El Anexo 22 aún no es ley. En qué invertir ahora

Introducción

Cada ciclo de planificación de capital tiene una versión de este momento. Un VP de Calidad propone un presupuesto para la infraestructura de validación de modelos de IA. Alguien en Finanzas pregunta si la norma ya es definitiva. La sala asiente, y la partida se aplaza al año siguiente.

Ese instinto es comprensible. También es costoso, porque Anexo 22, el nuevo anexo de GMP de la UE sobre inteligencia artificial, no esperará a que el ciclo presupuestario de nadie se ponga al día cuando entre en vigor.

Este artículo verifica exactamente en qué punto se encuentra el Anexo 22 en el día de publicación y luego expone qué deben financiar ahora los sitios con visión de futuro, independientemente de la fecha exacta en que se haga vinculante.

Confirmando el estado en EudraLex el día de la publicación

A fecha de hoy, el Anexo 22 es un borrador en consulta. No está adoptado, no está en vigor y aún no forma parte del Volumen 4 de EudraLex.

Comprobar directamente la página del Volumen 4 de EudraLex de la Comisión Europea confirma esto. La tabla de anexos publicada actualmente enumera el Anexo 11 (Sistemas informatizados) en su revisión de enero de 2011, sin ninguna entrada del Anexo 22 en la lista. El Capítulo 4 (Documentación) también aparece todavía en su versión original de enero de 2011. El paquete de borradores publicado para consulta a mediados de 2025 no ha reemplazado a ninguno de dichos documentos en el sitio oficial de la Comisión.

La consulta en sí se desarrolló del 7 de julio de 2025 al 7 de octubre de 2025 y fue emitida conjuntamente por el Grupo de Trabajo de Inspectores GMDP de la Agencia Europea de Medicamentos y por el Pharmaceutical Inspection Co-operation Scheme. Recibió aproximadamente 1.300 comentarios de las partes interesadas, que el grupo de trabajo ha pasado los meses posteriores clasificando.

La distinción entre un objetivo y una fecha confirmada importa aquí. El propio Grupo de Trabajo de Inspectores de la EMA ha fijado el T4 de 2026 como el momento en que espera entregar el texto final a la Comisión. No se ha publicado ninguna fecha de adopción, entrada en vigor o aplicación más allá de esa.

El Anexo 22 no existe en el vacío: vea cómo encaja en la estructura completa del Volumen 4 de EudraLex y qué cubre en realidad cada otro anexo de las GMP.

→ Leer: Guía EU GMP EudraLex Volumen 4 explicada para fabricantes farmacéuticos

Por qué "No es ley" no significa "No es urgente"

Aquí está la parte que se pierde en la conversación de "esperar y ver". Mientras que Anexo 22 en sí no es vinculante, ya existe una obligación relacionada y genuinamente exigible.

Ciertas obligaciones de transparencia en virtud del EU AI Act entran en vigor el 2 de agosto de 2026, y las obligaciones de alfabetización en IA para las organizaciones que despliegan sistemas de IA ya están en vigor. Estas quedan fuera de la orientación GMP por completo. Son leyes horizontales de la UE y se aplican a los fabricantes farmacéuticos que usan IA, independientemente de si Annex 22 se finaliza alguna vez en su forma actual.

Así que el encuadre honesto para la dirección es este: el anexo específico de GMP sigue en fase de finalización, pero el suelo legal general bajo él ya ha sido vertido.

Lo que la versión preliminar realmente señala, aunque no esté terminada

Incluso en forma de borrador, Annex 22 ha sido constante en su distinción central desde julio de 2025. Modelos estáticos y deterministas, aquellos cuyos parámetros están fijos y no se adaptan durante el uso, están permitidos en aplicaciones críticas para GMP, sujetos a validación. Inteligencia artificial generativa y modelos de lenguaje a gran escala quedan excluidos del uso crítico en el borrador actual y se limitan a funciones no críticas con supervisión humana documentada.

La revisión complementaria del Anexo 11, que acompaña al Anexo 22 en el mismo paquete de consulta, tampoco es una edición menor. Pasa de 5 páginas a 19, organizadas en 17 capítulos que cubren áreas como pistas de auditoría, supervisión de proveedores y ciberseguridad, siendo la ciberseguridad ahora un requisito formal de GMP por primera vez.

Ese nivel de cambio es en sí mismo una señal. Los reguladores no reescriben un anexo central de cinco páginas a diecinueve para una norma que pretenden suavizar antes de su publicación.

En qué financiar de todos modos: siete inversiones que mantienen su valor

Ninguna de estas requiere un texto legal final. Cada una es útil bajo el borrador actual, bajo un borrador revisado e incluso si el alcance de Annex 22 cambia antes de su adopción.

1. Un inventario de modelos, con una persona responsable nombrada

La mayoría de los sitios no pueden actualmente producir una lista completa de todos los sistemas de IA o ML que afectan un proceso crítico para GMP. Eso incluye modelos integrados por proveedores dentro de instrumentos, complementos LIMS y herramientas de mantenimiento predictivo que nadie clasificó como "AI" cuando se compraron.

Financie ahora un ejercicio de inventario estructurado: nombre del sistema, proveedor, uso previsto, clasificación de criticidad y un único propietario responsable por cada entrada. Esto son unas semanas de trabajo transversal, no un proyecto de capital, y es la base sobre la que depende todo lo demás en Annex 22.

2. Clasificación estático-versus-dinámico para cada modelo en ese inventario

Toda la lógica de riesgo del borrador se basa en una distinción. Modelos estáticos y deterministas, aquellos con parámetros fijos que no cambian durante el uso, se consideran aptos para aplicaciones críticas, sujetos a validación. Modelos dinámicos, generativos o adaptativos se limitan a funciones no críticas con supervisión humana.

Clasificar cada sistema según esa separación ahora significa que el inventario ya será utilizable el día que llegue un texto final. Esperar significa hacer este trabajo bajo plazos en lugar de en su propio calendario.

3. Protocolos de supervisión humana con un nombre asignado, no un departamento

Los reguladores han dejado claro que "QA tiene supervisión" no es una respuesta que aceptarán. Un inspector quiere saber quién revisa específicamente una salida de IA antes de que se incorpore a una decisión regulada y qué autoridad tiene esa persona para rechazarla.

Financie ahora el trabajo de documentación: un protocolo breve para cada punto crítico de interacción con IA, nombrando al revisor, el desencadenante de la revisión y la ruta de escalado. Esto es barato de construir y caro quedarse sin ello.

4. Validación y monitorización del drift, no una calificación única

Un modelo validado una vez en la instalación y nunca vuelto a comprobar es una responsabilidad bajo cualquier marco de IA crítico para GMP, ya sea borrador o final. El drift de rendimiento es el riesgo técnico central que busca captar Annex 22.

Esta es la inversión que realmente cuesta dinero: infraestructura de monitorización, umbrales de rendimiento definidos y un desencadenante de revalidación ligado a esos umbrales. Los sitios que ejecutan cualquier prueba de liberación asistida por IA, revisión de registros de lote o triaje de desviaciones deberían priorizar esto sobre los elementos de documentación más baratos mencionados arriba.

5. Formación en alfabetización en IA vinculada a obligaciones que ya están en vigor

Esto no es especulativo. Las obligaciones de alfabetización del EU AI Act ya se aplican, independientemente del calendario de Annex 22. Financie ahora un programa de formación básico para cualquier personal que interactúe con o dependa de salidas de sistemas de IA en un contexto regulado.

Este es el elemento de menor coste y mayor certeza en esta lista, ya que aborda una obligación legal que existe hoy en lugar de una que aún está en borrador.

6. Control de cambios ampliado para cubrir actualizaciones de modelos y reentrenamiento

La mayoría de los procedimientos de control de cambios existentes se redactaron para equipos y software, no para modelos que se reentrenan o actualizan por un proveedor sin un ciclo de lanzamiento formal. Financie una actualización de los SOP de control de cambios que capture explícitamente los cambios de versión del modelo, los eventos de reentrenamiento y las actualizaciones empujadas por el proveedor como eventos controlados por cambio.

7. Paquetes de evidencia del proveedor suficientes para superar una auditoría

Si un proceso crítico o casi crítico depende de una herramienta de IA de terceros, la propia documentación de validación y control de cambios del proveedor forma parte de su rastro de auditoría. Muchos proveedores no están actualmente preparados para proporcionar esto en un formato listo para inspección.

Financie el trabajo contractual y la documentación ahora, antes de que un ciclo de renovación obligue a tratar el tema bajo presión de tiempo. Esta negociación va mejor antes de una inspección que durante ella.

El Anexo 22 no es el único marco de gobernanza de IA que merece financiación. La guía ISPE GAMP sobre IA de 290 páginas ofrece una hoja de ruta paralela para el despliegue de IA conforme a GxP.

→ Leer: Guía ISPE GAMP sobre IA para la industria farmacéutica: Gobernanza y liderazgo

Conclusión

El Anexo 22 no es ley, y pretender lo contrario sería una inexactitud. Pero la expectativa subyacente de que la IA que interviene en una decisión regulada necesita un responsable nombrado, un modelo validado y un rastro de supervisión documentado no cambiará, aunque lo hagan cláusulas individuales.

Los sitios que financian la infraestructura ahora no están apostando a que un borrador específico sobreviva intacto. Están apostando por la dirección del movimiento, hacia la cual señalan todos los indicios disponibles, desde el volumen de consultas hasta la escala de la reescritura complementaria del Anexo 11.

Preguntas frecuentes

¿El Anexo 22 es jurídicamente vinculante ahora? 

No. Sigue siendo un borrador de consulta. La propia página EudraLex Volumen 4 de la Comisión Europea no lo lista, y el Anexo 11 y el Capítulo 4 existentes permanecen en sus versiones anteriores al borrador.

¿Cuándo se convertirá el Anexo 22 en ley?

No hay una fecha confirmada. El Inspectors Working Group de la EMA ha fijado el Q4 de 2026 como objetivo interno para entregar el texto final a la Comisión Europea, pero eso es un objetivo del plan de trabajo, no una fecha de adopción o vigencia.

¿Significa eso que las compañías farmacéuticas no tienen todavía obligaciones legales relacionadas con la IA?

No. Independientemente del Anexo 22, ciertos deberes de transparencia del EU AI Act aplican desde el 2 de agosto de 2026, y las obligaciones de alfabetización en IA ya están en vigor. Esas obligaciones existen de forma independiente del calendario del anexo de BPF.

¿Se permitirá el uso de IA generativa y LLM en procesos críticos para las BPF?

No bajo el borrador actual. Tal como está redactado, el Anexo 22 confina la IA generativa y los modelos de lenguaje grandes a funciones no críticas con supervisión humana documentada, mientras que los modelos estáticos y deterministas están permitidos en aplicaciones críticas sujetos a validación.

¿Cuál es el mayor error que están cometiendo ahora los sitios?

Tratar “aún no adoptado” como “aún no vale la pena financiarlo”. El inventario de modelos, los protocolos de supervisión y los procesos de validación descritos arriba llevan meses construirse correctamente y no dejan de ser necesarios si el texto final se aleja ligeramente del borrador.