AI Value Leaders: 제약사 AI 성과는 임상보다 공장에서, 전사 거버넌스 완비는 17%

제약·바이오 회사의 AI 성과는 환자에게서 가장 먼 공장과 공급망에서 먼저 나오고 있습니다. 성과를 넓게 낸 회사들은 AI용 데이터를 핵심 과제로 두고 데이터 엔지니어링을 직접 합니다. 임상으로 넓히려면 AI가 무엇을 근거로 무엇을 했는지 되짚을 수 있는 거버넌스가 먼저 있어야 하는데 이것을 전사에서 완전히 갖춘 곳은 17%뿐입니다.

요약

컨설팅사 ZS는 2026년 10월 2027 CDIO Outlook(최고 디지털·정보 책임자 대상 연례 조사)을 냈습니다. 미국과 유럽의 제약·바이오 기술 임원 223명에게 기능별로 측정 가능한 AI 성과가 나왔는지, 데이터와 검증과 역할을 어떻게 준비하는지 물었습니다. AIM Media House의 Deployed는 11월 3일 이 결과를 정리하며 의료 AI 거버넌스 도구 업체 ACTO가 10월 28일 낸 생명과학 리더 135명 조사를 함께 실었습니다. ZS는 해마다 다른 응답자를 조사합니다. 따라서 전년 대비 변화는 업계 전체의 흐름이고 같은 회사들이 달라진 정도를 잰 숫자는 아닙니다.

측정 가능한 성과 응답은 공급망·제조에서 29%에서 53%로 가장 크게 늘었습니다. drug discovery(신약 후보 발굴)는 17%에서 35%로 두 배가 됐고 상업 부문은 47%에서 56%, 전사 IT는 49%에서 70%였습니다. 임상·의료는 사실상 움직이지 않았습니다. 저자는 성과가 나는 기능이 다른 산업의 운영 업무와 닮았다는 점을 이유로 듭니다. 구조화된 데이터와 반복되는 프로세스 위에서 돌아간다는 뜻입니다. 네 핵심 영역 가운데 세 곳 이상에서 성과를 낸 38%(AI value leaders)는 데이터·검증·역할 설계에서 나머지보다 앞서 있었습니다. 반면 거버넌스는 성과를 따라가지 못했습니다. 아래에서는 이 결과를 다섯 개념으로 나눠 보고 공급망·제조에서 AI에 결정을 맡길 때 필요한 한도 표와 추적 로그, 8주 일정을 덧붙입니다.

핵심 메커니즘

Measurable Outcomes by Function: 기능별로 성과가 갈리는 이유

무엇인가. 같은 회사 안에서도 AI 성과가 기능마다 다르게 나온다는 관찰입니다. ZS는 기능별로 측정 가능한 성과를 냈는지 물었고 저자는 그 차이를 데이터와 업무의 성격으로 설명합니다.

어떻게 작동하나. 공급망·제조와 전사 IT는 입력 데이터가 정해진 형식으로 쌓이고 같은 판단이 매일 반복됩니다. 예측이 맞았는지, 재고가 줄었는지 바로 셀 수 있어서 성과를 측정하기도 쉽습니다. 임상은 시험 설계와 환자 데이터와 규제가 한곳에서 맞물립니다. 저자는 늦어진 출하는 경로를 바꾸면 되지만 잘못된 임상 판단은 되돌리기 어렵고 규제 당국의 검토도 받는다고 대비합니다.

언제 쓰나. AI 과제의 순서를 정할 때 이 기준을 씁니다. 데이터가 정형이고 판단이 반복되고 실수를 되돌릴 수 있는 업무부터 고르면 성과를 빨리 셀 수 있습니다. 환자 안전처럼 되돌릴 수 없는 판단은 통제 장치를 먼저 갖춘 뒤에 다룹니다.

원문의 예. ZS의 Mahmood Majeed(매니징 파트너)는 PharmTech 인터뷰에서 제조 쪽 초기 사례로 생산 일정 수립, 수요·재고 예측, 공정 모니터링, deviation(공정 일탈) 분석, 공급 위험 감지를 꼽았습니다. 같은 인터뷰는 한 글로벌 제약사가 결품 예측 정확도를 20% 넘게 높였다는 IDC 사례도 소개했습니다.

AI Value Leaders: 성과를 넓게 낸 38%가 다르게 하는 것

무엇인가. 네 핵심 사업 영역 가운데 세 곳 이상에서 측정 가능한 성과를 냈다고 답한 응답자 38%를 ZS는 AI value leaders(AI 가치 선도 기업)로 묶었습니다. 네 영역이 무엇인지는 기사에서 따로 나열하지 않았습니다.

어떻게 작동하나. 차이는 모델 선택이 아니라 준비 방식에서 났습니다. value leaders는 AI용 데이터를 핵심 과제로 보는 비율이 72%로 나머지(46%)보다 높았습니다. 핵심 데이터 엔지니어링을 내부에 두는 비율은 69% 대 53%였습니다. 규제 용도에 쓰기 전에 AI를 검증하는 비율은 54% 대 40%, AI와 함께 일하도록 역할을 다시 설계하는 비율은 48% 대 27%였습니다. 2027년 데이터 인프라와 플랫폼 현대화 지출을 크게 늘리겠다는 응답도 약 1.5배 많았습니다. PharmTech 인터뷰에 따르면 이들은 핵심 데이터 엔지니어링은 안에 두면서 다른 영역에서는 파트너 계약을 더 적극적으로 씁니다.

언제 쓰나. 우리 회사의 AI 준비도를 점검하는 체크리스트로 씁니다. 네 항목 가운데 데이터 우선순위와 데이터 엔지니어링 내재화는 IT 조직이, 검증과 역할 재설계는 품질·현업 조직이 답해야 하는 질문입니다.

Bounded Autonomy: 정해진 한도 안에서만 AI가 결정을 실행

무엇인가. AI가 결정을 직접 실행하되, 미리 정한 범위 안에서만 하게 하는 운영 방식입니다. value leaders의 71%는 공급망·제조에서 AI가 이미 정해진 한도 안에서 결정을 실행한다고 답했습니다.

어떻게 작동하나. Majeed가 PharmTech에 설명한 순서는 이렇습니다. 프로세스 오너와 현업 전문가(SME)가 모델이 다룰 범위와 입력과 행동을 정합니다. Quality(품질 조직)가 가동 전에 그 경계를 승인합니다. 팀은 시스템이 한도를 지키는지, 필요할 때 사람에게 넘기는지를 시험한 뒤 change control(변경 통제) 아래에서 계속 지켜봅니다. AI는 모니터링하고 분류하고 대사(맞춰 보기)하고 정보를 준비할 수 있습니다. 반면 출하 승인, 제품 처분, 시정 조치는 qualified person(GMP상 출하를 책임지는 자격자)에게 남습니다.

언제 쓰나. 결정의 위험에 맞춰 자율 수준을 다르게 둘 때 씁니다. Majeed는 EU가 초안으로 낸 GMP Annex 22도 의도한 용도의 문서화, 통제된 시험 데이터, 사람의 감독을 강조하는 위험 기반 접근이라고 설명했습니다. 지금은 기존 GMP 요건을 그대로 지켜야 합니다.

Governance Gap: 성과는 늘었는데 통제는 뒤처짐

무엇인가. AI 성과가 나는 속도와 전사 거버넌스가 갖춰지는 속도가 벌어진 상태입니다. ZS 조사에서 전사 AI 거버넌스가 완전히 가동 중인 곳은 17%였고 55%는 아직 정의하거나 도입하는 중이었습니다.

어떻게 작동하나. ACTO 조사도 같은 방향을 가리킵니다. 거버넌스 절차가 있다는 곳은 64%였는데 완비 22%와 구축 중 42%를 합친 숫자입니다. 36%는 절차가 없거나 한 번 승인하고 끝내는 방식이었습니다. 58%는 업계에 책임 있는 AI의 명확한 기준이 없다고 봤습니다. 23%는 직원이 승인받지 않은 AI 에이전트를 쓰는지 살피지도 논의하지도 않았습니다. 기사는 ACTO가 이 분야 도구를 파는 회사라는 점도 함께 밝혔습니다.

언제 쓰나. 성과가 난 과제를 다른 기능으로 넓히기 전에 이 간극을 잽니다. Majeed는 거버넌스가 비면 데이터 무결성 지적, 통제되지 않은 변경, 알아채지 못한 성능 저하로 이어진다고 말했습니다.

Traceability by Design: 처음부터 되짚을 수 있게 만들기

무엇인가. AI가 한 일을 나중에 설명할 수 있도록 기록 장치를 시스템 설계 단계에서 넣는 원칙입니다. Majeed는 추적성을 나중에 덧붙이지 말고 처음부터 넣어야 한다고 말했습니다.

어떻게 작동하나. PharmTech 인터뷰에서 그가 든 통제는 행동 기록, 모델과 프롬프트의 버전 관리, 접근 통제, 승인과 에스컬레이션 지점의 내장입니다. 점검관이 이 시스템이 무엇을 했느냐고 물으면 쓴 데이터, 돌던 버전, 승인한 사람을 바로 보여 줄 수 있어야 합니다. 위험을 재는 기준도 함께 정합니다. ACTO 조사에서 79%는 AI의 위험과 수익을 지금 사람이 하는 프로세스와 비교해 판단해야 한다고 답했습니다.

언제 쓰나. 규제 대상 업무에 AI를 넣을 때는 첫 버전부터 씁니다. 사람 기준선도 함께 기록해 두면 “AI가 완벽한가” 대신 “지금보다 나은가”를 물을 수 있습니다.

통념과 다른 주장

저자가 든 사례

ZS 2027 CDIO Outlook: 성과를 넓게 낸 회사들의 공통점

항목	내용
상황	Majeed는 AI가 시범 단계에서 일상 업무로 옮겨 가고 있다고 봅니다. 어디서 성과가 나는지가 궁금한 시점입니다.
한 일	미국·유럽 제약·바이오 기술 임원 223명에게 기능별 성과, 데이터 우선순위, 검증, 역할 설계를 물었습니다. PharmTech에 따르면 표본은 미국, 영국, EU 4개 시장에서 모았습니다.
결과	공급망·제조 성과 응답 29%→53%, drug discovery 17%→35%, 임상·의료 제자리. value leaders 38%. 전사 거버넌스 완전 가동 17%.
연결	Measurable Outcomes by Function, AI Value Leaders, Governance Gap

ACTO RAIL 조사: 거버넌스와 책임 소재

항목	내용
상황	생명과학 회사에 AI 에이전트가 들어오는데 책임 있는 AI의 업계 기준은 정해지지 않았습니다.
한 일	ACTO가 생명과학 리더 135명에게 거버넌스 절차, 승인 안 된 에이전트 감시, 책임 주체를 물었습니다(10월 28일 발표).
결과	거버넌스 절차 64%(완비 22%), 기준 부재 응답 58%, 무단 에이전트 미감시 23%. 책임 주체는 최종 사용자 34%, 법무·컴플라이언스 28%, AI 벤더 22%, IT 16%로 갈렸습니다. 개인적으로 AI가 편하다는 응답은 69%였고 자기 조직의 AI 사용이 걱정된다는 응답은 54%였습니다.
연결	Governance Gap, Traceability by Design

제조 품질 역할: 대사하던 사람이 검토하는 사람으로

항목	내용
상황	규제 제조에서 출하·처분·시정 조치의 최종 결정은 qualified person에게 남아 있습니다.
한 일	Majeed가 든 예로, QA 담당자는 기록을 손으로 맞추는 대신 에이전트가 준비한 batch record(제조 기록) 묶음을 검토합니다. 공정 엔지니어는 에이전트의 원인 분석을 반박하고 검증합니다. 재교육은 AI 결과를 검토·승인하는 사람부터 정식 교육과 실습을 묶어 시작합니다.
결과	원문에서 성과 수치는 밝히지 않았습니다. 일부 대기업은 인증 프로그램을 운영하며 AstraZeneca가 예로 나왔습니다.
연결	Bounded Autonomy, AI Value Leaders(역할 재설계 48% 대 27%)

기술 디테일: 한도 안 자율 실행과 추적 로그를 실제로 돌리려면

아래는 원문에 없는 내용으로, 같은 방식을 우리 회사에서 돌릴 때 필요한 것을 새로 정리했습니다. 필드명과 값은 모두 가상 예시입니다.

Bounded Autonomy를 돌리려면 use case마다 자율 수준과 한도 표를 먼저 씁니다. 자율 수준은 네 단계로 나눕니다. L0은 예측과 요약만 내고 L1은 결정안과 서류를 준비하고 L2는 한도 안에서 직접 실행합니다. L3은 AI가 실행하지 않는 결정으로, 출하·처분·시정 조치가 여기에 들어갑니다. 한도는 사람이 읽을 수 있는 표로 쓰고 코드는 그 표를 읽어 점검합니다. 표가 바뀌면 Quality 승인과 변경 통제 번호가 새로 붙어야 합니다.

{
  "use_case_id": "SCM-07",
  "function": "supply_chain",
  "decision": "packaging line schedule adjustment",
  "autonomy_level": "L2",
  "limits": {"max_shift_days": 1, "max_batches_moved": 2, "excluded": ["release", "disposition", "capa"]},
  "escalate_to": "planning_lead",
  "quality_approval": {"approver": "QA-0142", "date": "2026-11-20", "change_control": "CC-2026-318"},
  "human_baseline": {"metric": "schedule adherence", "period": "2026-06..2026-08", "value": 0.91}
}

Traceability by Design를 지키려면 실행 한 건마다 같은 형식의 로그를 남깁니다. 필수 필드는 run_id, 입력 데이터 스냅샷의 해시(input_hash), model_version, prompt_version, 한도 점검 결과(limit_check: pass·exceed), 실행한 행동(action), 승인자(approver), 시각입니다. 로그는 수정할 수 없는 저장소에 쓰고 보존 기간은 해당 제품의 GMP 기록 보존 기간에 맞춥니다. 점검관의 세 질문(어떤 데이터, 어떤 버전, 누가 승인)에 run_id 하나로 답할 수 있으면 통과입니다.

일탈 분석처럼 LLM이 글을 쓰는 단계는 구조화 출력으로 묶습니다. 일탈 보고서 초안은 suspected_cause, evidence_refs(배치 기록·장비 로그의 위치), confidence, open_questions 필드를 가진 JSON으로 받습니다. temperature 0으로 같은 입력을 3회 돌려 suspected_cause가 갈리면 사람 검토로 넘깁니다. evidence_refs가 비어 있는 원인은 버립니다. 공정 엔지니어가 반박한 건은 사유와 함께 저장해 다음 프롬프트 개정의 시험 세트로 씁니다.

사람 기준선과 비교하려면 같은 건을 두 번 처리합니다. 지난 3개월의 일탈 건 50~100개를 골라 사람이 쓴 결론과 AI 초안을 나란히 놓고 채점합니다. 0점은 원인이 틀림, 3점은 원인은 맞지만 근거가 부족함, 5점은 원인과 근거가 모두 맞음입니다. 평균이 사람과 같거나 높고 0점 비율이 사람보다 낮을 때만 L1으로 올립니다. ACTO 조사의 79%가 말한 사람 기준 비교를 숫자로 옮기는 방법입니다.

AI Value Leaders처럼 데이터 엔지니어링을 안에 두려면 제조 데이터 연결부터 직접 맡습니다. 생산 실행 시스템(MES), 실험실 정보 시스템(LIMS), 품질 관리 시스템(QMS), ERP를 잇는 파이프라인과 데이터 정의는 내부 팀이 소유하고 모델이나 화면은 파트너에게 맡길 수 있습니다. CDMO(위탁 생산 업체)와 데이터를 주고받는다면, Majeed가 말한 대로 데이터 소유권과 접근과 허용 용도(특히 모델 학습)를 품질 계약서에 먼저 적습니다.

Governance Gap 가운데 승인 안 된 에이전트는 로그로 찾습니다. 프록시와 SaaS 접속 기록에서 생성형 AI 서비스 도메인을 월 단위로 뽑고 사내 에이전트 등록부와 대조합니다. 등록부에 없는 사용이 규제 데이터에 닿았는지를 먼저 봅니다.

현업 실행 디테일: 누가, 언제, 무엇을

역할	담당	하는 일
CDIO·AX 추진	과제 선정·보고	기능별 후보 목록, 자율 수준 기준, 경영진 보고
공급망·제조 프로세스 오너	범위·한도	입력·행동·한도 표 작성, 에스컬레이션 담당 지정
QA·qualified person	경계 승인·최종 결정	가동 전 한도 승인, 출하·처분·시정 조치 결정 유지
내부 데이터 엔지니어링	데이터·로그	MES·LIMS·QMS·ERP 연결, 추적 로그 저장소
법무·컴플라이언스·CISO	책임·감시	에이전트 책임 주체 규정, 무단 에이전트 감시

준비물. 후보 업무 3~5개의 지난 3개월 처리 기록, 현재 사람이 낸 결과(기준선), 관련 SOP와 변경 통제 절차, 데이터 원천 목록, CDMO와의 품질 계약서가 있어야 합니다.

첫 주에 할 질문.

• 이 결정이 틀리면 되돌릴 수 있나, 되돌리는 데 며칠 걸리나?
• AI가 실행해도 되는 범위를 숫자로 쓸 수 있나?
• 한도를 넘으면 누가, 몇 시간 안에 받나?
• 점검관이 물으면 데이터, 버전, 승인자를 한 번에 보여 줄 수 있나?
• 같은 일을 지금 사람이 하면 결과가 어느 수준인가?
• AI가 행동했을 때 책임은 사용자, 법무, 벤더, IT 가운데 누구에게 있나?

진행 판정 기준(예시). 8주째에 세 가지를 봅니다. 그림자 운영(AI 결과를 실제로 쓰지 않고 나란히 기록만 하는 방식) 동안 한도 초과 건이 모두 에스컬레이션됐는지, 사람 기준선 대비 점수가 같거나 높은지, 무작위로 고른 10건을 run_id로 되짚는 데 건당 5분이 넘지 않는지입니다. 셋을 모두 맞추면 L2로 가동하고 하나라도 못 맞추면 L1에 머뭅니다.

적용 제언. 국내 제약·바이오와 CDMO라면 이 조사가 가리키는 순서를 그대로 따르는 편이 현실적입니다. 첫 과제는 수요·재고 예측, 공정 모니터링, 일탈 분석처럼 데이터가 쌓여 있고 실수를 되돌릴 수 있는 공급망·제조 업무로 고릅니다. 이때 만든 한도 표와 추적 로그를 회사 표준으로 굳힌 뒤 drug discovery로 넓히고 임상은 거버넌스가 전사에서 돌아갈 때 들어갑니다. 현업 스폰서는 제조·공급망 본부장이 맡고 QA는 처음부터 설계에 참여해야 합니다. 바뀌는 관행은 “AI 위험을 0으로 만든 뒤 쓴다”는 생각입니다. 지금 사람이 내는 결과와 나란히 재고 그보다 나을 때 한도를 한 칸씩 넓히는 방식으로 바꿉니다.

원문 사례

항목	내용
원문	Deployed(AIM Media House), Sachin Mohan, 2026.11.3
1차 자료	ZS 2027 CDIO Outlook(2026년 10월), ACTO RAIL report 2026(10.28)
ZS 표본	미국·유럽 제약·바이오 기술 임원 223명, 해마다 다른 응답자
기능별 성과(2025→2026)	공급망·제조 29%→53%, drug discovery 17%→35%, 상업 47%→56%, 전사 IT 49%→70%, 임상·의료 제자리
AI value leaders	응답자의 38%(4개 핵심 영역 중 3곳 이상 성과)
value leaders 비교	데이터 핵심 과제 72% 대 46%, 데이터 엔지니어링 내부 69% 대 53%, 규제 전 검증 54% 대 40%, 역할 재설계 48% 대 27%, 2027 데이터 인프라 지출 대폭 증가 약 1.5배
한도 안 실행	value leaders의 71%가 공급망·제조에서 AI가 한도 안 결정 실행
ZS 거버넌스	전사 완전 가동 17%, 정의·도입 중 55%
ACTO 조사(135명)	거버넌스 절차 64%(완비 22%, 구축 중 42%), 없음·1회 승인 36%, 기준 부재 58%, 무단 에이전트 미감시 23%
책임 주체	최종 사용자 34%, 법무·컴플라이언스 28%, AI 벤더 22%, IT 16%
내부 장애	규제·법무·컴플라이언스 망설임 21%(1위), 기술 준비도 9%(꼴찌)
리더 인식	개인 AI 편안함 69%, 조직 내 AI 사용 우려 54%, 사람 기준과 비교 79%

핵심 개념

CDIO

Chief Digital and Information Officer. 디지털 전략과 정보 시스템을 함께 책임지는 임원입니다.

qualified person

GMP 아래에서 제조된 배치의 출하를 승인할 법적 책임을 지는 자격자입니다.

deviation

제조가 승인된 절차나 규격에서 벗어난 사건으로, 원인 분석과 기록이 따라야 합니다.

change control

시스템이나 절차를 바꿀 때 영향을 평가하고 승인받아 기록하는 절차입니다.

EU GMP Annex 22

EU가 초안으로 낸 GMP 부속서로, 제조에 쓰는 AI에 위험 기반 요건을 둡니다.

CDMO

의약품 개발과 생산을 위탁받아 수행하는 회사입니다. 위탁해도 의뢰사의 감독 책임은 남습니다.

shadow AI

회사가 승인하거나 등록하지 않은 AI 도구나 에이전트를 직원이 쓰는 일입니다.

내 메모

TODO: 내 생각 추가

이 노트는 Deployed(AIM Media House) 기사 “Pharma’s AI Is Paying Off in the Factory, Not the Clinic. Only 17% Have Full Governance.”(Sachin Mohan, 2026.11.3)를 원문으로 썼습니다. 기사가 근거로 삼은 ZS 2027 CDIO Outlook과 ACTO RAIL report 2026의 수치는 기사에 실린 대로 옮겼습니다. 공정 일탈 분석 같은 제조 초기 사례, 결품 예측 IDC 사례, 경계 승인 순서, Annex 22 설명, 추적성 통제 목록, CDMO 데이터 계약, 역할 변화 예는 기사가 링크한 PharmTech의 Mahmood Majeed 인터뷰(2026.10.23, pharmtech.com)에서 확인했습니다. ZS 보고서 원문 페이지는 이번에 열지 못했습니다. 요약, 핵심 메커니즘의 사실, 저자가 든 사례, 원문 사례 표는 이 자료들을 AX Review가 다시 정리한 것입니다. 그 밖 28%(100%에서 17%와 55%를 뺀 값)는 AX Review 계산입니다. 기술 디테일과 현업 실행 디테일(자율 수준, JSON 필드, 로그 형식, 채점 기준, 8주 일정, 판정 기준, 적용 제언)과 인포그래픽, 표는 새로 작성했습니다. 전체 내용은 원문에서 볼 수 있습니다.