EU GMP Annex 22: Was der KI-Anhang für 2026 bedeutet

Wer im September 2026 einen LLM-Piloten auf Batch Records, Prüfzertifikaten oder Abweichungsberichten laufen hat, bekommt von der Quality-Leitung dieselbe Frage gestellt: Lässt sich das jemals validieren? Der Entwurf des Annex 22 gibt darauf eine klare Antwort, nur ist sie nicht endgültig. Und die US-Behörde hat inzwischen gezeigt, dass Inspektoren nicht auf einen finalen europäischen Text warten.

Ist Annex 22 schon in Kraft?

Nein. Annex 22 ist am 5. September 2026 ein Konsultationsentwurf, kein geltendes Recht. Die Europäische Kommission hat ihn am 7. Juli 2025 gemeinsam mit den überarbeiteten Fassungen von Kapitel 4 und Annex 11 zur Stakeholder-Konsultation gestellt, erarbeitet von der GMDP-Inspektoren-Arbeitsgruppe der EMA in Zusammenarbeit mit PIC/S. Die Kommentierungsfrist endete am 7. Oktober 2025.

Seitdem ist der Status unverändert: Der Anhang taucht auf der EudraLex-Seite der Kommission nicht auf, PIC/S listet ihn unter den Entwürfen, und der Dreijahres-Arbeitsplan der EMA-Inspektorengruppe für 2026 bis 2028 setzt als Ziel das vierte Quartal 2026, um der Kommission einen finalen Text zu liefern, parallel zu Annex 11 und Kapitel 4. Ein Datum für das Inkrafttreten existiert nicht. Schätzungen aus Beratungshäusern reichen von sechs Monaten Übergangsfrist bis "vermutlich erst 2027", belegt ist keine davon.

1. 7. Juli 2025

   Entwurf veröffentlicht

   Annex 22, revidierter Annex 11 und revidiertes Kapitel 4 gehen gemeinsam in die Konsultation.
2. 7. Oktober 2025

   Konsultation geschlossen

   Nach Angaben aus Fachkreisen rund 1.300 Kommentare zu Annex 22; eine offizielle Zahl hat die EMA nicht veröffentlicht.
3. 14. Januar 2026

   FDA und EMA: Guiding principles of good AI practice

   Zehn gemeinsame Prinzipien, risikobasiert, mit Context of Use und Lifecycle-Management.
4. 2. April 2026

   FDA Warning Letter Purolea

   Erster Warning Letter mit eigenem Abschnitt zum unangemessenen Einsatz von KI.
5. 30. Juni und 1. Juli 2026

   EMA-Workshop zu Annex 22

   Zwei Tage zu Guardrails, menschlicher Aufsicht und probabilistischen Modellen. Bericht angekündigt, noch nicht veröffentlicht.
6. 4. Quartal 2026

   Ziel: finaler Text an die Kommission

   Laut EMA-Arbeitsplan 2026 bis 2028. Veröffentlichung und PIC/S-Übernahme sind separate spätere Schritte.

Was der Entwurf tatsächlich sagt

Der Entwurf gilt für alle computergestützten Systeme in der Herstellung von Arzneimitteln und Wirkstoffen, in denen KI-Modelle in kritischen Anwendungen eingesetzt werden, also mit direktem Einfluss auf Patientensicherheit, Produktqualität oder Datenintegrität. Er versteht sich als Ergänzung zu Annex 11, nicht als Ersatz. Erfasst sind Modelle, die ihre Funktion durch Training mit Daten erhalten haben, nicht durch explizite Programmierung.

Die entscheidende Eingrenzung steht in Abschnitt 1, Zeilen 12 bis 21. Der Entwurf gilt nur für statische Modelle, die sich im Betrieb nicht durch neue Daten verändern, und nur für Modelle mit deterministischem Output, die bei identischer Eingabe identische Ausgaben liefern. Dynamische Modelle und Modelle mit probabilistischem Output werden nicht abgedeckt und sollen in kritischen GMP-Anwendungen nicht eingesetzt werden. Daraus folgt der Satz, um den sich die gesamte Debatte dreht:

Für nicht-kritische Anwendungen macht der Entwurf eine Öffnung: Dort dürfen solche Modelle eingesetzt werden, wenn qualifiziertes Personal dauerhaft dafür verantwortlich ist, dass der Output für den vorgesehenen Zweck geeignet ist. Das ist die Human-in-the-Loop-Klausel. Sie ist die Rechtsgrundlage für praktisch jeden LLM-Piloten, der heute in einem GMP-Umfeld läuft.

Für Modelle im Anwendungsbereich verlangt der Entwurf einen vollständigen Nachweisstapel. Die zehn Abschnitte lesen sich wie ein Validierungsplan:

1. 01

   Intended Use beschreiben

   Aufgabe, Prozesseinbindung und der komplette Eingaberaum inklusive seltener Varianten, aufgeteilt in Untergruppen wie Standort, Gerät oder Fehlerart. Ein Prozess-SME verantwortet und genehmigt die Beschreibung vor dem Akzeptanztest.
2. 02

   Akzeptanzkriterien festlegen

   Testmetriken wie Konfusionsmatrix, Sensitivität, Spezifität, Genauigkeit, Präzision oder F1-Score, je Untergruppe. Die Kriterien müssen mindestens so hoch liegen wie die Leistung des Prozesses, den das Modell ersetzt. Dafür muss diese Leistung bekannt sein.
3. 03

   Testdaten aufbauen

   Repräsentativ für den gesamten Eingaberaum, stratifiziert, statistisch ausreichend groß, Labels mit sehr hoher Korrektheit verifiziert. Testdaten per generativer KI zu erzeugen ist ausdrücklich nicht empfohlen.
4. 04

   Unabhängigkeit der Testdaten sichern

   Wer entwickelt oder trainiert, darf die Testdaten nie gesehen haben. Zugriffskontrolle, Audit Trail, keine Kopien außerhalb des Repositories, Vier-Augen-Prinzip bei Personalwechsel.
5. 05

   Test ausführen und dokumentieren

   Testplan mit Intended Use, Metriken, Kriterien, Datenreferenz und Skript. Jede Abweichung, jedes verfehlte Kriterium, jeder nicht genutzte Testdatensatz wird untersucht und begründet.
6. 06

   Erklärbarkeit und Konfidenz aufzeichnen

   Welche Merkmale eine Entscheidung getragen haben, etwa über SHAP, LIME oder Heatmaps, wird beim Test erfasst und bei der Freigabe geprüft. Konfidenzwerte werden je Vorhersage geloggt; bei sehr niedriger Konfidenz soll das Modell eher 'unentschieden' melden.
7. 07

   Im Betrieb kontrollieren

   Modell, System und der gesamte Prozess kommen vor dem Einsatz unter Change Control, auch physische Eingabeobjekte wie Beleuchtung oder Kamera. Leistung und Input-Drift werden mit definierten Metriken überwacht; bei Human-in-the-Loop werden Records der menschlichen Prüfung geführt.

Zwei Details lohnen den zweiten Blick. Erstens verweist Abschnitt 4.3 für die Anforderung "keine Verschlechterung gegenüber dem ersetzten Prozess" auf Annex 11 Ziffer 2.7. Im parallel konsultierten Annex-11-Entwurf ist 2.7 aber "Security", die passende Klausel ist 2.8 "No risk increase". Der finale Text wird hier neu nummeriert werden müssen. Zweitens erwähnt der Annex-11-Entwurf Annex 22 und KI an keiner Stelle; nur der Kapitel-4-Entwurf verweist in den Ziffern 4.23 bis 4.25 auf ihn und legt fest, dass die Verantwortung für die Integrität KI-erzeugter Dokumente und Daten beim regulierten Anwender liegt.

Warum das Verbot generativer KI wackelt

Die EMA selbst hat den Satz zur Disposition gestellt. Auf der Seite zum Workshop vom 30. Juni und 1. Juli 2026 schreibt sie, die Konsultation von 2025 habe Unterstützung dafür erkennen lassen, Technologien wie generative KI oder LLMs in der Arzneimittelherstellung möglicherweise zu ermöglichen. Die Agentur prüfe die Ergebnisse noch und suche Expertenrat zu möglichen Kontroll- und Minderungsmaßnahmen wie Guardrails. Die sechs Workshop-Themen fragen wörtlich, wie adaptive und probabilistische Modelle in Annex 22 untergebracht werden könnten, wie zuverlässig Guardrails Halluzinationen und erfundene Daten verhindern, welche menschliche Aufsicht dann noch nötig ist und ob es Klassen kritischer Entscheidungen gibt, für die keine Kombination aus Guardrails und Aufsicht ausreicht.

Brendan Cuddy, Vorsitzender der EMA-Inspektorengruppe, hat die Aufgabe der Drafting Group im Mai 2026 so beschrieben: zu entscheiden, ob der Text sich von der Frage "deterministisch oder probabilistisch" hin zur Betrachtung der Auswirkung auf Produktqualität und Patientensicherheit bewegen kann. Die Industrie hatte in der Konsultation genau das gefordert. ISPE empfiehlt, fortgeschrittene Modelle einschließlich generativer KI und LLMs in kritischen Anwendungen zuzulassen, wenn das wissenschaftlich und über Quality Risk Management begründet ist, und kritisiert die binäre Einteilung in kritisch und nicht-kritisch als Vereinfachung, die ICH Q9 widerspricht. Die German QP Association hält die Einschränkung für zu strikt und schlägt vor, KI-Entwürfe für Abweichungen, CAPAs und Changes risikobasiert zuzulassen, solange Bewertung und Schlussfolgerung bei einer verantwortlichen Person liegen.

Was daraus wird, ist offen. Die EMA hat sich nicht festgelegt, ein Bericht zum Workshop ist angekündigt, aber nicht veröffentlicht. Es gibt auch Gegenstimmen: Ein Beitrag in ISPE Pharmaceutical Engineering vom Frühjahr 2026 hält generative KI und LLMs für die aktive Verarbeitung kritischer GMP-Entscheidungen weiterhin für ungeeignet. Wer auf einen bestimmten Ausgang wettet, wettet.

Der US-Präzedenzfall: FDA Warning Letter an Purolea

Während Europa noch über den Text diskutiert, hat die FDA die Kontrolllogik bereits durchgesetzt. Der Warning Letter an Purolea Cosmetics Lab vom 2. April 2026, nach einer Inspektion im Oktober 2025, enthält den ersten eigenen Beanstandungsabschnitt zum unangemessenen Einsatz von künstlicher Intelligenz in der US-CGMP-Praxis. Das Unternehmen hatte gegenüber den Inspektoren erklärt, KI-Agenten genutzt zu haben, um Spezifikationen, Verfahren und Master Production and Control Records zu erstellen. Der Fall wird unter 21 CFR 211.22(c) geführt, der Vorschrift, nach der die Quality Unit alle Verfahren und Spezifikationen mit Einfluss auf Identität, Stärke, Qualität und Reinheit genehmigen oder ablehnen muss.

Die Inspektoren dokumentierten außerdem, dass keine Prozessvalidierung vor dem Vertrieb stattgefunden hatte, wie 21 CFR 211.100 sie verlangt. Die Antwort des Unternehmens: Man habe die Anforderung nicht gekannt, weil der KI-Agent sie nie genannt habe. Dieser Satz ist der Kern des Falls. Nicht die Nutzung von KI war der Verstoß, sondern die fehlende qualifizierte Prüfung ihres Outputs und das Vertrauen darauf, dass das Werkzeug die Regulatorik vollständig kennt.

Der Fall betrifft ein kleines Unternehmen mit homöopathischen OTC-Produkten, nicht Big Pharma. Übertragbar ist er trotzdem, weil die Rechtsgrundlage keine KI-Vorschrift ist, sondern die seit Jahrzehnten geltende Verantwortung der Quality Unit. Auch die Erwartung, die die FDA formuliert, deckt sich mit der Human-in-the-Loop-Logik des europäischen Entwurfs: Ein autorisierter Mensch prüft und gibt frei, dokumentiert, jedes Mal.

Welche Dokumentenaufgaben validierbar sind

Die praktische Frage lautet nicht, ob KI erlaubt ist, sondern welche Aufgabe an ein dediziertes, statisches Modell geht und wo ein LLM nur in nicht-kritischer Rolle assistieren darf. Die folgende Einordnung ist eine redaktionelle Lesart des Entwurfs; der Text selbst nennt als kritische Beispiele nur das Vorhersagen oder Klassifizieren von Daten und die Produktklassifikation in "accept" und "reject".

Quer durch alle Zeilen gilt: Egal wer das Modell liefert, die Nachweise gehören dem regulierten Anwender. Der Entwurf verlangt die Dokumentation unabhängig davon, ob ein Modell intern oder von einem Lieferanten trainiert wurde, der Annex-11-Entwurf hält den Anwender bei ausgelagerten Tätigkeiten voll verantwortlich, und der Kapitel-4-Entwurf legt die Verantwortung für KI-erzeugte Daten ausdrücklich beim Anwender ab. Ein Modell-Update beim Cloud-Anbieter ist damit ein Change-Control-Ereignis, das man sehen können muss.

Die Entscheidungsregel, die unter beiden Ausgängen hält

Ob die EMA den Ausschluss generativer Modelle beibehält oder durch risikobasierte Guardrails ersetzt, ändert an vier Dingen nichts. Darauf lässt sich heute planen.

Daraus ergibt sich eine Reihenfolge, die nicht auf den finalen Text wartet:

1. 01

   KI-Einsätze nach GMP-Kritikalität inventarisieren

   Jede Anwendung mit der Scope-Formel des Entwurfs einordnen: direkter Einfluss auf Patientensicherheit, Produktqualität oder Datenintegrität, ja oder nein. Schatten-KI in Fachabteilungen gehört mit auf die Liste.
2. 02

   Generative Werkzeuge hinter dokumentierte Human-in-the-Loop-Verfahren stellen

   Wer prüft, nach welchem Verfahren, mit welchem Record. Die Prüfperson ist qualifiziert und ihre Leistung wird wie jeder manuelle Prozess überwacht. Purolea ist die Vorlage dafür, wie es nicht geht.
3. 03

   Für statische Modelle den Annex-22-Stapel aufbauen

   Intended Use, Untergruppen, Metriken, Baseline, unabhängige Testdaten, Erklärbarkeit, Konfidenz, Change Control, Drift. Das ist ohnehin, was ein Inspektor unter Annex 11 und Kapitel 4 schon heute verlangen kann.
4. 04

   Lieferanten auf Sichtbarkeit verpflichten

   Modellversion, Änderungsankündigungen, Auditfähigkeit, keine stillen Updates. Das Workshop-Thema 6 der EMA zielt genau darauf.
5. 05

   Die Baseline messen

   Fehlerraten der heutigen manuellen Prüfung erheben, bevor ein Modell abgenommen wird. Ohne Baseline lässt sich Klausel 4.3 nicht erfüllen, und fast niemand hat sie.

Was der Entwurf nicht regelt

Vier Lücken sollte man kennen, bevor man interne Vorgaben daran ausrichtet. Erstens definiert der Entwurf "kritische Anwendung" nicht im Glossar; die Scope-Formel ist die einzige Beschreibung, und ISPE hat eine Definition ausdrücklich gefordert. Zweitens kommt das Wort "Agent" im gesamten Text nicht vor, obwohl gerade agentische Systeme die Purolea-Beanstandung ausgelöst haben. Drittens übernimmt der Entwurf die Definition des "AI system" wörtlich aus dem AI Act, ohne dessen Risikoklassen zu referenzieren. Arzneimittel sind keine Produktkategorie in Anhang I des AI Act; ein KI-Werkzeug in der Arzneimittelherstellung ist deshalb in der Regel nicht hochriskant im Sinne des AI Act, aber voll im Scope von Annex 11 und dem Annex-22-Entwurf. Für KI in einem Medizinprodukt gilt das Gegenteil: Anhang I, Hochrisiko-Pflichten ab dem 2. August 2028 nach dem AI Omnibus vom Juli 2026. Viertens fehlen Metriken für Regressionsmodelle und für textbasierte Systeme; die Beispiele des Entwurfs sind Klassifikationsmetriken.

Dazu kommt ein Vokabelproblem. Annex 22 spricht von "intended use", die FDA und die gemeinsamen FDA-EMA-Prinzipien von "context of use" und "credibility". Und "Validierung" meint in Annex 11 die Computersystemvalidierung, im Data-Science-Sinn des Annex-22-Entwurfs aber den Validierungsdatensatz. Wer beide Welten in einem Dokument zusammenführt, sollte die Begriffe im ersten Absatz festlegen.

Was bis Ende 2026 zu erwarten ist

Der EMA-Arbeitsplan nennt für Annex 22, Annex 11 und Kapitel 4 dasselbe Ziel: einen finalen Text im vierten Quartal 2026 an die Kommission. Danach folgen Veröffentlichung durch die Kommission und die Übernahme durch PIC/S als eigene Schritte, mit einer Übergangsfrist, die noch niemand kennt. Wahrscheinlich ist, dass die drei Dokumente gemeinsam kommen, weil sie sich gegenseitig referenzieren und die Querverweise ohnehin bereinigt werden müssen.

Der Workshop-Bericht der EMA ist das nächste Signal. Er wird zeigen, ob die Drafting Group den Schritt von der Modellklasse zur Auswirkung geht. Für die Praxis ändert das die Reihenfolge oben nicht. Es ändert nur, ob ein sauber kontrolliertes probabilistisches Modell irgendwann auch in einer kritischen Rolle stehen darf, oder ob es bei der Assistenz bleibt. Der Nachweisstapel ist in beiden Fällen derselbe.