L'allegato 22 non è ancora legge. In cosa investire ora

Introduzione

Ogni ciclo di pianificazione del capitale ha una sua versione di questo momento. Un VP della Qualità propone il budget per l'infrastruttura di convalida dei modelli AI. Qualcuno in Finanza chiede se la norma sia già definitiva. La stanza annuisce, e la voce di spesa viene rimandata all'anno successivo.

Questo istinto è comprensibile. È anche costoso, perché Allegato 22, il nuovo allegato GMP dell'UE sull'intelligenza artificiale, non aspetterà il ciclo di bilancio di nessuno quando verrà pubblicato.

Questo pezzo verifica esattamente a che punto si trova l'Allegato 22 alla data di pubblicazione, poi espone cosa i siti proiettati verso il futuro dovrebbero finanziare ora indipendentemente dalla data esatta in cui diventerà vincolante.

Conferma dello stato in EudraLex alla data di pubblicazione

Alla data odierna, l'Allegato 22 è una bozza di consultazione. Non è adottato, non è in vigore e non fa ancora parte di EudraLex Volume 4.

La verifica diretta della pagina di EudraLex Volume 4 della Commissione europea conferma questo. La tabella degli allegati pubblicata elenca attualmente l'Allegato 11 (Sistemi computerizzati) alla sua revisione di gennaio 2011, senza alcuna voce per l'Allegato 22 nella lista. Anche il Capitolo 4 (Documentazione) è ancora mostrato nella sua versione originale di gennaio 2011. Il pacchetto di bozza rilasciato per la consultazione a metà 2025 non ha sostituito nessuno dei due documenti sul sito ufficiale della Commissione.

La consultazione stessa si è svolta dal 7 luglio 2025 al 7 ottobre 2025 ed è stata emessa congiuntamente dal Gruppo di lavoro degli ispettori GMDP dell'Agenzia europea per i medicinali e dallo Pharmaceutical Inspection Co-operation Scheme. Ha raccolto circa 1.300 commenti da stakeholder, che il gruppo di lavoro ha passato i mesi successivi a esaminare.

La distinzione tra un obiettivo e una data confermata conta qui. Il Gruppo di lavoro ispettori dell'EMA ha fissato il Q4 2026 come il momento in cui spera di consegnare il testo finale alla Commissione. Non è stata pubblicata alcuna data di adozione, data di entrata in vigore o data di applicazione oltre a quella.

L'Appendice 22 non esiste nel vuoto — vedi come si inserisce nella struttura completa del Volume 4 di EudraLex e cosa trattano realmente tutti gli altri allegati GMP.

→ Leggi: EU GMP EudraLex Volume 4 spiegato per i produttori farmaceutici

Perché "non legge" non significa "non urgente"

Ecco la parte che si perde nella conversazione del "aspetta e vedi". Mentre Allegato 22 di per sé non è vincolante, esiste già un obbligo correlato e realmente applicabile.

Alcuni doveri di trasparenza previsti dall'EU AI Act entrano in vigore il 2 agosto 2026, e gli obblighi di alfabetizzazione sull'IA per le organizzazioni che dispongono sistemi di IA sono già in vigore. Questi sono totalmente al di fuori delle linee guida GMP. Si tratta di norme orizzontali dell'UE che si applicano ai produttori farmaceutici che utilizzano l'IA, indipendentemente dal fatto che l'Appendice 22 venga mai finalizzata nella sua forma attuale.

Quindi l'inquadramento onesto per la leadership è questo: l'allegato specifico per le GMP è ancora in fase di definizione, ma la base giuridica generale sotto di esso è già stata gettata.

Cosa segnala davvero il progetto, anche se incompleto

Anche in forma di bozza, l'Appendice 22 è stata coerente sulla sua distinzione centrale da luglio 2025. Modelli statici, deterministici, quelli i cui parametri sono fissi e non si adattano durante l'uso, sono consentiti nelle applicazioni critiche per le GMP, soggetti a validazione. IA generativa e grandi modelli linguistici sono esclusi dall'uso critico nella bozza attuale e confinati a funzioni non critiche con supervisione umana documentata.

La revisione compagna dell'Appendice 11, che viaggia insieme all'Appendice 22 nello stesso pacchetto di consultazione, non è neppure una modifica minore. Passa da 5 pagine a 19, organizzata in 17 capitoli che coprono aree come audit trail, supervisione dei fornitori e cybersicurezza, con la cybersicurezza ora per la prima volta un requisito formale delle GMP.

Questa portata di cambiamento è di per sé un segnale. I regolatori non riscrivono un allegato centrale da cinque a diciannove pagine per una regola che intendono attenuare prima della pubblicazione.

Cosa finanziare comunque: sette investimenti che conservano valore

Nessuno di questi richiede un testo legale definitivo. Ognuno è utile con la bozza attuale, con una bozza rivista e anche se l'ambito dell'Appendice 22 dovesse cambiare prima dell'adozione.

1. Un inventario dei modelli, con un unico responsabile nominato

La maggior parte dei siti al momento non è in grado di produrre un elenco completo di tutti i sistemi AI o ML che toccano un processo critico per le GMP. Questo include modelli integrati da fornitori all'interno di strumenti, plugin LIMS e strumenti di manutenzione predittiva che nessuno ha classificato come "AI" al momento dell'acquisto.

Finanzia ora un esercizio strutturato di inventario: nome del sistema, fornitore, uso previsto, classificazione della criticità e un unico responsabile per voce. Sono poche settimane di lavoro cross-funzionale, non un progetto di capitale, ed è la base su cui dipende tutto il resto nell'Appendice 22.

2. Classificazione statico-versus-dinamico per ogni modello in quell'inventario

L'intera logica del rischio nella bozza dipende da una distinzione. Modelli statici, deterministici, quelli con parametri fissi che non cambiano durante l'uso, sono considerati idonei per applicazioni critiche, soggetti a validazione. Modelli dinamici, generativi o adattativi sono confinati a funzioni non critiche con supervisione umana.

Classificare ora ogni sistema rispetto a quella divisione significa che l'inventario è già utilizzabile il giorno in cui arriva il testo finale. Aspettare vuol dire fare questo lavoro sotto scadenza anziché secondo il proprio calendario.

3. Protocolli di supervisione umana con un nome specifico, non un dipartimento

I regolatori hanno chiarito che "QA ha la supervisione" non è una risposta che accetteranno. Un ispettore vuole sapere chi esattamente revisiona un output dell'IA prima che venga inserito in una decisione regolamentata e quale autorità ha quella persona per rifiutarlo.

Finanzia ora il lavoro di documentazione: un protocollo breve per ogni punto critico di contatto con l'IA, che nomini il revisore, il trigger della revisione e il percorso di escalation. È poco costoso da implementare e costoso trovarsi senza di esso.

4. Validazione e monitoraggio del drift, non una qualificazione unica

Un modello validato una sola volta all'installazione e mai più ricontrollato è una passività in qualsiasi quadro IA critico per le GMP, in bozza o finale. Il drift delle prestazioni è il rischio tecnico centrale che l'Appendice 22 è pensata per intercettare.

Questo è l'investimento che richiede effettivamente denaro: infrastruttura di monitoraggio, soglie di prestazione definite e un trigger di re-validazione collegato a quelle soglie. I siti che eseguono qualsiasi test di rilascio assistito dall'IA, revisione del registro di lotto o triage delle deviazioni dovrebbero dare priorità a questo rispetto agli elementi di documentazione meno costosi sopra elencati.

5. Formazione di alfabetizzazione sull'IA collegata agli obblighi già in vigore

Questo non è speculativo. Gli obblighi di alfabetizzazione previsti dall'EU AI Act si applicano già, indipendentemente dalla tempistica dell'Appendice 22. Finanzia ora un programma di formazione di base per tutto il personale che interagisce con o si affida agli output dei sistemi IA in un contesto regolamentato.

Questo è l'elemento a costo più basso e a certezza più alta in questa lista, poiché affronta un obbligo legale che esiste oggi piuttosto che uno ancora in bozza.

6. Controllo delle modifiche esteso per coprire aggiornamenti del modello e retraining

La maggior parte delle procedure di change control esistenti sono state scritte per apparecchiature e software, non per modelli che vengono riaddestrati o aggiornati da un fornitore senza un ciclo di rilascio formale. Finanziare un aggiornamento delle SOP di change control che catturi esplicitamente le modifiche di versione del modello AI, gli eventi di riaddestramento e gli aggiornamenti inviati dal fornitore come eventi soggetti a change control.

7. Pacchetti di evidenza del fornitore sufficienti per superare un audit

Se un processo critico o quasi critico dipende da uno strumento AI di terze parti, la validazione e la documentazione di change control del fornitore diventano parte della vostra traccia di audit. Molti fornitori attualmente non sono organizzati per fornire ciò in un formato pronto per l'ispezione.

Finanziare ora il lavoro contrattuale e documentale, prima che un ciclo di rinnovo costringa la conversazione sotto pressione di tempo. Questa negoziazione va meglio prima di un'ispezione che durante una.

L'Annex 22 non è l'unico framework di governance AI che merita finanziamento. La ISPE's 290-page GAMP AI Guide offre una roadmap parallela per il deployment di AI conforme a GxP.

→ Leggi: Guida ISPE GAMP sull'IA per il pharma: governance della leadership

Conclusione

Allegato 22 non è legge, e fingere il contrario sarebbe una sua propria forma di inesattezza. Ma l'aspettativa sottostante che l'AI che influisce su una decisione regolata richieda un proprietario nominato, un modello validato e una traccia documentata di supervisione non cambierà, anche se singole clausole lo faranno.

I siti che finanziano l'infrastruttura ora non stanno scommettendo che una bozza specifica sopravviverà intatta. Stanno scommettendo sulla direzione del cambiamento, verso cui ogni segnale disponibile, dal volume di consultazioni alla portata della riscrittura complementare di Annex 11, punta nella stessa direzione.

FAQ

Annex 22 è legalmente vincolante in questo momento? 

No. Rimane una bozza di consultazione. La pagina EudraLex Volume 4 della Commissione Europea non la elenca, e l'attuale Annex 11 e il Capitolo 4 rimangono alle loro versioni pre-bozza.

Quando diventerà legge Annex 22?

Non c'è una data confermata. L'Inspectors Working Group dell'EMA ha fissato il Q4 2026 come obiettivo interno per consegnare il testo finale alla Commissione Europea, ma quello è un obiettivo di piano di lavoro, non una data di adozione o di entrata in vigore.

Significa che le aziende farmaceutiche non hanno ancora obblighi legali relativi all’IA?

No. A parte l’Allegato 22, alcuni doveri di trasparenza previsti dall’AI Act dell’UE si applicano a partire dal 2 agosto 2026, e gli obblighi di alfabetizzazione sull’IA sono già in vigore. Questi obblighi esistono indipendentemente dal calendario dell’allegato GMP.

Le IA generative e le LLM saranno consentite nei processi critici GMP?

Non secondo l’attuale bozza. Così come è scritto, l’Allegato 22 limita le IA generative e i grandi modelli linguistici a funzioni non critiche con supervisione umana documentata, mentre i modelli statici e deterministici sono ammessi nelle applicazioni critiche soggette a validazione.

Qual è l’errore più grande che i siti stanno commettendo in questo momento?

Considerare “non ancora adottato” come “non vale la pena finanziare ancora”. L’inventario dei modelli, i protocolli di oversight e i processi di validazione descritti sopra richiedono mesi per essere costruiti correttamente e non diventano meno necessari se il testo finale si discosta leggermente dalla bozza.