HACCP(해썹)은 식품이 만들어지는 모든 과정에서 위해요소를 미리 찾아 관리하는 식품안전관리인증기준이고, GMP는 의약품·의료기기를 정해진 품질로 만들도록 규정한 제조·품질관리기준입니다. 두 제도의 공통점은 '무엇을 만드느냐'가 아니라 '어떻게 만들고, 그 과정을 어떻게 기록·증명하느냐'를 인증한다는 데 있습니다.
그래서 규제 제조 기업이 AI 도입을 검토할 때 부딪히는 진짜 질문은 "AI를 붙이면 HACCP·GMP 인증을 다시 받아야 하나"가 아닙니다. 대부분의 AI는 인증을 다시 받는 대상이 아니며, 진짜 관문은 AI가 만든 배치기록·품질 판정이 감사에 견디는가 — 즉 감사추적(audit trail)과 데이터 완전성을 지키는가입니다. 이 글은 HACCP·GMP 인증 절차를 요약하여 짚은 뒤, 규제 제조가 AI를 도입할 때 실제로 확인하여야 할 것에 무게를 둡니다.
제도 정보는 작성 시점(2026년 7월) 기준이며, 규제는 개정되므로 실제 신청 전에는 식약처와 관할 인증기관의 최신 공식 안내로 확인하세요.
TL;DR (핵심 요약)
- HACCP = 식품, GMP = 의약품·의료기기. HACCP은 위해요소 관리(7원칙 12절차)를, 의약품·의료기기 GMP는 제조·품질관리 체계의 적합성을 인증합니다. cGMP는 "최신(current) 기준을 계속 반영한다"는 의미의 GMP입니다.
- 인증의 본질은 '기록'입니다. 두 제도 모두 결과물이 아니라 과정을 문서로 남기고 증명할 수 있는가를 봅니다. HACCP 7원칙의 마지막이 '문서화·기록유지'인 것도, GMP 심사가 데이터 완전성을 보는 것도 같은 이유입니다.
- 규제 제조가 AI를 도입할 때의 관문은 '인증 재취득'이 아닙니다. 대부분의 AI는 인증을 다시 받는 대상이 아니며, 진짜 쟁점은 AI가 만든 배치기록·품질 판정이 감사추적과 데이터 완전성을 지키는가 — 곧 '감사에 견디는가'입니다. 이 글의 무게중심이 여기 있습니다.
HACCP·GMP·cGMP란 무엇인가 — 3분 정의
세 용어가 자주 섞여 쓰이지만 대상과 근거가 다릅니다. 공통점은 하나 — 결과물이 아니라 '과정을 표준화하고 기록으로 증명하는가'를 인증한다는 것입니다.
HACCP(해썹)이란
HACCP(Hazard Analysis and Critical Control Point, 식품안전관리인증기준)은 식품의 원료부터 제조·가공·포장·유통까지 모든 과정에서 생물학적·화학적·물리적 위해요소를 미리 확인·평가하여 중점 관리하는 기준입니다.[^1] 근거는 식품위생법 제48조이며, 식약처가 기준을 정하고 한국식품안전관리인증원이 인증·사후관리를 맡습니다. 어묵·과자·빙과·음료·냉동식품·즉석섭취식품 등이 순차적으로 의무적용 대상으로 지정되어 왔고(식품위생법 시행규칙 제62조), 목록은 계속 확대되어 왔으므로 우리 품목의 의무 대상 여부는 인증원·식약처 안내로 확인하세요.[^2]
GMP란
GMP(Good Manufacturing Practice, 제조 및 품질관리기준)는 의약품·의료기기를 일정한 품질로 재현성 있게 만들도록 시설·공정·품질관리·문서를 규정한 기준입니다. 의약품 GMP는 「우수의약품 제조 및 품질관리기준」으로 운영되며, 우리나라는 2014년 PIC/S(국제 의약품실사상호협력기구)에 가입하여 기준을 국제 수준에 맞춰 왔습니다.[^3] 의료기기 GMP는 「의료기기 제조 및 품질관리 기준」(식약처 고시)에 따릅니다.[^4]
cGMP 뜻
cGMP는 current Good Manufacturing Practice의 약자로, 앞의 소문자 c(current)는 "현재 시점의 최신 과학·기술 수준을 지속적으로 반영한다"는 뜻입니다. 미국 FDA가 규정한 개념으로, 한 번 인증받은 기준에 머무르지 않고 설비·시스템을 계속 최신화하여야 한다는 점을 강조합니다.[^5]
미리 짚어둘 것. HACCP도 GMP도 결국 '과정을 기록으로 증명한다'는 원리가 같습니다. 그래서 규제 제조에 AI를 도입할 때의 관문도 '인증을 다시 받느냐'가 아니라 'AI가 만든 기록이 감사에 견디느냐'입니다. 아래 인증 절차는 이 관점에서 요약하여 짚고, 규제 제조와 AI의 접점은 뒤에서 자세히 다룹니다.
HACCP 인증 절차 — 7원칙 12절차와 인증 취득
HACCP의 '절차'는 둘로 나뉘어 자주 혼동됩니다. 관리체계를 만드는 절차(7원칙 12절차)와, 그 체계를 인증받는 절차(인증 취득)입니다.
HACCP 7원칙 12절차
국제식품규격위원회(CODEX)가 제시한 HACCP 관리체계 구축 방법으로, 준비 5단계와 적용 7원칙으로 구성됩니다. 국내 인증 심사도 이 틀을 따릅니다.
| 단계 | 구분 | 내용 |
|---|---|---|
| 절차 1 | 준비 | HACCP팀 구성 |
| 절차 2 | 준비 | 제품설명서 작성 |
| 절차 3 | 준비 | 용도(사용방법) 확인 |
| 절차 4 | 준비 | 공정흐름도 작성 |
| 절차 5 | 준비 | 공정흐름도 현장 확인 |
| 절차 6 | 원칙 1 | 위해요소 분석(HA) |
| 절차 7 | 원칙 2 | 중요관리점(CCP) 결정 |
| 절차 8 | 원칙 3 | 중요관리점 한계기준 설정 |
| 절차 9 | 원칙 4 | 모니터링 체계 확립 |
| 절차 10 | 원칙 5 | 개선조치 방법 수립 |
| 절차 11 | 원칙 6 | 검증 절차 및 방법 수립 |
| 절차 12 | 원칙 7 | 문서화 및 기록유지 |
표 1. HACCP 7원칙 12절차 — CODEX 기준, 국내 인증 심사의 뼈대.
마지막 절차인 문서화·기록유지(원칙 7)를 눈여겨보세요. 앞의 분석·모니터링·개선조치가 아무리 잘 되어 있어도 누가·언제·무엇을 근거로 하였는지 기록으로 남기지 못하면 인증도 사후관리도 성립하지 않습니다. 뒤에서 다룰 AI 도입의 핵심 쟁점이 바로 여기입니다.
그림 1. HACCP 7원칙 12절차 — 준비 5단계에서 문서화·기록유지까지.
국내 HACCP 인증 취득 절차
관리체계를 갖춘 뒤 한국식품안전관리인증원에 인증을 신청합니다. 큰 흐름은 다음과 같습니다(연도·품목에 따라 세부는 다름).
- 선행요건·관리계획 마련 — 작업장·위생·용수 등 선행요건을 갖추고 7원칙 12절차로 관리계획을 문서화합니다.
- 자체 운영·기록 축적 — 일정 기간 현장에서 운영하며 기록을 남깁니다. 인증은 계획서가 아니라 실제 운영 기록으로 판단됩니다.
- 인증 신청 — 한국식품안전관리인증원에 인증(또는 연장)을 신청합니다.
- 서류·현장 심사 — 서류와 현장 운영을 대조하여 적합 여부를 평가하고, 미흡하면 보완을 요구합니다.
- 인증서 발급 — 적합 판정 시 인증서가 발급됩니다.
- 사후관리·연장 — 정기 조사·평가를 받고, 유효기간(원칙 인증일부터 3년, 연장 신청은 만료 60일 전까지) 전에 연장합니다.[^6]
유효기간·연장 절차는 조정·간소화 개정이 이어지므로 현재 기준은 인증원 공고로 확인하세요.
GMP 인증(적합인정) 절차 — 의약품·의료기기
GMP는 보통 '적합인정'·'적합성평가'라고 부릅니다. 요점만 짚습니다.
의료기기 GMP 적합인정
의료기기를 제조·수입하는 업체는 의료기기법·체외진단의료기기법에 따라 품질관리 적합인정(GMP)을 받은 뒤에야 판매할 수 있습니다.[^4] 심사는 최초심사(처음 적합을 인정받는 심사) · 정기심사(3년 주기의 사후관리 심사) · 추가심사(다른 품목군을 추가할 때) · 변경심사(제조소 소재지 변경 등)로 나뉘며, 식약처와 지정 품질심사기관(한국화학융합시험연구원 KTR, 한국산업기술시험원 KTL 등)이 현장 심사를 거쳐 적합인정서 또는 보완요구서를 발행합니다.[^7]
의약품 GMP(KGMP)
의약품 제조업체는 「우수의약품 제조 및 품질관리기준」에 따라 GMP 적합 판정을 받아야 합니다. 여기서 특히 무게가 실리는 두 가지는 밸리데이션(Validation) — 공정·시험방법·세척·제조지원설비·컴퓨터시스템이 의도한 결과를 일관되게 낸다는 것을 문서로 입증하는 활동 — 과, 데이터 완전성(Data Integrity) — 제조·시험 데이터를 허위·조작·누락 없이 기록·보존하는 것 — 입니다. 식약처는 GMP 평가에 데이터 완전성 평가지침을 반영하여 문서·데이터 관리체계를 점검합니다.[^3][^8] 이 두 가지가 바로 AI가 기록에 관여하는 순간 다시 등장하는 핵심 요건입니다.
| 구분 | 식품 HACCP | 의약품 GMP | 의료기기 GMP |
|---|---|---|---|
| 대상 | 식품 제조·가공업 | 의약품 제조업 | 의료기기 제조·수입업 |
| 근거 | 식품위생법 제48조 | 우수의약품 제조 및 품질관리기준 | 의료기기법·의료기기 GMP 고시 |
| 주관·심사 | 식약처·한국식품안전관리인증원 | 식약처 | 식약처·지정 품질심사기관 |
| 사후관리 | 정기 조사·평가, 유효기간 원칙 3년 | 정기 실사 | 정기심사 3년 주기 |
표 2. 세 제도 비교 — 2026년 기준. 대상·주기는 개정될 수 있으니 관할 기관 안내로 확인.
AI를 도입하면 인증을 다시 받아야 하나 — 규제 제조의 진짜 쟁점
규제 제조 기업이 AI 도입을 검토할 때 가장 먼저 하는 걱정입니다. "AI를 공장에 붙이면 HACCP·GMP를 다시 받아야 하나?" 결론부터 말하면 대부분의 경우는 그렇지 않습니다.
생산 스케줄링 최적화나 수요예측처럼 제조·품질 기록 자체를 만들지 않는 AI는 일반적으로 인증을 '다시 받는' 대상이 아니거나 절차가 다릅니다. 인증은 개별 소프트웨어가 아니라 제조·품질관리 체계와 그 기록에 대한 것이기 때문입니다. (다만 적용 여부는 사안마다 다르므로, 개별 판단은 식약처·인증원 공식 안내와 규제 전문가로 확인하는 것이 안전합니다.)
진짜 쟁점은 다른 데 있습니다. AI가 배치기록을 작성하거나, 품질 판정을 돕거나, CCP 이탈을 모니터링하는 등 규제 대상 기록에 관여하는 순간, 그 부분은 GMP의 데이터 완전성(Data Integrity)·컴퓨터시스템 밸리데이션(CSV), HACCP의 문서화·기록유지(원칙 7) 요건 안으로 들어옵니다. 물어야 할 질문이 이렇게 바뀝니다.
"이 AI는 인증을 받을 수 있는가?"가 아니라, "이 AI가 만든 기록을, 누가·언제·무엇을 근거로 만들었는지 되짚을 수 있는가?"
감사추적과 데이터 완전성 — 규제가 기록에 요구하는 것
데이터 완전성은 흔히 ALCOA 원칙으로 요약됩니다. 기록이 누구의 것인지 분명하고(Attributable·귀속성), 읽을 수 있고(Legible·가독성), 일이 벌어진 그 시점에 남고(Contemporaneous·동시성), 원본이 보존되며(Original·원본성), 정확하여야(Accurate·정확성) 한다는 것입니다. 최근 지침은 여기에 완전성·일관성·영속성·가용성을 더한 ALCOA+로 확장합니다.[^8] AI가 기록에 관여할 때 규제가 들여다보는 지점도 정확히 여기입니다.
- 감사추적(audit trail) — 기록이 생성·변경될 때 '누가, 언제, 무엇을, 왜' 바꿨는지 자동으로 남는가. AI가 초안을 만들었다면 그 초안의 근거(어느 문서·어느 데이터)와 사람의 검토·승인 이력까지 끊김 없이 이어져야 합니다.
- 원본·근거 추적 — AI의 출력이 '그럴듯한 문장'이 아니라 실제 원본 문서·데이터로 되짚어지는가. 근거 없이 결과만 내는 AI는 규제 기록으로 쓰기 어렵습니다.
- 컴퓨터시스템 밸리데이션(CSV) — 그 시스템이 의도한 대로 일관되게 작동한다는 것을 문서로 입증하였는가. AI가 반복하여 같은 조건에 같은 결과를 내는지, 예외 상황을 어떻게 처리하는지가 검증 대상이 됩니다.
정리하면, 규제 현장에서 AI의 성패는 얼마나 똑똑한가가 아니라 감사추적과 근거 추적이 되는가에서 갈립니다. 정확도가 아무리 높아도 "왜 그렇게 판정하였는지" 되짚을 수 없으면 심사에서 버티지 못합니다.
그림 2. AI 출력은 원본 근거와 변경 이력을 거쳐 사람의 최종 승인까지 끊김 없이 되짚을 수 있어야 합니다.
그래서 AI는 HACCP·GMP 절차의 어디를 돕나
규제를 과장할 필요는 없습니다. 정확히 이해하면 AI가 도울 지점은 오히려 분명합니다. 핵심은 사람이 최종 판단·승인하되, 기록 부담이 큰 반복 작업을 줄이는 것 — 그리고 그 과정이 감사추적 위에서 이뤄지게 하는 것입니다.
- 배치기록·작업일지 작성 보조 — 수기로 옮기던 배치기록을 초안까지 자동으로 만들고, 사람이 검토·승인합니다. 초안의 근거와 승인 이력이 함께 남으면 문서화·기록유지(HACCP 원칙 7)와 데이터 완전성 요건을 같이 만족시키기 쉬워집니다.
- 이력추적(traceability) — 원료 로트부터 완제품까지의 연결을 구조화하여 "어디서 왔고 어디로 갔는가"를 즉시 되짚습니다. 회수·일탈 조사 때 몇 시간씩 걸리던 역추적이 짧아집니다.
- 문서 검색·근거 제시 — 작업표준(SOP)·점검표·규정을 찾아 "어느 문서, 어느 조항을 근거로 하였는지"까지 제시합니다. 담당자가 규정을 헤매는 시간을 줄이고, 판단의 근거를 기록으로 남깁니다.
- 모니터링 보조 — CCP 한계기준 이탈·편차 징후를 먼저 표시하여 개선조치 판단을 앞당깁니다. 최종 개선조치는 사람이 결정합니다.
단, 이 모든 것은 감사추적과 데이터 완전성이 보존되는 구조 위에서 이뤄져야 규제 현장에서 쓸 수 있습니다. 똑똑한 답을 내는 것과 감사에 견디는 기록을 남기는 것은 다른 문제이기 때문입니다. 배치기록·이력추적 자동화의 실제 설계는 7월 31일 후속 글에서 이어집니다.
퓨처워크랩의 AX Flow는 이 문제를 연결 → 구조화 → 실행 → 거버넌스의 한 흐름으로 다룹니다. 흩어진 제조 문서와 MES·ERP·QMS를 연결하고(Connect), 온톨로지·지식그래프로 구조화하여 근거를 추적할 수 있게 하며(Structure), 그 위에서 배치기록·이력추적 같은 업무를 노코드로 만들어 자동 실행하고(Execute), 감사·권한·근거 기록을 남기는 AX Guard로 통제합니다(Govern). 그 바탕 원리는 온톨로지·지식그래프 정리와 Graph RAG란 무엇인가에 정리하였습니다.
이 구조 위에서 성능도 검증합니다. 브로넥스 PoC에서 제조 질의응답 정확도 90.2%, MES 생산 스케줄링 1시간에서 5분을 확인하였고, 스파이어테크놀로지(강원 후평산단)와 표준작업절차·기술표준 문서를 지식그래프로 통합하는 계약을 2026년 3월 체결하여 운영 중입니다(초격차 스타트업 LLM 과제 선정, 제조 워크플로우·온톨로지 특허 5건 출원). 데이터는 온프레미스에서 처리하여 외부로 내보내지 않습니다.
계약 전 확인 체크리스트 — 규제 제조가 AI를 도입할 때
인증을 다시 받느냐가 아니라, 감사에 견디느냐를 기준으로 공급기업과 솔루션을 확인하세요. 아래 다섯 가지는 데모나 제안서에서 말로 듣고 넘길 것이 아니라, 문서와 실제 화면으로 확인하여야 할 항목입니다.
| 확인 질문 | 좋은 신호 | 위험 신호 |
|---|---|---|
| 기록의 출처를 되짚을 수 있나 | 어느 문서·조항을 근거로 하였는지 감사추적 제공 | 결과만 출력, 근거 불명 |
| 데이터 완전성을 지키나 | 생성·변경 이력, 권한, 시각 기록 보존 | 누가 언제 바꿨는지 알 수 없음 |
| 데이터가 회사 밖으로 나가나 | 온프레미스·폐쇄망 구동 가능 | 외부 API 전송이 전제 |
| 사람의 승인 단계가 있나 | AI는 초안, 최종 판단·승인은 담당자 | AI가 자동 확정 |
| 밸리데이션·검증을 지원하나 | 컴퓨터시스템 밸리데이션 문서화 지원 | 검증 자료 제공 없음 |
표 3. AI 도입 시 계약 전에 문서로 확인할 것 — 규제 제조 기준.
각 항목을 조금 풀어보면 이렇습니다.
- 기록의 출처를 되짚을 수 있나 — AI의 답이나 배치기록 초안이 어느 문서·어느 조항에서 나왔는지 클릭 한 번으로 확인되는지 봅니다. 근거로 되짚어지지 않는 출력은 규제 기록으로 쓰기 어렵습니다.
- 데이터 완전성을 지키나 — 생성·변경 이력, 작업자, 시각이 자동으로 남고 임의로 지워지지 않는지 확인합니다. 앞서 본 감사추적·ALCOA가 실제로 구현되어 있는지의 문제입니다.
- 데이터가 회사 밖으로 나가나 — 도면·배합비·품질 데이터가 외부로 전송되는 구조인지, 온프레미스·폐쇄망에서 구동되는지 봅니다. 규제 제조에서 데이터 유출은 인증 이전의 문제입니다.
- 사람의 승인 단계가 있나 — AI가 초안을 만들되 최종 판단·승인은 담당자가 하는 구조인지 확인합니다. AI가 스스로 기록을 '확정'하는 방식은 위험합니다.
- 밸리데이션·검증을 지원하나 — 컴퓨터시스템 밸리데이션(CSV)에 필요한 문서·근거를 공급기업이 제공하는지 봅니다.
그림 3. 인증이 아니라 감사추적·데이터 완전성으로 판단하는 5가지 확인 항목.
자주 묻는 질문 (FAQ)
HACCP 인증이란 무엇인가요?
HACCP(식품안전관리인증기준)은 식품의 원료부터 제조·가공·포장·유통까지 모든 과정에서 위해요소가 섞이거나 오염되는 것을 미리 확인·평가하여 중점 관리하는 기준입니다. 근거는 식품위생법 제48조이며, 식약처가 기준을 정하고 한국식품안전관리인증원이 인증·사후관리를 맡습니다.
HACCP 인증절차는 어떻게 되나요?
선행요건과 7원칙 12절차로 관리체계를 갖추고 일정 기간 운영하며 기록을 남긴 뒤 한국식품안전관리인증원에 신청합니다. 서류 심사·현장 조사·평가를 거쳐 적합 판정 시 인증서가 발급되고, 이후 정기 조사·평가를 받으며 유효기간(원칙 3년) 전에 연장합니다.
cGMP 뜻이 무엇인가요?
current Good Manufacturing Practice의 약자로, 앞의 c(current)는 "최신 과학·기술 수준을 계속 반영한다"는 의미입니다. 개념은 GMP와 같지만, 인증받은 상태에 머물지 않고 설비·시스템을 지속 최신화하여야 한다는 점을 강조합니다.
의료기기 GMP는 어떻게 받나요?
의료기기 제조·수입 업체는 의료기기법에 따라 품질관리 적합인정(GMP)을 받은 뒤 판매할 수 있습니다. 심사는 최초·정기(3년 주기)·추가·변경심사로 나뉘며, 식약처와 지정 품질심사기관(KTR·KTL 등)이 현장 심사를 거쳐 적합인정서를 발행합니다.
AI를 도입하면 HACCP·GMP 인증을 다시 받아야 하나요?
대부분은 그렇지 않습니다. 생산 스케줄링·수요예측처럼 제조 기록을 만들지 않는 AI는 일반적으로 인증을 다시 받는 대상이 아니거나 절차가 다릅니다. 다만 AI가 배치기록·품질 판정 등 규제 대상 기록에 관여하면 데이터 완전성·컴퓨터시스템 밸리데이션·문서화 요건을 지켜야 하므로, 개별 적용은 식약처·인증원 안내와 전문가로 확인하세요.
다음 단계
규제 제조에서 AI 도입의 관문은 '인증을 다시 받느냐'가 아니라 '감사에 견디느냐'입니다. 우리 공장의 배치기록·이력추적 중 어디를 자동화할 수 있고, 그 기록이 감사추적·데이터 완전성을 지키는 구조인지부터 확인하여 보세요.
- 체크리스트 상담 요청 → — 위 다섯 가지 확인 질문을 공급기업 답변과 대조하여 봅니다. 비용 없습니다.
- 제조 AI 도입·지원사업 가이드 → — 규제 제조의 도입 경로 한눈에 보기
- AX Flow — 제조 AI 운영 레이어 → — 연결·구조화·실행·거버넌스를 한 흐름으로 (제품 소개)
- AX Flow 데모 요청 → — 우리 공장 문서로 2주 PoC 직접 확인
퓨처워크랩은 HACCP·GMP 같은 규제 환경에서 "AI가 만든 기록도 감사에 견디게" 하는 것을 AX Flow 설계의 출발점으로 삼습니다.
[^1]: 찾기쉬운 생활법령정보(법제처) — 식품안전관리인증기준(HACCP) 정의·법적 근거(식품위생법 제48조). https://easylaw.go.kr/CSP/CnpClsMain.laf?popMenu=ov&csmSeq=1007&ccfNo=2&cciNo=3&cnpClsNo=1 [^2]: HACCP 의무적용 대상 식품(식품위생법 시행규칙 제62조) — 국민신문고 상담 사례 및 식약처 안내. https://www.110.go.kr/data/counselView.do?num=A01_659583 [^3]: 우수의약품 제조 및 품질관리기준(GMP)·PIC/S 가입 — 위키백과 정리 및 식약처 GMP 가이던스. https://ko.wikipedia.org/wiki/우수_의약품_제조_및_품질관리_기준 [^4]: 국가법령정보센터 — 「의료기기 제조 및 품질관리 기준」(식약처 고시). https://www.law.go.kr/admRulLsInfoP.do?admRulSeq=2100000251840 [^5]: U.S. FDA — Facts About the Current Good Manufacturing Practice (cGMP). https://www.fda.gov/drugs/pharmaceutical-quality-resources/facts-about-current-good-manufacturing-practice-cgmp [^6]: 한국식품안전관리인증원 / 정부24 — HACCP 인증 유효기간(원칙 3년)·연장 신청 안내. https://www.haccp.or.kr/ [^7]: 의료기기전자민원시스템(emedi, 식약처) — GMP 적합성평가 신청 절차 안내. https://emedi.mfds.go.kr/msismext/emd/bif/gmpProcessGuideView.do [^8]: 식품의약품안전처 — 완제의약품 제조 및 품질관리기준(GMP) 가이던스·데이터 완전성 평가지침(ALCOA·ALCOA+ 원칙 포함). https://www.mfds.go.kr/brd/m_1060/view.do?seq=14852