환자 대화 전문이 BAA(사업 파트너 계약) 없이 서드파티 디버깅 툴에 그대로 쌓이고 있었거든요

헬스케어 AI 스타트업이 시리즈A 클로징 3주 전에 투자를 날린 사례가 있어요. 환자 대화 전문이 BAA(사업 파트너 계약) 없이 서드파티 디버깅 툴에 그대로 쌓이고 있었거든요.

의료 분야는 14년 연속 업계 최고 침해 비용을 기록 중이고, 평균 사고 탐지·수습에 279일이 걸려요. 다른 업종 평균보다 5주 이상 더 길어요.

가장 흔한 실수는 'AWS가 HIPAA 인증됐으니 우리도 괜찮다'는 착각이에요. 클라우드 제공사는 인프라만 책임지고, 프롬프트·로그·API 호출로 PHI(환자 개인정보)가 어디로 흘러가는지는 오롯이 스타트업 몫이에요.

AI가 의료 리스크를 줄이는 게 아니라 형태를 바꾼다는 점, 보안을 체크리스트가 아닌 아키텍처 결정으로 봐야 한다는 경고예요.