EU GMP Annex 22.
Annex 22 ist der geplante KI-Anhang des EU-GMP-Leitfadens EudraLex Volume 4 und die erste eigenständige Regelung für KI-Modelle in computergestützten Systemen der Arzneimittelherstellung. Das computergestützte System wird weiterhin nach Annex 11 validiert, und für das eingebettete KI-Modell gelten weitergehende Anforderungen. Der Text ist noch ein Entwurf, kann das Vorgehen von Inspektoren aber schon heute prägen.
Zehn Abschnitte, eine enge Grenze für kritische Anwendungen.
Der Entwurf gilt für computergestützte Systeme im GMP-Umfeld, in denen KI-Modelle in kritischen Anwendungen wirken. Kritisch heißt hier direkter Einfluss auf Patientensicherheit, Produktqualität oder Datenintegrität. Solche Modelle sagen typischerweise Werte vorher oder klassifizieren Daten. Der Anwendungsbereich reicht nach dem GMP-Begriff der Herstellung von der Produktion bis zu Qualitätsprozessen wie dem Abweichungsmanagement. Erfasst sind Machine-Learning-Modelle, die ihre Funktion durch Training erhalten haben.
Nach unserer Lesart der laufenden Diskussion bemisst sich „kritisch“ nicht am direkten Einfluss allein. Auch schwer entdeckbare Fehler und ein hoher Automatisierungsgrad sprechen für eine höhere Einstufung. Die Grenze zieht der Text bewusst eng und sieht in kritischen Anwendungen nur statische Modelle mit deterministischem Output vor. Wie sich das ins Gesamtbild der KI im GxP-Umfeld einfügt, zeigt der Blick auf die zehn Abschnitte.
Geltungsbereich & Grundsätze · Abschnitte 1-2
Abschnitt 1 begrenzt den Geltungsbereich auf kritische Anwendungen und auf statische Modelle mit deterministischem Output. Abschnitt 2 sieht eine enge Zusammenarbeit aller Beteiligten mit definierten Verantwortlichkeiten vor. Genannt sind Prozess-SMEs, QA, Data Science, IT und Berater. Die Dokumentation zu Modell und Rollen prüft der regulierte Anwender, auch bei Modellen vom Lieferanten. Wie weit die Maßnahmen gehen, richtet sich nach dem Risiko.
Intended Use · Abschnitt 3
Die Aufgabe des Modells wird detailliert beschrieben, mit Eingangsdaten (Input Sample Space), Grenzen und möglichen Verzerrungen. Verantwortlich ist der Prozess-SME. Freigegeben wird die Beschreibung vor dem Test. Der Entwurf überträgt „Intended Use“ auf das Modell. Aus unserer Sicht kommt der Zweck aus dem Prozess, und das Modell erfüllt darin eine Aufgabe.
Akzeptanzkriterien · Abschnitt 4
Testmetriken und Akzeptanzkriterien stehen vor dem Test fest. Die Akzeptanzkriterien sollen mindestens so hoch liegen wie die Leistung des Prozesses, den das Modell ersetzt.
Testdaten · Abschnitte 5-6
Die Testdaten sind repräsentativ und stratifiziert. Technisch wie personell bleiben sie strikt von der Modell-Entwicklung getrennt, gesichert durch Zugriffskontrolle und Audit Trail. Wo eine personelle Trennung nicht möglich ist, sieht der Entwurf das Vier-Augen-Prinzip vor.
Test & Erklärbarkeit · Abschnitte 7-9
Nach einem freigegebenen Testplan wird geprüft, ob das Modell generalisiert. Beim Test in kritischen Anwendungen zeichnet das System auf, welche Merkmale der Testdaten zum Ergebnis beigetragen haben, und bei der Freigabe der Testergebnisse wird geprüft, ob das Modell sich auf relevante Merkmale stützt. Techniken wie Feature-Attribution nennt der Entwurf nur beispielhaft („where applicable“). Unsichere Ergebnisse kann das Modell als „undecided“ ausweisen. Wie damit umzugehen ist, gehört aus unserer Sicht in den Prozess.
Betrieb · Abschnitt 10
Vor der Inbetriebnahme kommen Modell, System und Prozess unter Change Control, das getestete Modell zusätzlich unter Configuration Control. Modellleistung und Eingangsdaten werden auf Drift überwacht. Wo der Testaufwand des Modells reduziert wurde, sind Aufzeichnungen zu führen. Je nach Kritikalität kann das bedeuten, dass ein Mensch jedes Ergebnis nach einem festgelegten Verfahren prüft oder testet.
Der rote Faden dieser Abschnitte ist ein Wechsel im Nachweis. Der Leistungsnachweis eines trainierten Modells braucht statistisch belastbare Evidenz aus geeigneten Testdaten. Sie ergänzt die Funktions- und Integrationstests des computergestützten Systems. Testdaten unterliegen eigenen Anforderungen, und Metriken belegen, wie gut das Modell arbeitet. Für die GMP ist dieses Denken nicht neu. Annex 15 verlangt seit 2015 die fortlaufende Prozessverifizierung über den Lebenszyklus. Wo angemessen, stützen statistische Werkzeuge die Aussagen zu Variabilität und Prozessfähigkeit (5.29 bis 5.32). So gelesen, überträgt Annex 22 diesen Nachweis von Prozessen auf Modelle.
Regelbasierte Automatisierung ohne Machine Learning bleibt ein reiner Annex-11-Fall. Statische Machine-Learning-Modelle sind der Gegenstand des Annex 22. Dynamische, probabilistische und generative Modelle sieht der Entwurf für kritische Anwendungen dagegen nicht vor. Außerhalb kritischer Anwendungen sind sie weiterhin einsetzbar, wobei das computergestützte System, in dem sie laufen, der Risikobewertung nach dem geltenden Annex 11 unterliegt. Aus unserer Sicht gehören sie dann stets unter menschliche Aufsicht. Für generative KI und LLMs macht der Entwurf diese Aufsicht ausdrücklich zur Bedingung.
Wo der Text heute steht.
1.359 Kommentare aus 79 Organisationen in 39 Ländern, von Industrie, Behörden und Wissenschaft, belegen das Interesse am Entwurf. Der Weg zur endgültigen Fassung führt über fünf Stationen.
- 1
Entwurf und Konsultation
Im Juli 2025 stellte die Europäische Kommission den Entwurf des ersten eigenständigen KI-Anhangs des EU-GMP-Leitfadens zur Konsultation. Erarbeitet hat ihn die Annex-22-Drafting-Group der GMDP Inspectors Working Group. Die Frist für Kommentare lief bis Oktober 2025. Der Anhang gehört zum Paket der EudraLex-Volume-4-Revision mit Chapter 4 (Dokumentation) und der Annex-11-Revision.
- 2
Auswertung der Kommentare
Die Auswertung, die der Vorsitzende der GMDP Inspectors Working Group im April 2026 vorstellte, zeigt klare Schwerpunkte, allen voran den Ruf nach einem risikobasierten Ansatz ohne kategorische Technologie-Ausschlüsse.
- 3
Expertenworkshop
Tag eins am 30. Juni 2026 war eine offene Session, in der verbandsnominierte Experten Meinung und Evidenz vortrugen. Tag zwei am 1. Juli war eine geschlossene Session ohne Übertragung. Die sechs Themenfelder reichten von regulatorischen Wegen für adaptive Modelle über menschliche Aufsicht bis zur Cybersicherheit.
- 4
Report liegt vor, überarbeiteter Entwurf folgt
Anfang Oktober 2026 hat die EMA den Workshop-Report veröffentlicht (EMA/156789/2026). Darin berichtet sie, dass die Drafting Group eine Erweiterung des Geltungsbereichs auf dynamische, adaptive, probabilistische und generative Modelle erörtert hat, sofern die Modelle die Anforderungen des Annex erfüllen und ihr Einsatz durch eine vollständig dokumentierte, robuste, risikobasierte Kontrollstrategie abgesichert ist. Als nächsten Schritt nennt der Report die Überarbeitung des Entwurfs durch die Drafting Group, ein Datum gibt er dafür nicht an. Am 12. und 13. November 2026 laden HMA und EMA zum AI & Data Forum nach Amsterdam, vor Ort und virtuell. Auf der Agenda stehen der Stand der KI-Leitlinienentwicklung im europäischen Netzwerk und die Lehren aus dem GMP-Workshop zu Annex 22. Wie deckungsgleich die Signale aus Barcelona (Rapporteur der Annex-22-Drafting-Group), aus Boston (FDA-Experte) und vom EMA-Workshop ausfallen, zeigt unsere Zusammenschau Drei Signale, eine Linie. Ein transatlantisches Signal liegt seit dem 14. Januar 2026 vor. EMA und FDA haben gemeinsame Guiding Principles of Good AI Practice veröffentlicht. Die Prinzipien sehen vor, dass Validierung, Risikominderung und Aufsicht dem Context of Use und dem ermittelten Modellrisiko angemessen sind (Prinzip 2). Prinzip 9 verankert das Lebenszyklusmanagement des KI-Systems, zu dem planmäßiges Monitoring und periodische Neubewertung gehören, etwa im Hinblick auf Datendrift.
- 5
Finalisierung
Veröffentlichung und Übergangsfristen stehen aus. Bis dahin gilt Annex 11 unverändert.
Bleiben generative KI und LLMs außen vor?
Im Konsultationsentwurf ja. Auf generative KI und Large Language Models ist er nicht anwendbar, und in kritischen GMP-Anwendungen sollen sie nicht eingesetzt werden. Außerhalb kritischer Anwendungen bleibt ihr Einsatz möglich, stets mit menschlicher Prüfung der Ergebnisse (Human-in-the-Loop, HITL). Die Verantwortung für den Einsatz verbleibt beim regulierten Unternehmen. Der Anfang Oktober 2026 veröffentlichte Workshop-Report hält fest, dass die Drafting Group eine Öffnung für generative Modelle und LLMs unter einer dokumentierten, risikobasierten Kontrollstrategie erörtert hat. Zuvor hatte die EMA die Kommentar-Schwerpunkte der Konsultation so zusammengefasst:
Woran entscheidet sich der finale Text von Annex 22?
Konsultation und Expertenworkshop haben die Debatte auf drei Fragen eingegrenzt, an denen sich entscheidet, wie weit die endgültige Fassung vom Konsultationsentwurf abweicht. Die erste Frage ist, ob die Grenze weiter an der Modellklasse hängt oder zum Risiko der Anwendung wandert. Bei der zweiten geht es um die Aufsicht: fester Human-in-the-Loop-Mechanismus oder Human Oversight mit mehreren Formen. Die dritte zielt auf die Evidenz, die die EMA für Guardrails verlangen würde, falls dynamische Modelle in GMP-Anwendungen zugelassen werden. Seit Anfang Oktober 2026 ist der Diskussionsstand öffentlich. Der Workshop-Report berichtet, dass die Drafting Group eine Erweiterung des Geltungsbereichs auf dynamische und generative Modelle erörtert hat.
Bleibt die Grenze an der Modellklasse?
Für kritische Anwendungen schließt der Entwurf dynamische, probabilistische und generative Modelle aus. Die Logik des Qualitätsrisikomanagements spricht für den umgekehrten Ansatz. Höheres Risiko bedeutet stärkere Kontrollen, kein pauschales Verbot. In der Ankündigung des Workshops führt die EMA Guardrails als Teil eines risikobasierten Ansatzes an. Der Report gibt die Auffassung der Verbände wieder: Über die Zulässigkeit sollen Intended Use, Konsequenz einer Entscheidung, Unsicherheit, Komplexität und Kontrollstrategie entscheiden, nicht das Technologie-Label. Die Entdeckbarkeit von Fehlern kam in der Diskussion als weitere Risikogröße hinzu.
Wie viel Aufsicht verlangt die endgültige Fassung?
Der Entwurf verankert Human-in-the-Loop an drei Stellen, im Geltungsbereich sowie in den Abschnitten 3.3 und 10.5. Die Industrie schlug im Workshop Aufsicht als Konzept mit mehreren Formen vor. Welche Form angemessen ist, folgt aus der Risikobewertung. Der Report hält fest, dass Human-in-the-Loop eine mögliche Kontrolle ist, keine Standardanforderung, und dass Aufsicht eine unzureichende Validierung nicht ausgleicht. Warum der Wechsel bei der Verantwortung beginnt, zeigt unser Beitrag zum GAMP D-A-CH Forum Wer widerspricht, wenn das System spricht? Dass der Mensch im Loop allein keine Kontrolle herstellt, haben wir für ISPE iSpeak ausgeführt: Human-in-the-Loop as an Illusion of Control?
Welche Evidenz für Guardrails?
Der Workshop fragte nach Evidenz für Kontrollmaßnahmen und Guardrails, die einen risikobasierten Ansatz tragen sollen. Die Industrie stellte GMP-Anwendungsfälle und eine dreistufige Guardrail-Architektur vor, von der Ausreißererkennung am Eingang bis zur Drift-Erkennung am Ausgang. Laut Report bezeichneten die Vortragenden einige Beispiele als Pilotprojekte oder theoretische Konzepte, und die Industrie schlug vor, von Kontrollmechanismen statt von Guardrails zu sprechen. Viele Guardrails sind ihrerseits klassifizierende Systeme mit eigenen Fehlerraten. Auch solche Kontrollmechanismen brauchen deshalb Evidenz, mit Metriken, Testansatz und Monitoring. Der Nachweis gilt dem Gesamtpaket der Kontrollen.
Wie greifen Chapter 4, Annex 11 und Annex 22 ineinander?
Die drei Entwürfe der EudraLex-Volume-4-Revision sind aufeinander bezogen. Chapter 4 regelt die Dokumentation. Es stellt klar, dass die Verantwortung für die Integrität von Dokumenten, Aufzeichnungen und Daten beim regulierten Anwender bleibt, auch wenn KI oder andere automatisierte Mittel diese Inhalte erzeugen oder verarbeiten. Stützt KI eine Entscheidung in der Herstellung, gilt Annex 11. In kritischen Anwendungen soll der geplante Annex 22 hinzukommen. Der Konsultationsentwurf begrenzt ihn auf statische Modelle. Der Annex-11-Entwurf bildet den Rahmen für jedes computergestützte System, mit Risikomanagement, Security, Zugriffsverwaltung, Audit Trails und Periodic Review. Dazu gehört der Grundsatz, dass ein neues System das Gesamtrisiko des Prozesses nicht erhöhen soll. Annex 22 setzt dort an und beschreibt als ergänzende Leitlinie, was Annex 11 für ein trainiertes Modell nicht abdeckt: Intended Use des Modells im Sinne des Entwurfs, Testdaten getrennt von den Trainings- und Validierungsdaten der Modellentwicklung, Akzeptanzkriterien mindestens auf dem Niveau des ersetzten Prozesses, Erklärbarkeit, Konfidenzschwellen und Monitoring im Betrieb.
Der Entwurf zieht die Grenze deutlich.
Diese Grenze hat die Industrie im Expertenworkshop aufgegriffen. Ihre konsolidierte Position setzt an denselben Punkten an, bei der Modellklasse, der Kritikalität der Anwendung und der Form der Aufsicht.
„Following the above, the document does not apply to Generative AI and Large Language Models (LLM), and such models should not be used in critical GMP applications.“
EU GMP Annex 22 (Artificial Intelligence), Entwurf zur Konsultation 2025, Abschnitt 1 „Scope“.
Ob dieser Ausschluss in der endgültigen Fassung hält, ist offen. Die Nachweislogik dahinter gilt in beiden Fällen: Intended Use, unabhängige Testdaten, Monitoring und eine Kritikalitätsbewertung, die über den direkten Einfluss hinausgeht. Über das nötige Maß hinaus geht der Entwurf aus unserer Sicht zum Beispiel in Abschnitt 6.5, Staff Independency. Die Absicht dahinter ist klar. Testdaten sollen nicht verdeckt doch ins Training fließen, nur damit das Modell auf dem Papier besteht. Die im Entwurf angelegte Lösung, personelle Trennung oder ersatzweise das Vier-Augen-Prinzip, ist eine mögliche Ausprägung des Wie. Je nach digitaler Reife einer Organisation gibt es wirksamere Lösungen: Zugriffskontrolle und eine integrierte MLOps-Infrastruktur mit Data Lineage, die nachvollziehbar macht, welche Daten an welcher Stelle für welche Modellvariante verwendet wurden. Der Review prüft dann, ob diese Infrastruktur den Anforderungen entsprechend genutzt wurde. So bleibt der Blick auf der entscheidenden Frage, ob die Testdaten geeignet und aussagekräftig genug sind, um eine realistische Leistungsangabe für den Betrieb zu erlauben. Ähnlich vermischen 4.3 und 8.2 das Was mit dem Wie. In 4.3 setzt der Grundsatz „kein Leistungsabfall“ einen bekannten Vorprozess und einen Eins-zu-eins-Ersatz voraus. In 8.2 sieht der Entwurf eine Prüfung vor, ob relevante und geeignete Merkmale die Entscheidung tragen, ohne das auf eine Modellklasse zu begrenzen. Bei Modellen der Bildverarbeitung lässt sich das prüfen, bei anderen Modellklassen kaum noch in diesem Sinne, und Interpretierbarkeit passend zum Context of Use wäre das bessere Ziel.
Was Sie vor der endgültigen Fassung umsetzen können.
Annex 11 liefert den Rahmen für die Bausteine des Entwurfs, und die Aufsicht gehört in eine AI Governance mit Human Oversight.
Wie das in der Praxis aussieht, haben wir im Juni 2026 in einem Workshop auf dem ISPE AI in Life Sciences Summit in Boston durchgespielt. Ein RAG-System mit dem Sprachmodell eines Drittanbieters klassifiziert Abweichungsmeldungen im GMP-Betrieb als kritisch, schwerwiegend oder geringfügig. Die QA übte dabei die Human Oversight aus und prüfte jede Einstufung, bevor sie galt. Ob eine solche Anwendung als kritisch gilt, entscheidet die Kritikalitätsbewertung des Betreibers, unabhängig von der nachgelagerten Prüfung. Lieferant und reguliertes Unternehmen sortierten zehn Lücken unabhängig voneinander in Ausschlusskriterien, lösbare Punkte oder akzeptables Risiko und verhandelten daraus eine gemeinsame Liste der Pflichtnachweise. Nicht delegierbar blieben beim Unternehmen der Intended Use im eigenen Prozess, die Akzeptanzkriterien und das Restrisiko. Model Card, klassenspezifische Metriken und ein vom Training getrenntes Testset gehörten zu den Nachweisen, die das Unternehmen vom Lieferanten einforderte.
Diese Bausteine prüfen wir und richten sie mit Ihnen ein:
Häufige Fragen zu Annex 22.
Ein Termin steht nicht fest. Die Konsultation endete im Oktober 2025, und der Expertenworkshop der EMA fand am 30. Juni und 1. Juli 2026 statt. Den Workshop-Report hat die EMA Anfang Oktober 2026 veröffentlicht. Danach werden ein überarbeiteter Entwurf, die Finalisierung und Übergangsfristen erwartet. Bis dahin wird das computergestützte System nach Annex 11 validiert. Für die Nachweistiefe gibt das Qualitätsrisikomanagement nach ICH Q9(R1) die Orientierung.
Im Konsultationsentwurf fallen generative KI und LLMs nicht in den Anwendungsbereich von Annex 22, doch der Entwurf äußert sich klar zu ihnen. In kritischen GMP-Anwendungen sollen sie nach dem Entwurf nicht eingesetzt werden, und die Nachweis-Abschnitte gelten nur für statische Modelle. Außerhalb kritischer Anwendungen dürfen sie eingesetzt werden, wenn Menschen die Ergebnisse prüfen. Verantwortlich bleibt das regulierte Unternehmen. Dieser Ausschluss war der zentrale Kritikpunkt der Konsultation. Laut Workshop-Report vom Oktober 2026 hat die Drafting Group erörtert, diese Modelle unter einer dokumentierten, risikobasierten Kontrollstrategie zuzulassen.
Nach dem Entwurf ist eine Anwendung kritisch, wenn das Modell direkten Einfluss auf Patientensicherheit, Produktqualität oder Datenintegrität hat. Der Rapporteur der Drafting Group erläuterte in Barcelona die Leitfrage dahinter: Welche Wirkung hätte ein Fehler, und würde er entdeckt? Wirkung und Entdeckbarkeit (Impact und Detectability) bestimmen die Kritikalität. Welche Technologie zum Einsatz kommt, spielt für diese Einordnung zunächst keine Rolle. Welche Modellklassen der Entwurf in kritischen Anwendungen zulässt, ist eine davon getrennte Frage.
Nein. Annex 22 ist als ergänzende Leitlinie zu Annex 11 angelegt. Das computergestützte System bleibt nach Annex 11 validiert, und der geplante Annex 22 soll zusätzlich den Nachweis für das eingebettete Modell regeln, von Intended Use bis Betrieb.
Annex 22 konzentriert sich auf das Modell, also auf Training, Prüfung und den Nachweis seiner Eignung. Wir weiten den Blick. Ein KI-System bzw. KI-Subsystem integriert ein oder mehrere Modelle und weitere Funktionen, etwa technische Kontrollmechanismen, in der Debatte oft „Guardrails“ genannt, zu einer Systemkomponente. So lässt sich die Leistung auf mehreren Ebenen messen und damit die Eignung aller Subkomponenten und ihres Zusammenspiels prüfen.
Abschnitt 2.1 des Entwurfs sieht eine enge Zusammenarbeit aller Beteiligten vor, von der Algorithmus-Auswahl über Training, Validierung (im Sinne der Modellentwicklung) und Test bis zum Betrieb. Der Entwurf nennt Prozess-SMEs, QA, Data Science, IT und Berater, jeweils mit angemessener Qualifikation, definierten Verantwortlichkeiten und passenden Zugriffsrechten. Für generative Modelle außerhalb kritischer Anwendungen bleibt qualifiziertes Personal dafür verantwortlich, dass die Ergebnisse für den Intended Use geeignet sind. Die Zusammenarbeit nach Abschnitt 2.1 ist zugleich Knowledge Management. ICH Q10 nennt es neben dem Qualitätsrisikomanagement als einen der beiden Enabler des Qualitätssystems. Wissen über Modelle, Daten und ihre Grenzen bleibt so in der Organisation. Die dafür nötige Qualifikation vermittelt die H² Academy, unser E-Learning-Programm zu KI im GxP-Umfeld.
Betreiber können den Kern der Anforderungen schon vor der Finalisierung erfüllen. KI-Inventar, Intended Use und Kritikalitätsbewertung je Anwendung, Testmetriken, unabhängige Testdaten sowie Monitoring und Human Oversight lassen sich mit dem geltenden Annex 11 umsetzen. Wie tief der Nachweis gehen muss, zeigt ICH Q9(R1). Die Methodik für KI-befähigte Systeme beschreibt seit Juli 2025 der ISPE GAMP Guide: Artificial Intelligence. Der Entwurf macht vieles davon für KI-Modelle explizit.
Stand:
Annex 22 braucht den Gesamtkontext.
Annex-22-Readiness beginnt vor dem finalen Text.
Im Erstgespräch klären wir, was Sie mit KI vorhaben, wo Ihre Anwendungen heute stehen und was Annex 22 für Sie bedeutet. Kostenfrei, etwa 30 Minuten.
Erstgespräch vereinbaren
