Anhang 22 ist noch kein Gesetz. Worin jetzt investieren

Einführung

Jeder Investitionsplanungszyklus kennt eine Version dieses Moments. Ein VP Quality schlägt ein Budget für die Validierungsinfrastruktur von KI-Modellen vor. Jemand aus der Finanzabteilung fragt, ob die Richtlinie denn überhaupt schon endgültig sei. Der Raum nickt, und der Posten wird ins nächste Jahr verschoben.

Dieser Impuls ist verständlich. Er ist aber auch teuer, denn Anhang 22, der neue GMP-Anhang der EU zu künstlicher Intelligenz, wird nicht auf den Budgetzyklus von irgendjemandem warten, wenn er erst einmal veröffentlicht ist.

Dieser Beitrag prüft genau, wo Anhang 22 am Tag der Veröffentlichung steht, und legt dann dar, was vorausschauende Standorte jetzt finanzieren sollten, unabhängig vom genauen Datum, an dem er verbindlich wird.

Bestätigung des EudraLex-Status am Tag der Veröffentlichung

Stand heute, ist Anhang 22 ein Konsultationsentwurf. Er ist nicht angenommen, nicht in Kraft und noch nicht Teil von EudraLex Band 4.

Die direkte Überprüfung der EudraLex Band-4-Seite der Europäischen Kommission bestätigt dies. Die veröffentlichte Anhängtabelle listet derzeit Anhang 11 (Computerised Systems) in seiner Fassung von Januar 2011, wobei kein Eintrag für Anhang 22 in der Liste zu finden ist. Kapitel 4 (Dokumentation) wird ebenfalls noch in seiner ursprünglichen Januar-2011-Version angezeigt. Das Mitte 2025 zur Konsultation freigegebene Entwurfspaket hat keines dieser Dokumente auf der offiziellen Seite der Kommission ersetzt.

Die Konsultation selbst lief vom 7. Juli 2025 bis zum 7. Oktober 2025 und wurde gemeinsam von der GMDP Inspectors Working Group der European Medicines Agency und dem Pharmaceutical Inspection Co-operation Scheme herausgegeben. Es gingen rund 1.300 Stellungnahmen von Stakeholdern ein, die die Arbeitsgruppe in den Monaten seitdem zu sichten hatte.

Die Unterscheidung zwischen einem Ziel und einem bestätigten Datum ist hier wichtig. Die eigene Inspectors Working Group der EMA hat das 4. Quartal 2026 als Zeitpunkt gesetzt, bis zu dem sie hofft, den endgültigen Text der Kommission zu übergeben. Darüber hinaus wurde kein Annahme-, Wirksamkeits- oder Durchsetzungsdatum veröffentlicht.

Anhang 22 existiert nicht isoliert – sehen Sie, wie er in die gesamte EudraLex Volume 4‑Struktur passt und was jeder andere GMP‑Anhang tatsächlich abdeckt.

→ Lesen: EU GMP EudraLex Volume 4 erklärt für Pharmahersteller

Warum „kein Gesetz“ nicht „nicht dringend“ bedeutet

Hier geht der Teil verloren, der in der „abwarten“-Debatte untergeht. Während Anhang 22 selbst nicht bindend ist, besteht bereits eine verwandte und tatsächlich durchsetzbare Verpflichtung.

Bestimmte Transparenzpflichten nach dem EU AI Act treten am 2. August 2026 in Kraft, und AI‑Literacy‑Pflichten für Organisationen, die KI‑Systeme einsetzen, gelten bereits. Diese liegen vollständig außerhalb der GMP‑Leitlinien. Es handelt sich um horizontale EU‑Gesetze und sie gelten für Pharmahersteller, die KI nutzen, unabhängig davon, ob Annex 22 jemals in seiner aktuellen Entwurfsfassung finalisiert wird.

Die ehrliche Darstellung gegenüber der Führungsebene lautet also: Der GMP‑spezifische Anhang wird noch finalisiert, aber die allgemeine rechtliche Grundlage darunter ist bereits gegossen.

Was der Entwurf tatsächlich signalisiert, auch wenn er unvollständig ist

Selbst im Entwurfsstadium ist Annex 22 seit Juli 2025 in seiner zentralen Unterscheidung beständig. Statische, deterministische Modelle, deren Parameter fest sind und sich während des Einsatzes nicht anpassen, sind in GMP‑kritischen Anwendungen zulässig, vorbehaltlich Validierung. Generative KI und Large Language Models sind im aktuellen Entwurf vom kritischen Einsatz ausgeschlossen und auf nicht‑kritische Funktionen mit dokumentierter menschlicher Aufsicht beschränkt.

Die begleitende Überarbeitung von Annex 11, die zusammen mit Annex 22 im selben Konsultationspaket läuft, ist ebenfalls keine kleine Änderung. Sie wächst von 5 Seiten auf 19 und ist in 17 Kapitel gegliedert, die Bereiche wie Audit Trails, Lieferantenaufsicht und Cybersicherheit abdecken, wobei Cybersicherheit erstmals formell eine GMP‑Anforderung wird.

Dieses Ausmaß an Veränderung ist an sich schon ein Signal. Regulatoren schreiben einen Kernanhang nicht von fünf auf neunzehn Seiten um, wenn sie eine Regel vorhaben, die sie vor der Veröffentlichung abschwächen wollen.

Worin Sie trotzdem investieren sollten: Sieben Investitionen, die ihren Wert behalten

Keiner dieser Punkte erfordert einen endgültigen Gesetzestext. Jeder ist nützlich unter dem aktuellen Entwurf, unter einem revidierten Entwurf und selbst wenn sich der Anwendungsbereich von Annex 22 vor der Verabschiedung verschiebt.

1. Ein Modellverzeichnis, das einer namentlich benannten Person gehört

Die meisten Standorte können derzeit keine vollständige Liste aller KI‑ oder ML‑Systeme vorlegen, die einen GMP‑kritischen Prozess berühren. Das schließt vendor‑eingebettete Modelle in Instrumenten, LIMS‑Plug‑ins und Predictive‑Maintenance‑Tools ein, die beim Kauf niemand als „KI“ eingeordnet hat.

Finanzieren Sie jetzt eine strukturierte Inventarisierungsübung: Systemname, Anbieter, Verwendungszweck, Kritikalitätsklassifizierung und ein einzelner verantwortlicher Inhaber pro Eintrag. Das ist einige Wochen bereichsübergreifender Arbeit, kein Investitionsprojekt, und es ist die Grundlage, auf der alles andere in Annex 22 aufbaut.

2. Statisch‑gegen‑dynamisch‑Klassifizierung für jedes Modell in diesem Verzeichnis

Die gesamte Risikologik des Entwurfs beruht auf einer Unterscheidung. Statische, deterministische Modelle, Modelle mit festen Parametern, die sich während des Einsatzes nicht ändern, gelten als für kritische Anwendungen geeignet, vorbehaltlich einer Validierung. Dynamische, generative oder adaptive Modelle sind auf nicht‑kritische Funktionen mit menschlicher Aufsicht beschränkt.

Wenn Sie jedes System jetzt gegen diese Trennung klassifizieren, ist das Verzeichnis bereits nutzbar, sobald ein endgültiger Text vorliegt. Abwarten bedeutet, diese Arbeit unter Zeitdruck statt in Ihrem eigenen Tempo zu erledigen.

3. Protokolle zur menschlichen Aufsicht mit namentlicher Zuständigkeit, nicht nur einer Abteilung

Regulierungsbehörden haben klargemacht, dass „QA hat Aufsicht“ keine akzeptable Antwort ist. Ein Inspektor will wissen, wer konkret eine KI‑Ausgabe überprüft, bevor sie in eine regulierte Entscheidung einfließt, und welche Befugnis diese Person hat, sie abzulehnen.

Finanzieren Sie jetzt die Dokumentationsarbeit: ein kurzes Protokoll für jeden kritischen KI‑Berührungspunkt, das den Prüfer, den Prüfzus­trigger und den Eskalationsweg benennt. Das ist günstig zu erstellen und teuer, wenn man es nicht vorweisen kann.

4. Validierung und Drift‑Monitoring, nicht nur eine einmalige Qualifizierung

Ein Modell, das einmal bei der Installation validiert und nie wieder überprüft wird, ist unter jedem GMP‑kritischen KI‑Rahmen — Entwurf oder endgültig — eine Haftung. Performance‑Drift ist das zentrale technische Risiko, das Annex 22 erfassen soll.

Das ist die Investition, die tatsächlich Geld kostet: Monitoring‑Infrastruktur, definierte Performance‑Schwellenwerte und ein Re‑Validierungs‑Trigger, der an diese Schwellenwerte gekoppelt ist. Standorte, die KI‑unterstützte Freigabetests, Chargenprotokollprüfungen oder Abweichungs‑Triage betreiben, sollten dies gegenüber den günstigeren Dokumentationspunkten oben priorisieren.

5. KI‑Literacy‑Schulung im Zusammenhang mit bereits geltenden Verpflichtungen

Das ist nicht spekulativ. Die Literacy‑Pflichten des EU AI Act gelten bereits, unabhängig vom Zeitplan von Annex 22. Finanzieren Sie jetzt ein Basistrainingsprogramm für alle Mitarbeiter, die mit KI‑Systemen interagieren oder sich in einem regulierten Kontext auf KI‑Ausgaben verlassen.

Das ist der kostengünstigste, am sichersten zu realisierende Punkt auf dieser Liste, da er eine heute bestehende rechtliche Verpflichtung anspricht und nicht eine noch im Entwurf befindliche.

6. Änderungssteuerung erweitert auf Modellupdates und Retraining

Die meisten bestehenden Änderungssteuerungsverfahren wurden für Ausrüstung und Software geschrieben, nicht für Modelle, die von einem Anbieter ohne formellen Release‑Zyklus neu trainiert oder aktualisiert werden. Finanzieren Sie ein Update der SOPs für Änderungssteuerung, das explizit KI‑Modellversionsänderungen, Retraining‑Ereignisse und vom Anbieter ausgelöste Updates als änderungskontrollierte Ereignisse erfasst.

7. Nachweispakete des Anbieters, die einer Prüfung standhalten

Wenn ein kritischer oder nahezu kritischer Prozess von einem Drittanbieter‑KI‑Tool abhängt, werden die Validierungs‑ und Änderungssteuerungsdokumente des Anbieters Teil Ihrer Audit‑Spur. Viele Anbieter sind derzeit nicht darauf eingerichtet, dies in prüfungsbereiter Form bereitzustellen.

Finanzieren Sie die vertraglichen und dokumentarischen Arbeiten jetzt, bevor ein Verlängerungszyklus das Gespräch unter Zeitdruck zwingt. Diese Verhandlung verläuft vor einer Inspektion besser als während einer solchen.

Anhang 22 ist nicht der einzige für die Finanzierung lohnende KI‑Governance‑Rahmen. Der 290‑seitige ISPE GAMP AI Guide bietet eine parallele Roadmap für GxP‑konforme KI‑Einführung.

→ Lesen: ISPE GAMP KI-Leitfaden zu KI für die Pharmaindustrie: Führung und Governance

Schlussfolgerung

Anhang 22 ist kein Gesetz, und so zu tun, als wäre er es, wäre eine eigene Form von Ungenauigkeit. Aber die zugrunde liegende Erwartung, dass KI, die eine regulierte Entscheidung berührt, einen benannten Verantwortlichen, ein validiertes Modell und eine dokumentierte Aufsichtsspur benötigt, wird sich nicht ändern, selbst wenn einzelne Klauseln angepasst werden.

Standorte, die jetzt in Infrastruktur investieren, setzen nicht darauf, dass ein bestimmter Entwurf unverändert bestehen bleibt. Sie setzen auf die Richtung der Entwicklung, auf die jedes verfügbare Signal, von der Konsultationsmenge bis zum Umfang der begleitenden Überarbeitung von Annex 11, in dieselbe Richtung weist.

Häufig gestellte Fragen

Ist Anhang 22 derzeit rechtsverbindlich? 

Nein. Er bleibt ein Entwurf zur Konsultation. Die EudraLex Volume 4‑Seite der Europäischen Kommission führt ihn nicht auf, und der bestehende Annex 11 sowie Kapitel 4 verbleiben in ihren Vor‑Entwurfsfassungen.

Wann wird Anhang 22 Gesetz?

Es gibt kein bestätigtes Datum. Die Inspectors Working Group der EMA hat Q4 2026 als internes Ziel für die Lieferung des endgültigen Textes an die Europäische Kommission gesetzt, aber das ist ein Arbeitsplanziel, kein Annahme‑ oder Wirksamkeitsdatum.

Bedeutet das, dass Pharmaunternehmen bisher keine KI-bezogenen rechtlichen Pflichten haben?

Nein. Unabhängig von Anhang 22 gelten bestimmte Transparenzpflichten des EU-KI-Gesetzes ab dem 2. August 2026, und Pflichten zur KI-Kompetenz bestehen bereits. Diese Pflichten sind unabhängig vom Zeitplan für den GMP-Anhang zu erfüllen.

Werden generative KI und LLMs in GMP-kritischen Prozessen erlaubt sein?

Nicht nach dem aktuellen Entwurf. Wie verfasst, beschränkt Anhang 22 generative KI und große Sprachmodelle auf nicht-kritische Funktionen mit dokumentierter menschlicher Aufsicht, während statische, deterministische Modelle in kritischen Anwendungen unter Vorbehalt einer Validierung zugelassen sind.

Was ist der größte Fehler, den Standorte derzeit machen?

"Noch nicht übernommen" als "noch nicht finanzierungswürdig" zu behandeln. Das oben beschriebene Modellinventar, die Aufsichtsprotokolle und Validierungsprozesse benötigen Monate, um ordentlich aufgebaut zu werden, und werden nicht weniger notwendig, wenn der endgültige Text sich leicht vom Entwurf unterscheidet.