Computer System Validation: due nuovi standard, una finestra di 12 settimane

Il revisionato Annex 11 è in consultazione finale. Annex 22 gli sta accanto in bozza: la prima linea guida autonoma dell'UE sull'AI nella produzione GMP. Leggendo entrambi in parallelo, il messaggio è lo stesso. L'asticella per fidarsi di un sistema computerizzato - e ora anche di uno basato sull'AI - si alza.

La maggior parte dei siti non è preparata per nessuno dei due.

Un caso mi torna sempre in mente. Un produttore di medie dimensioni ha concluso un'ispezione FDA con rischio di Warning Letter: audit trail disattivati su tre sistemi di laboratorio, modifiche a LIMS e MES implementate senza Impact Assessment, nessun inventario GxP che meritasse questo nome. Il tipo di rilievo che conclude carriere.

Dodici settimane. Questa era la finestra per la remediation. Classificazione GAMP 5 completa, validazione retrospettiva e prospettica su LIMS, CDS, MES e QMS, audit trail attivati e verificati, Change Control che controlla davvero. La reispezione si è conclusa con zero rilievi sull'integrità dei dati.

Non fortuna. Un programma risk-based, implementato da persone che lo avevano già fatto in precedenza.

Cosa cambia Annex 22

Annex 22 ridisegna cosa significa "validato" per l'AI. La bozza è rigorosa con i modelli adattativi che continuano ad apprendere in ambienti di produzione in cui le decisioni sono GxP-critiche. Un modello che modifica il suo comportamento attraverso un addestramento continuato dopo il go-live non è più lo stesso sistema che è stato validato al rilascio. Change Control, monitoraggio delle performance e data governance per i set di dati di addestramento diventano parte dello stato validato, non elementi da aggiungere successivamente.

I siti che già trattano l'integrità dei dati come design e non come burocrazia assorbiranno questo cambiamento senza interruzioni. La logica è la stessa: dimostrare che il sistema fa ciò che deve fare, documentare ciò che fa nel tempo e controllare ciò che cambia. Annex 22 applica questo requisito a sistemi in cui la risposta può cambiare senza un rilascio di codice.

Cosa significa nella pratica

Il parallelismo tra i due standard non è casuale. Entrambi sono risposte alla stessa osservazione: le autorità di vigilanza hanno intensificato l'esame dei sistemi computerizzati, e le pratiche di documentazione che reggevano un decennio fa oggi non tengono più.

Per la maggior parte dei siti, la domanda sulla preparazione non è "Siamo pronti per Annex 22?", ma "Abbiamo un programma di validazione che supererebbe un'ispezione mirata dei nostri sistemi GxP esistenti?" Se la risposta è incerta, il prossimo ciclo ispettivo la chiarirà.