Guide ISPE GAMP® : Intelligence artificielle — Ce que les dirigeants pharma et biotech doivent savoir

L'intelligence artificielle n'est plus quelque chose que les entreprises pharmaceutiques envisagent pour l'avenir. Elle est là, elle est déployée, et elle touche déjà certains des environnements les plus réglementés de l'industrie — les chaînes de découverte de médicaments, les systèmes qualité de fabrication, les opérations d'essais cliniques et les dossiers réglementaires. Et pourtant, pendant la majeure partie de ce temps, une question cruciale est restée largement sans réponse : comment précisément devons‑nous le faire de manière conforme ?*

Cette question a désormais une réponse sérieuse et faisant autorité. En juillet 2025, l'International Society for Pharmaceutical Engineering (ISPE) a publié le GAMP® Guide: Artificial Intelligence, un cadre de 290 pages spécifiquement conçu pour aider les organisations des sciences de la vie à mettre en œuvre l'IA dans des environnements réglementés GxP sans compromettre la sécurité des patients, l'intégrité des données ou la qualité du produit.

Si vous dirigez une organisation pharmaceutique ou biotechnologique, ce guide n'est pas un document que votre service informatique doit absorber puis classer. C'est un signal stratégique sur la direction que prend l'industrie, ce que les régulateurs attendront et ce que la direction doit comprendre et sur quoi elle doit agir dès maintenant ! Cet article explique ce qu'est le GAMP AI Guide, pourquoi il était nécessaire et ce qu'il implique pour le fonctionnement de votre organisation.

Pourquoi l'industrie pharmaceutique avait‑elle besoin d'un guide de conformité IA dédié ?

Pour comprendre pourquoi le GAMP AI Guide est important, il est utile de saisir la lacune qu'il comble. Pendant des décennies, le cadre GAMP a offert aux entreprises pharmaceutiques une approche structurée et fondée sur les risques pour valider les systèmes informatisés. 

GAMP 5, et sa deuxième édition de 2022, sont devenus le point de référence de l'industrie pour la Computer Software Assurance (CSA). Il fonctionnait bien pour les types de systèmes que l'industrie pharmaceutique utilisait jusqu'à présent.

L'IA remet en cause l'ancien modèle de validation de manière fondamentale. Les logiciels traditionnels font exactement ce pour quoi ils ont été programmés. Les systèmes d'IA apprennent, s'adaptent et, dans certains cas, produisent des résultats difficiles à expliquer complètement — une caractéristique qui crée des défis de conformité que le cadre GAMP existant n'avait jamais été conçu pour traiter. 

Avant l'arrivée du AI Guide, les entreprises déployant l'IA dans des environnements GxP travaillaient essentiellement à partir de premiers principes, sans référence unique et faisant autorité pour guider les décisions.

Les conséquences de cette lacune se manifestaient clairement dans toute l'industrie :

1. Des pilotes d'IA bloqués au stade de la preuve de concept parce que les équipes ne parvenaient pas à s'accorder sur une voie validée et conforme pour les mettre en production réglementée
2. Une terminologie fragmentée entre les équipes qualité, informatique, data science et affaires réglementaires, rendant presque impossible l'alignement interfonctionnel sur la gouvernance de l'IA
3. Une qualification incohérente des fournisseurs d'IA tiers, sans norme convenue sur la diligence raisonnable à appliquer lors de l'acquisition d'outils d'IA
4. Des lacunes dans la gouvernance des données d'entraînement, les organisations découvrant que leurs modèles d'IA étaient construits sur des données qui n'avaient pas été gérées selon les normes GxP
5. Une incertitude réglementaire, alors que la FDA, l'EMA et d'autres agences commençaient à développer leurs propres cadres sur l'IA, laissant les entreprises incertaines quant à la manière d'aligner leurs pratiques internes

Le GAMP AI Guide a été développé spécifiquement pour résoudre ces problèmes, non pas par des principes abstraits, mais par des orientations pratiques fondées sur le cycle de vie qui relient la mise en œuvre de l'IA aux obligations de conformité GxP existantes.

Ce que couvre le GAMP® AI Guide de l'ISPE : un aperçu structuré ?

Le GAMP AI Guide est un document de 290 pages élaboré par plus de 20 membres de l'ISPE issus de l'industrie et du milieu universitaire, avec un examen par les pairs approfondi. Il est conçu pour être applicable à l'ensemble des cas d'utilisation de l'IA dans les sciences de la vie — des systèmes de gestion de la qualité améliorés par l'IA aux modèles d'apprentissage automatique soutenant le contrôle des procédés de fabrication et l'analyse des données cliniques.

Au cœur du guide figurent cinq domaines que la direction des entreprises pharmaceutiques et biotechnologiques doit comprendre :

1. Extension des principes de GAMP 5 aux défis spécifiques à l'IA. Plutôt que de remplacer les cadres existants, le guide s'appuie sur la méthodologie basée sur les risques de GAMP 5 et l'applique aux caractéristiques uniques de l'IA, y compris le comportement adaptatif des modèles, la dérive des données, les limites d'explainability et les exigences de gouvernance des données d'entraînement.

2. Alignement avec le paysage réglementaire actuel. Le guide intègre le EU AI Act (adopté formellement en mai 2024), les lignes directrices provisoires de la FDA sur l'IA pour les demandes de médicaments et dispositifs, le document de réflexion de l'EMA sur l'IA dans le cycle de vie des produits médicinaux, et ISO/IEC 42001 sur les systèmes de gestion de l'IA. Cet alignement signifie que le guide n'est pas seulement une meilleure pratique industrielle, mais une carte prospective des attentes réglementaires formelles.

3. Couverture complète du cycle de vie des systèmes d'IA. Les orientations couvrent chaque étape de la vie d'un système d'IA, depuis l'étude de cas métier initiale et la conception du système, en passant par la préparation des données, l'entraînement des modèles, les tests de validation et le déploiement, jusqu'à la surveillance opérationnelle continue et le contrôle des changements lorsque les modèles sont mis à jour ou réentraînés.

4. Rôles et responsabilités définis entre les parties prenantes. Le guide fournit un cadre clair de responsabilisation couvrant les entreprises réglementées, les fournisseurs de plateformes d'IA, les prestataires de services tiers et les fonctions internes, y compris l'assurance qualité, l'informatique et la data science.

5. Une approche de validation graduée selon le niveau de risque. Toutes les applications d'IA n'entraînent pas la même charge de conformité. Le guide permet aux organisations d'ajuster la profondeur de leurs activités de validation en fonction de l'utilisation prévue et du niveau de risque pour le patient de chaque système d'IA spécifique, offrant une réponse adaptée plutôt qu'un modèle unique pour tous.

Pourquoi la gouvernance de l'IA dans la pharma est‑elle une responsabilité de la direction, et non une fonction informatique ?

Il existe une tendance courante à considérer le GAMP AI Guide comme un document technique, quelque chose que les départements qualité et informatique gèrent pendant que la direction se concentre sur les résultats commerciaux attendus de l'IA. Cette approche posera des problèmes.

Le guide indique clairement que la gouvernance de l'IA dans un environnement réglementé des sciences de la vie n'est ni une fonction qualité ni une fonction informatique. C'est une capacité organisationnelle qui exige l'implication active et informée de la direction pour la construire, la doter en ressources et la pérenniser. Trois raisons pour lesquelles cela compte au niveau exécutif :

Le risque réglementaire lié à une IA non gouvernée est réel et en hausse. La FDA, l'EMA et d'autres agences majeures élaborent et formalisent activement leurs cadres de supervision de l'IA. Les organisations qui mettent en place maintenant une gouvernance de l'IA alignée sur GAMP seront dans une position défendable lorsque ces attentes réglementaires deviendront contraignantes. Celles qui ne l'auront pas fait feront face à une transition de conformité plus perturbatrice et coûteuse alors qu'elles seront déjà sous surveillance.

Les défaillances de l'IA dans des environnements GxP sont des incidents au niveau de l'entreprise, pas des pannes techniques. Si un système d'IA déployé en production génère une sortie erronée affectant la qualité du produit, ou si un modèle utilisé dans les flux de travail de soumission réglementaire produit des données peu fiables, les conséquences dépassent largement l'équipe informatique. 

Elles touchent l'intégrité du produit, la sécurité des patients, la position réglementaire et la continuité commerciale. Il s'agit de la même catégorie de risque que la défaillance de la chaîne d'approvisionnement ou la rupture du système qualité et cela doit faire l'objet des mêmes conversations au conseil d'administration.

Les investissements pharmaceutiques dans l'IA croissent rapidement, et une grande partie n'est actuellement pas gouvernée pour un usage GxP. Les analystes du secteur prévoient que l'investissement pharmaceutique dans l'IA passera d'environ $2 billion en 2025 à plus de $16 billion d'ici 2034, un taux de croissance annuel composé d'environ 27 %. 

Une enquête de 2024 a révélé qu'environ 60 % des dirigeants pharmaceutiques avaient déjà lancé des pilotes d'IA générative, 32 % dépassant la phase pilote. La question stratégique que la direction devrait se poser n'est pas de savoir s'il faut investir dans l'IA, mais si cet investissement est gouverné de manière à permettre aux outils d'IA d'opérer dans des environnements GxP ou si l'organisation accumule un portefeuille de pilotes qui ne pourront jamais être déployés de manière conforme là où ils généreraient le plus de valeur.

Principaux défis de conformité qui rendent la validation de l'IA plus complexe que la CSV traditionnelle

Pour les responsables qui ont supervisé des programmes de Computer System Validation (CSV) ou des systèmes de gestion de la qualité, il vaut mieux être direct sur les façons dont la validation de l'IA est réellement plus exigeante, non pas pour créer l'alarme, mais pour s'assurer que le défi est correctement compris et doté en ressources.

Valider un système informatisé doté d'IA dans un environnement GxP est plus complexe que valider un logiciel traditionnel pour cinq raisons précises :

1. Les modèles d'IA peuvent voir leur comportement évoluer dans le temps. Un système logiciel validé de façon conventionnelle exécute les mêmes opérations après validation qu'il n'en exécutait pendant celle-ci. Un modèle d'IA réentraîné sur de nouvelles données peut produire des sorties différentes de celles obtenues au moment de la validation initiale. La validation ne peut donc pas être un événement ponctuel : elle exige une surveillance continue des performances, des seuils définis déclenchant la revalidation, et des processus de contrôle des changements spécifiquement conçus pour les mises à jour et le réentraînement des modèles.
2. L'explicabilité des modèles est un véritable défi documentaire. De nombreux systèmes d'IA, en particulier ceux utilisant des architectures d'apprentissage profond, ne peuvent pas expliquer facilement pourquoi ils ont produit une sortie spécifique. Dans les environnements GxP où l'auditabilité et la traçabilité sont des exigences réglementaires, cela crée des lacunes de responsabilité qui doivent être traitées par des choix de conception délibérés au niveau de l'architecture et de la gouvernance, et non a posteriori lors d'une inspection réglementaire.
3. La qualité des données d'entraînement détermine directement la conformité du modèle. La fiabilité des sorties d'un système d'IA est indissociable de la qualité des données sur lesquelles il a été entraîné. En pharma, les données d'entraînement doivent être gérées selon les principes ALCOA+ comme attribuable, lisible, contemporain, original, exact, complet, cohérent, durable et disponible qui s'appliquent à tous les enregistrements GxP. La plupart des pipelines de données IA n'ont pas été initialement construits selon ces normes, et les adapter rétrospectivement est une entreprise importante.
4. La qualification des fournisseurs d'IA tiers nécessite un nouveau cadre. De nombreux outils d'IA déployés en environnements pharmaceutiques sont développés et mis à jour en continu par des fournisseurs tiers ayant une compréhension limitée des exigences GxP. Qualifier ces fournisseurs avec la rigueur appropriée et maintenir cette surveillance à mesure que leurs plateformes sont mises à jour, réentraînées ou restructurées nécessite un cadre de qualification que la plupart des organisations sont encore en train de développer.
5. L'alignement de la gouvernance interfonctionnelle est un défi organisationnel, pas technique. Établir un langage partagé, des critères de classification des risques communs et un processus de gouvernance partagé pour l'IA entre qualité, IT, data science, affaires réglementaires et opérations est plus difficile en pratique qu'il n'y paraît en planification. C'est l'une des principales raisons pour lesquelles les initiatives d'IA stagnent après la phase pilote, et c'est un domaine où le parrainage de la direction détermine directement le résultat.

Votre infrastructure de données sous-jacente repose-t-elle encore sur des processus manuels ou disjoints ?

Les modèles d'IA échouent dans les environnements GxP sans données propres et numérisées.

→ Lire : Qualité sans digitalisation : un risque que les dirigeants modernes de l’industrie pharmaceutique ne peuvent ignorer

Six questions que les dirigeants de l’industrie pharmaceutique et des biotechnologies devraient poser à leurs équipes

Le GAMP AI Guide fournit une base pratique pour évaluer l'état actuel de la gouvernance de l'IA dans votre organisation. Voici les questions qui font apparaître les lacunes les plus importantes :

1. Existe-t-il un inventaire documenté de tous les systèmes d'IA actuellement opérationnels ou en développement dans les zones de l'entreprise soumises à la réglementation GxP ? De nombreuses organisations découvrent beaucoup plus d'applications d'IA en cours que la direction ne le pensait lorsqu'elles réalisent un inventaire structuré pour la première fois.
2. L'organisation dispose-t-elle d'un processus défini et documenté pour classer l'impact GxP et le risque pour les patients d'un nouveau système d'IA avant sa mise en production ? Sans cela, les décisions de qualification des risques sont prises de manière informelle et incohérente entre les fonctions.
3. Les fournisseurs d'outils et de plateformes d'IA tiers sont-ils qualifiés formellement selon la même norme appliquée aux autres fournisseurs de systèmes informatisés GxP ? Il s'agit d'une des lacunes les plus courantes et aux conséquences les plus lourdes dans la pratique actuelle de gouvernance de l'IA.
4. Les équipes d'assurance qualité et de data science travaillent-elles avec un vocabulaire partagé et un cadre de gouvernance commun pour l'IA ? Le manque d'alignement entre ces fonctions, y compris des compréhensions différentes de ce que signifie la validation dans un contexte d'IA, est une des principales raisons pour lesquelles les programmes d'IA n'avancent pas du pilote à la production.
5. Comment les systèmes d'IA déjà déployés en production sont-ils surveillés pour détecter la dérive du modèle, la dégradation de la qualité des données ou les écarts de performance ? Si la réponse honnête est qu'une surveillance structurée n'est pas en place, il s'agit d'une lacune prioritaire avec des implications réglementaires directes.
6. Les pipelines de données alimentant les systèmes d'IA dans des environnements GxP sont-ils gérés selon les normes d'intégrité des données ALCOA+ ? Pour la majorité des organisations, la réponse exacte est actuellement « pas entièrement », et cela nécessite un plan explicite de remédiation.

Feuille de route d'implémentation pratique : comment appliquer le GAMP AI Guide par phases ?

Le GAMP AI Guide est exhaustif, et le mettre en œuvre dans son intégralité n'est pas un objectif réaliste à court terme pour la plupart des organisations. L'approche de leadership la plus efficace est de le considérer comme une feuille de route de maturité et de séquencer la mise en œuvre en phases qui développent progressivement les capacités.

1) Établir une structure de gouvernance de l'IA transversale avec un parrainage exécutif. Cette instance doit inclure l'assurance qualité, l'informatique, la data science, les affaires réglementaires et le juridique, avec des droits de décision définis, une responsabilité claire et une ligne de reporting directe vers la haute direction. Sans cette structure, tout le reste est plus difficile à maintenir.

2) Effectuer un inventaire des systèmes d'IA et appliquer une classification des risques. Documenter chaque application d'IA en fonctionnement ou en développement dans les domaines pertinents pour GxP. Classer chacune selon l'utilisation prévue, l'impact GxP et le niveau de risque pour les patients. Cet exercice identifie immédiatement où se situent les priorités de validation et quels systèmes exigent une attention urgente en matière de gouvernance.

3) Construire ou mettre à jour le cadre de qualification des fournisseurs d'IA. Examiner les processus actuels de qualification des fournisseurs au regard des recommandations du guide en matière de surveillance des fournisseurs. Identifier les endroits où une diligence renforcée est requise et intégrer des critères de qualification mis à jour dans les flux de travail d'approvisionnement et de gestion des fournisseurs.

4) Évaluer la gouvernance des données d'entraînement par rapport aux exigences ALCOA+. Réaliser un examen de l'intégrité des données des pipelines fournissant les données d'entraînement aux systèmes d'IA opérant dans des environnements GxP. Dans la plupart des organisations, cette étape révèle les plus grands écarts structurels et oriente les investissements de remédiation les plus significatifs.

5) Définir des protocoles de surveillance continue et de revalidation des systèmes d'IA. Pour chaque système d'IA déployé en GxP, établir des seuils de performance documentés, une cadence de surveillance et les conditions spécifiques qui déclenchent une escalade, un réentraînement ou une revalidation formelle. Cela doit être intégré à la conception opérationnelle de chaque système d'IA dès le déploiement initial.

6) Fournir une formation transversale ciblée sur les principes GAMP AI. Le cadre de gouvernance ne fonctionne que lorsque les personnes responsables de la qualité, de l'informatique, des affaires réglementaires et de la data science comprennent les principes du guide et peuvent les appliquer de manière collaborative. Une formation structurée pour ces fonctions, adaptée au rôle de chaque public dans la gouvernance de l'IA, constitue l'un des investissements les plus directs qu'une organisation puisse faire pour sa préparation à la conformité en matière d'IA.

Avez-vous des difficultés à recruter les experts techniques spécialisés nécessaires pour gouverner et valider ces systèmes complexes ?

L'industrie des sciences de la vie fait face à une pénurie massive de compétences transversales.

→ Lire : Pharma Talent Gap | Modèles de prévision qui le résolvent

L'argument stratégique : pourquoi une mise en œuvre conforme de l'IA est un avantage concurrentiel ?

Il existe une lecture du GAMP AI Guide qui le considère comme un fardeau de conformité, un autre ensemble d'exigences à satisfaire au moindre coût. Cette interprétation sous-estime considérablement ce qui est en jeu.

Les organisations pharmaceutiques qui construisent une capacité authentique et documentée en matière de mise en œuvre conforme de l'IA seront en position de :

1. Accélérer le passage du pilote au déploiement en production GxP parce que l'infrastructure de gouvernance pour valider, qualifier et libérer les systèmes d'IA sera déjà en place
2. Maintenir une position réglementaire défendable à mesure que la FDA, l'EMA et d'autres agences formalisent leurs attentes en matière de supervision de l'IA
3. Étendre les applications de l'IA à la plus large gamme possible de fonctions réglementées comme la qualité de fabrication, les opérations cliniques, les affaires réglementaires, la pharmacovigilance, sans être contraint par des questions de conformité non résolues
4. Attirer et retenir les talents en data science et en ingénierie IA qui souhaitent travailler dans des organisations où leurs contributions peuvent évoluer vers un déploiement de niveau réglementaire plutôt que de rester en statut pilote perpétuel

Les entreprises pharmaceutiques et biotechnologiques qui tireront la plus grande valeur à long terme de l'IA ne seront pas celles qui ont été les plus rapides dans des contextes non réglementés. Ce seront celles qui auront construit l'infrastructure de gouvernance assez tôt pour déployer l'IA à grande échelle au sein d'environnements GxP, en générant une valeur clinique, opérationnelle et commerciale avec la pleine confiance réglementaire derrière elles.

Le ISPE GAMP® Guide: Artificial Intelligence est la feuille de route la plus autoritaire et la plus complète de l'industrie pour faire exactement cela. Pour les dirigeants pharmaceutiques et biotechnologiques, la décision n'est pas de savoir s'il faut s'engager — c'est de savoir à quelle vitesse.

FAQ

1. Qu'est-ce que le ISPE GAMP® AI Guide et pourquoi a-t-il été créé ?

Le guide ISPE GAMP® AI est un cadre de 290 pages conçu pour aider les entreprises pharmaceutiques et biotechnologiques à mettre en œuvre l’intelligence artificielle dans des environnements réglementés GxP sans compromettre la sécurité, l’intégrité des données ou la qualité. Il a été créé pour combler une lacune critique là où les approches traditionnelles de validation ne pouvaient pas traiter le comportement adaptatif, opaque et dépendant des données de l’IA. Il garantit que les organisations disposent d’une feuille de route claire, conforme et alignée sur l’industrie pour déployer l’IA de manière responsable.

2. Comment le guide GAMP® AI aide-t-il les entreprises pharmaceutiques et biotechnologiques à utiliser l’IA de manière conforme ?

Le guide fournit des orientations structurées basées sur le cycle de vie couvrant la gouvernance des données, l’entraînement des modèles, la validation, le déploiement des systèmes, la surveillance des performances et le contrôle des changements. Il s’aligne sur des réglementations mondiales telles que le EU AI Act, les lignes directrices provisoires de la FDA et la norme ISO/IEC 42001 pour aider les organisations à anticiper les attentes réglementaires. En le suivant, les entreprises peuvent déployer l’IA à grande échelle en toute confiance au lieu de laisser des pilotes bloqués en phase d’expérimentation.

3. Pourquoi la gouvernance de l’IA doit-elle être une priorité de la direction plutôt que la seule responsabilité de l’informatique ?

Les systèmes d’IA utilisés en production, en assurance qualité, dans les opérations cliniques ou pour les soumissions réglementaires peuvent avoir un impact direct sur l’intégrité du produit, la sécurité des patients et la conformité, faisant de la gouvernance une responsabilité critique pour l’entreprise. Le guide souligne que le risque lié à l’IA n’est pas un problème informatique mais organisationnel, nécessitant une supervision stratégique, des ressources et une responsabilisation de la part de la direction générale. Une forte implication de la direction garantit que les investissements en IA aboutissent effectivement à des déploiements conformes au lieu de rester fragmentés ou non gouvernés.