Los Anexos de las Directrices de Buenas Prácticas de Fabricación europeas, EU GMP, son documentos que amplían la norma principal para áreas específicas: fabricación estéril (Anexo 1), sistemas informatizados (Anexo 11), materiales biológicos, radiofármacos, gases medicinales y otros. Cada anexo aborda un tipo de riesgo o de tecnología que necesita reglas propias.
El Anexo 22 nace para cubrir una zona nueva: el uso de la inteligencia artificial y del aprendizaje automático en entornos GMP. Hasta ahora, los sistemas informatizados que gestionaban producción, calidad y datos críticos se validaban con marcos como el Anexo 11 y GAMP 5, diseñados para software determinista, un programa que, con la misma entrada, produce siempre la misma salida. La IA rompe ese principio: un modelo de aprendizaje puede evolucionar con los datos y ofrecer respuestas que no son exactamente reproducibles.
El Anexo 22 se está desarrollando precisamente para responder a esa novedad: fijar bajo qué condiciones puede usarse la IA en un contexto donde la trazabilidad de las decisiones y la reproducibilidad de los procesos son sagradas.
Por qué la industria farmacéutica necesita este marco
La IA ya está entrando en múltiples áreas de la fabricación farmacéutica: modelos que predicen desviaciones antes de que ocurran, asistentes que preparan documentación regulatoria, sistemas que optimizan parámetros de proceso, herramientas de visión artificial que inspeccionan producto en línea, algoritmos que ayudan a priorizar investigaciones de calidad. En todos los casos, el potencial de mejora es enorme.
Pero también lo es el riesgo. Una decisión de calidad tomada por un modelo que nadie puede auditar, o un parámetro de proceso ajustado por un algoritmo cuyo criterio no se conoce, son problemas graves en un entorno donde cada dato puede tener implicaciones para la seguridad del paciente.
El Anexo 22 responde a esa doble realidad: reconoce el valor de la IA para el sector y, al mismo tiempo, establece las condiciones bajo las cuales su uso es aceptable ante una inspección de la EMA, la FDA o cualquier otra agencia regulatoria.
Los principios que se espera que establezca
Aunque el texto definitivo aún se está terminando de perfilar y la industria participa activamente en su consulta pública, hay varios principios que se dan por consolidados en los borradores conocidos y en las intervenciones de las autoridades regulatorias.
1. IA auditable, no caja negra
El principio más importante: cualquier sistema de IA aplicado en un contexto GMP debe ser explicable. No basta con que funcione: hay que poder documentar cómo llega a sus conclusiones, sobre qué datos ha sido entrenado y qué límites tiene. Un modelo cuyas decisiones no se pueden trazar ni justificar no es aceptable, por buenos que sean sus resultados.
2. Supervisión humana obligatoria en decisiones críticas
La IA puede sugerir, resumir, predecir, categorizar. Pero las decisiones con implicaciones para la calidad del producto o la seguridad del paciente las toma una persona cualificada, y queda registro de ello. Esto es especialmente relevante para tareas como liberación de lotes, cierre de desviaciones o cambios de proceso.
3. Validación adaptada al ciclo de vida del modelo
La validación tradicional, que un sistema haga lo mismo con la misma entrada, no encaja del todo con la IA. El Anexo 22 propone un modelo de validación adaptado al ciclo de vida del algoritmo: validar no solo el sistema en un momento, sino los datos con los que se entrena, los procesos de reentrenamiento y los mecanismos que detectan si el rendimiento del modelo se deteriora con el tiempo.
4. Integridad del dato reforzada
Los principios ALCOA+ que rigen la integridad del dato en entornos GMP se refuerzan cuando entra la IA. Los datos de entrenamiento, los datos que el modelo utiliza en producción y las decisiones que toma pasan a formar parte de la cadena de integridad que hay que proteger y demostrar.
5. Gestión de riesgos específica
Cada aplicación de IA debe tener su propio análisis de riesgo. No es lo mismo un asistente conversacional que resume documentos que un modelo predictivo que sugiere ajustes de proceso. El Anexo 22 pedirá clasificar cada caso según su nivel de impacto y aplicar controles proporcionales.
Cómo se relaciona con el Anexo 11 y el 21 CFR Part 11
El Anexo 22 no reemplaza a las normas existentes: las complementa. El Anexo 11 seguirá siendo el marco general para sistemas informatizados en GMP europeo, y el 21 CFR Part 11 seguirá siendo la referencia estadounidense para registros y firmas electrónicas.
Un sistema que use IA tendrá que cumplir simultáneamente el Anexo 11 (o su equivalente 21 CFR Part 11) para todo lo relativo a la infraestructura, los accesos, las firmas y el audit trail, y el Anexo 22 para la parte específica de IA. En la práctica, esto significa que un ERP o un QMS que ya cumple bien con el marco vigente tiene una base sólida sobre la que aplicar los nuevos requisitos, pero deberá incorporar la trazabilidad y la validación del componente de IA como una capa adicional.
Qué debe tener un sistema para llegar preparado
Aunque el Anexo 22 aún no está en vigor, los fabricantes que ya están preparándose lo hacen sobre cinco pilares:
- Un sistema informatizado sólido en la base. Antes de aplicar IA sobre los datos, esos datos deben estar estructurados, ser trazables y estar bajo un marco de integridad válido. Sin esa base, la IA no aporta valor y sí genera riesgo.
- Trazabilidad completa de lo que hace la IA. Cada intervención de un modelo debe quedar registrada: qué propuso, quién lo revisó, qué se decidió, sobre qué datos trabajó. Esa traza es lo que permite auditar el uso de la IA a posteriori.
- Supervisión humana como parte del proceso, no como control final. La persona cualificada no debería estar solo al final del flujo para dar el visto bueno: debe formar parte natural del diseño del proceso donde interviene la IA.
- Validación pensada para el ciclo de vida del modelo. Si el sistema usa modelos que evolucionan, el marco de validación debe considerar los reentrenamientos, la monitorización del rendimiento y los mecanismos de detección de deriva.
- Alineación con el ecosistema tecnológico general. La IA en entornos GMP se apoya cada vez más en plataformas consolidadas como Microsoft Azure y en asistentes como Copilot, que ya cuentan con los mecanismos de auditoría y trazabilidad necesarios.
Cuándo entrará en vigor y qué hacer mientras tanto
El calendario del Anexo 22 depende del proceso de consulta pública y del acuerdo entre las autoridades regulatorias europeas. Las estimaciones más aceptadas sitúan su entrada en vigor en el horizonte 2027-2028, aunque las guías preliminares y los criterios de las agencias ya influyen en las auditorías actuales de sistemas con componentes de IA.
Mientras tanto, la recomendación consensuada es no esperar. Los fabricantes que ya están usando IA en cualquier área crítica deben ir preparando la documentación, la trazabilidad y los mecanismos de supervisión que el marco pedirá. Los que aún no la usan tienen una ventana para hacer las cosas bien desde el principio, sobre una base sólida.
Cómo lo trabajamos en Marqués
En Marqués trabajamos activamente para estar al día del Anexo 22. Junto a Trescal y Microsoft hicimos unas jornadas específicas sobre el uso de IA en entornos GMP, donde tratamos tanto la actualización del Anexo 11 como el nuevo marco del Anexo 22 y su impacto en la validación de sistemas.
PharmaMe está validado en 21 CFR Part 11 por Trescal como tercero independiente, y se apoya en el ecosistema Microsoft, Business Central, Azure y Copilot, para que la IA aplicada al sistema mantenga la trazabilidad y la auditabilidad que el nuevo marco exige.
Si quieres hablar de cómo estás preparándote, podemos ayudarte.
