Anexo 22 de la UE explicado: lo que los fabricantes farmacéuticos deben saber sobre la IA en GMP

La Comisión Europea ha introducido un nuevo capítulo en el reglamento de Buenas Prácticas de Fabricación (GMP), el Anexo 22 sobre Inteligencia Artificial. Este es un desarrollo histórico para la industria farmacéutica. Por primera vez existe un marco normativo dedicado que especifica cómo deben diseñarse, probarse, validarse y supervisarse los modelos de IA cuando se utilizan en entornos GMP críticos.

Esta guía le explica todo lo cubierto en el borrador de la directriz del Anexo 22, publicado por la Dirección de Salud y Seguridad Alimentaria de la Comisión Europea, usando un lenguaje claro para que su equipo, ya sea de QA, TI, ciencia de datos o fabricación, pueda entender qué significa en la práctica.

¿Qué es el Anexo 22 de la UE?

El Anexo 22 de la UE es una nueva adición al Volumen 4, Capítulo 4 de las directrices EU GMP. Proporciona orientación suplementaria al Anexo 11 (que cubre sistemas informatizados), específicamente para situaciones en las que los modelos de IA están integrados en esos sistemas.

El anexo cubre modelos de IA utilizados en aplicaciones críticas, aquellas que tienen un impacto directo en:

1. Seguridad del paciente
2. Calidad del producto
3. Integridad de los datos

Piense en modelos de IA usados para detectar defectos visuales en comprimidos, clasificar lotes de materia prima o predecir resultados de proceso. Este tipo de aplicaciones son las que este anexo está diseñado para regular.

Punto clave: El Anexo 22 se aplica a modelos de machine learning que han aprendido su comportamiento a partir de datos de entrenamiento. No se aplica a sistemas basados en reglas programadas explícitamente.

El Anexo 22 se basa en el Anexo 11, pero no son el mismo reglamento. Sepa exactamente dónde termina uno y empieza el otro antes de mapear su brecha de cumplimiento.

→ Leer: 21 CFR Part 11 vs EU GMP Anexo 11: Lo que todo profesional de las ciencias de la vida debe saber

Lo que el Anexo 22 NO cubre

Antes de profundizar, es importante aclarar los límites de esta directriz. Los siguientes están explícitamente fuera de alcance:

1. Modelos dinámicos — modelos que aprenden y se adaptan continuamente durante la operación. Estos no deben utilizarse en aplicaciones GMP críticas.
2. Modelos probabilísticos — modelos que pueden dar salidas distintas incluso con entradas idénticas. Estos, igualmente, no deben utilizarse en entornos GMP críticos.
3. Inteligencia artificial generativa y Modelos de Lenguaje Extenso (LLMs) — herramientas como ChatGPT o modelos similares. Estos están excluidos del uso en GMP críticos.

Si la IA generativa se utiliza en aplicaciones GMP no críticas (aquellas que no afectan la seguridad del paciente, la calidad o la integridad de los datos), siempre debe revisarla y asumir responsabilidad por la salida una persona cualificada; esto se conoce como el principio de humano-en-el-bucle (HITL).

Los principios fundamentales: ¿Quién es responsable?

El Anexo 22 establece tres principios fundamentales desde el principio.

1. Personas y colaboración: Implementar un modelo de IA en un entorno GMP no es un proyecto exclusivo de TI. Requiere una estrecha cooperación entre expertos en el proceso (SMEs), Aseguramiento de la Calidad (QA), científicos de datos, equipos de TI y consultores externos, cuando sea necesario. Todas las personas implicadas deben tener las cualificaciones adecuadas, responsabilidades claramente definidas y acceso apropiado al sistema.

2. Documentación Todas las actividades, desde la selección del algoritmo hasta las pruebas del modelo, deben quedar completamente documentadas. Esto aplica tanto si el modelo se desarrolla internamente como si lo suministra un proveedor externo. La empresa regulada es siempre responsable de revisar esta documentación.

3. Gestión de Riesgos de Calidad Todo en el Anexo 22 debe implementarse utilizando un enfoque basado en riesgos, manteniendo siempre en foco el impacto en la seguridad del paciente, la calidad del producto y la integridad de los datos.

Uso previsto: defínalo antes de construirlo

Uno de los pasos más críticos en el Anexo 22 es definir correctamente el uso previsto del modelo de IA. Esto debe hacerse en detalle y documentarse antes de que comiencen las pruebas de aceptación.

La descripción del uso previsto debe incluir:

1. Qué tarea específica está diseñado el modelo para ayudar o automatizar
2. Una descripción exhaustiva de los datos de entrada que utilizará el modelo, incluidas todas las variaciones comunes y raras (el espacio muestral de entrada)
3. Cualquier limitación conocida o posibles fuentes de error o sesgo en los datos de entrada

El espacio muestral de entrada también puede dividirse en subgrupos. Por ejemplo, un modelo de inspección visual podría tener subgrupos basados en el tipo o la gravedad del defecto, el sitio geográfico o las características específicas del producto. Esta segmentación permite pruebas y evaluaciones de rendimiento más granulares.

Cuando un operador humano participa en el proceso de toma de decisiones (HITL), el uso previsto también debe describir cuál es la responsabilidad del operador, y el desempeño del operador debe monitorizarse como cualquier otro proceso manual.

Criterios de aceptación: Estableciendo el umbral de rendimiento

Los modelos de IA en entornos GMP deben cumplir normas de rendimiento claramente definidas antes de aprobarse para su uso. El Anexo 22 exige lo siguiente:

Las métricas de prueba deben ser apropiadas para la tarea del modelo. Para un modelo de clasificación (por ejemplo, decisiones de aceptar/rechazar), las métricas relevantes pueden incluir:

Los criterios de aceptación deben predefinirse y documentarse antes de que comiencen las pruebas. Un SME del proceso debe aprobar estos criterios. De forma crítica, el rendimiento del modelo de IA debe ser al menos tan bueno como el proceso que reemplaza. Esto significa que necesita una línea base; conocer qué tan bien funciona su proceso manual o automatizado existente es un requisito previo.

Datos de prueba: Calidad entra, calidad sale

La calidad de los datos de prueba es fundamental para la validez de cualquier modelo de IA. El Anexo 22 es muy específico sobre cómo deben ser los buenos datos de prueba.

Los datos de prueba deben ser:

1. Representativo — que cubre todo el espacio de muestra de entrada previsto, incluidos todos los subgrupos
2. Estadísticamente suficiente — lo suficientemente grande como para que las métricas escogidas puedan calcularse con una confianza estadística adecuada
3. Etiquetado correctamente — verificado mediante revisión independiente por múltiples expertos, equipos validados o pruebas de laboratorio
4. Preprocesado de forma coherente — cualquier transformación, normalización o estandarización debe preespecificarse con una justificación documentada.

Cualquier exclusión o limpieza de los datos de prueba debe documentarse y justificarse completamente. No se recomienda generar datos de prueba sintéticos usando IA generativa, y si se hace, requiere una justificación sólida.

Independencia de los datos de prueba: Mantener los muros en alto

Esta sección del Anexo 22 aborda una de las trampas más comunes en el desarrollo de IA, fuga de datos, donde los datos de prueba se exponen accidentalmente durante el entrenamiento o la validación, lo que conduce a resultados de rendimiento demasiado optimistas.

Los requisitos incluyen:

1. Los datos de prueba nunca deben utilizarse durante el desarrollo, entrenamiento o validación del modelo
2. Si los datos se separan de un conjunto mayor antes del entrenamiento, los empleados implicados en el entrenamiento no deben haber tenido acceso a los datos de prueba.
3. Los datos de prueba deben protegerse mediante controles de acceso y registros de auditoría
4. No debe haber copias de los datos de prueba fuera del repositorio controlado
5. El personal que haya tenido acceso a los datos de prueba no puede participar en el entrenamiento del mismo modelo, a menos que trabajen bajo el principio de 4 ojos

Debe conservarse un registro de qué datos se usaron para las pruebas, cuándo se usaron y cuántas veces.

Ejecución de la prueba: Demostrar que el modelo funciona

Antes de que comiencen las pruebas, debe prepararse y aprobarse un plan de pruebas. Debe contener:

1. Un resumen del uso previsto
2. Métricas predefinidas y criterios de aceptación
3. Una referencia a los datos de prueba
4. Un guion de prueba paso a paso
5. Una descripción de cómo calcular cada métrica de prueba

La propia prueba debe demostrar que el modelo generaliza bien, es decir, que funciona de forma fiable con datos nuevos y no vistos, no solo con los datos con los que se entrenó. Deben detectarse y abordarse tanto el sobreajuste (demasiado ajustado a los datos de entrenamiento) como el subajuste (demasiado general).

Cualquier desviación del plan de pruebas, incumplimiento de los criterios de aceptación u omisión de datos de prueba debe investigarse y documentarse completamente.

Toda la documentación de las pruebas, incluidos los datos de prueba, objetos físicos de prueba cuando proceda y los registros de la pista de auditoría, debe conservarse de acuerdo con los requisitos estándar de documentación GMP.

Explicabilidad: Abrir la caja negra

La explicabilidad es uno de los requisitos más exigentes desde el punto de vista técnico en el Anexo 22. Para los modelos de IA utilizados en aplicaciones GMP críticas, el sistema debe poder capturar y registrar qué características de los datos de entrada contribuyeron a una salida particular (como una decisión de rechazo).

Las técnicas aceptables incluyen:

1. SHAP (Shapley Additive Explanations) — asigna a cada característica de entrada una puntuación de contribución para una predicción concreta
2. LIME (Local Interpretable Model-Agnostic Explanations) — aproxima un modelo complejo de forma local para explicar predicciones individuales
3. Mapas de calor — resaltan visualmente las áreas de una imagen que influyeron en una decisión de clasificación

La revisión de estas características debe formar parte del proceso de aprobación de los resultados de las pruebas. El objetivo es garantizar que el modelo tome decisiones basadas en características relevantes y apropiadas, no en correlaciones espurias.

Puntuaciones de confianza: cuándo decir "No estoy seguro"

Los modelos de IA no deben verse obligados a tomar una decisión binaria cuando la evidencia es ambigua. El Anexo 22 exige que los sistemas registren la puntuación de confianza para cada predicción o clasificación.

Cuando la puntuación de confianza de un modelo sea muy baja, el sistema debería marcar el resultado como "indeciso" en lugar de comprometerse con una predicción potencialmente poco fiable. Esto evita que clasificaciones incorrectas pasen inadvertidas por el proceso.

Operación y supervisión continua

Una vez que un modelo se aprueba y despliega, debe mantenerse bajo controles estrictos durante toda su vida operativa.

Lista de comprobación operativa del Anexo 22

1. Coloque el modelo, el sistema en el que se ejecuta y el proceso que soporta bajo control de cambios antes del despliegue
2. Evalúe cualquier cambio en el modelo, el sistema o el proceso, incluidos los cambios en los objetos físicos de entrada, para determinar si es necesario volver a probar.
3. Implemente control de configuración para detectar cualquier cambio no autorizado en el modelo después del despliegue.
4. Supervise las métricas de rendimiento del modelo regularmente para detectar deterioro (p. ej., cambios en las condiciones de iluminación para modelos de inspección visual)
5. Controle si los datos de entrada siguen estando dentro del espacio de muestra previsto del modelo, y registre cualquier deriva utilizando métricas definidas.
6. Cuando se use HITL con pruebas reducidas, mantenga registros de todas las decisiones de revisión humana y aplique un procedimiento de revisión coherente.

La supervisión no termina con el despliegue, ni tampoco el escrutinio regulatorio. Esto es cómo la IA ya está remodelando la monitorización de la seguridad de los medicamentos y lo que eso significa para su equipo.

→ Leer: Cómo la IA está cambiando la monitorización de la seguridad de los medicamentos — y cómo se perfila el futuro

Resumen: Qué significa el Anexo 22 para su organización

El Anexo 22 de la UE marca un paso importante en cómo los reguladores esperan que se gobierne la IA en la fabricación farmacéutica. En lugar de aplicar de manera imprecisa principios generales de validación de sistemas informáticos, las empresas ahora disponen de un marco específico y estructurado a seguir.

El mensaje clave es claro: La IA en GMP no es solo una decisión de TI. Es una responsabilidad de calidad y cumplimiento que abarca equipos, disciplinas y todo el ciclo de vida del modelo, desde el diseño y el entrenamiento hasta el despliegue y la monitorización continua.

Las organizaciones que empiecen a construir estas prácticas ahora, definan claramente el uso previsto, gestionen datos de prueba independientes, implementen mecanismos de explicabilidad y establezcan una monitorización operativa robusta, estarán mucho mejor posicionadas cuando el Anexo 22 pase de consulta a aplicación.

Preguntas frecuentes

1. ¿Qué es el Anexo 22 de la UE en el ámbito farmacéutico?

El Anexo 22 de la UE es una nueva directriz de GMP de la Comisión Europea que establece requisitos específicos para el uso de modelos de Inteligencia Artificial (IA) en sistemas de fabricación farmacéutica cuando estén en juego la seguridad del paciente, la calidad del producto o la integridad de los datos.

2. ¿Se aplica el Anexo 22 de la UE a ChatGPT o a la IA generativa?

No. El Anexo 22 excluye explícitamente la IA generativa y los Large Language Models de las aplicaciones GMP críticas. Si se utilizan en entornos no críticos, siempre debe revisarse la salida por una persona cualificada.

3. ¿Qué tipos de modelos de IA cubre el Anexo 22?

El Anexo 22 cubre modelos de aprendizaje automático estáticos y deterministas —aquellos que no cambian después del entrenamiento y ofrecen la misma salida para la misma entrada cada vez—.

4. ¿En qué consiste el requisito de human-in-the-loop (HITL) en el Anexo 22?

HITL significa que un operador humano entrenado es responsable de revisar y aprobar la salida del modelo de IA antes de que influya en una decisión GMP. Cuando se aplica HITL, los requisitos de pruebas para el modelo pueden reducirse, pero debe supervisarse el rendimiento del operador.

5. ¿Cuándo entrará en vigor el Anexo 22 de la UE?

El Anexo 22 está actualmente en consulta pública. La fecha final de implementación aún no se ha confirmado, pero se aconseja a las organizaciones que empiecen a alinear sus prácticas de gobernanza de IA con la directriz provisional ahora.