검토 회의에서 AI가 낸 판정이 석 달 전과 달라진 대목을 만났습니다. 품질보증 담당자가 먼저 물은 것은 어느 쪽이 맞느냐가 아니었습니다. 언제부터 달라졌고 그사이 나간 제품은 어느 기준으로 판정되었느냐였습니다. 답은 변경 기록에 있습니다.
TL;DR (핵심 요약)
규제 제조에서 걸리는 것은 배우는 속도보다 바뀐 내용이 어떻게 운영에 올라가느냐입니다.
절차는 다섯입니다. 결과와 검토에서 후보가 나오고 평가와 승인을 거쳐 반영됩니다.
운영 중에 손볼 곳은 여섯 갈래이고, 갈래마다 확정하는 부서가 다릅니다.
자동으로 두어도 되는 구간도 있습니다. 출하와 안전에 닿지 않는 곳입니다.
감사에서 먼저 나오는 물음은 "누가 바꾸었습니까"다
"쓸수록 좋아집니다"는 도입 검토에서 반응이 좋지만 감사 준비 회의에서는 다르게 읽힙니다.
좋아졌다는 말은 무엇인가 바뀌었다는 말입니다. 규제 공정에서는 바뀐 것마다 언제, 누가, 무엇을 근거로 바꾸었는지 따라붙어서 설명하지 못하는 기능은 시험 구간에 머뭅니다.
승인 기반 개선 절차는 다섯 단계로 돈다
이 절차를 승인 기반 개선 절차라고 부르겠습니다. 바꿀 후보를 사람이 검토하고 승인한 뒤에야 운영에 반영합니다.
운영 결과가 쌓이고 사람이 검토합니다.
검토에서 바꿀 후보가 나옵니다. 판정 기준 한 줄, 규정 한 항, 자료를 찾는 범위 같은 것입니다.
후보를 평가합니다. 바꾸기 전과 후를 같은 자료로 돌려 봅니다.
사람이 승인하거나, 미리 정해 둔 정책이 통과시킵니다.
승인된 것만 반영되고, 반영 시각과 승인자가 기록에 남습니다.
평가에서 보는 값은 넷입니다. 규정을 어기는 답이 늘지 않았는가, 전에 맞히던 것을 계속 맞히는가, 근거를 댈 수 있는가, 같은 자료에 같은 답이 나오느냐.
통과하지 못한 후보는 2번으로 되돌아가고 그 기록도 남습니다. 같은 후보가 반년 뒤 올라올 때 먼저 열리는 것이 그 기록입니다.
바꿀 후보는 결과 기록에서 나온다
후보가 저절로 생기지 않습니다. 예상한 결과와 어긋난 건, 사람이 되돌린 건, 답이 흔들린 건. 이 셋에서 나옵니다.
결과에서 배우려면 무엇을 남겨야 하는지는 실제 결과에서 배우는 기록 구조에 있습니다.
승인이 형식으로 굳으면 절차는 서류로만 남는다
먼저 정할 것은 권한입니다. 어디까지를 현업이, 어디부터 품질보증이 확정하는지 적어 둡니다.
지시문에 "함부로 바꾸지 마"라고 써 두어도 통제가 서지 않습니다. 싱가포르 정보통신미디어개발청이 낸 에이전트 AI 거버넌스 프레임워크는 정부가 모범사례를 모아 낸 문서인데, 승인을 시스템 통제로 강제하라고 권고합니다. 지시문은 우회되거나 잊힙니다.
같은 문서는 승인이 형식으로 굳는 것도 지표로 봅니다. 되돌린 비율이 너무 낮거나 검토 시간이 너무 짧으면 그 신호라고 적습니다.
실행 권한을 어디까지 줄 것인가는 다른 물음입니다. 다음 편에서 다룹니다.
운영에 올린 뒤에도 계속 손볼 곳은 여섯 갈래다
한 번 세워 두면 끝나는 구조는 없습니다.
갈래 | 무엇을 고치나 | 누가 확정하나 |
|---|---|---|
업무 흐름 | 중간에 멈추거나 되도는 지점 | 업무 부서 |
자료 찾아오기 | 맞는 자료가 안 올라오는 것 | 정보시스템 |
쓰는 모델 | 어떤 물음에 어떤 모델을 쓸지 | 정보시스템 |
판단 기준 | 규정과 제약이 현장과 어긋난 곳 | 품질보증·현업 |
기록 구조 | 무엇을 상태로 남기고 결과로 볼지 | 현업·정보시스템 |
들어오는 데이터 | 원천이 끊기거나 형식이 바뀐 것 | 정보시스템·설비 |
여섯으로 나눈 이유는 확정하는 사람이 달라서입니다. 판단 기준을 정보시스템이 혼자 바꾸면 품질 문서와 어긋납니다.
반년 치 판정을 되짚다가 어느 기준이었는지 못 찾았다
한 업무에서 바꿀 후보가 나오면 바로 반영되게 두었습니다. 손이 덜 갔고 결과도 좋아졌습니다.
반년쯤 지나 지난 판정 한 건을 되짚게 되었습니다. 그때 쓰인 기준을 찾지 못하였습니다. 바뀐 사실은 남았는데 언제부터 적용되었는지가 없었습니다.
지금은 후보가 나오면 멈춥니다. 반영 시각과 승인자, 직전 기준을 적고 나서야 새 기준으로 갑니다.
미국 규정은 자동화를 허용하면서 확인하는 사람 한 명을 남겼다
미국 의약품 제조 품질 규정인 연방규정집 21편 211.68조는 컴퓨터를 포함한 자동 설비를 제조 공정에 쓸 수 있다고 적습니다. 금지 조문이 아니죠.
같은 조가 조건을 답니다. 제조 기록의 변경은 권한 있는 사람만 하도록 통제하고, 두 사람이 하던 확인을 설비로 대신할 때도 제대로 수행하였는지 볼 사람 한 명을 남기라고 적습니다.
둘을 하나로 줄일 수는 있지만 조문이 열어 두지 않은 것은 0명입니다.
새 부속서 초안은 변경 통제를 요구하면서 구간을 나누어 두었다
2025년 7월 7일, 유럽연합 집행위원회가 의약품 제조 품질 기준 문서 세 건을 공개 협의에 부쳤는데 그중 하나가 인공지능을 다루는 부속서 22 초안입니다. 협의는 그해 10월에 끝났고 채택은 아직입니다.
초안이 운영에서 볼 것으로 적은 다섯은 변경 통제, 구성 통제(승인 없이 바뀐 곳이 있는지 보는 일), 성능 감시, 입력 데이터 감시, 사람 검토입니다. 위 표의 여섯 갈래와 겹칩니다. 초안도 같은 곳을 보고 있다는 뜻입니다.
적용 범위는 나누어 두었습니다. 운영 중에 계속 배우며 성능이 바뀌는 모델과 같은 입력에 다른 답을 낼 수 있는 모델은, 환자 안전과 제품 품질, 기록의 진정성(기록이 나중에 고쳐지지 않았는가)에 직접 닿는 용도에 쓰지 말라고 적습니다. 생성형 AI와 대규모 언어모델도 여기 들어갑니다.
그 셋에 닿지 않는 구간은 사람이 확인하는 조건으로 열었습니다. 자동 학습을 접자는 말은 아닙니다. 구간을 나누자는 말입니다. 사내 검색 결과의 순서나 초안 문장 같은 곳입니다.
배제선도 고정된 값은 아닙니다. 유럽의약품청이 2026년 6월 말 워크숍에서, 2025년 협의에 생성형 AI를 열어 주자는 의견이 있었고 결과를 검토 중이라고 밝혔습니다. 규제가 현장에 무엇을 요구하는지는 규제 오해와 현장의 실제 요건에 있습니다.
AX Flow는 변경을 어디서 멈추고 어디서 통과시키는가
퓨처워크랩 AX Flow에서 이 절차가 서는 곳은 AX Guard입니다. 접근 단계는 누가 기준을 손댈 수 있는지 정하고, 실행 단계에는 승인 없이 지나가지 못할 관문을 둡니다. 사후 단계는 무엇이 언제 누구의 승인으로 바뀌었는지 고칠 수 없는 기록으로 남깁니다.
어디까지 정책으로 통과시킬지는 그 회사가 정하며, 제품이 대신 정하지 않습니다.
읽어 오는 것에는 문서만 있지 않습니다. 재고와 생산 일정, 설비 상태와 주문이 시스템에서 먼저 올라오고 절차서와 메일이 뒤따릅니다. 구조를 세우는 이야기는 엔터프라이즈 월드 개념 정리에 있습니다.
바뀐 기준과 그 근거는 그 회사 안에 남고, 밖으로 나가는 것은 검증을 마친 구조뿐입니다.
정리하며
같은 모델을 쓰는 두 회사를 봅시다. 한 곳은 바로 반영하고 다른 곳은 승인을 거칩니다. 반년 뒤 감사에서 답할 수 있는 쪽은 뒤엣곳입니다.
지난 반기에 AI의 판정 기준이 몇 번 바뀌었는지 세어 보십시오. 그다음 기록이 남은 건수와 승인자가 적힌 건수를 놓습니다. 세 숫자가 같지 않으면 그 차이가 감사에서 설명하지 못할 몫입니다.
도입 상담 요청하기 · AI가 낸 기준이 언제 바뀌었는지부터 함께 확인합니다.
자주 묻는 질문 (FAQ)
AI가 스스로 학습하는 기능을 끄라는 뜻인가요?
구간을 나누라는 뜻입니다. 출하와 안전, 기록의 진정성에 닿는 판정만 승인을 거치고 나머지는 자동으로 두어도 됩니다.
승인을 거치면 개선이 느려지지 않나요?
반영은 늦어집니다. 대신 되짚는 시간이 줄고 도입 심사에서 막히지 않습니다.
변경 기록에는 무엇을 남겨야 하나요?
바뀐 내용, 바꾼 근거, 평가 결과, 승인자, 반영 시각, 직전 기준입니다. 직전 기준이 없으면 지난 판정을 설명하지 못합니다.
AI가 내는 판정 기준을 바꿀 때 누가 승인하나요?
권한이 문서에 적혀 있는 사람입니다. 금액과 위험 구간으로 나누어 어디까지를 현업이, 어디부터 품질보증이 확정하는지 먼저 정해 둡니다.
규정이 AI의 자동 실행을 금지하고 있나요?
자동 실행 자체를 금지하는 조문은 찾기 어렵습니다. 규율되는 것은 기록의 진정성, 권한 제한, 사람의 확인입니다.
참고한 것
유럽 의약품 제조 품질 기준 부속서 22 초안(채택 전) · https://health.ec.europa.eu/document/download/5f38a92d-bb8e-4264-8898-ea076e926db6_en
미국 연방규정집 21편 211.68조(eCFR) · https://www.ecfr.gov/current/title-21/section-211.68
싱가포르 정보통신미디어개발청 에이전트 AI 거버넌스 프레임워크 v1.5 · https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/mgf-for-agentic-ai.pdf
유럽의약품청 부속서 22 워크숍(2026) · https://www.ema.europa.eu/en/events/good-manufacturing-practice-multistakeholder-workshop-expert-contributions-artificial-intelligence-guidance-development-annex-22