의약품 공급망 전반의 자동화와 AI: 엔드투엔드 맵

핵심 요약

• 의약품 공급망 데이터가 가장 자주 단절되는 곳은 기업 간 인계 지점이다. 개별 단계를 자동화한다고 해서 이러한 공백이 메워지지는 않으며, 공유 식별자, 데이터 교환, 공동 계획이 이를 메운다.
• 자동화(알려진 규칙), 최적화(명시된 제약 조건하에서 수학적으로 최선인 선택지), AI(데이터로부터 학습된 추론)는 서로 다른 도구이며 서로 다른 통제를 필요로 한다. 어느 것이든 수준이 높다고 해서 자동으로 더 나은 것은 아니다.
• "AI"는 하나의 대상이 아니다. 예측 모델, 생성형 모델, 에이전트는 실패하는 방식이 다르며 서로 다른 안전장치를 필요로 한다.
• 공급업체 승인, 배치 판정, QC 결론, 회수, 약물감시 평가를 포함한 책임 있는 의사결정은 적용되는 품질 시스템과 관할권에 따라 권한을 부여받은 사람 또는 부서에 계속 배정된다.
• 데이터 기반과 거버넌스 — 밸리데이션, 데이터 완전성, 보안, AI 감독 — 가 자동화를 어디까지 안전하게 확대할 수 있는지를 결정한다.

1. 왜 엔드투엔드 관점인가

의약품은 단일 조직이 아니라 서로 연결된 여러 공급 네트워크를 거쳐 환자에게 도달한다. 핵심 출발물질과 중간체 공급업체는 원료의약품(API) 제조업체에 원료를 공급하고, 별도의 네트워크가 첨가제, 1차 및 2차 포장재, 설비, 기술 서비스를 제공한다. 이러한 흐름은 완제의약품 제조업체에서 합류하며, 이후 의약품은 수입업체, 유통업체, 도매업체를 거쳐 병원과 약국에 이른다.

이 사슬의 모든 인계 지점은 잠재적인 데이터 단절을 만든다. 한 기업 시스템의 제품 코드는 다음 기업의 코드와 같지 않다. 로트 번호, 증명서, 품질 상태, 그리고 무엇보다 수요 신호는 각 단계에서 다시 입력되거나, 다시 해석되거나, 추정되어야 한다.

공급망 연구에는 그 결과 중 하나를 가리키는 이름이 있다. 1997년 Lee, Padmanabhan, Whang ^[32]은 채찍 효과(bullwhip effect)를 설명하였다. 각 기업이 직접 거래하는 고객의 주문만 볼 수 있을 때 "주문의 분산은 판매의 분산보다 클 수 있으며, 그 왜곡은 상류로 갈수록 커지는 경향이 있다"는 것이다. 이들이 제시한 네 가지 원인 중 하나는 의약품과 직접적으로 관련된다. 바로 배급 게임(rationing game)이다. 공급이 배급될 때 구매자는 더 많은 몫을 확보하기 위해 주문을 부풀리며, 그 결과 상류에서는 공급 부족이 실제 수요보다 더 심각하게 보인다.

이 때문에 한 기업 내부의 단계를 자동화하는 것 — 여기에는 ERP, 저기에는 창고관리시스템 — 만으로는 공급망이 지능화되지 않는다. 각 노드는 더 효율적이 되지만 노드 사이의 공백은 그대로 남는다.

이 글은 그러한 노드와 공백의 지도이다. 공급망의 각 단계에 대해 다섯 가지 질문을 던진다. 무엇이 이미 자동화되어 있는가, 최적화와 AI는 어디에서 도움이 되는가, 누가 책임을 지는가, 어떤 규제 체계가 적용되는가, 데이터는 얼마나 성숙해 있는가. 이 시리즈의 후속 글에서는 각 단계를 더 깊이 다룬다.

지도를 구체적으로 유지하기 위해 하나의 사례를 계속 따라간다. 널리 사용되는 제네릭 의약품의 공급 부족(품절)이다. 이 사례는 특정 제품이 아닌 예시이지만, 각 단계는 인용된 규정과 근거에 기반한다.

범위. 이 지도는 포트폴리오 의사결정부터 시판 후 단계까지의 의약품 공급망을 다룬다. 신규 분자 발굴, 비임상 연구, 임상 개발 — 서로 다른 기준(GLP, GCP)과 의사결정 주체가 관장하는 혁신 사슬 — 은 다루지 않는다. 다만 두 지점에서 그 사슬과 맞닿는다. 임상시험용 의약품의 공급, 그리고 상업 생산으로의 기술 이전이며, 이는 시리즈의 후속 글에서 별도로 다룬다.

핵심 논지는 단순하다. 자동화는 개별 노드 내부의 실행을 개선한다. 엔드투엔드 가치는 식별 체계, 데이터 교환, 계획, 거버넌스가 이들 노드를 함께 연결할 때에만 나타난다.

2. 자동화, 최적화, AI는 서로 다른 도구이다

"제약 분야의 AI"에 관한 많은 글은 모든 디지털 시스템을 AI로 부른다. 그렇게 하면 위험에 대해 추론하는 것이 불가능해진다. 세 가지 도구군은 서로 다르게 작동하기 때문이다.

규칙 기반 자동화는 사전에 정의된 로직을 실행한다. ERP, MES, LIMS, 창고관리시스템, 워크플로 엔진, 로보틱 프로세스 자동화(RPA), EDI 및 API 연동, 바코드와 RFID, IoT 센서, 로봇, 자동화 창고, 일련번호 부여(시리얼라이제이션), 규칙 기반 알림은 모두 설정된 대로 작동한다. 이들의 동작은 학습 데이터에서 익힌 패턴이 아니라 명시적 규칙, 설정, 시스템 상태, 입력값에 의해 결정된다. 이들의 위험은 설정 오류와 규칙의 공백이다.

분석, 계획, 최적화는 학습된 추론 없이 의사결정을 지원한다. 자재소요계획(MRP)이나 안전재고 계산과 같은 계획 기법은 정의된 로직과 파라미터를 적용한다. 생산 스케줄링, 경로 및 배분 최적화와 같은 최적화 기법은 목적함수와 명시된 제약 조건에 대해 실행 가능한 최선의 선택지를 탐색한다. 분석은 관측된 데이터를 요약한다. 이들은 설명 가능하지만, 그 품질은 제약 조건과 입력값의 품질을 넘지 못한다.

AI 모델은 데이터로부터 패턴을 학습하고 새로운 입력에 일반화한다. 소프트웨어 자체는 결정론적으로 실행되더라도 그 예측이나 분류에는 모델 불확실성이 따른다. 운영상의 AI 패턴은 세 가지로 구분하는 것이 유용하다. 실패하는 방식이 다르기 때문이다.

프로세스의 자동화 정도를 설명하기 위해 이 시리즈는 두 개의 별도 척도를 사용한다.

자동화 척도: Level 1 — 수동(시스템은 기록하고 규칙을 강제하며, 사람이 판단하고 실행한다), Level 2 — 제안(시스템이 제안하고 사람이 확인한다), Level 3 — 검토를 수반하는 자동(시스템이 정의된 규칙 내에서 실행하고, 권한 있는 사람이 검토하고 개입할 수 있다), Level 4 — 완전 자동(일상적인 사람의 확인이 제거된다).

AI 척도: AI-0(AI 없음), AI-1 — 보조(검색, 추출, 분류, 요약, 강조 표시), AI-2 — 추천(예측, 순위화 또는 추천을 수행하고 사람이 결정한다), AI-3 — 사람의 통제하 실행(AI가 모니터링 또는 승인하에 범위가 제한되고 되돌릴 수 있는 작업을 개시한다), AI-4 — 자율(AI가 스스로 계획하고 실행한다).

수준이 높다고 해서 자동으로 더 나은 것은 아니다. 출하승인(배치 출하)이나 QC 결론과 같은 GMP상 중요한 의사결정에 대해 현재 적절한 수준은 Level 1이다. 시스템은 규칙을 강제하고 증거를 기록하며, 권한을 부여받은 사람이 결정한다.

3. 지도

아래 표는 공급망을 요약한 것이다. 각 단계는 4장에서 다룬다.

그림 2. 엔드투엔드 지도 — 7개 단계, 5가지 질문.

*데이터 성숙도는 세 가지 질문에 근거한 필자의 정성적 판단이다. 데이터가 구조화되어 있는가, 공유 식별자를 사용하는가, 기업 간에 전자적으로 교환되는가?

두 가지 패턴이 두드러진다. 첫째, 가장 성숙한 데이터는 규제가 공유 식별자를 강제한 곳 — 유통 단계의 일련번호 부여 — 에 있다. 둘째, 기술이 발전하더라도 책임 있는 의사결정은 표의 오른쪽으로 이동하지 않는다. 모든 단계에서 여전히 지정된 사람이나 부서가 결정한다.

4. 단계별 분석

0단계 — 포트폴리오, 제품 개발, 등록 및 기술 이전

공급망이 가동되기 전에 세 가지 의사결정이 그 형태를 규정한다. 어떤 제품을 제조하거나 수입할 것인가, 어떻게 제형화할 것인가, 그리고 허가 문서에 무엇이 기재되는가이다.

허가 문서는 흔히 인식되는 것보다 공급망에 더 중요하다. 허가 문서는 승인된 원자재와 원료의약품의 공급처를 확정한다. EU에서는 원료의약품의 품질을 세 가지 방식으로 입증할 수 있다. 첫째, EDQM이 발급하는 적합성 인증서(Certificate of Suitability, CEP) ^[11]로, 관련 유럽약전 각조가 해당 물질을 적절히 관리함을 인증하며 허가 문서의 원료의약품 항목 중 주요 부분을 대체한다. 둘째, 원료의약품 마스터파일(Active Substance Master File, ASMF) ^[10]로, 비공개 부분은 제조업체의 노하우를 보호하는 반면 신청인은 제품에 대한 책임을 지며, 접근 허가 서한(letter of access)을 통해 참조된다. 셋째, 허가 문서 자체에 전체 정보를 기재하는 방식이다. 미국에서 의약품 마스터파일(Drug Master File, DMF) ^[16]은 기밀 제출 자료로, 제출이 의무가 아니고 승인이나 불승인의 대상이 아니며 이를 참조하는 신청과 함께 검토될 때에만 심사된다.

이들 제도는 동등하지 않지만 결과는 유사하다. 나중에 원료의약품 공급처를 변경하는 것은 규제상의 사건이 된다. EU에서는 Delegated Regulation (EU) 2024/1701로 개정된 Regulation (EC) No 1234/2008에 따른 허가사항 변경(variation)에 해당하며, 새로운 분류 가이드라인이 2026년 1월 15일부터 적용된다 ^[8][9]. 그 범주는 변경 내용과 문서화 수준에 따라 달라진다.

이 단계의 자동화는 문서 중심적이다. 허가 문서 및 등록 현황 추적, 유효기간 알림, 연구개발 문서 관리, 제조 부문으로의 마스터 데이터 이관, 그리고 아트워크 및 다국어 표시기재 관리 — 인허가 부서와 생산 부서 간 마찰의 빈번한 원인 — 가 여기에 해당한다. 등록 및 입찰 정보에 대한 분석은 포트폴리오 선택을 지원하며, 생성형 AI는 허가 문서와 표시기재를 판독하고 비교하는 데 도움을 줄 수 있다(AI-1/2). 포트폴리오 의사결정은 경영진에, 허가 문서의 내용은 인허가 부서와 QA에, 승인은 규제당국에 속한다.

등록 데이터는 대규모로 구조화할 수 있다. PharmaCountry 데이터셋(운영 환경 스냅샷, 2026년 9월 22일) ^[36]에서 활성 제품 등재 262,897건 중 131,361건 — 약 절반 — 이 다섯 개 국가 등록부, 즉 베트남, 대한민국, 스페인, 프랑스, 일본에서 수집한 등록 시장 데이터를 보유하고 있다. 이는 등록 데이터를 제품과 연결하는 방법을 보여 주는 것이며, 전 세계를 포괄하는 것은 아니다.

A — 공급업체, 소싱 및 조달

소싱은 짧은 후보 목록에서 시작한다. 신규 공급업체의 적격성 평가에는 수개월이 걸리며, 집중 위험은 겉으로 보이는 것보다 깊은 경우가 많다. 여러 API 제조업체가 동일한 중간체에 의존할 수 있는데, 이는 1차 공급업체 수준의 관점으로는 드러나지 않는다.

집중은 플랫폼 등재 정보 수준에서도 확인된다. 2026년 9월 21일 기준 PharmaCountry의 공급업체 데이터에서 중국, 베트남, 대한민국 세 국가는 기업 수의 25.8%를 차지하지만 제품 등재 건수의 64.7%를 차지하며, 동아시아가 등재 건수의 55.4%를 차지한다(보고서 #01) ^[35]. 이는 플랫폼 데이터이지 산업 전수조사가 아니며, 플랫폼 등재 정보는 상류의 2차 공급업체 의존 관계를 드러내지 않는다.

자동화는 구조화된 디렉터리와 마켓플레이스, 디지털 견적 요청, 계약 및 품질 협약 관리, 실사 일정 관리, 규칙 기반 공급업체 평가를 포괄한다. 일부 적격성 확인은 데이터가 공개되어 있기 때문에 일상 업무가 될 수 있다. EU의 EudraGMDP 데이터베이스 ^[13] — 2011년부터 공개 — 는 GMP 및 GDP 인증서와 GMP 부적합 진술서를 보관하고, EDQM 인증 데이터베이스 ^[12]는 CEP가 유효한지, 만료되었는지, 철회되었는지, 정지되었는지를 보여 준다. AI는 시맨틱 검색, 시험성적서(COA)와 견적서의 정보 추출(AI-1), 공급 위험 알림(AI-2), 그리고 엔티티 식별(entity resolution) — 서로 다르게 표기된 이름이 동일한 공급업체를 가리킨다는 것을 인식하는 작업 — 을 지원한다.

승인은 사람의 몫으로 남는다. 제조업체에서 공급업체 승인은 의약품 품질 시스템의 관리를 받으며, 일반적으로 QA의 감독하에 문서화된 적격성 평가 근거에 기반하고, 공급업체와 원자재의 위험도에 따라 실사가 포함될 수 있다. EU 도매업체에서는 GDP 책임자(Responsible Person)가 "공급업체 및 고객의 적격성 평가와 승인"을 담당한다 ^[1]. 알고리즘은 후보의 순위를 매길 수 있지만, 책임 있는 승인 결정을 내리지는 않는다.

공급업체 측면: 발견되는 것. 공급업체 발굴은 정보 유통의 문제이기도 하다. 역량 있는 공급업체라도 여러 시장에서 신뢰성 있게 식별되고, 검색되고, 이해될 수 없다면 구매자의 초기 후보군에 들어가지 못할 수 있다. 자동화는 구조화된 다국어 공급업체 및 제품 정보를 찾을 수 있게 만든다. 생성형 AI는 이를 초안 작성하고 번역할 수 있다 — 게시 전 사람의 검토를 거친다는 전제하에서이다. Google은 AI 생성 콘텐츠 자체를 불이익 대상으로 삼지 않는다. Google의 스팸 정책이 겨냥하는 것은 "사용자에게 가치를 더하지 않으면서 생성형 AI 도구 또는 기타 유사한 도구를 사용하여 다수의 페이지를 생성하는 행위"이다 ^[28]. 콘텐츠 규정 또한 제품 유형, 대상 독자, 관할권에 따라 다르다. EU Directive 2001/83/EC ^[7]는 전문의약품의 일반 대중 대상 광고를 금지하지만, API, 첨가제, 설비, 수탁 서비스는 동일하게 취급되지 않는다.

근거 사례 — 필자가 구축·운영하는 플랫폼(자체 근거이며 독립적 근거가 아님). 필자가 구축·운영하는 다국어 B2B 의약품 플랫폼은 canonical 및 hreflang 태그를 갖춘 서버 렌더링 페이지를 8개 언어로 제공하며, 데이터베이스에서 생성되는 사이트맵 인덱스, 구조화 데이터, 그리고 공급업체 데이터로부터 생성되는 제조국별 페이지를 갖추고 있다. 번역은 AI가 초안을 작성하고 게재 전에 검토한다. 플랫폼은 운영 중이며, 여기서 트래픽이나 검색 순위에 관해서는 어떠한 주장도 하지 않는다.

B — 국제 무역, 수출입 및 물류

국경을 넘는 이동에는 문서, 품목분류, 온도 위험이 추가된다. 운송업체 간의 모든 인계는 또 하나의 데이터 인계이다.

자동화는 일부 영역에서 성숙해 있다. EDI, 전자 통관 신고, 운송 중 로트 및 일련번호 추적, 그리고 임계값 경보를 갖춘 연속 온도 기록이 그것이다. 경보 자체는 AI가 아니라 규칙 기반이다. 밸리데이션된 범위를 벗어난 측정값이 온도 일탈 경보를 발생시키는 것이다. 최적화는 경로와 운송 수단을 선택한다. 예측형 ML은 온도 일탈의 위험을 추정하거나, 센서의 이상 동작을 표시하거나, 도착 지연을 예측할 수 있다(AI-2). 생성형 AI는 HS 코드를 제안하거나 제품 속성을 추출할 수 있지만(AI-1), 공식적인 품목분류는 여전히 수입업체 또는 관세사의 책임이다.

품질 판단은 사람에게 남는다. EU 우수유통관리기준(GDP) 가이드라인(2013/C 343/01)은 "온도 일탈을 조사하고 처리하기 위한 절차"를 두도록 하고 있다 ^[1]. 물품의 사용 가능 여부는 센서가 아니라 QA 또는 GDP 책임자가 결정한다. 우수 보관 및 유통 관리기준에 관한 WHO 지침(TRS 1025, Annex 7, 2020) ^[21] 역시 보관과 유통을 공급망 전반에서 의료 제품을 취급하는 여러 당사자에 걸친 책임으로 다룬다.

PharmaCountry는 현재 선적 데이터를 보유하고 있지 않다. 무역 흐름은 향후의 데이터 계층이며, 추정된 무역 신호는 추정임을 명시해야 할 것이다.

C — 공장 운영: 창고, 제조, QA/QC 및 밸리데이션

공장 내부에서는 종이 기반 시스템이 제대로 작동하는 경우가 많다. 문제가 생기는 곳은 양식과 양식 사이의 공간이다. 채팅방에 올라온 입고 예정 통지, 스프레드시트에 담긴 수요 예측, 부서에서 부서로 전달되는 확인서가 그러하다.

공장 자동화는 ISA-95 (IEC 62264) 계층 구조 ^[30]로 이해하는 것이 가장 좋다. 물리적 공정(레벨 0), 감지 및 조작(레벨 1), SCADA와 같은 모니터링 및 감시 제어(레벨 2), 제조 운영 관리 — MES, 전자 배치 기록, LIMS — (레벨 3), 그리고 사업 계획 및 물류, 즉 ERP(레벨 4)이다. 이 표준은 주로 레벨 3과 레벨 4 사이의 인터페이스를 다루며, 많은 프로젝트가 어려움을 겪는 곳이 바로 이 지점이다. ISA-88은 배치 제어, 즉 레시피와 설비 계층을 다룬다. 창고 관리(격리, 로트 상태, 선만료 선출고), 공정분석기술, 로봇이 전체 그림을 완성한다. 물리적 자동화는 일반적으로 물량, 제품 구성의 안정성, 공정 표준화가 이를 뒷받침하는 경우에 정당화하기 쉬우며, 기본값은 아니다.

최적화는 생산 일정을 수립한다. 예측형 ML은 공정 중 관리 항목이나 수율의 이상을 탐지하고, 예지 정비를 지원하며, QC 결과의 경향을 분석한다(AI-2). 생성형 AI는 일탈 분류를 도울 수 있다(AI-1).

책임 있는 의사결정은 이동하지 않는다. 품질책임자 또는 권한 있는 자(EU의 "QP", 명칭은 관할권마다 다름)에 의한 배치 인증 및 출하승인, QC 결론, 기준일탈(OOS) 조사의 결론 및 처리 결정, 일탈 종결이 그것이다. 관련 체계는 잘 확립되어 있다. 컴퓨터화 시스템 밸리데이션에 관한 GAMP 5 ^[29], 전자 기록 및 전자 서명에 관한 21 CFR Part 11 ^[18]과 EU GMP Annex 11 ^[3], 그리고 FDA(2018) ^[19] 및 PIC/S(PI 041-1) ^[20]의 데이터 완전성 지침이다.

근거 사례 — 진행 중인 ERP 구축. 베트남의 한 의약품 제조업체에서 오픈소스 ERP를 설정하고 있다. 물품은 격리 상태로 입고되고, 각 납품분은 용기당 하나의 하위 로트로 분할되며 공급업체의 배치 번호를 함께 보유한다 — 용기 단위의 추적성이다(구축 완료, 테스트 데이터로 시험 완료). 전자 배치 기록 워크플로는 완료 전에 생산, QA, 품질경영 책임자의 역할 기반 서명 세 건을 요구한다. 기존 종이 기록에는 여러 개의 품질 서명란이 있었으며, 디지털 워크플로는 이에 대응하는 역할 기반 승인을 완료 전 필수 절차로 만든다. 이러한 서명은 워크플로 통제이며, 아직 Part 11 또는 Annex 11의 요건을 충족하는 전자 서명은 아니다. QC 결론과 출하승인은 Level 1에 머문다. 상태: 구축 완료, 밸리데이션 미실시, 미가동. 이 프로젝트는 구축(Implementation) 시리즈에서 기록한다.

D — 유통 및 도매

유통은 흔히 공급 부족이 배분과 가용성의 문제로 드러나는 곳이다.

자동화에는 자동 재고 보충, 선만료 선출고, 입고 및 출고 시 코드 검증, 회수 추적이 포함된다. 주요 규제 시장에서는 일련번호 부여와 전자 추적 요건이 하류 공급망에서 가장 강력한 공유 데이터 구조 중 일부를 만들어 냈다. EU 위조 의약품 지침(2011/62/EU)과 Delegated Regulation (EU) 2016/161 ^[6] — 2019년 2월 9일부터 적용 — 은 대부분의 전문의약품에 고유 식별자와 개봉 방지 장치를 요구하며, 이는 저장소 시스템(repository system)을 통해 검증된다. 미국에서는 의약품공급망보안법(DSCSA)이 포장 단위의 안전하고 상호운용 가능한 전자 추적을 요구한다. 안정화 기간 이후, 적격 제조업체 및 재포장업체, 도매 유통업체, 상근 약국 인력 26명 이상인 조제기관에 대한 한시적 면제는 2025년 중 단계적으로 만료되었다. 2026년 8월 FDA는 요건을 충족하는 소규모 조제기관에 대해 2027년 11월 27일까지의 별도 면제를 발표하였다 ^[17].

최적화는 부족한 재고를 배분하고 재고 보충을 계획한다. 예측형 ML은 수요와 공급 부족을 예측한다(AI-2).

책임은 분산되어 있으며 관할권에 따라 다르다. 공급 부족 시 배분 정책은 권한을 부여받은 영업·임상·규제 거버넌스가 정한다. 회수 결정과 실행은 품목허가권자, 제조업체, 유통업체, 관할 당국에 배정된 역할에 따른다. 예를 들어 EU에서 GMP Chapter 8 ^[2]은 회수 결정에 품질위험관리를 적용하고 회수 범위에 대해 관할 당국과 협의하도록 요구하며, 도매업체의 책임자는 "모든 회수 작업을 신속하게 조정하고 수행"한다 ^[1].

E — 병원, 약국 및 소매

투약 현장에서의 문제는 재고 소진, 유효기간 경과 재고, 그리고 공급 부족 시 대안을 찾는 일이다. 일부 시장에서는 공공 부문 조달이 중요한 구매 경로이며, 베트남이 그 한 예이다.

자동화에는 자동 재주문, 유효기간 관리, 자동 조제 캐비닛 및 자동화 약품 창고, 조제 시 코드 검증, 전자 입찰이 포함된다. 조제 자동화에 대한 근거는 긍정적이지만 무조건적이지는 않다. 48편의 문헌에 대한 체계적 문헌고찰(Batson et al., European Journal of Hospital Pharmacy, 2020) ^[33]은 투약 오류, 투여 시간, 비용의 감소를 확인하였으나, 동시에 연구 설계가 일관되지 않고, 효과가 최적의 도입에 좌우되며, 확고한 투자수익 결론을 내리기 전에 충분한 검정력을 갖춘 연구가 필요하다는 점도 확인하였다.

공공조달도 디지털화되고 있다. 베트남에서는 조달법(No. 22/2023/QH15, 2024년 1월 1일 시행) ^[26]에 따라 국가조달네트워크시스템에서 조달이 이루어지며, 공공 의료기관의 의약품 조달은 현재 Circular 07/2024/TT-BYT를 전면 대체한 Circular 40/2025/TT-BYT의 적용을 받는다 ^[27].

AI는 투약 현장의 수요를 예측하고, 입찰 문서를 분석하며, 정의된 공급 속성을 공유하는 후보 제품 — 허가 시장, 제형, 함량, 포장 단위, 공급 가능한 업체 — 을 식별할 수 있다(AI-2).

여기서의 경계는 엄격하다. 공급 시스템은 무엇을 구할 수 있는지를 보여 줄 수 있지만, 환자에 대한 치료적 대체는 임상 및 약학적 의사결정이다.

F — 시장 정보 및 시판 후

제품이 시판된 이후에는 세 가지 흐름이 중요하다. 시장 신호, 이상반응 보고, 회수이다.

자동화는 불만 및 이상반응 보고의 전자적 접수, 유통 기록을 통한 해당 로트의 추적, 그리고 점점 더 늘어나는 구조화된 공급 부족 보고를 처리한다. EU에서는 Regulation (EU) 2022/123에 근거하여 2025년 1월 29일부터 전면 가동된 유럽 공급 부족 모니터링 플랫폼(ESMP) ^[14]이 중앙허가 제품의 품목허가권자로부터 정기적인 공급 부족 보고를 받으며, 위기 시에는 보고 범위가 확대된다. AI는 사례 분류 및 배정, 그리고 신호 검출을 지원할 수 있다(AI-1/2). 시장 데이터에서 도출한 수요 신호는 추정임을 명시해야 한다.

약물감시 평가와 회수 결정은 사람에게, 그리고 지정된 역할에 남는다. EMA의 약물감시 기준(GVP) ^[15]이 그 체계를 정하며, Module VI는 의심되는 이상반응의 수집 및 보고를, Module IX는 신호 관리를 다룬다.

5. 식별 체계, 상호운용성, 가시성

이 지도에서 가장 주목해야 할 장이 있다면 바로 이 장이다. 앞서 살펴본 모든 AI 활용 사례는 흔히 결여되어 있는 한 가지를 전제한다. 두 시스템이 무엇에 관해 이야기하고 있는지에 대해 합의하고 있다는 전제이다.

순서가 중요하다. 식별 체계(identity)가 먼저이다. 두 당사자는 어떤 기록이 어느 공급업체, 제품, 로트를 가리키는지 합의해야 한다. 상호운용성이 두 번째이다. 그 데이터를 교환할 수 있어야 한다. 가시성이 세 번째이다. 그래야만 누군가가 공급망을 처음부터 끝까지 볼 수 있다. 계획, 최적화, AI는 그 위에 놓인다.

식별 체계는 규제가 강제한 곳에서는 부분적으로 해결되어 있다. EU 고유 식별자는 제품 코드, 일련번호, 배치 번호, 유효기간을 담는다 ^[6]. 실무에서는 GS1 GTIN이 동일한 요소와 함께 GS1 DataMatrix에 인코딩되는 경우가 일반적이다 ^[31]. 공급업체와 사업장은 더 어렵다. PharmaCountry 자체 데이터(운영 환경, 2026년 9월 22일) ^[36]에서는 하나의 제조 사업장이 네 개의 기업 레코드로 나타나며, 동일한 공장명이 네 가지로 표기되어 있다 — 같은 도로명 주소가 네 가지 방식으로 기재되어 있고 웹사이트는 동일하며 — 이 모두가 국가 등록 데이터베이스로부터 한 번의 가져오기 작업으로 같은 날 생성되었다. 반대로 한 첨가제 공급업체의 이름은 네 개 국가에서 나타나는데, 이는 실제로 별개의 사업장일 가능성이 있다. 이름이 동일하다는 것은 중복의 증거가 아니다. 단순한 이름 정규화로 중복 후보 그룹을 표시할 수는 있지만, 문자열 유사도만으로는 두 레코드가 동일한 법인이나 사업장을 나타내는지 판단할 수 없다. 엔티티 식별에는 규칙, 근거, 그리고 검토자가 필요하다.

상호운용성은 기업 간의 EDI와 API, 그리고 공장 내부에서는 운영 시스템과 비즈니스 시스템 사이의 명확한 ISA-95 경계를 의미한다.

가시성과 계획은 교환된 데이터를 의사결정으로 전환한다. 수요 예측, 판매·운영 계획(S&OP, 수요와 공급을 정기적으로 균형 맞추는 활동), 자재소요계획, 안전재고, 그리고 컨트롤 타워가 여기에 해당한다. 컨트롤 타워는 단순한 대시보드가 아니라 가시성에 예외 탐지와 조정 기능을 더할 때에만 유용하다. 데이터가 끊기는 곳에서 계획도 끊긴다. 이것이 다시 채찍 효과이다. 2차 공급업체 수준의 가시성은 제한적인 경우가 많으며, 현재 PharmaCountry 등재 데이터에는 반영되어 있지 않다.

실무적 결론은 다음과 같다. 부실한 식별자와 낮은 데이터 품질은 AI가 기존의 오류를 재생산하거나 증폭하게 만들 수 있다. 식별 체계 작업은 AI 파일럿보다 눈에 덜 띄지만, 더 근본적인 투자인 경우가 많다.

6. 공급망 전반의 거버넌스

거버넌스는 하나의 체계가 아니라 여러 체계이며, 단계별로 적용된다.

• 제조(GMP): 컴퓨터화 시스템 밸리데이션(GAMP 5) ^[29], 전자 기록 및 전자 서명(21 CFR Part 11, EU GMP Annex 11) ^[18][3], 데이터 완전성(ALCOA+; FDA 2018; PIC/S PI 041-1) ^[19][20].
• 유통(GDP): EU GDP 가이드라인 ^[1]은 책임자(Responsible Person), 공급업체 및 고객의 적격성 평가, 회수, 온도 일탈을 규정한다.
• 약물감시(GVP): EMA GVP Modules VI 및 IX ^[15].
• 제품 표방 및 판촉: 규정은 제품 유형, 대상 독자, 관할권에 따라 다르다. EU에서는 Directive 2001/83/EC가 의약품 광고를 규율한다 ^[7].

GMP에서의 AI는 아직 정의되는 중이다. 2025년 7월 유럽연합 집행위원회와 EMA/PIC/S 실사관 작업반은 Annex 11 및 Chapter 4의 개정 초안과 함께 인공지능에 관한 Annex 22 초안 ^[4]을 공개하였다. 이 초안은 중요(critical) GMP 용도 — 환자 안전, 제품 품질 또는 데이터 완전성에 직접적인 영향을 미치는 용도 — 의 AI/ML 모델에 적용되며, 결정론적 출력을 내는 정적 모델만을 대상으로 한다. 초안은 동적 모델, 확률적 출력을 내는 모델, 생성형 AI 및 대규모 언어모델은 "중요 GMP 용도에 사용되어서는 안 된다"고 명시하였고, 중요하지 않은 용도에서는 자격을 갖춘 사람이 출력에 대한 책임을 진다고 하였다. 이 입장은 현재 논의 중이다. 2026년 6–7월 EMA는 제조 분야 생성형 AI에 대한 위험 기반 접근법을 주제로 다자간 이해관계자 워크숍을 개최하였다 ^[5]. 2026년 9월 현재 Annex 22는 초안 상태이다. 2장과의 연결은 직접적이다. 이 초안은 "AI"라는 명칭이 아니라 AI의 유형에 따라 규제한다.

보안, 개인정보, 모델 거버넌스. 연결된 자동화는 공격 표면을 넓힌다. AI는 데이터 출처, 모델 및 버전 관리, 기밀인 공급업체·GMP·환자 정보에 대한 접근, 외부 모델 제공업체에 대한 의존, 변경관리, 드리프트 모니터링, 감사 가능성과 같은 문제를 더한다. EU에서는 NIS2 Directive (EU) 2022/2555 ^[22]가 의약품 제조와 의약품 연구개발을 포함한 보건 부문으로 사이버보안 의무를 확대하며, 각국의 국내법 전환에 따라 중견 및 대규모 기업에 적용된다. GDPR ^[23]에서 건강 관련 데이터는 특수 범주에 해당하여 특정 예외가 적용되지 않는 한 처리가 금지되며, 이는 약물감시와 병원 데이터에 중요한 의미를 갖는다.

이 모든 것에 걸친 원칙은 다음과 같다. 통제는 위험에 비례해야 하며, AI는 결코 사람의 책임을 제거하는 근거가 되지 않는다.

7. 근거의 성숙도

이 가운데 얼마나 입증되었는가? 아래 분류는 체계적 문헌고찰이 아니라 PharmaCountry의 편집상 평가이다. '확립' 열은 인용된 출처에 근거하며, '신흥' 열은 근거 등급이 매겨진 주장이 아니라 활발히 개발 중인 영역을 나열한 것이다.

첫 번째 열의 AI 사례에는 단서가 필요하다. Zhu, Ninh, Zhao, Liu(Production and Operations Management, 2021) ^[34]는 주요 제약사의 대규모 데이터셋 두 개로 머신러닝 예측을 시험하여 우수한 성능을 확인하였고, 하류 재고 정보의 가치에 대한 실증적 근거도 제시하였다. 이는 특정 데이터에 대한 하나의 연구이다. 그 교훈은 이 글의 논지와 같다. 성과는 알고리즘 자체만이 아니라 기업 경계를 넘어 공유된 데이터에서 나왔다.

오른쪽 열에 대한 정확한 서술은 이것들이 불가능하다는 것이 아니라, 성숙한 운영 패턴으로 취급하기에는 근거가 불충분하고 책임 및 밸리데이션 측면의 장벽도 상당하다는 것이다.

8. 향후 시리즈

이 글은 지도이다. 시리즈는 단계별로 더 깊이 들어갈 것이다. 지능형 소싱 및 조달(Intelligent Sourcing & Procurement)(다음 글), 무역 및 물류 인텔리전스, 스마트 제조, 디지털 품질 및 규제 준수, 유통 및 도매, 약국 및 소매를 다루며, 여기에 더해 한계를 명시한 실제 ERP 프로젝트를 기록하는 구축(Implementation) 시리즈, 의약품 소싱에서의 디지털 발견성과 다국어 노출을 다루는 발견되기(Being Found), 그리고 추후 임상시험 공급망을 다룬다. 소싱 분석의 기반 데이터는 보고서 #01 — 2026 글로벌 의약품 공급업체 현황에서 출발한다.

이 글에 관하여

이 글은 분석적 지도이다. 근거는 PharmaCountry 플랫폼 데이터(스냅샷 일자와 한계를 명시함; 플랫폼 데이터는 산업 전수조사가 아님), 익명화된 두 건의 구축 사례 — 가동 및 밸리데이션 전인 ERP 프로젝트로 공장 운영에 대해서만 사용함, 그리고 필자가 운영하는 플랫폼으로 공급업체 발굴에 대해서만 사용함 — 규제 원문, 표준, 동료심사 연구로 구성된다. 공급 부족 사례는 예시이다. 데이터 성숙도와 근거 성숙도 분류는 필자의 판단이다. 규제 관련 참고문헌은 2026년 9월 22일에 확인하였다. 규제는 변경되며, 초안 문서는 초안임을 명시하였다.

시리즈를 구독하십시오: PharmaCountry 뉴스레터(이 페이지 하단 양식)를 구독하여 새로운 분석을 받아 보거나, 국가 및 카테고리별 의약품 공급업체를 살펴보십시오.

참고문헌

본문의 대괄호 번호는 이 목록을 가리킨다. 문헌 제목은 원어로 표기했으며, 본문의 인용문은 PharmaCountry가 원문을 번역한 것이다.

규제 및 공식 가이드라인

[1] European Commission. Guidelines of 5 November 2013 on Good Distribution Practice of medicinal products for human use (2013/C 343/01). https://health.ec.europa.eu/document/download/9f28179a-a6f8-418a-a5fc-ecfbb3ae3ba8_en
[2] European Commission. EudraLex Vol. 4, EU GMP Chapter 8 — Complaints, Quality Defects and Product Recalls (effective 1 March 2015). https://health.ec.europa.eu/system/files/2016-11/2014-08_gmp_chap8_0.pdf
[3] European Commission. EudraLex Vol. 4 — EU GMP guidelines, incl. Annex 11 (Computerised Systems). https://health.ec.europa.eu/medicinal-products/eudralex/eudralex-volume-4_en
[4] European Commission. Draft Annex 22: Artificial Intelligence (consultation 7 July – 7 October 2025). https://health.ec.europa.eu/document/download/5f38a92d-bb8e-4264-8898-ea076e926db6_en?filename=mp_vol4_chap4_annex22_consultation_guideline_en.pdf
[5] EMA. GMP multistakeholder workshop on expert contributions to AI guidance development (Annex 22), 30 June – 1 July 2026. https://www.ema.europa.eu/en/events/good-manufacturing-practice-multistakeholder-workshop-expert-contributions-artificial-intelligence-guidance-development-annex-22
[6] European Commission. Falsified medicines — Directive 2011/62/EU and Delegated Regulation (EU) 2016/161. https://health.ec.europa.eu/medicinal-products/falsified-medicines_en
[7] Directive 2001/83/EC on the Community code relating to medicinal products for human use, Title VIII (Advertising). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32001L0083
[8] Commission Delegated Regulation (EU) 2024/1701 amending Regulation (EC) No 1234/2008 (variations). https://eur-lex.europa.eu/eli/reg_del/2024/1701/oj/eng
[9] EMA. Guidance on the application of the revised variations framework. https://www.ema.europa.eu/en/guidance-application-revised-variations-framework
[10] EMA. Active substance master file procedure — scientific guideline. https://www.ema.europa.eu/en/active-substance-master-file-procedure-scientific-guideline
[11] EDQM. Certification of Suitability (CEP). https://www.edqm.eu/en/certification
[12] EDQM. How do I know if I have the latest valid version of a CEP? https://faq.edqm.eu/pages/viewpage.action?pageId=1377010
[13] EMA. EudraGMDP database. https://www.ema.europa.eu/en/human-regulatory-overview/research-development/compliance-research-development/good-manufacturing-practice/eudragmdp-database
[14] EMA. European Shortages Monitoring Platform (ESMP). https://www.ema.europa.eu/en/human-regulatory-overview/post-authorisation/medicine-shortages-availability-issues/european-shortages-monitoring-platform-esmp
[15] EMA. Good pharmacovigilance practices (GVP). https://www.ema.europa.eu/en/human-regulatory-overview/post-authorisation/pharmacovigilance-post-authorisation/good-pharmacovigilance-practices-gvp
[16] US FDA. Drug Master Files (DMFs). https://www.fda.gov/drugs/forms-submission-requirements/drug-master-files-dmfs
[17] US FDA. DSCSA exemptions (October 2024); small-dispenser exemption (August 2026); Exemptions under the DSCSA. https://www.fda.gov/media/182584/download · https://www.fda.gov/media/194424/download · https://www.fda.gov/drugs/drug-supply-chain-security-act-dscsa/exemptions-under-drug-supply-chain-security-act
[18] US eCFR. 21 CFR Part 11 — Electronic Records; Electronic Signatures. https://www.ecfr.gov/current/title-21/chapter-I/subchapter-A/part-11
[19] US FDA. Data Integrity and Compliance With Drug CGMP: Questions and Answers (December 2018). https://www.fda.gov/regulatory-information/search-fda-guidance-documents/data-integrity-and-compliance-drug-cgmp-questions-and-answers-guidance-industry
[20] PIC/S. PI 041-1, Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments (2021). https://picscheme.org/docview/4234
[21] WHO. TRS 1025, Annex 7: Good storage and distribution practices for medical products (2020). https://www.who.int/publications/m/item/trs-1025-annex-7
[22] Directive (EU) 2022/2555 (NIS2 Directive), Articles 2–3 and Annex I (health sector). https://eur-lex.europa.eu/eli/dir/2022/2555/oj
[23] Regulation (EU) 2016/679 (General Data Protection Regulation), Article 9 — Processing of special categories of personal data. https://eur-lex.europa.eu/eli/reg/2016/679/oj
[24] Viet Nam. Pharmacy Law No. 105/2016/QH13, Article 60 (import of medicines without a marketing authorisation). https://vanban.chinhphu.vn/?pageid=27160&docid=184569
[25] Viet Nam. Law No. 44/2024/QH15 amending the Pharmacy Law (in force 1 July 2025), Official Gazette text. https://congbaocdn.chinhphu.vn/CongBaoCP/VanBan/2024/11/43548/53667-1-20241519-152044-2024-qh15.pdf
[26] Viet Nam. Law on Procurement No. 22/2023/QH15. https://vanban.chinhphu.vn/?pageid=27160&docid=208419
[27] Viet Nam Government portal. New points in Circular 40/2025/TT-BYT on medicine procurement at public health facilities. https://xaydungchinhsach.chinhphu.vn/nhung-diem-moi-trong-thong-tu-40-2025-tt-byt-ve-dau-thau-thuoc-119251105153744446.htm
[28] Google Search Central. Spam policies for Google web search. https://developers.google.com/search/docs/essentials/spam-policies

표준

[29] ISPE. GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems, Second Edition (2022). https://ispe.org/publications/guidance-documents/gamp-5-guide-2nd-edition
[30] ISA. ISA-95 / IEC 62264, Enterprise-Control System Integration. https://www.isa.org/standards-and-publications/isa-standards/isa-95-standard
[31] GS1. Discussion paper on medicines identification requirements on primary level packaging using GS1 standards (2019). https://www.gs1.org/docs/healthcare/position-papers/Discussion-paper-on-medicines-identification-requirements-on-primary-level-packaging-using-GS1-standards-final.pdf

연구

[32] Lee, H.L., Padmanabhan, V., Whang, S. (1997). Information Distortion in a Supply Chain: The Bullwhip Effect. Management Science, 43(4), 546–558. https://doi.org/10.1287/mnsc.43.4.546
[33] Batson, S., Herranz, A., Rohrbach, N., Canobbio, M., Mitchell, S., Bonnabry, P. (2020). Automation of in-hospital pharmacy dispensing: a systematic review. European Journal of Hospital Pharmacy, 28(2). https://doi.org/10.1136/ejhpharm-2019-002081
[34] Zhu, X., Ninh, A., Zhao, H., Liu, Z. (2021). Demand Forecasting with Supply-Chain Information and Machine Learning: Evidence in the Pharmaceutical Industry. Production and Operations Management. https://doi.org/10.1111/poms.13426

PharmaCountry 데이터

[35] PharmaCountry. Report #01 — Global Pharmaceutical Supplier Landscape 2026 (snapshot 21 September 2026). https://pharmacountry.com/insights/reports/global-pharmaceutical-supplier-landscape-2026
[36] PharmaCountry production database, read-only queries, 22 September 2026: registered-market coverage of product listings; duplicate-record example (four records of one site, matched on address and website). Methodology and queries on file.