2026년 상반기, FDA와 EU는 AI 의료기기 규제에서 정반대처럼 보이는 결정을 내렸다. FDA는 2월부터 더 엄격한 품질관리 기준을 시행했고, EU는 5월에 핵심 의무 준수 기한을 2년 늦췄다. 방향이 달라 보이지만 두 결정을 함께 읽으면 같은 곳을 향하고 있다.
2026년, 두 기관의 엇갈린 선택
2026년 2월 2일, FDA는 의료기기 제조사에 새로운 품질관리 체계 QMSR(Quality Management System Regulation)을 적용하기 시작했다. 30년 가까이 이어온 QSR(Quality System Regulation) 체계가 공식 교체된 날이다.
3개월 뒤인 5월 7일, EU는 전혀 다른 결정을 내렸다. 이사회·의회·집행위원회가 잠정 합의한 'Digital Omnibus' 패키지에는 AI Act 고위험 시스템 의무 준수 기한을 2년 연장한다는 내용이 담겼다. 의료기기에 내장된 AI는 2026년 8월이 아니라 2028년 8월까지 준비하면 된다.
FDA는 더 강하게 조였고, EU는 시계를 늦췄다. 두 결정의 배경에 어떤 논리가 있는지, 한국 의료 AI 기업들은 각각 무엇을 챙겨야 하는지 살펴본다.
QMSR, AI 기기에만 생기는 새 부담
QMSR은 표면적으로 기존 QSR을 ISO 13485:2016 기반으로 재편한 것이다. ISO 13485는 의료기기 품질관리 분야의 국제 표준으로 유럽과 캐나다 등에서 수십 년째 쓰여온 기준이다. FDA가 이 기준을 자국 규정에 공식 통합했다.
글로벌 의료기기 기업들은 이제 FDA 감사와 국제 인증 심사에서 동일한 기준을 적용받는다. 준비를 한 번 하면 두 곳에서 쓸 수 있다. 일반 의료기기 업체 입장에서는 행정 부담이 줄 수 있다. 하지만 AI·머신러닝 기반 기기를 만드는 곳이라면 이야기가 달라진다.
기존 QSR에는 없던 요구사항이 세 가지 생겼다.
첫째는 SBOM(소프트웨어 부품 명세서) 제출이다. 제품에 들어간 오픈소스 라이브러리, 서드파티 알고리즘, 학습 데이터 처리 도구 등 소프트웨어 구성요소 전체 목록을 FDA에 내야 한다. 자동차에 부품 명세서가 있듯 소프트웨어도 무엇으로 만들어졌는지 투명하게 공개하라는 요구다.
둘째는 모델 수명주기 거버넌스다. AI 모델은 실제 병원에서 운용되다 보면 성능이 달라질 수 있다. 학습 데이터와 실제 환자군이 다를 경우 판단 정확도가 조금씩 떨어지는 현상, 이른바 '모델 드리프트'가 생긴다. QMSR 하에서 제조사는 이 현상을 감지하고 대응하는 내부 절차를 갖춰야 하고, FDA 감사가 나오면 그 절차를 보여줘야 한다.
셋째는 내부 감사·경영 검토·공급업체 감사 기록이 FDA 검사관의 열람 대상으로 전환된 것이다. 기존 QSR에서는 이 기록들이 어느 정도 보호받았지만 QMSR은 그 경계를 허물었다.
감사 방식도 달라졌다. 기존 QSIT(Quality System Inspection Technique)는 체크리스트 방식이었다. 항목별 준수 여부를 확인하고 끝냈다. 새 방식인 Compliance Program 7382.850은 위험 기반 접근이다. 어떤 위험이 있는지, 그 위험을 어떻게 관리하고 있는지를 본다. 기록에서 이상 징후가 나오면 감사 범위가 넓어진다.
EU가 기한을 2년 늦춘 이유
EU AI Act는 2024년 8월 발효됐다. 의무 적용 시점이 조항마다 다른데, 의료기기에 내장된 AI 시스템은 2026년 8월 2일부터 '고위험 AI' 요구사항을 지켜야 했다. 데이터 거버넌스 체계, 투명성 확보, 인간 감독 절차, 위험 관리 문서화 등이 핵심 요구사항이었다.
그런데 2026년 5월, EU는 이 기한을 2년 더 늦추기로 잠정 합의했다.
공식 이유는 중소기업 준비 부담 완화와 디지털 혁신 장벽 제거다. 실질적인 이유는 더 직접적이다. EU 규정 적용을 받는 많은 기업이 아직 AI Act 요구사항을 충족하지 못하고 있다.
의료기기 분야는 특히 그렇다. AI Act 고위험 의무를 충족하려면 MDR(의료기기 규정)도 동시에 맞춰야 한다. 한 제품이 두 개의 규제 체계를 동시에 통과해야 하는 구조다. 유럽에서 의료기기 적합성 평가를 수행하는 인증기관(Notified Body)이 부족해 대기가 길다는 현실적 문제도 있다. 규정이 발효된다 해도 실제로 심사를 받을 창구가 모자란 상황이었다.
유예가 전부는 아니다
Omnibus 합의가 의료기기 AI에 2년 유예를 의미하는 건 맞다. 그런데 전부가 유예되는 건 아니다.
AI Act Article 50의 투명성 의무는 유예 없이 2026년 8월 2일부터 적용된다. 소비자가 AI와 상호작용하고 있다는 사실을 알 수 있도록 고지해야 하는 의무다. AI가 생성한 콘텐츠를 제공하거나 AI 챗봇을 운영하는 경우 해당한다. 환자 대면 AI 앱이나 디지털 치료기기(DTx)를 운영하는 기업들은 이 부분을 별도로 챙겨야 한다.
한 가지 더 있다. Omnibus 합의는 아직 법적 효력이 없다. EU 의회의 공식 채택과 관보 게재 이후에야 효력이 생긴다. 2026년 8월 이전에 완료될 것으로 예상되지만 현재로서는 '잠정 합의' 단계다. "의무가 사라졌다"고 단정하기에는 이르다.
두 규제가 공유하는 질문
FDA는 강화했고 EU는 유예했다. 방향이 달라 보이지만 두 규제 변화를 관통하는 키워드가 있다. 시판 후 감시(Post-Market Surveillance)다.
AI 의료기기는 허가를 받은 뒤에도 계속 변한다. 소프트웨어 업데이트로 기능이 바뀌고 학습 데이터가 달라지면 성능도 달라진다. 한 번 검증받았다고 끝이 아닌 것이다. 일반 의료기기처럼 '출시 시점의 성능'만으로 안전성을 판단할 수 없다.
FDA가 QMSR에서 모델 드리프트 감시와 수명주기 거버넌스를 요구하는 이유가 여기 있다. EU AI Act가 고위험 AI에 지속적 위험 관리와 사후 모니터링을 요구하는 이유도 같다. 두 기관 모두 같은 질문을 던지고 있다. AI 기기가 출시된 뒤에도 안전한지, 제조사가 어떻게 보장할 것인지.
EU의 2년 연장은 준비 시간을 더 줬을 뿐이다. 방향을 바꾼 게 아니다.
루닛과 뷰노, 각자의 숙제
루닛과 뷰노 같은 국내 의료 AI 기업들은 이미 매출 대부분을 해외에서 올린다. FDA 규제와 EU 규제 변화는 먼 이야기가 아니다.
루닛은 2026년 1분기 매출 239억 원 중 해외 비중이 97%다. GE Healthcare, Philips, Fujifilm, Hologic 등과 파트너십을 통해 미국 시장에 제품을 공급하고 있다. 이 파트너들이 FDA 감사를 받을 때 루닛 솔루션의 SBOM 자료와 모델 수명주기 기록이 필요해질 수 있다. 직접 감사가 아니더라도 공급망을 통해 QMSR 요구사항은 전달된다. 글로벌 대기업과의 파트너십이 오히려 규제 준비 압박을 높이는 구조가 된다.
뷰노는 딥카스 FDA 510(k) 재신청을 앞두고 있다. 지난 4월 NSE(동등성 불충분) 판정을 받은 이후 임상 데이터를 보완해 재신청하겠다는 계획을 밝혔다. 재신청 과정에서 QMSR 체계에 맞춘 품질관리 시스템을 갖추고 있음을 증명해야 한다. 거부 사유 중 하나가 다인종 임상 데이터 부족이었는데 QMSR의 데이터 거버넌스 요구는 이 부분을 더 구체적으로 들여다본다.
EU 시장은 Omnibus 합의로 숨통이 트였지만 2028년은 생각보다 빠르게 온다. Article 50 투명성 의무는 두 달 뒤인 2026년 8월부터 이미 시작된다. 환자 대면 서비스를 EU에서 운영한다면 별도로 확인해야 한다.
국내에서도 같은 흐름이 감지된다. 식약처가 RWD(실사용데이터: 실제 의료 현장에서 쌓인 환자 데이터)를 임상 자료로 인정하는 범위를 넓히고 있다. 출시 후 데이터를 수집하고 품질 관리에 반영하는 체계는 한국 규제에서도 점점 가산점이 되고 있다.
출처
- FDA, Quality Management System Regulation (QMSR): https://www.fda.gov/medical-devices/postmarket-requirements-devices/quality-management-system-regulation-qmsr
- IntuitionLabs, FDA QMSR & ISO 13485: Key Changes Effective 2026: https://intuitionlabs.ai/articles/fda-qmsr-iso-13485-changes-2026
- Ropes & Gray, A QMSR State of Mind (2026-02): https://www.ropesgray.com/en/insights/alerts/2026/02/a-qmsr-state-of-mind-fda-adopts-new-inspection-approach-for-medical-devices
- EU Council, AI Omnibus agreement (2026-05-07): https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/
- Gibson Dunn, EU AI Act Omnibus Agreement: https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
- MDxCRO, EU AI Act for Medical Devices SaMD: https://mdxcro.com/eu-ai-act-medical-devices-samd/
- Investing.com KR, 루닛 2026년 1분기 실적: https://kr.investing.com/news/global-filings/article-93CH-1939707
- 더벨, 뷰노 딥카스 FDA 다인종 데이터 요구: https://m.thebell.co.kr/m/newsview.asp?svccode=04&newskey=202601120707269940105583