ISPE Annual Meeting 2026: Wer prüft den Prüfer?
Das ISPE Annual Meeting & Expo 2026 in National Harbor bei Washington, D.C., stellte im Track Digital, Data and Decision Integrity eine Frage in den Mittelpunkt, die QFINITY seit Jahren begleitet. Wer prüft den Prüfer, wenn KI schreibt und zugleich prüft? QFINITY war mit zwei Vorträgen vor Ort, zur Aufsicht über KI-Systeme und zum Lebenszyklus der Validierung.
Vom 18. bis 21. Oktober 2026 traf sich die Branche im Gaylord National Resort & Convention Center am Potomac. Dass KI-Modelle in GxP-Prozesse einziehen, stand kaum noch zur Debatte. Diskutiert wurde, wer die Ergebnisse trägt, sobald agentenbasierte Systeme Aktionen ausführen, Datensätze ändern oder Prüfberichte schreiben, während die Person, die am Ende freigibt, davon nur das Ergebnis sieht. Welche Informationen sie zusätzlich braucht, damit ihre Überwachung wirksam bleibt, war die zweite Frage des Tracks. Der regulatorische Anspruch gilt dabei unverändert, Organisationen müssen ihn bei KI-Systemen jedoch an einer anderen Stelle einlösen als bisher.
Progressive QA: Wer entscheidet, wer stoppt?
Oliver Herrmann (QFINITY) und Martin Heitmann (MH Consulting & Advisory) begannen bei Sokrates und der Maske des antiken Theaters. Durch die Maske spricht ein Mensch, und an seiner Verantwortung ändert die Maske nichts, so überzeugend sie auch klingt. Auf KI-Ausgaben übertragen ersetzt Plausibilität kein menschliches Urteil. Drei Fälle aus dem Jahr 2026 belegten das Risiko. In einem Sicherheitstest des britischen AI Security Institute legte ein Agent erfundene Identitäten an, von denen eine seinen eigenen Code als unabhängiger Prüfer lobte, bis ein menschlicher Maintainer ablehnte. Die britische MHRA berichtete im Juni von Inspektionsantworten mit erfundenen Referenzen auf Leitlinien, und die FDA rügte in einem Warning Letter die „overreliance on artificial intelligence“, weil KI-erzeugte Dokumente gar nicht erst geprüft worden waren.
Die Antwort des Vortrags war eine Kontrollarchitektur, die vor der Inbetriebnahme steht. Qualität entsteht im Zusammenspiel der fachlichen Prozesse mit Daten, Anwendung, Infrastruktur, Modell und Kontrollen; das Modell wird verifiziert, das Gesamtsystem im Prozess validiert, und die Entscheidungs- und Stopprechte sind zugewiesen. Ein technischer Auslöser darf den Agenten anhalten; die Verantwortung dafür trägt eine benannte Person.
Wer in Ihrem Unternehmen könnte heute sagen, was einen KI-Agenten stoppt, wer das verantwortet, und was danach mit seinen Daten geschieht?
Vier Risiken, wenn das Sprachmodell die Validierungsdaten führt
Frank Henrichmann (QFINITY) zeigte am Vormittag desselben Tages, wie sich KI in den Lebenszyklus der Validierung computergestützter Systeme integrieren lässt, ohne den Nachweis zu schwächen. Aufbauend auf dem Beitrag How AI Will Transform Computerized System Validation in Pharmaceutical Engineering führte er vor, was heute funktioniert: Anforderungen werden in Klartext als strukturierte Daten erfasst, Risiken bewertet, Testskripte mit Rückverfolgbarkeit zur Anforderung erzeugt und von einem Fachexperten vor der Ausführung freigegeben. Annex 11 und 21 CFR Part 11 bleiben der Maßstab für Zuordenbarkeit und Datenintegrität, GAMP 5 2nd Edition die Methodik, um die Prüftiefe am Risiko auszurichten. Wird ein allgemeines Sprachmodell ohne kontrollierte Einbettung zum führenden System für die Validierungsdaten, entstehen nach dem Vortrag vier Risiken:
Der regulatorische Rahmen dafür verdichtet sich gerade. Die FDA richtet mit Computer Software Assurance die Prüftiefe am Risiko aus, der Entwurf ihrer KI-Leitlinie stellt Risiko und Context of Use in den Mittelpunkt. Die EU-Entwürfe zu Chapter 4, Annex 11 und Annex 22 behandeln die Kette von der Aufzeichnung über das computergestützte System bis zum Modell, und der Anfang Oktober veröffentlichte Bericht der EMA zu ihrem Annex-22-Expertenworkshop vom 30. Juni und 1. Juli deutet darauf hin, dass der künftige Text dynamische und generative Modelle erfassen könnte, sofern eine dokumentierte, risikobasierte Kontrollstrategie besteht. Spezifische Vorgaben für agentenbasierte Systeme fehlen bislang. Hier arbeitet QFINITY am vordersten Rand. Was daraus für die Kontrolle folgt, steht in unserem Beitrag Ein Mensch im Loop ist noch keine Kontrolle und auf der Seite zu EU GMP Annex 22.
Dass QFINITY diese Entwicklung mitprägt, zeigt sich auch in den Rollen. Oliver Herrmann leitet als Chair das GAMP Europe Steering Committee, Frank Henrichmann das GAMP Global Steering Committee. Den eigentlichen Wert schafft QFINITY jedoch dort, wo dieser Rahmen in Kontrollarchitektur, Teststrategie und die Nachweiskette übersetzt wird, die der Betreiber dem Inspektor vorlegt. Critical Thinking, KI-Kompetenz und Datenverständnis für das eigene Team vermittelt die H² Digital Hive.
Session im ISPE-Programm (ispe.org)↗
