L'annexe 22 n'est pas encore loi. Dans quoi investir maintenant

Introduction

Chaque cycle de planification des investissements comporte une version de ce moment. Un VP Qualité propose un budget pour l'infrastructure de validation des modèles d'IA. Quelqu'un aux Finances demande si la règle est même déjà définitive. La salle acquiesce, et la ligne budgétaire est reportée à l'année suivante.

Cet instinct est compréhensible. Il est aussi coûteux, car Annexe 22, la nouvelle annexe GMP de l'UE sur l'intelligence artificielle, n'attendra pas que le cycle budgétaire de qui que ce soit rattrape son retard une fois publiée.

Cet article vérifie exactement où en est l'Annexe 22 à la date de publication, puis expose ce que les sites anticipatifs devraient financer maintenant, indépendamment de la date exacte à laquelle elle deviendra contraignante.

Confirmation du statut dans EudraLex le jour de publication

À ce jour, l'Annexe 22 est un projet de consultation. Elle n'est pas adoptée, pas en vigueur, et ne fait pas encore partie du Volume 4 d'EudraLex.

La vérification directe de la page du Volume 4 d'EudraLex de la Commission européenne confirme cela. La table des annexes publiée liste actuellement l'Annexe 11 (Systèmes informatisés) à sa révision de janvier 2011, sans aucune entrée pour l'Annexe 22. Le Chapitre 4 (Documentation) apparaît de la même manière à sa version originale de janvier 2011. Le paquet de projet publié pour consultation à la mi-2025 n'a remplacé aucun de ces documents sur le site officiel de la Commission.

La consultation elle-même s'est déroulée du 7 juillet 2025 au 7 octobre 2025 et a été publiée conjointement par le GMDP Inspectors Working Group de l'Agence européenne des médicaments et par le Pharmaceutical Inspection Co-operation Scheme. Elle a suscité environ 1 300 commentaires d'acteurs, que le groupe de travail a passé les mois suivants à trier.

La distinction entre une cible et une date confirmée a son importance ici. L'Inspectors Working Group de l'EMA a fixé le T4 2026 comme point d'arrivée espéré pour livrer le texte final à la Commission. Aucune date d'adoption, d'entrée en vigueur ou d'application n'a été publiée au-delà de cela.

L’annexe 22 n’existe pas dans un vide — voyez comment elle s’intègre dans la structure complète du Volume 4 d’EudraLex, et ce que couvre en réalité chaque autre annexe GMP.

→ Lire : Volume 4 d'EudraLex (EU GMP) expliqué pour les fabricants pharmaceutiques

Pourquoi « Pas loi » ne signifie pas « Pas urgent »

Voici la partie qui se perd dans la conversation du « attendre et voir ». Alors que Annexe 22 elle-même n’est pas contraignante, une obligation connexe et véritablement exécutoire l’est déjà.

Certaines obligations de transparence prévues par l’EU AI Act prennent effet le 2 août 2026, et des obligations de culture de l’IA pour les organisations déployant des systèmes d’IA sont déjà en vigueur. Celles-ci se situent entièrement en dehors des directives GMP. Il s’agit de lois horizontales de l’UE qui s’appliquent aux fabricants pharmaceutiques utilisant l’IA, que l’annexe 22 soit ou non finalisée sous sa forme actuelle.

Ainsi, la formulation honnête pour la direction est la suivante : l’annexe spécifique aux GMP est encore en cours de finalisation, mais la base juridique générale en dessous a déjà été coulée.

Ce que le projet signale réellement, même inachevé

Même sous forme de projet, l’annexe 22 est stable sur sa distinction centrale depuis juillet 2025. Modèles statiques et déterministes, ceux dont les paramètres sont fixes et ne s’adaptent pas pendant l’utilisation, sont autorisés dans les applications critiques pour les GMP, sous réserve de validation. L’IA générative et les grands modèles de langage sont exclus de l’usage critique dans le projet actuel et confinés à des fonctions non critiques avec une supervision humaine documentée.

La révision connexe de l’annexe 11, qui accompagne l’annexe 22 dans le même paquet de consultation, n’est pas non plus une modification mineure. Elle passe de 5 pages à 19, organisée en 17 chapitres couvrant des domaines tels que les pistes d’audit, la supervision des fournisseurs et la cybersécurité, la cybersécurité devenant pour la première fois une exigence formelle des GMP.

Un tel degré de changement est en soi un signal. Les autorités ne réécrivent pas une annexe centrale de cinq pages à dix-neuf pour une règle qu’elles ont l’intention d’adoucir avant publication.

Dans quoi investir quand même : sept investissements qui conservent leur valeur

Aucun de ceux-ci ne nécessite un texte légal final. Chacun est utile sous le projet actuel, sous un projet révisé et même si le champ d’application de l’annexe 22 évolue avant adoption.

1. Un inventaire des modèles, rattaché à une personne nommée

La plupart des sites ne peuvent pas actuellement fournir une liste complète de tous les systèmes d’IA ou de ML qui interviennent dans un processus critique pour les GMP. Cela inclut les modèles intégrés par les fournisseurs dans des instruments, les plug-ins LIMS et les outils de maintenance prédictive que personne n’a classés comme « IA » lors de leur achat.

Financez dès maintenant un exercice d’inventaire structuré : nom du système, fournisseur, usage prévu, classification de criticité, et un unique responsable par entrée. C’est quelques semaines de travail interfonctionnel, pas un projet d’investissement, et c’est la fondation sur laquelle tout le reste de l’annexe 22 repose.

2. Classification statique versus dynamique pour chaque modèle de cet inventaire

Toute la logique de risque du projet repose sur une distinction. Modèles statiques et déterministes, ceux dont les paramètres sont fixes et qui ne changent pas pendant l’utilisation, sont considérés comme éligibles aux applications critiques, sous réserve de validation. Modèles dynamiques, génératifs ou adaptatifs sont confinés à des fonctions non critiques avec supervision humaine.

Classer chaque système selon cette séparation maintenant signifie que l’inventaire sera déjà exploitable le jour où un texte final tombera. Attendre revient à faire ce travail sous contrainte de délai plutôt que selon votre propre calendrier.

3. Protocoles de supervision humaine avec une personne nommée, pas un service

Les régulateurs ont clairement indiqué que « la QA exerce la supervision » n’est pas une réponse qu’ils accepteront. Un inspecteur veut savoir qui examine spécifiquement une sortie d’IA avant qu’elle ne soit intégrée à une décision régulée, et quelle autorité cette personne a pour la rejeter.

Financez dès maintenant le travail de documentation : un protocole court pour chaque point de contact IA critique, nommant le réviseur, le déclencheur de la revue et la voie d’escalade. C’est peu coûteux à rédiger et coûteux d’être pris au dépourvu sans cela.

4. Validation et surveillance de la dérive, pas une qualification ponctuelle

Un modèle validé une seule fois lors de l’installation et jamais revérifié est une responsabilité dans tout cadre d’IA critique pour les GMP, qu’il soit projet ou final. La dérive de performance est le risque technique central que l’annexe 22 vise à détecter.

C’est l’investissement qui coûte réellement de l’argent : infrastructure de surveillance, seuils de performance définis et un déclencheur de revalidation lié à ces seuils. Les sites exécutant des tests de libération assistés par l’IA, la revue des dossiers de lot ou le triage des écarts devraient prioriser cela par rapport aux éléments de documentation moins coûteux mentionnés ci‑dessus.

5. Formation à la culture de l’IA liée aux obligations déjà en vigueur

Ceci n’est pas spéculatif. Les obligations de culture de l’IA prévues par l’EU AI Act s’appliquent déjà, indépendamment du calendrier de l’annexe 22. Financez dès maintenant un programme de formation de base pour tout le personnel qui interagit avec ou s’appuie sur des sorties de systèmes d’IA dans un contexte réglementé.

C’est l’élément le moins coûteux et le plus certain de cette liste, puisqu’il répond à une obligation légale qui existe aujourd’hui plutôt qu’à une qui est encore en projet.

6. Le contrôle des changements étendu pour couvrir les mises à jour et le retraining des modèles

La plupart des procédures de maîtrise des modifications existantes ont été rédigées pour des équipements et des logiciels, pas pour des modèles qui sont réentraînés ou mis à jour par un fournisseur sans cycle de publication formel. Financez une mise à jour des SOP de maîtrise des modifications qui capture explicitement les changements de version des modèles d'IA, les événements de réentraînement et les mises à jour poussées par le fournisseur en tant qu'événements soumis à contrôle des modifications.

7. Dossiers de preuves du fournisseur suffisants pour résister à un audit

Si un processus critique ou quasi-critique dépend d'un outil d'IA tiers, la documentation de validation et de contrôle des modifications du fournisseur devient partie intégrante de votre piste d'audit. Beaucoup de fournisseurs ne sont pas actuellement organisés pour fournir cela dans un format prêt pour l'inspection.

Financez dès maintenant les travaux contractuels et documentaires, avant qu'un cycle de renouvellement n'impose la conversation sous pression temporelle. Cette négociation se passe mieux avant une inspection que pendant celle-ci.

L'annexe 22 n'est pas le seul cadre de gouvernance de l'IA méritant un financement. Le guide GAMP AI d'ISPE, de 290 pages, offre une feuille de route parallèle pour le déploiement conforme aux GxP de l'IA.

→ Lire : Guide ISPE GAMP sur l'IA pour l'industrie pharmaceutique : gouvernance et leadership

Conclusion

L'annexe 22 n'est pas une loi, et prétendre le contraire serait une autre forme d'inexactitude. Mais l'attente sous-jacente selon laquelle une IA intervenant dans une décision réglementée nécessite un propriétaire nommé, un modèle validé et une traçabilité documentaire ne changera pas, même si des clauses individuelles évoluent.

Les sites qui financent l'infrastructure maintenant ne misent pas sur la survie intacte d'un projet de texte spécifique. Ils misent sur la direction prise, que chaque signal disponible, du volume de consultations à l'ampleur de la réécriture connexe de l'annexe 11, indique de la même manière.

FAQ

L'annexe 22 est-elle juridiquement contraignante maintenant ?

Non. Elle reste un projet de consultation. La page EudraLex Volume 4 de la Commission européenne ne la répertorie pas, et l'annexe 11 existante et le Chapitre 4 demeurent dans leurs versions antérieures au projet.

Quand l'annexe 22 deviendra-t-elle loi ?

Il n'y a pas de date confirmée. Le groupe de travail des inspecteurs de l'EMA a fixé le quatrième trimestre 2026 comme objectif interne pour livrer le texte final à la Commission européenne, mais il s'agit d'un objectif de plan de travail, pas d'une date d'adoption ou d'entrée en vigueur.

Cela signifie-t-il que les entreprises pharmaceutiques n'ont pas encore d'obligations juridiques liées à l'IA ?

Non. Indépendamment de l'annexe 22, certaines obligations de transparence prévues par la loi européenne sur l'IA (AI Act) s'appliquent à partir du 2 août 2026, et les obligations en matière d'alphabétisation numérique sur l'IA sont déjà en vigueur. Ces obligations existent indépendamment du calendrier de l'annexe GMP.

Les IA génératives et les LLM seront-elles autorisées dans les processus critiques GMP ?

Pas dans le projet actuel. Tel qu'il est rédigé, l'annexe 22 confine les IA génératives et les grands modèles de langage à des fonctions non critiques avec une supervision humaine documentée, tandis que les modèles statiques et déterministes sont autorisés dans les applications critiques sous réserve de validation.

Quelle est la plus grosse erreur que font les sites en ce moment ?

Considérer « pas encore adopté » comme « pas encore digne d'être financé ». L'inventaire des modèles, les protocoles de supervision et les processus de validation décrits ci‑dessus prennent des mois à être correctement mis en place et ne deviennent pas moins nécessaires si le texte final s'écarte légèrement du projet.