)는 디지털 보건 기술이 NHS 기관에 구매되기 위해 충족해야 하는 기준선으로, 임상 안전, 데이터 보호, 기술적 보안, 상호운용성, 사용성을 아우른다. 임상 안전 표준 DCB0129(제조업체용)와 DCB0160(도입 조직용)은 위험 로그, 임상 안전 책임자, 안전 사례라는 문서화된 임상 위험 관리 프로세스를 의무화하며 주제 1.6의 근간이다.

전문직 규제 기관. 제품뿐 아니라 사람도 규제된다. General Medical Council(GMC)은 의사를 등록하고 표준을 정하며, Nursing and Midwifery Council(NMC)은 간호사와 조산사에 대해 같은 일을 한다. 임상의가 디지털 서비스를 설계하고, 승인하고, 운영할 때 그들의 전문직 의무가 함께 따라온다. 시스템을 승인하는 임상 안전 책임자는 조직도상의 역할만이 아니라 전문직 책임 아래 행동하는 것이다.

전망과 맥락: EU 체제. EU 밖에서도 AI 법과 Regulation (EU) 2017/745(EU 의료기기 규정, MDR)는 중요하다. 이들은 진행 방향을 정하고, EU 시장이나 북아일랜드에 서비스할 경우 구속력이 있으며, 영국 규칙이 다음에 어디로 갈지 미리 보여 주는 경우가 많다. 이런 변화에 대한 전망 탐색 자체가 규정 준수의 한 분야다.

규정 준수 지도와 등록부. 규정 준수 지도는 서비스에 대해 세 단계에 걸친 모든 해당 의무를 나열하고, 규정 준수 등록부는 각 의무의 상태, 책임자, 증거, 검토일을 기록한다. 둘이 함께 흩어진 환경을 관리되고 감사 가능한 입장으로 바꾼다. "우리는 규정을 지키고 있다고 생각한다"와 "각 의무에 대한 지정 책임자와 최신 증거가 여기 있다"의 차이다.

모범 사례#

1. 통제를 논하기 전에 서비스를 분류하라. 첫 질문은 "우리는 규정을 준수하는가?"가 아니라 "우리는 법적으로 무엇인가?"이다. 제품이 의료기기인지(그리고 그 위험 등급), 우리가 데이터 처리자인지 통제자인지, 어떤 NHS 의무 수단이 적용되는지 일찍 판단하라. 분류가 잘못되면 이후의 모든 결정이 잘못되고, 제대로 하면 위의 단계와 기관 중 어느 것이 실제로 구속하는지 알려 준다.

2. 살아 있는 규정 준수 지도와 등록부를 구축하고 유지하라. 법적 규제, 의무 표준, 자율 보증에 걸쳐 서비스에 적용되는 모든 의무를 열거하고, 각각에 대해 책임자, 현재 상태, 뒷받침하는 증거, 다음 검토일을 기록하라. 비즈니스 케이스를 위해 한 번 쓰고 다시는 열지 않는 문서가 아니라, 일정에 따라 검토되는 살아 있는 상태로 유지하라. 좋은 등록부는 어느 날이든 "이 의무는 누구의 것이며 증거는 어디 있는가?"에 답한다.

3. 각 의무마다 한 사람의 이름으로 책임을 지정하라. 책임이 분산되는 것이 규정 준수가 실패하는 방식이다. 모두가 다른 누군가가 쥐고 있다고 가정한다. 각 의무에 지정 책임자를 두라. 데이터 보호에는 정보보호책임자, DCB0129/0160에는 임상 안전 책임자, DSPT에는 선임 정보 위험 책임자를 두고, 지도의 책임자 열이 이를 수행할 권한과 시간으로 실제가 되게 하라. 이름이 없는 책임은 책임이 아니다.

4. 체크박스가 아니라 비례적이고 위험 기반으로 하라. 규제도 근거와 같은 비례성이 마땅하다(주제 1.3 참조). 환자, 형평성, 신뢰에 대한 위험이 가장 큰 곳에 엄밀함을 집중하고, 저위험 업무는 가볍게 유지하라. 서식은 채우면서 의도는 놓치는 체크박스식 준수는 낭비이면서 위험하다. 거짓 보증을 만들어 내기 때문이다. 각 요건의 목적을 충족하는 것을 목표로 삼으라. 대개 문언도 함께 충족된다.

5. NHS 의무 수단을 출구 관문이 아니라 설계 입력으로 다루라. DTAC, DSPT, DCB0129/0160은 가동 직전에 덧붙이는 대신 처음부터 전달에 내장할 때 가장 저렴하고 효과적이다. 출시 때 발견한 DTAC 실패는 몇 달이 걸릴 수 있고, 사후에 조립한 임상 안전 사례는 얇고 설득력이 없다. 이 수단들을 디스커버리와 전달에 녹여 넣어 이를 충족하는 것이 잘 일하는 것의 부산물이 되게 하라.

6. 규제 변화를 전망 탐색하고 대응을 책임지라. 규제는 움직인다. UKCA 일정이 바뀌고, EU AI 법이 단계적으로 시행되고, 의료기기로서의 소프트웨어 체제가 진화한다. 관련 규제 기관과 의견 수렴을 추적할 사람을 지정하고, 규정 준수 지도에 대해 짧은 "규제 변화" 감시 목록을 유지하며, 기한이 비상사태가 되기 전에 신호를 계획된 업무로 바꾸라. 미리 알려진 규칙 변경에 놀라는 것은 피할 수 있는 자초한 실패다.

7. 증거를 지속적으로 유지하고 감사에 대비하게 하라. 규제 기관, 구매자, CQC의 "잘 이끌어지는" 검토자는 여러분에게 주장이 아니라 보여 달라고 요구한다. 위험 로그, 데이터 보호 영향 평가, DSPT 제출물, DTAC 증거를 점검 압박 속에서 재구성하는 대신 최신이고 검색 가능하게 유지하라. 지속적인 증거는 그것이 대체하는 주기적 아수라장보다도 저렴하다.

8. 규제 기관 간에 사일로가 아니라 조율하라. 하나의 서비스가 여러 기관에 닿으므로, 규정 준수 기능은 서로 대화해야 한다. 임상 안전, 정보 거버넌스, 제품 책임자는 세 개의 단절된 관점이 아니라 서비스에 대한 하나의 관점을 공유해야 한다. MHRA를 만족시키는 변경이 데이터 보호 문제를 낳을 수 있고, UX 수정이 임상 위험 프로파일을 바꿀 수 있다. 규정 준수를 더 넓은 거버넌스(주제 6.4 — 거버넌스 및 보증)와 연결된 하나의 조율된 그림으로 운영하라.

팀과 논의할 질문#

1. 우리의 대표 디지털 서비스에 대해, 적용되는 모든 규제 기관과 의무 표준, 각각의 책임자, 그리고 현재 증거가 어디 있는지를 누가 찾아보러 가지 않고도 말할 수 있는가? 이 질문은 여러분이 실제로 지도를 쥐고 있는지, 아니면 규정을 지키고 있다고 믿을 뿐인지를 시험한다. 보건·돌봄에서는 의무가 실제로 겹치기 때문에 중요하다. 분류 앱은 동시에 MHRA 하의 의료기기, ICO 하의 데이터 처리 작업, DTAC가 필요한 구매 기술, CQC가 점검하는 서비스의 일부일 수 있으며, 어느 한 단계의 구멍도 서비스를 멈추게 하거나 환자를 해칠 수 있다. 드러내야 할 긴장은 "IG가 알아서 한다"거나 "공급업체가 규제받는 것이지 우리가 아니다"라고 가정하는 안락함과, 각 의무에 대한 지정 책임자와 살아 있는 증거를 확인하는 불편함 사이에 있다. 서비스를 구체적으로 짚어 보라. 기관을 열거하고, 각 의무를 단계(법적, 의무, 자율)에 배치하고, 그중 세 가지에 대한 현재 증거를 즉석에서 내놓아 보라. 못 한다면 첫 번째 구멍을 찾은 것이다. 좋은 정직한 답은 지정 책임자와 날짜가 적힌 증거가 채워진 규정 준수 등록부이며, "우리는 규정을 지킨다"는 자신 있는 손짓이 아니라 현재 책임자가 없거나 증거가 없는 의무에 대한 솔직함이다.

2. 우리는 어디서 체크박스식 준수 — 취지는 놓치고 서식만 충족하기 — 를 하고 있으며, 어디서 저위험 업무를 과도하게 설계하고 있는가? 주제는 비례적이고 위험 기반인 규정 준수를 주장하며, 이 질문은 두 방향의 실패를 정직하게 점검하게 한다. 안전이 핵심인 환경에서 거짓 보증은 적극적으로 위험하기 때문에 중요하다. "충족"으로 표시된 DSPT나 가동 일주일 전에 조립한 임상 안전 사례는 규정을 지키는 것처럼 보이면서 실제 위험은 관리되지 않은 채 남겨 둘 수 있고, 그 사이 저위험 콘텐츠 변경을 틀어막는 무거운 보증 프로세스는 희소한 역량을 낭비하고 제도 전체에 대한 냉소를 키운다. 논의할 상충 관계는 비례성이 판단과 그것을 변호할 자신감을 요구하며, 모든 것을 고위험으로 취급하는 획일적 규칙보다 운영하기 어렵다는 점이다. 현재 항목 두세 개, 곧 진정한 고위험 하나와 저위험 하나를 골라 적용한 엄밀함이 환자, 형평성, 신뢰에 대한 위험에 맞았는지, 습관과 두려움에 이끌렸는지 물으라. DTAC와 DCB0129/0160 작업이 설계를 진정으로 형성하고 있는지, 통과하도록 역설계되고 있는지 따져 보라. 좋은 답은 체크박스식 준수의 구체적 사례와 과잉 설계의 구체적 사례를 명명하고, 모든 곳에 하나의 뭉툭한 표준을 적용하는 대신 엄밀함을 위험에 맞춰 조정하겠다고 약속한다.

3. 우리에게 영향을 주는 규제가 바뀔 예정임을 어떻게 알 수 있으며, 그 신호를 계획된 업무로 바꾸는 책임은 누구에게 있는가? 이 질문은 전망 탐색, 곧 기한에 놀라는 조직과 계획하는 조직을 가르는 규율을 파고든다. 환경이 지금 유난히 살아 있기 때문에 중요하다. UKCA와 CE 표시 일정, 의료기기로서의 소프트웨어 체제, 단계적으로 시행되는 EU AI 법, 진화하는 NHS 수단이 그렇고, 올 줄 알면서도 준비하지 않은 규칙 변경은 서비스를 시장에서 끌어낼 수 있는 자초한 상처다. 긴장은 전망 탐색에 즉각적인 보상이 없어 전달 압박 속에서 가장 먼저 버려지고, 그 부재는 기한이 올 때까지 보이지 않는다는 점이다. 현재 누가 관련 규제 기관과 의견 수렴을 추적하는지, 규정 준수 지도에 연결된 감시 목록이 있는지, 신호가 누군가의 받은편지함 속 걱정이 아니라 책임자와 날짜가 있는 티켓이 되는지 탐색하라. 북아일랜드나 EU를 향한 서비스 부분에만 영향을 주는 변화를 여러분이 과연 들을 수 있을지 고려하라. 좋은 답은 규제 전망 탐색을 소유한 사람 또는 역할을 명명하고, 구체적인 감시 목록을 가리키며, 다가오는 변화를 기한 전에 계획된 업무로 바꾼 마지막 때를 설명한다.

4. 우리가 무엇인지 — 의료기기인지 아닌지, 통제자인지 처리자인지 — 정직하게 분류했는가, 아니면 부담을 낮추는 해석을 조용히 골랐는가? 이 질문은 주제에서 가장 결정적인 판단을 드러낸다. 분류가 이후의 모든 의무를 좌우하고 스스로를 속이기 가장 쉬운 곳이기 때문이다. 유인이 모두 한쪽으로 당기기 때문에 중요하다. 제품을 의료기기로서의 소프트웨어가 아니라 "웰니스 앱"이라 부르거나, 통제자가 아니라 "처리자"라고 부르면 비용, 근거, 검증을 피하지만, 알고리즘이 임상 조치에 정보를 주려고 데이터를 해석하거나 처리의 목적을 우리가 정한다면 정직한 분류는 선택 사항이 아니며 규제 기관은 우리의 선호와 무관하게 이를 적용할 것이다. 긴장은 더 저렴한 해석이 내부 대화에서는 버틸 만큼 변호 가능하지만 MHRA나 ICO의 조사 앞에서는 그렇지 않은 경우가 많고, 잘못된 분류가 집행과 무너진 NHS 파이프라인으로 가는 가장 빠른 길이라는 점이다. 구체적으로 다루라. 제품이 실제로 무엇을 하는지 진술하고, 창업자의 직감이 아니라 법률 자문을 받으며, 규제 기관이 같은 사실을 읽어도 우리가 밝힌 등급이 버틸지 시험하라. 좋은 정직한 답은 자문과 함께 일찍 도달한 문서화된 분류, 승인한 사람, 경계선의 판단과 제품이 변함에 따라 그것을 어떻게 계속 검토하는지에 대한 솔직함을 보여 준다.

5. 서비스의 한 변경이 여러 규제 기관에 동시에 닿을 때, 우리의 규정 준수 기능은 하나의 공유된 그림을 보는가, 아니면 세 개의 단절된 그림을 보는가? 이 질문은 조율, 곧 임상 안전, 정보 거버넌스, 제품이 각각 부분적인 시야를 쥘 때 주제가 경고하는 실패를 시험한다. 하나의 서비스가 실제로 여러 기관에 걸쳐 있기 때문에 중요하다. 분류 앱의 UX 변경이 임상 위험 프로파일을 바꿀 수 있고, MHRA를 만족시키는 수정이 데이터 보호 문제를 열 수 있으며, DTAC 요건이 모두를 끌어당길 수 있다. 따라서 사일로 구조는 누구도 전체 규정 준수 입장을 소유하지 않고 변경이 팀 사이로 떨어짐을 뜻한다. 긴장은 전문 기능이 타당한 이유로 학문 분야별로 조직되는 반면 서비스는 환자에게 하나의 것으로 경험되며, 그 시야를 조정하는 비용을 어느 팀도 부담할 유인이 없다는 점이다. 서비스당 공유된 규정 준수 지도가 하나인지 여러 개의 사적 지도인지, 한 영역의 변경이 다른 영역의 검토를 안정적으로 촉발하는지, 이것이 이사회 수준의 거버넌스(주제 6.4)와 어떻게 이어지는지 탐색하라. 좋은 답은 각 서비스에 대한 단일한 조율된 관점을 가리키고, 영향받는 모든 규제 기관에 걸쳐 함께 평가된 최근 변경을 설명하며, 분야들이 아직 사일로로 운영되는 곳에 솔직하다.

6. 서비스가 제3자 공급업체에 의존하는 경우, 어느 의무가 그들의 것이고 어느 것이 여전히 우리의 것인지 정확히 알고 있는가, 아니면 "그들이 규제받으니 우리는 보호된다"고 가정하는가? 이 질문은 잘못된 분류와 분산된 책임이 모두 키우는 공동 책임의 간극을 드러낸다. 규제받는 구성 요소를 구매한다고 해서 우리 자신의 의무가 이전되지는 않기 때문이다. 공급업체는 의료기기 적합성 표시를 보유할 수 있지만, 도입 조직인 우리는 여전히 DCB0160 임상 안전 사례를 빚지고, 우리 환자에 대한 데이터 통제자로 남으며, 서비스 운영 방식에 대해 CQC에 답해야 한다. "그들의 준수"와 "우리의 준수" 사이의 이음매가 바로 의무가 떨어지는 곳이다. 긴장은 규제적이면서 상업적이기도 하다. 공급업체는 부담을 자신이 진다는 것을 시사하는 계약을 선호하고, 경계를 정밀하게 그리는 대신 그 안락함을 받아들이고 싶어진다. 실제 공급업체 관계 하나를 살펴보라. 계약과 그들의 표시가 실제로 무엇을 다루는지, 무엇이 여전히 우리의 법적 또는 의무적 책임으로 남는지, 우리 등록부가 그 구분을 우리 쪽 지정 책임자와 함께 기록하는지를 열거하라. 좋은 정직한 답은 공급업체의 의무와 우리가 유보한 의무를 서면으로 구별하고, 유보한 각 의무의 책임자를 명명하며, 공급업체가 보유한다고 가정하는 증거가 아니라 우리가 보유한 증거를 보여 줄 수 있다.

실제 사례: 보건·돌봄 예시#

한 통합 돌봄 시스템(ICS)이 장기 질환 환자가 증상을 기록하게 하고, 알고리즘으로 악화 가능성이 있는 사람을 표시해 임상 검토를 받게 하는 스마트폰 앱을 도입하려 한다. 유혹은 이것을 "그냥 앱"으로 취급해 가동하는 것이다.

대신 디지털 책임자는 분류부터 시작한다. 알고리즘이 임상 조치에 정보를 주려고 환자 데이터를 해석하므로, 법률 자문은 이것이 의료기기로서의 소프트웨어임을 확인하고, 따라서 MHRA 체제가 적용되며 공급업체는 그레이트브리튼 시장에 맞는 적합성 표시를 보유해야 한다. 이는 과도기 CE 조치가 진화함에 따라 팀이 지켜보려고 표시해 두는 UKCA 문제다. ICS는 환자 데이터의 데이터 통제자이므로 ICO의 데이터 보호 의무가 구속하며, 데이터 보호 영향 평가가 시작된다(주제 1.7에 반영). NHS 기관이 구매하므로 DTAC가 적용되고, 임상 사용에 도입되므로 DCB0160은 임상 안전 사례, 위험 로그, 지정된 임상 안전 책임자를 요구한다(주제 1.6).

팀은 규정 준수 지도를 만든다. 각 의무를 단계에 배치하고, 각각에 정보보호책임자, 임상 안전 책임자, 선임 정보 위험 책임자, 제품 리드라는 지정 책임자를 두며, 상태와 증거를 추적하는 등록부를 둔다. DTAC와 안전 사례를 가동 관문으로 취급하는 대신 디스커버리부터 전달에 녹여 넣어 위험 로그가 설계와 함께 자라게 한다. NICE의 근거 표준 프레임워크는 확대 전에 공급업체에 요구할 효과성 근거를 형성한다. 전망 탐색 메모는 EU AI 법이 알고리즘의 미래와 모든 EU 대상 야망에 관련됨을 표시한다. 나중에 CQC가 서비스의 리더십을 검토할 때, ICS는 "잘 이끌어지는" 질문에 허둥대는 대신 살아 있는 등록부와 최신 증거로 답한다. 앱은 순진한 계획보다 늦게 출시되었으나 합법적으로 출시되었다.

부문별 관점#

같은 환경이 어디에 서 있느냐에 따라 매우 다른 부담을 부과한다.

스타트업#

소규모 디지털 보건 기업은 의료기기와 DTAC 체제를 가장 날카롭게 느낀다. 이를 통과하는 데 가진 것보다 많은 돈과 시간이 들기 때문이며, 부담을 피하려고 과소 분류하는, 즉 제품이 의료기기가 아니라 "그냥 웰니스 앱"이라고 주장하는 유혹이 생긴다. 그것은 가능한 가장 위험한 수다. 잘못된 분류는 집행 조치와 무너진 NHS 영업 파이프라인으로 가는 가장 빠른 길이다. 규율 있는 길은 정직하고 일찍 분류하고, 가볍지만 실재하는 규정 준수 지도를 만들며, DTAC와 깨끗한 데이터 보호 태세를 장애물이 아니라 NHS 시장을 여는 영업 자산으로 다루는 것이다. 규제 전망 탐색의 지정 책임자가 다른 모자를 쓴 창업자 한 명일 수도 있지만, 감시 목록은 여전히 존재해야 한다.

소규모 사업체#

확립된 소규모 제공자 — 일반의 진료소, 지역 약국, 요양원, 단일 사업장 클리닉, 또는 스타트업 단계를 지난 소규모 보건 기술 공급업체 — 는 대형 트러스트와 같은 법적 및 의무적 책임을 지지만 이를 수행할 정보보호책임자도, 임상 안전 책임자도, 규정 준수 팀도 없다. DSPT는 여전히 매년 완료해야 하고, 환자 데이터는 여전히 특수 범주의 기준이 적용되며, 도입된 임상 소프트웨어는 여전히 DCB0160을 끌어들이지만, 이는 대개 이미 운영을 맡고 있는 진료소 관리자나 소유주에게 떨어진다. 현실적인 방법은 규정 준수 지도를 의도적으로 작지만 실재하게 만들고, 모든 전문성을 사내에 갖춘 척하는 대신 연합체, CSU, 또는 공급업체의 임상 안전 문서 같은 공유되거나 위탁된 전문성에 기대며, 자기 환자에 대한 데이터 통제자로 남는 것처럼 위임할 수 없는 의무에는 철저하게 임하는 것이다. 공급업체의 보증이 우리가 유보한 의무를 다룬다고 취급하는 것이 여기서의 전형적 함정이다. 도움은 사 오되, 법적으로 우리 것인 것에 대한 지정 책임은 유지하라.

대기업#

NHS 트러스트나 대형 ICS는 한꺼번에 많은 서비스를 보유하므로 과제는 포트폴리오 규모의 조율이다. 수십 개의 시스템이 각각 여러 규제 기관에 닿고, 의무가 팀 사이로 떨어져서는 안 된다. 실패 양상은 조직적 사일로다. 임상 안전, 정보 거버넌스, 조달이 각각 부분적인 시야를 쥐고 있어 누구도 서비스의 전체 규정 준수 입장을 보지 못한다. 바로잡는 길은 서비스별 공유된 규정 준수 지도, 이사회 수준의 거버넌스(주제 6.4)에 연결된 한 사람의 이름으로 된 책임, 그리고 CQC의 "잘 이끌어지는" 검토나 ICO의 조사에 살아 있는 입장에서 답할 수 있도록 지속적이고 감사에 대비된 증거다. 대형 보건 기술 또는 제약 기업은 성숙한 규제 업무 체계를 갖추었으나 그것을 제품이 실제로 만들어지는 방식과 단절된 규정 준수 공장으로 취급하지 않도록 경계해야 한다.

정부#

NHS England, 보건사회부, MHRA, NICE 같은 국가 기관은 흔히 스스로가 규제 기관이거나 의무 수단의 저자이므로, 그 업무 방식이 시스템 전체가 넘어야 할 기준을 정하며 그 결정은 의회와 대중의 감시를 받는다. 여기서 규정 준수 업무는 인구 규모의 책임이다. DTAC나 ESF 같은 수단은 시장 전체를 형성하므로, 표준 자체의 비례성과 명확성은 호의가 아니라 의무다. 잘못 조정된 국가 요건은 어디서나 유용한 혁신을 멈추거나 어디서나 위험을 통과시키기 때문이다. 국가 기관은 또한 시스템에 대한 전망 탐색의 책임도 진다. EU AI 법, MDR, 적합성 표시 체제가 영국 정책을 어떻게 형성해야 하는지 예측하는 일이다. 표준이 무엇을 요구하며 왜 그런지에 대한 투명성은 규모에서 대중 신뢰를 유지하는 일부다.

흔한 실패 양상#

• 잘못된 분류. 부담을 피하려고 제품이 의료기기가 아니라거나 우리가 통제자가 아니라 처리자라고 주장하는 것. 해독제: 법률 자문과 함께 정직하고 일찍 분류한다. 분류가 다른 모든 것을 좌우한다.
• 체크박스식 준수. 기저의 위험은 관리되지 않은 채 통과하려고 DSPT나 안전 사례를 완료하는 것. 해독제: 서식만이 아니라 취지를 충족하고, 산출물이 실제로 설계를 형성했는지 시험한다.
• 가동 관문으로서의 규정 준수. 출시 때 DTAC나 임상 안전 격차를 발견하는 것. 해독제: 의무 수단을 디스커버리부터 전달에 녹여 넣는다.
• 분산된 책임. 모든 의무가 다른 누군가의 것이라고 가정하는 것. 해독제: 살아 있는 등록부에서 의무별로 한 사람의 이름으로 책임을 진다.
• 사일로화된 규제 대응. 임상 안전, IG, 제품이 하나의 서비스에 대해 단절된 관점을 쥐는 것. 해독제: 하나의 공유된 규정 준수 지도, 조율된 거버넌스.
• 전망 탐색 부재. 미리 볼 수 있었던 규칙 변경에 놀라는 것. 해독제: 규정 준수 지도에 연결된 책임자가 있는 감시 목록.
• 낡은 증거. 점검 압박 속에서 위험 로그와 평가를 재구성하는 것. 해독제: 지속적이고 감사에 대비된 증거.

성숙도 모델#

체크리스트#

• 서비스의 법적 분류(의료기기 여부와 등급, 통제자/처리자)가 확인되고 문서화되어 있다.
• 살아 있는 규정 준수 지도가 법적, 의무, 자율 단계에 걸친 모든 의무를 열거한다.
• 각 의무에 이를 수행할 권한과 시간을 가진 한 사람의 이름의 책임자가 있다.
• NHS 의무 수단(DTAC, DSPT, DCB0129/0160)이 가동 시점에 덧붙이는 대신 전달에 내장되어 있다.
• 엄밀함이 획일적 체크박스식이 아니라 환자, 형평성, 신뢰 위험에 맞춰 조정된다.
• 증거(위험 로그, DPIA, DSPT, DTAC)가 최신이고, 검색 가능하며, 감사에 대비되어 있다.
• 지정된 책임자가 유지되는 감시 목록에 대해 규제 전망 탐색을 수행한다.
• 해당 시장의 적합성 표시 요건(UKCA/CE)이 가정이 아니라 확인되어 있다.
• 규정 준수 기능이 각 서비스에 대해 거버넌스(주제 6.4)와 연결된 하나의 조율된 관점을 공유한다.
• 등록부가 한 번 쓰고 버려지는 대신 일정에 따라 검토된다.

주요 출처#

• Care Quality Commission — How CQC regulates 및 단일 평가 프레임워크(cqc.org.uk).
• MHRA — Medical devices: software applications (apps) 및 Software and AI as a Medical Device 지침(gov.uk).
• NICE — Evidence Standards Framework for digital health technologies (ESF)(nice.org.uk).
• Information Commissioner's Office — Guide to Data Protection 및 Guide to the UK GDPR(ico.org.uk).
• NHS England — Data Security and Protection Toolkit (DSPT)(dsptoolkit.nhs.uk).
• NHS England — Digital Technology Assessment Criteria (DTAC).
• NHS Digital / NHS England — 임상 위험 관리 표준 DCB0129 및 DCB0160.
• GMC — Good medical practice; NMC — The Code(전문직 표준).
• GOV.UK — 그레이트브리튼 시장을 위한 UKCA marking 및 CE marking 지침.

참고문헌#

1. Regulatory compliance — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_compliance
2. Care Quality Commission — Wikipedia — https://en.wikipedia.org/wiki/Care_Quality_Commission
3. Medicines and Healthcare products Regulatory Agency — Wikipedia — https://en.wikipedia.org/wiki/Medicines_and_Healthcare_products_Regulatory_Agency
4. Medical device — Wikipedia — https://en.wikipedia.org/wiki/Medical_device
5. UKCA marking — Wikipedia — https://en.wikipedia.org/wiki/UKCA_marking
6. CE marking — Wikipedia — https://en.wikipedia.org/wiki/CE_marking
7. National Institute for Health and Care Excellence — Wikipedia — https://en.wikipedia.org/wiki/National_Institute_for_Health_and_Care_Excellence
8. Information Commissioner's Office — Wikipedia — https://en.wikipedia.org/wiki/Information_Commissioner%27s_Office
9. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
10. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
11. General Medical Council — Wikipedia — https://en.wikipedia.org/wiki/General_Medical_Council
12. Nursing and Midwifery Council — Wikipedia — https://en.wikipedia.org/wiki/Nursing_and_Midwifery_Council
13. Artificial Intelligence Act — Wikipedia — https://en.wikipedia.org/wiki/Artificial_Intelligence_Act
14. Regulation (EU) 2017/745 (EU Medical Device Regulation) — Wikipedia — https://en.wikipedia.org/wiki/Regulation_(EU)_2017/745
15. How CQC regulates — Care Quality Commission — https://www.cqc.org.uk/about-us/how-we-do-our-job/how-we-regulate
16. Software and AI as a Medical Device — MHRA, GOV.UK — https://www.gov.uk/government/publications/software-and-artificial-intelligence-ai-as-a-medical-device
17. Evidence Standards Framework for digital health technologies (ESF) — NICE — https://www.nice.org.uk/about/what-we-do/digital-health
18. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
19. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
20. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
21. Clinical risk management standards DCB0129 and DCB0160 — NHS England — https://digital.nhs.uk/services/clinical-safety
22. UKCA marking guidance — GOV.UK — https://www.gov.uk/guidance/using-the-ukca-marking