GxP und KI 2026: Was validiert ist

Dieser Fachbeitrag gibt den Stand der GxP-Leitlinien zu KI am 25. Juli 2026 wieder. Zwei der hier besprochenen Regelwerke, der KI-Leitfaden von ISPE und der EU-GMP-Annex 22, sind weniger als ein Jahr alt oder noch nicht abgeschlossen. Prüfen Sie jede Behauptung, eine KI sei vollständig GxP-validiert, mit entsprechender Skepsis.

Zusammenfassung

Die Qualitätsregelwerke der Good Practice (GxP) wurden für computerisierte Systeme geschrieben, deren Verhalten bei der Validierung feststeht und so bleibt. Adaptive, lernende KI-Systeme verändern sich nach der Freigabe, und die Normungsgremien arbeiten noch daran, wie sie sich validieren lassen. GAMP 5, das zentrale Validierungsregelwerk der Branche, ist älter als das Problem. ISPE hat erst im Juli 2025 einen eigenen KI-Leitfaden veröffentlicht. Annex 22, der GMP-Annex zu KI, hat seine öffentliche Konsultation im Oktober 2025 abgeschlossen und ist nicht verabschiedet.

KI lässt sich heute trotzdem in einem GxP-Umfeld einsetzen. Ihre Qualitätssicherung muss wissen, welche Teile gegen einen gefestigten Standard validiert sind und welche gegen einen, der noch geschrieben wird. Ein Anbieter sollte Ihnen diese Linie rasch und konkret ziehen können.

Teil 1: ein Regelwerk, das älter ist als das Problem

GAMP 5, formal der ISPE GAMP 5 Guide, ist seit 2008 der Branchenstandard für die Validierung computerisierter Systeme, mit einer zweiten Ausgabe im Juli 2022.¹ Er setzt voraus, dass das Verhalten eines validierten Systems feststeht und dass jede Änderung vor der Auslieferung durch ein kontrolliertes Änderungsmanagement geht.

Adaptive KI hebelt diese Annahme aus. Das Verhalten eines lernenden Modells kann sich verändern, wenn es feinabgestimmt wird, wenn die Retrieval-Quellen, auf die es zugreift, aktualisiert werden oder, bei manchen Architekturen, wenn es aus dem laufenden Einsatz lernt. GAMP 5 kennt keinen eigenen Begriff für die Validierung eines Systems, dessen Verhalten sich erwartbar verändert. Das Risiko liegt darin, ein adaptives KI-System so zu validieren, als wäre es ein herkömmliches computerisiertes System.

Teil 2: was veröffentlicht wurde, und wann

Der GAMP AI Guide von ISPE, veröffentlicht im Juli 2025. Er überträgt das GxP-Validierungsdenken auf KI-gestützte computerisierte Systeme über ihren gesamten Lebenszyklus und ist zur Anwendung neben GAMP 5 gedacht.² Zwischen der ersten Veröffentlichung von GAMP 5 und diesem Leitfaden liegen siebzehn Jahre. Ein Anbieter, der für ein KI-System «GAMP-5-Konformität» anführt, sollte auch diesen Leitfaden nennen oder erklären, wie seine Validierung mit adaptivem Verhalten umgeht.

EU-GMP-Annex 22, Konsultation im Oktober 2025 abgeschlossen, noch nicht verabschiedet. Annex 22 ist ein neuer Annex zu EudraLex Band 4, den GMP-Leitlinien der EU, und behandelt KI und maschinelles Lernen in der Guten Herstellungspraxis direkt.³ Die öffentliche Konsultation lief vom 7. Juli bis 7. Oktober 2025. Die Arbeitsgruppe der Europäischen Kommission und der EMA wertet die Konsultationskommentare aus. Die endgültige Verabschiedung wird bis Ende 2026 erwartet, der finale Annex existiert also noch nicht. Bei so vielen Kommentaren kann sich die verabschiedete Fassung in wichtigen Punkten vom aktuellen Entwurf unterscheiden.

Teil 3: was validiert ist und was Anbieter behaupten

«GAMP-5-konform» ist nicht dieselbe Aussage wie «validiert für adaptives KI-Verhalten». GAMP-5-Konformität ist eine belastbare Aussage über den Entwicklungs- und Validierungsprozess eines Systems. Sie bedeutet nicht, dass der Anbieter adaptives Verhalten gelöst hat, wofür GAMP 5 nicht geschrieben wurde. Bitten Sie den Anbieter, die beiden Aussagen zu trennen.

«Annex-22-ready» ist eine Aussage über ein Dokument, das in endgültiger Form noch nicht existiert. Ein System, das als gegen den EU-GMP-Annex 22 validiert oder mit ihm konform bezeichnet wird, wird an einem Entwurf gemessen. Die Vorbereitung darauf bleibt sinnvoll. Die Aussage sollte lauten: «bereit für einen Normentwurf, vorbehaltlich Überarbeitung».

Ein Validierungsansatz muss beschreiben, wie er mit Modelldrift umgeht. Die Lücke, die GAMP 5 nicht abdeckt, ist ein System, dessen Verhalten sich nach der Validierung ändert. Eine ernsthafte Antwort sagt, wie der Anbieter Drift zwischen Validierungsereignissen erkennt und kontrolliert: was überwacht wird, was eine erneute Validierung auslöst und welche Nachweise aufbewahrt werden. «Wir halten uns an GAMP 5» ist richtig, aber unvollständig.

Teil 4: wo KI heute in GxP-nahen Aufgaben ankommt

Die KI-Projekte, die in dieser Branche am schnellsten Budget erhalten, halten Abstand zu therapeutischen Entscheidungen und validierten Herstellungsprozessen. Sie arbeiten am Papierkram und an der physischen Zählung rund um das Produkt.⁴ Ein Beispiel ist der Abgleich eines zurückgegebenen Kits mit seiner Packliste, mit Prüfpfad (Audit Trail) und einem Konfidenzwert bei jeder unsicheren Erkennung. Ein anderes ist, eine Temperaturabweichung in der Kühlkette zu erkennen, bevor daraus eine abgeschriebene Charge wird. Beides liegt neben dem validierten Prozess, lässt sich daher prüfen und an einem Ausgangswert evaluieren, bevor das Gespräch über GxP-Validierung beginnt.

Dasselbe gilt für den Umgang mit Daten. Eine Architektur, die Patienten- oder Klinikdaten von einem Modell eines Drittanbieters fernhält, beseitigt eine Risikokategorie, bevor die Validierung beginnt. Die sensiblen Daten erreichen das zu validierende System nie.⁵ Die GxP-Validierung des KI-Systems selbst bleibt erforderlich, hat dann aber weniger abzudecken.

Teil 5: Fragen an einen Anbieter

Stellen Sie sie in dieser Reihenfolge.

«Erklären Sie mir, was zwischen den Validierungsereignissen passiert.» Die Frage «Ist es GAMP-5-konform?» lädt zu einem eingeübten Ja ein. Fragen Sie, was zwischen den Validierungen überwacht wird, was eine ausserplanmässige erneute Validierung auslöst und welche prüfbaren Nachweise aufbewahrt werden. Eine gute Antwort nennt Signale wie Drift-Kennzahlen, Änderungen an Retrieval-Quellen und Feinabstimmungsereignisse, jeweils mit Schwellenwert oder Verfahren. Eine schwache Antwort beschreibt ein allgemeines Bekenntnis zur Qualität.

«Zeigen Sie mir das Evaluationsset, nicht die Demo.» Dieselbe Disziplin hält ein KI-System beim Start und zwischen den Validierungen vertrauenswürdig: ein definiertes, adversariales Evaluationsset, das es dauerhaft bestehen muss.⁶ Achten Sie auf ein konkretes Evaluationsset, eine genannte Bestehensquote und ein Verfahren für den Fall, dass ein Fall eine Regression zeigt. Eine Erfolgsgeschichte allein ist eine Anekdote.

«Welche konkrete Aussage machen Sie: GAMP 5, den ISPE AI Guide oder Annex-22-Bereitschaft, und gegen welche Version?» Zwei dieser Dokumente sind weniger als ein Jahr alt, das dritte ist nicht final. Die Antwort sollte das Dokument und idealerweise sein Datum oder seine Version nennen. Haken Sie am stärksten nach, wenn die Antwort bei «voller GxP-Compliance» bleibt.

Diese Fragen zielen auf das, was herkömmliche Leitlinien nicht abdecken: Verhalten, das sich nach der Validierung ändert.

Was noch offen ist

• Der GAMP AI Guide von ISPE (Juli 2025) hat in echten Inspektionen und Audits erst wenig Erfahrung gesammelt.
• Der EU-GMP-Annex 22 ist nicht verabschiedet. Die Konsultationskommentare werden noch ausgewertet, und die verabschiedete Fassung, erwartet bis Ende 2026, kann sich vom Entwurf unterscheiden, dessen Konsultation im Oktober 2025 endete.
• Bisher beantwortet keine Leitlinie die Frage «Wie validiert man ein System, dessen Verhalten sich nach der Validierung ändern kann?» mit der Genauigkeit, die ein Regelwerk im Stil von GAMP 5 üblicherweise bietet.
• Pflichten nach DSG und GxP-Validierung sind getrennte Gespräche mit getrennten Beteiligten. Ein System, das das eine erfüllt und das andere verfehlt, zeigt die Lücke meist im Audit, wo die Behebung am meisten kostet.

Einordnung

Welche Teile des Lebenszyklus eines KI-Systems eine GxP-Validierung brauchen und welches Regelwerk jeden Teil abdeckt, ist eine Frage für die erste Phase eines Projekts, bevor über den Bau entschieden wird.⁷ Das weitere regulatorische Bild für Pharma und Life Sciences, einschliesslich revDSG, finden Sie unter KI-Regulierung in der Schweiz. Die Branchenseite Pharma und Life Sciences zeigt, wo ein erstes KI-Projekt in dieser Branche erfahrungsgemäss trägt.

Footnotes

1. ISPE, GAMP 5 Guide, Second Edition (Juli 2022; GAMP 5 erstmals veröffentlicht 2008), das Standardregelwerk der Pharmaindustrie für die Validierung computerisierter Systeme. Global. https://ispe.org/publications/guidance-documents/gamp-5-guide-2nd-edition ↩

2. ISPE, «ISPE GAMP(R) Guide: Artificial Intelligence», veröffentlicht im Juli 2025, zur Anwendung neben GAMP 5 (Second Edition) konzipiert, um das GxP-Validierungsdenken auf KI-gestützte computerisierte Systeme über ihren gesamten Lebenszyklus zu übertragen. Global. https://ispe.org/publications/guidance-documents/gamp-guide-artificial-intelligence/ ↩

3. European Commission / European Medicines Agency, «Stakeholders’ Consultation on EudraLex Volume 4 - Good Manufacturing Practice Guidelines: Chapter 4, Annex 11 and New Annex 22», öffentliche Konsultation vom 7. Juli 2025 bis 7. Oktober 2025, zu einem neuen Annex 22 mit Anforderungen an KI und maschinelles Lernen bei der Herstellung von Arzneimitteln und Wirkstoffen. Zum Zeitpunkt der Abfassung ist keine Endfassung veröffentlicht; die Arbeitsgruppe wertet die in der Konsultation eingegangenen Kommentare aus, die endgültige Verabschiedung wird bis Ende 2026 erwartet. EU. https://health.ec.europa.eu/consultations/stakeholders-consultation-eudralex-volume-4-good-manufacturing-practice-guidelines-chapter-4-annex_en ↩

4. Siehe Eine Leitstelle für die Kühlkette und die Branchenseite Pharma und Life Sciences dazu, wie solche Projekte aufgesetzt werden. ↩

5. Siehe Anonymisieren vor der Inferenz und so gehen wir mit Ihren Daten um für das hier angesprochene Architekturmuster. ↩

6. Siehe Ein adversariales Evaluationsset für Allergensicherheit und Evaluation vor dem Bau dazu, wie diese Disziplin in einem anderen regulierten Bereich aussieht. ↩

7. Siehe die KARPINITY-Methode für die vollständige Struktur in sechs Phasen und dazu, wie in Phase 01 eine regulatorische Anwendbarkeitsnotiz entsteht. ↩