Dainus
← 의료 AI 비즈니스로 돌아가기
의료 AI 비즈니스신윤섭·2026년 10월 26일

EU AI Act 첫 조화표준 EN 18286, 품질경영 하나만 먼저 나왔다

공유

10월 14일 EU 관보에 AI Act의 첫 조화표준 EN 18286:2026이 실렸다. 고위험 AI 제공자가 갖춰야 할 품질경영시스템(Article 17)을 이 표준대로 만들면 법 요건을 지킨 것으로 추정받는다. 의료기기 제조사는 이미 쓰고 있는 ISO 13485 체계에 AI Act 항목을 덧붙이는 방식으로 대응할 수 있다. 다만 위험관리, 데이터, 사이버보안 등 나머지 9개 영역의 조화표준은 아직 없다. 의료기기 내장 AI의 의무 적용일은 2028년 8월 2일이다.

10월 14일 관보에 실린 것

EU 집행위원회는 10월 12일 이행결정 (EU) 2026/2274를 채택했고, 이 결정은 10월 14일 EU 관보(Official Journal)에 실리면서 바로 효력을 얻었다. 내용은 단순하다. 유럽 표준화기구 CEN과 CENELEC이 만든 EN 18286:2026 "Artificial intelligence: Quality management system for EU AI Act regulatory purposes"를 AI Act의 조화표준으로 인용한다는 것이다. 집행위 공식 발표는 10월 19일에 나와 보도마다 날짜가 엇갈리지만, 법적 기준일은 관보 게재일인 14일이다.

표준 자체는 새로 나온 문서가 아니다. CEN이 승인한 날은 7월 12일이고, 7월 말에 이미 발간됐다. 그런데도 10월 14일이 의미 있는 이유는 관보 인용 여부가 표준의 법적 효력을 가르기 때문이다. 같은 문서라도 관보에 실리기 전에는 좋은 참고서일 뿐이고, 실린 뒤에는 규제 당국과 인증기관이 함께 기준으로 삼는 공용 잣대가 된다.

이 글은 6월 8일에 다룬 "FDA QMSR과 EU 옴니버스" 글의 후속편이기도 하다. 그때는 AI Act 고위험 의무를 미루는 디지털 옴니버스가 잠정 합의 단계였다. 그 뒤 옴니버스는 Regulation (EU) 2026/1744로 확정돼 7월 27일 발효됐고, 이번에 첫 조화표준까지 나왔다. 일정은 뒤로 밀렸지만, 무엇을 준비해야 하는지는 조금씩 구체화되고 있다.

<!-- IMAGE PENDING (Gemini 402, 재생성 필요): /images/medical-ai/2026-10-26-eu-ai-act-en-18286-harmonised-qms-medical-ai-2026-timeline.png | EU AI Act 일정: 2024년 8월 발효, 2026년 7월 12일 CEN의 EN 18286 승인, 7월 27일 옴니버스 2026/1744 발효, 10월 14일 관보 인용, 2027년 12월 2일 Annex III 고위험 적용, 2028년 8월 2일 의료기기 내장 AI(Annex I) 적용 -->

조화표준이 있으면 무엇이 달라지나

EU 제품 규제는 법에 "무엇을 지켜야 하는지"만 쓰고, "어떻게 지키는지"는 표준에 맡기는 방식으로 굴러간다. 이를 신접근방식(New Approach)이라고 부른다. 법 조문은 "품질경영시스템을 갖춰라"라고만 적고, 그 시스템에 어떤 절차와 문서가 들어가야 하는지는 표준이 채운다.

조화표준(harmonised standard)은 이 구조에서 특별한 지위를 가진 표준이다. 집행위의 요청으로 유럽 표준화기구가 만들고, 집행위가 검토한 뒤 관보에 인용한 표준을 말한다. AI Act Article 40은 이 표준을 따른 제품에 "적합성 추정(presumption of conformity)"을 준다. 쉽게 말해 표준대로 했다는 것을 보여주면, 표준이 다루는 범위에서는 법 요건을 지켰다고 일단 인정해 준다는 뜻이다. 거꾸로 표준을 쓰지 않으면 자기 방식이 법을 충족한다는 것을 제조사가 처음부터 직접 입증해야 한다.

표준 적용은 의무가 아니다. 그래도 실무에서 차이는 크다. 의료기기 업계가 ISO 13485(품질경영), ISO 14971(위험관리), IEC 62304(소프트웨어 수명주기)를 사실상 필수처럼 쓰는 이유도 같다. 인증기관 심사관과 제조사가 같은 문서를 펴 놓고 이야기할 수 있기 때문이다.

EN 18286이 덮는 범위

EN 18286은 AI Act Article 17이 요구하는 품질경영시스템(QMS)을 구체화한 표준이다. Article 17(1)은 고위험 AI 제공자의 QMS에 들어가야 할 항목을 (a)부터 (m)까지 13개로 나열한다. 규제 준수 전략과 변경 관리, 설계와 설계 검증, 개발과 품질 보증, 시험·검증 절차, 적용 기술 규격, 데이터 관리, 위험관리 체계, 시판 후 모니터링, 중대 사고 보고, 당국·인증기관과의 소통, 기록 보관, 자원 관리, 책임 체계가 그것이다.

부속서 ZA는 표준의 각 조항이 법의 어느 요건에 대응하는지 보여주는 대응표다. 여기에 따르면 EN 18286은 Article 17(1)의 (a)~(m) 전부와 Article 11(1)의 첫 문장(기술문서 작성 의무)을 덮는다. 반대로 17(2)(조직 규모에 비례한 적용), 17(3)(다른 법의 QMS와 통합), 17(4)(금융기관 특례)는 덮지 않는다.

본문 구성은 ISO 경영시스템 표준의 익숙한 틀을 따른다. 리더십, 계획, 지원(인력 역량 포함) 다음에 핵심인 8조 "AI 시스템 실현"이 온다. 수명주기, 위험관리, 설계·개발, 검증·확인에 이어 데이터 관리(8.5), 폐기(8.6), 식별(8.7), 지속 학습(8.8), 문서화(8.9)가 들어 있다. 9조에는 시장 출시와 공급망, 시판 후 모니터링, 중대 사고 보고(9.6)가 있다. 부속서 A는 건강·안전·기본권에 대한 위험을 이해관계자에게 묻는 절차를 다룬다.

의료 AI 관점에서 눈여겨볼 대목은 지속 학습(8.8)이다. 출시 뒤에도 데이터를 받아 성능이 바뀌는 AI를 QMS 안에서 어떻게 관리할지를 별도 조항으로 다룬다. 미국 FDA가 PCCP(사전 변경관리계획)로, 식약처가 변경관리 계획 제도로 풀어 온 문제를 EU는 품질경영 절차 안으로 가져온 셈이다.

여기서 오해하기 쉬운 점이 하나 있다. 적합성 추정은 표준이 다루는 요구사항에만 적용된다. EN 18286은 제조사의 관리 체계를 보는 표준이지 AI 모델의 성능을 평가하는 표준이 아니다. 이 표준을 완벽하게 따라도 "이 AI가 정확하고 안전하다"는 추정은 생기지 않는다.

<!-- IMAGE PENDING (Gemini 402, 재생성 필요): /images/medical-ai/2026-10-26-eu-ai-act-en-18286-harmonised-qms-medical-ai-2026-scope.png | EN 18286 적용 범위: 부속서 ZA가 AI Act Article 17(1) (a)~(m) 13개 항목과 Article 11(1) 첫 문장을 덮고, 17(2)~(4)는 덮지 않음. 8조 AI 시스템 실현에 데이터 관리, 지속 학습, 9조에 시판 후 모니터링과 중대 사고 보고 포함 -->

ISO 13485를 쓰는 제조사는 두 번째 QMS가 필요 없다

유럽에서 AI 의료기기를 파는 회사라면 이미 MDR(의료기기 규정)이나 IVDR(체외진단 의료기기 규정)에 따라 ISO 13485 기반 QMS를 운영하고 있다. 그 위에 AI Act용 QMS를 하나 더 만들어야 하느냐가 업계의 오랜 걱정이었다.

답은 "따로 만들 필요는 없다"에 가깝다. AI Act Article 17(3)은 다른 EU 법에 따라 이미 QMS 의무를 지는 제공자가 AI Act 항목을 기존 체계 안에 넣을 수 있도록 허용한다. 2025년 6월 의료기기조정그룹(MDCG)과 AI 위원회(AI Board)가 함께 낸 FAQ 문서(MDCG 2025-6 / AIB 2025-1)도 같은 방향이다. 기존 QMS, 기술문서, 시판 후 감시 체계에 AI Act 요건을 통합하되, 두 법의 요건이 모두 빠짐없이 충족돼야 한다고 정리했다. EN 18286도 서문에서 ISO 13485를 예로 들며 분야별 QMS를 확장하는 방식을 상정한다. 집행위 역시 이 표준이 ISO 13485나 ISO/IEC 42001을 대체하지 않고 그 위에 얹는 구조라고 설명했다.

그렇다고 ISO 13485 인증서가 있으면 끝나는 것은 아니다. ISO 13485는 의료기기 전반을 위한 표준이라 AI 특유의 문제를 촘촘하게 다루지 않는다. 학습 데이터를 어디서 모으고 어떻게 라벨링했는지, 데이터셋의 편향을 어떻게 점검했는지, 재학습 때 무엇을 다시 검증하는지 같은 질문이 그렇다. 결국 제조사가 할 일은 자기 회사 ISO 13485 절차서를 EN 18286 조항과 한 줄씩 맞대 보고, 이미 충족하는 것과 일부만 충족하는 것, 비어 있는 것을 가르는 일이다. 다만 EN 18286의 부속서가 대응표를 제공하는 상대는 ISO 9001과 ISO/IEC 42001이고, ISO 13485와의 조항별 대응표는 표준에 들어 있지 않다. 의료기기 업계는 이 작업을 각자 해야 한다.

심사 창구가 하나로 모인다는 점은 다행이다. AI Act Article 43(3)에 따라 의료기기처럼 Annex I 제품 규제를 받는 AI는 MDR/IVDR 인증기관(Notified Body)이 기존 적합성 평가 절차 안에서 AI Act 요건까지 함께 본다. 제조사는 인증기관 한 곳을 상대하면 되고, 그 인증기관이 AI Act 품질경영 부분을 볼 때 펴 놓을 공식 기준이 이제 EN 18286이 된다. 다만 MDR 인증기관이 AI Act 요건까지 보려면 AI 분야 심사 역량을 갖췄다는 요건도 따로 충족해야 한다.

<!-- IMAGE PENDING (Gemini 402, 재생성 필요): /images/medical-ai/2026-10-26-eu-ai-act-en-18286-harmonised-qms-medical-ai-2026-layers.png | ISO 13485 기반 QMS 위에 EN 18286의 AI 특화 항목(데이터 관리, 지속 학습, AI 위험관리 절차, 중대 사고 보고)을 얹는 통합 구조. MDR/IVDR 인증기관이 Article 43(3)에 따라 한 번에 심사 -->

10개 영역 가운데 1개만 채워졌다

반가운 소식이지만 범위는 정확히 봐야 한다. 집행위가 CEN과 CENELEC에 요청한 AI Act 표준화 영역은 10개다. 위험관리, 데이터셋 거버넌스와 품질, 로깅(기록 자동 생성), 투명성, 인간 감독, 정확도, 견고성, 사이버보안, 품질경영, 적합성 평가. 이 가운데 관보에 실린 것은 품질경영 하나뿐이다.

비어 있는 쪽이 오히려 의료 AI에 더 무거운 영역이다. 예를 들어 Article 10은 학습·검증·시험 데이터가 대표성을 갖추고 편향을 점검해야 한다고 요구한다. 그런데 "대표성이 있다"를 어떤 방법과 수준으로 보여줘야 하는지 정한 조화표준은 아직 없다. Article 15의 정확도·견고성·사이버보안도 마찬가지다. EN 18286은 "데이터 관리 절차를 QMS 안에 두라"고 말할 뿐, 그 절차가 어느 수준이어야 하는지는 다른 표준의 몫으로 남겨 둔다. 표준 작업을 맡은 CEN-CENELEC JTC 21은 EN 18286이 "첫 산출물이지 마지막이 아니다"라고 밝혔지만, 나머지 표준이 언제 관보에 실릴지 집행위는 날짜를 내놓지 않았다.

일정은 아직 여유가 있다. 옴니버스 규정으로 독립형 고위험 AI(Annex III)의 의무는 2026년 8월 2일에서 2027년 12월 2일로, 의료기기처럼 규제 제품에 내장된 AI(Annex I)의 의무는 2027년 8월 2일에서 2028년 8월 2일로 밀렸다. 옴니버스를 논의하는 과정에서 표준이 준비되지 않았다는 점이 연기의 근거로 거론됐는데, 이번 관보 인용으로 그 공백 가운데 하나가 메워졌다. 2028년까지 남은 표준들이 순서대로 나오면 일정이 다시 밀릴 명분은 그만큼 줄어든다.

<!-- IMAGE PENDING (Gemini 402, 재생성 필요): /images/medical-ai/2026-10-26-eu-ai-act-en-18286-harmonised-qms-medical-ai-2026-gaps.png | AI Act 표준화 요청 10개 영역 중 품질경영(EN 18286)만 관보 인용 완료. 위험관리, 데이터셋 거버넌스, 로깅, 투명성, 인간 감독, 정확도, 견고성, 사이버보안, 적합성 평가 9개 영역은 미인용 -->

품질경영부터 열린 순서가 의료 AI에 유리한 이유

10개 영역 가운데 품질경영이 가장 먼저 나온 것은 의료기기 업계에 나쁘지 않은 순서다. QMS는 의료기기 제조사가 수십 년 다뤄 온 영역이고, 다른 산업과 비교하면 출발선이 앞에 있다. 채용 AI나 신용평가 AI를 만드는 회사는 품질경영 체계를 처음부터 세워야 하지만, 의료 AI 회사는 기존 체계를 넓히면 된다.

반면 남은 9개 영역은 AI 의료기기 특유의 고민이 몰려 있는 곳이다. 영상 판독 AI의 학습 데이터가 어떤 인종·장비·병원을 대표하는지, 의사가 AI 결과를 어떻게 확인하고 거부할 수 있는지(인간 감독), 병원 네트워크 안에서 모델이 변조되지 않도록 어떻게 지키는지(사이버보안)가 모두 여기에 걸린다. MDR 아래에서 임상 평가와 성능 검증으로 일부 다루던 내용이지만, AI Act는 이를 AI 시스템 단위의 별도 요건으로 다시 묻는다. 그 기준이 될 표준이 2028년 전에 얼마나 일찍 나오느냐에 따라 제조사가 쓸 수 있는 준비 기간이 달라진다.

한국 기업에 미치는 영향

CE 인증을 받아 유럽에 AI 의료기기를 파는 국내 기업에게 EN 18286은 지금 당장 의무가 생기는 문서는 아니다. 의료기기 내장 AI의 AI Act 의무는 2028년 8월부터다. 다만 2028년 8월에 맞춰 인증기관 심사를 받으려면 QMS 정비는 그보다 앞서 끝나 있어야 하고, 그 작업의 기준으로 삼을 문서가 이제 하나 정해졌다.

국내 상황과 겹치는 부분도 있다. 식약처는 디지털의료기기법 체계 아래에서 AI 의료기기의 변경관리와 시판 후 관리를 다듬어 왔고, 올해 1월부터는 인공지능기본법도 시행 중이다. 미국 FDA는 이미 QMSR로 ISO 13485를 자국 규정에 통합했다. 세 지역 모두 품질경영의 뼈대는 ISO 13485로 같고, 그 위에 AI 특화 요건을 어떻게 얹느냐에서 갈린다. 회사 하나가 미국, 유럽, 한국에 따로따로 체계를 만들기보다는 ISO 13485를 공통 기반으로 두고 지역별 요구를 덧붙이는 구조가 비용 면에서 유리하다. EN 18286은 그 덧붙일 부분 가운데 유럽 몫을 처음으로 문서로 정해 준 표준이다.

출처

YS

신윤섭

데이너스 대표 | AI 교육 & AX 컨설팅

126개의 AI/AX 교육 과정을 설계하고, 90개 교육·협업 기관에서 강의했습니다. 강남세브란스, 삼성전자, 현대자동차 등 다양한 조직의 AI 역량 강화를 지원하고 있습니다.

LinkedInysshin@dainus.ai

AI 교육이 필요하신가요?

조직에 맞는 맞춤형 AI/AX 교육 프로그램을 설계해드립니다. 커리큘럼 상담부터 시작해보세요.

교육 문의하기다른 글 더 보기

같은 주제의 다른 글

의료 AI 비즈니스

의사 95만 명이 AI에 던진 질문 2억 7천만 건

2026년 10월 19일

의료 AI 비즈니스

구글 진단 AI가 실제 환자 98명 앞에서 받은 성적표

2026년 10월 12일

의료 AI 비즈니스

민감도 31%짜리 심전도 AI는 어떻게 FDA를 통과했나

2026년 10월 5일