QFINITY · Veranstaltungen · Meet QFINITY
Wo Sie uns persönlich treffen.
Ein Überblick über Veranstaltungen, an denen QFINITY teilnimmt oder teilgenommen hat - Konferenzen, Vorträge und Webinare. Häufig vertreten auf Events der ISPE und ACDM. Kommen Sie vorbei und treten Sie persönlich mit uns in Kontakt.
Aktuelle Termine
Wie wird agentenbasierte KI im GxP-Umfeld möglich? QFINITY bringt die Governance-Perspektive in einen SAP-Expertenworkshop ein
Nachlese zum SAP-Expertenworkshop zu KI in regulierten Pharma-Prozessen, Walldorf, 18. August 2026.
Am 18. August 2026 hat QFINITY, vertreten durch Oliver Herrmann, die Governance-Perspektive in einen Expertenworkshop von SAP zu KI in regulierten Pharma-Prozessen eingebracht. Der Workshop folgte einem Ökosystem-Format: Ausgewählte Organisationen vertraten jeweils ihre Rolle, SAP als Anbieter, Merck für die regulierte Industrie, dazu Spezialisten für Governance, Validierung und Guardrails. Sie arbeiten an denselben Fragen, weil keine von ihnen sie allein lösen kann, und diese Fragen betreffen jeden im regulierten Umfeld. Wer trägt die Verantwortung, wenn agentenbasierte KI in GxP-Prozessen eingesetzt wird? Woran erkennt man, dass die Antwort belastbar ist?
Was der Hersteller liefert und was beim Kunden bleibt
QFINITYs Beitrag folgte einem Grundsatz: Der Softwarehersteller liefert die technische Fähigkeit, eingebettet in eine GxP-geprägte Governance, die zu den Governance-Systemen der Anwender passt. Was kein Hersteller liefern kann, ist die regulatorische Verantwortung jedes einzelnen Kunden. Sie entsteht auf der Kundenseite: in der eigenen Governance, in der Validierung der Systeme im eigenen Prozess, in den eigenen Kontrollen.
Die strukturelle Herausforderung dahinter ist eine Asymmetrie. Eine Produkt-Governance trifft auf viele Governance-Systeme regulierter Anwender, und jeder dieser Anwender trägt seine GxP-Verantwortung selbst, auch für ausgelagerte Tätigkeiten, wie es Annex 11 im Abschnitt zu Lieferanten und Dienstleistern vorsieht. Diese Asymmetrie ist strukturell, und Harmonisierung allein löst sie nicht auf. Es braucht definierte Schnittstellen, an denen Evidenz die Grenze überquert: Modelländerungen, Herkunft der Trainingsdaten, Monitoring-Signale, Audit-Rechte bis in die Lieferkette der Modell-Provider.
Die Fähigkeit wird geliefert. Die Verantwortung nicht.
Der Mensch bleibt in der Verantwortung
Human Oversight heißt nicht, dass ein Mensch beteiligt ist. Die Prüffrage lautet: Kann er noch eingreifen und stoppen? Das gilt auf jeder Ebene, bis hin zu den Rollen, die persönlich verantworten, was freigegeben wird. Drei Fragen stellen wir deshalb an jedes agentenbasierte System, unabhängig vom konkreten Anbieter:
In unserem ISPE-iSpeak-Beitrag Human-in-the-Loop as an Illusion of Control? erläutern wir, warum die Beteiligung eines Menschen allein noch keine Kontrolle ist.
Die Messlatte heißt Patientensicherheit
Die eigentliche Messlatte unserer Industrie betrifft jede Aktivität: Patientensicherheit, Produktqualität und Datenintegrität. Audits sind dabei einer von vielen Kontrollbausteinen. Gute AI Governance ist wenig glamourös, geradezu unspannend. Statt eines dramatischen Stopps zeigt sie sich darin, dass Entscheidungen sorgfältig abgewogen wurden, bevor Risiken eintreten. Die Frage, die wir von einem Auditor erwarten, lautet deshalb nicht mehr, ob eine KI-Richtlinie existiert, sondern: „Zeigen Sie mir, an welcher Stelle Ihre AI Governance eine Entscheidung maßgeblich geprägt hat.“ Auf diese Frage muss die Architektur heute vorbereitet werden.
Warum wir hier mitreden
Diese Fragen sind für QFINITY nicht neu. Lieferantenverantwortung, Validierungsevidenz und menschliche Verantwortlichkeit sind seit 22 Jahren unser Tagesgeschäft, für 200 Kunden in über 20 Ländern, im Kernteam der GAMP 5 Second Edition und in den Autorenteams von GAMP Good Practice Guides, vom RDI-Guide zur Datenintegrität bis zum eClinical-Guide. Neu ist der Kontext, denn KI kommt jetzt in den regulierten Prozessen an. Unsere Rolle dabei ist die des Übersetzers zwischen den Erwartungen der regulierten Anwender und denen des Softwareherstellers.
Wie es weitergeht
Die Diskussion läuft weiter. Im Oktober tragen Oliver Herrmann und Martin Heitmann das Thema auf das ISPE Annual Meeting & Expo in Washington, D.C., mit ihrem Vortrag über Progressive QA für GxP-Prozesse mit KI-Einsatz am 21. Oktober. Im Dezember stehen QFINITY und Merck erneut gemeinsam auf der Bühne. Auf der 19. Offiziellen GAMP 5 Konferenz in Mannheim moderieren Oliver Herrmann und Alexander Kunz (Merck) die Diskussionsrunde „CSV am Wendepunkt: Ist unsere Validierung bereit für die digitale Realität?“
Wenn Sie sich fragen, welche Rolle Sie in diesem Netzwerk spielen und wie Ihre eigene Governance der Audit-Frage standhält, dann ist das ein Gespräch, das wir gern führen.
AI in Pharma 2026 in Kraków: QFINITY spricht über AI-Enabled Computerized System Validation
Am 26. und 27. Oktober 2026 richtet ISPE Polska mit ihrer GAMP Community of Practice im Novotel Kraków Centrum die englischsprachige Konferenz AI in Pharma 2026 aus, die vierte Ausgabe des Formats. Zwei Tage widmen sich der KI in der pharmazeutischen Praxis, in vier Tracks von „Trusted, Safe & Regulated AI“ bis „Sustainable & Responsible AI“. Den Auftakt macht am 25. Oktober ein Studierenden-Hackathon an der AGH Kraków mit realen Aufgaben aus der Pharma-Herstellung.
QFINITY steht am ersten Konferenztag auf dem Programm: Frank Henrichmann, Sr. Executive Consultant und Chair des globalen GAMP Steering Committee, spricht im Track „Trusted, Safe & Regulated AI“ über „AI-Enabled Computerized System Validation – Vision and Reality“ (26. Oktober, 10:30 Uhr). Der Vortrag misst die Vision der KI-gestützten Validierung an dem, was heute in regulierten Umgebungen tatsächlich trägt.
Das Thema liegt im Kern unserer Arbeit: Wie KI die Validierung computergestützter Systeme verändert, zeigt unser Themenbereich Künstliche Intelligenz im GxP-Umfeld; den regulatorischen Rahmen für KI in GMP setzt der EU-GMP-Annex-22-Entwurf.
Programm und Tickets bei AI in Pharma (aiinpharma.pl)↗
Sie sind in Kraków dabei und möchten sich über KI im GxP-Umfeld austauschen? Frank freut sich auf das Gespräch vor Ort. Oder Sie vereinbaren direkt einen Termin.
Chapter 4, Annex 11, Annex 22: Drei Entwürfe, ein Kontrollsystem
Ein Konferenztag in Shanghai, dicht gepackt und zugleich inspirierend: Keynote und Panel auf dem Biopharmaceutical Bioprocess Development Summit, dazu die vertiefende KI-Session auf der parallel laufenden AI for Pharma 2026. Die Frage, die auf dem Podium fiel, begegnet uns derzeit in Projekten wie in Gremien: Wie wirken die drei europäischen Entwürfe Chapter 4, Annex 11 und Annex 22 zusammen? Dieser Beitrag gibt die Einordnung, die wir auf der Bühne gegeben haben, und beleuchtet die Hintergründe zu Änderungen von Verantwortlichkeiten, Behördenfällen und Kritikalität, als Arbeitshypothese auf Basis der Entwürfe und unserer Beobachtungen.
Der Anlass war ungewöhnlich genug, um ihn zu erzählen: Ein CMC- und Bioprozess-Summit holte sich die EU-GMP-Regulatorik als Keynote ins Programm, und die parallel laufende AI for Pharma 2026 die zugehörige KI-Vertiefung. Martin Heitmann und ich waren unabhängig voneinander eingeladen worden und stellten das erst in der Vorbereitung fest. Unternehmen dort wollen die Kriterien kennen, solange noch Zeit bleibt, dafür zu entwerfen. Ein Tag vor Ort, dicht getaktet, und auf dem Panel der Hauptkonferenz dann die Frage, die diesen Beitrag trägt: Wie hängen diese ganzen Data-Integrity-Anforderungen eigentlich zusammen?
Die Ordnung hinter den drei Entwürfen
Unsere Antwort auf dem Podium beginnt mit dem Ort des Rechtsakts. Chapter 4 steht im Hauptteil des EU-GMP-Leitfadens, und dort findet auch die Chargenzertifizierung statt: Die Sachkundige Person zertifiziert die Charge auf der Grundlage der Aufzeichnungen. Das ist keine Systemfunktion, sondern ein Rechtsakt, und er soll nun vollständig auf Aufzeichnungen basieren, und zwar über Dokumente im eigentlichen Sinne hinaus. Deshalb regelt Chapter 4 die Daten und ihre Governance.
Annex 11 ist die technische Umsetzung. Seine Aufgabe ist es, diesem Rechtsakt technisch und funktional Vertrauen zu verschaffen: das computergestützte System, in dem die Aufzeichnungen entstehen, geprüft gegen seinen Intended Use, betrieben im validierten Zustand. Annex 22 schließlich erbt von beiden. Er regelt KI in kritischen GMP-Anwendungen und setzt voraus, was Chapter 4 und Annex 11 an Daten- und Systemkontrolle aufgebaut haben. Am Ende müssen die drei Texte ein kohärentes Kontrollsystem ergeben, sonst hat einer von ihnen seine Aufgabe verfehlt.
Der Vorbehalt gehört zu jeder dieser Aussagen: Alle drei Texte sind Entwürfe aus der Konsultation. Was final publiziert wird, ist offen. Bis dahin ist diese Einordnung eine Arbeitshypothese, basierend auf unseren Beobachtungen in der Industrie und der Kommunikation der EMA.
Schon das EMA-Concept-Paper zur Annex-11-Revision kündigte 2022 an, die damals als Entwurf vorliegende FDA-Guidance zur Computer Software Assurance zu prüfen: "This guidance and any implication will be considered with regards to aspects of potential regulatory relevance for GMP Annex 11." Ein Leitfaden aus der Medizintechnik-Welt, geschrieben für Produktions- und Qualitätssystem-Software und inzwischen final, steht damit ausdrücklich auf dem Radar der Pharma-Revision. Die Konvergenz reicht über den Atlantik.
Beleg 1: Die Person, die umgezogen ist
Wer die Ordnungsformel prüfen will, folgt der Sachkundigen Person durch die Texte. Annex 11 von 2011 nannte sie ausdrücklich: "…only Qualified Persons [to] certify the release of the batches". Im Entwurf von 2025 kommt sie nicht mehr vor. Dafür steht sie jetzt im Chapter-4-Entwurf: "All records should be available to the Qualified Person at the time of the release decision."
Dieser Umzug bestätigt die Ordnung: Die Zertifizierung ruht auf den Aufzeichnungen, also gehört die Sachkundige Person in das Kapitel, das die Aufzeichnungen regelt. Die systemtechnische Ausführung, also die Signatur im System und der Workflow dahinter, bleibt Sache des Annex 11. Auf der Bühne stand dafür ein einziger Satz, hier so, wie wir ihn auf Englisch vorgetragen haben:
Beleg 2: Die Zahlen
Die zweite Probe ist quantitativ. Wir haben die Entwürfe gegen die Fassungen von 2011 gemessen, an den Primärtexten selbst:
Die unangreifbare Kernaussage dieser Messung ist die Null: Ein Dokumentationskapitel macht Begriffe zum Fundament, die es 2011 gar nicht kannte. Die Zahlen zeigen die Richtung, weg vom Dokument als Behälter, hin zu den Daten und ihrem Lebenszyklus als Gegenstand der Kontrolle.
Die Prüffrage, die beide Entwürfe stellen: Wie stark beeinflussen diese Daten die Entscheidung, die auf ihnen ruht, und würden Sie einen Fehler überhaupt bemerken?
Beleg 3: Kritikalität hat drei Lesarten und zwei Achsen
"Kritisch" kommt in den Entwürfen mehrfach vor und meint nicht dreimal dasselbe. Der Chapter-4-Entwurf definiert Data criticality im Glossar als "the degree of influence that data have on product safety as well as the regulatory compliance of processes, decisions and product quality". Derselbe Entwurf ergänzt eine zweite Achse, die Entdeckbarkeit: Würde man sehen, wenn die Daten falsch wären? Der Annex-22-Entwurf wiederum nennt Anwendungen kritisch, wenn sie "direct impact on patient safety, product quality or data integrity" haben.
Die dritte Lesart entnahmen wir einer Konferenzpräsentation: Auf der ISPE-Pharma-4.0-Konferenz in Barcelona 2025 erläuterte der EMA-Rapporteur die Intention hinter dem kritischen Anwendungsbegriff auf zwei Achsen, direkte Auswirkung und Entdeckbarkeit des Fehlers. Damit steht die Entdeckbarkeit in beiden Entwürfen, in Chapter 4 wie im Annex 11 ("the likelihood of detection"), und zusätzlich in der erläuterten Intention hinter Annex 22; aus dem Einzelfund wird ein Muster.
Für die Praxis läuft beides auf ALCOA++ zu: Die Kritikalität steuert den Rigor, mit dem die zehn Attribute nachgewiesen werden. Und das zweite Plus, Traceable, ist das attributseitige Gegenstück zur Entdeckbarkeits-Achse: Es macht den Fehler im Nachhinein auffindbar.
Beleg 4: Aktuelle Vorgaben lassen sich bereits auf den Einsatz von KI anwenden
Wer die Entwürfe für Zukunftsmusik hält, sollte zwei Behördenfälle aus diesem Jahr lesen. Im April 2026 warf die FDA einem Hersteller in einem Warning Letter "overreliance on artificial intelligence for your drug manufacturing operations" vor. Und die MHRA beschrieb im Juni 2026 in ihrem Inspectorate-Blog KI-erstellte Inspektionsantworten mit "references to MHRA guidance that doesn’t exist", und zog die Linie, auf die es ankommt: "our concern isn’t whether you use AI; it’s whether your submissions are accurate, verifiable, and prepared under appropriate oversight".
Beide Behörden prüfen dasselbe: ob Nachweise stimmen, prüfbar sind und unter angemessener Aufsicht entstehen. Der KI-Einsatz als solcher steht in keinem der beiden Fälle zur Debatte. Das ist exakt die Logik der drei Entwürfe, angewandt vor ihrer Finalisierung.
Was daraus folgt
Die Konsequenz aus unseren Beobachtungen: Die Kultur, die diese Entwürfe voraussetzen, lässt sich heute aufbauen, mit Dateninventar, zugewiesener Kritikalität und einer Governance, die die Querschnittsfragen dorthin legt, wo sie hingehören. Denn einer muss anfangen, und was der Erste baut, gibt den Maßstab für alle folgenden Systeme vor. Genau deshalb gehören diese Grundlagen in die übergreifende QA-Ebene: dort einmal angelegt, tragen sie über alle Systeme, statt zufällig im erstbesten Projekt zu entstehen. QFINITY begleitet diesen Aufbau seit den ERES-Programmen der Part-11-Ära und aus dem Kernteam der GAMP 5 Second Edition heraus; die Entwürfe lesen wir, bevor sie Regel werden.
Und der Satz, der in Shanghai die stärkste Reaktion ausgelöst hat, gehört ans Ende, weil er begründet, warum es diese Kontrollarchitektur überhaupt gibt:
Mehr zum Fundament dieser Einordnung: Unsere Seiten zur Annex-11-Revision und zum EU GMP Annex 22 halten den Stand der beiden Entwürfe fest, und wie dieselbe Bewegung die Produktionsebene erfasst, zeigt die Analyse der PIC/S-Empfehlung PI 006-4.