Annex 11 og Chapter 4 revideres, og Annex 22 om AI er ny. Europa-Kommissionen og PIC/S holdt de tre tekster i fælles høring fra 7. juli til 7. oktober 2025, men de er ikke vedtaget endnu: EudraLex bind 4 viser fortsat Annex 11 og Chapter 4 i januar 2011-versionen, og der er hverken offentliggjort en endelig tekst eller en ikrafttrædelsesdato.

Status pr. 6. oktober 2026: udkast, ikke vedtaget, ingen offentliggjort ikrafttrædelsesdato.

Udkastene rammer det, I allerede ejer. Annex 11 kræver, at systemkrav holdes ajour gennem hele systemets levetid, og at leverandører og eksterne service providers holdes under løbende oversight. Chapter 4 gør risikostyring og data governance til gennemgående krav for al dokumentation, også video og lyd. Annex 22 sætter for første gang GMP-krav på at udvælge, træne, validere og overvåge AI-modeller i produktionen. Det er samme bevægelse, som GAMP 5 2. udgave og EU AI Act allerede har sat i gang, så det meste af arbejdet er nødvendigt, uanset hvornår teksterne lander.

Tre GMP-dokumenter side om side: revideret Chapter 4, revideret Annex 11 og ny Annex 22 om AI
Chapter 4, Annex 11 og Annex 22 revideres samlet og hænger sammen i praksis

Hvad er på vej: Annex 11, Chapter 4 og Annex 22

Europa-Kommissionen og PIC/S kørte en fælles høring over tre sammenhængende dokumenter, der er tænkt som ét rammeværk for IT og AI i farmaceutisk produktion. Chapter 4 og Annex 11 revideres, Annex 22 er ny. Udkastene er skrevet af EMA’s GMDP Inspectors Working Group i samarbejde med PIC/S, og høringen er lukket. Hverken Kommissionen eller PIC/S har offentliggjort en tidsplan for de endelige tekster, så ingen ved i dag, hvornår de træder i kraft.

De tre dokumenter skal læses sammen. Ændrer I dokumenthåndtering, ændrer I samtidig dataintegritet, audit trail og systemkrav. Det er præcis den kobling, inspektøren leder efter.

To forhold om rækkevidden bør I kende, før I planlægger:

  • EU og PIC/S udgiver hver især. EudraLex bind 4 gælder i EU, mens myndigheder uden for EEA bygger på PIC/S GMP Guide. De to holdes harmoniserede, men offentliggøres ikke altid samtidig, og sælger I til markeder uden for EEA, kan de nye krav nå jer der først. PIC/S holder selv takten: PIC/S GMP Guide PE 009-18 trådte i kraft 24. september 2026, og PIC/S PI 006-4 om qualification and validation afløste PI 006-3 pr. 1. oktober 2026.
  • Har I amerikansk eksponering, kommer kravene oveni de eksisterende. Elektroniske signaturer og audit trail er allerede reguleret af 21 CFR Part 11, og en revideret Annex 11 fjerner ikke Part 11. I skal kunne vise begge regelsæt.

Hvad ændrer udkastet til Annex 11?

Udkastet gør quality risk management (QRM) til et gennemgående princip for hele systemets livscyklus, ikke kun ved den indledende risikovurdering. Det er det bærende skift, og fire områder strammes på den baggrund:

  • Kravene til systemet skal defineres og vedligeholdes gennem hele dets levetid. De må ikke bare stå i URS ved go-live.
  • Leverandører og eksterne service providers kræver løbende oversight. En vendor qualification ved købet er ikke nok.
  • Kravene til dataintegritet, audit trails og elektroniske signaturer skærpes, og audit trail forventes at dække hele kæden.
  • System security strammes. 2011-versionen har allerede et Security-afsnit, men udkastet udvider det markant.

Udkastet er 19 sider, hvor 2011-versionen er 5. Væksten ligger dels i mere detaljerede krav, dels i nye afsnit om handling of data, identity and access management og backup. Regn med mere dokumentation, ikke mindre. Metoden er stadig den risikobaserede fra CSV-validering efter GAMP 5, blot med tydeligere krav til leverandøren og driften. Rækkefølgen fra VP til VRA gennemgår vi i CSV-validering i praksis.

Computeriseret GxP-system i drift: serverrack med blå indikatorlys i et mørkt rum
Systemkrav, leverandør-oversight og dataintegritet skal holdes levende gennem hele levetiden

Hvad ændrer udkastet til Chapter 4?

Chapter 4 (Documentation) er den tekst, der binder dokumentation og systemer sammen. Udkastet gør risikostyring og data governance til gennemgående krav for al dokumentation, uanset medium, og nævner udtrykkeligt fotografi, billeder samt video- og lydoptagelser som dokumentationsformer. Kontrollerne skal sikre nøjagtighed, integritet, tilgængelighed og læsbarhed, og data governance skal være en integreret del af kvalitetssystemet.

I praksis betyder det, at alt, der bruges som GMP-dokumentation, skal holdes komplet og læsbar gennem hele sin livscyklus, uanset om det er tekst, billede, video eller lyd. Dokumentation, der lever i systemer, er samtidig data, og derfor hænger Chapter 4 tæt sammen med Annex 11.

Hvad lægger den nye Annex 22 op til?

Annex 22 er den helt nye tekst, og dens afgrænsning er lige så vigtig som kravene. Udkastet sætter GMP-krav til AI og machine learning i fremstilling af aktive stoffer og lægemidler, men kun for kritiske anvendelser med direkte betydning for patientsikkerhed, produktkvalitet eller dataintegritet. Dækket er statiske, deterministiske modeller. Dynamiske og probabilistiske modeller, generativ AI og sprogmodeller er eksplicit uden for scope og bør efter udkastet ikke bruges i kritiske GMP-anvendelser. Har I en LLM på tegnebrættet til afvigelsesanalyse eller batch review, er det den afgrænsning, I skal forholde jer til. I ikke-kritiske anvendelser er generativ AI ikke udelukket, men udkastet kræver human-in-the-loop: kvalificeret personale skal til enhver tid stå for at vurdere, at modellens output passer til den tilsigtede anvendelse.

Inden for scope følger udkastet model-livscyklussen afsnit for afsnit:

  • Intended use: beskrives i detaljer ud fra den proces, modellen indgår i, herunder inputdata og deres almindelige og sjældne variationer.
  • Acceptance criteria: performance metrics og acceptkriterier fastlægges på forhånd og måles.
  • Test data: repræsentativt og stratificeret, så det dækker hele sample space med alle undergrupper, og stort nok til at beregne metrikkerne med tilstrækkelig statistisk confidence. Udvælgelsen dokumenteres.
  • Test data independency: testdata holdes adskilt fra og uafhængige af træningsdata, beskyttet af adgangskontrol og audit trail.
  • Test execution: modellen testes mod acceptkriterierne. Validering er et krav, ikke en mulighed.
  • Explainability og confidence: under test registreres de features, der bidrog til en klassifikation eller beslutning, og systemet logger modellens confidence score for hver forudsigelse, hvor det er relevant.
  • Operation: change control før ibrugtagning, løbende performance monitoring, overvågning af input for drift og dokumenteret menneskelig gennemgang, når modellen bidrager til en menneskelig beslutning.

I selve udkastet er det testdata, der fylder mest, med hele tre afsnit om udvælgelse, uafhængighed og gennemførelse. Træningsdatakvalitet står i høringssammenfatningen, men har ikke sit eget afsnit. Uanset vægtningen ligner kravene dem, vi allerede bygger ind, når vi validerer AI: fastlåst intended use, stratificeret test, dokumenteret datasæt-specifikation og retraining under change control. Rækkefølgen gennemgår vi i AI-validering efter GAMP 5 kategori 5.

Afgrænset modellivscyklus for AI i GMP med noder inden for scope og generative former udenfor
Udkastet dækker statiske modeller i kritiske anvendelser, mens generativ AI ligger udenfor

Hvordan hænger Annex 22 sammen med EU AI Act og GAMP 5?

De tre regelsæt overlapper, men de gør ikke det samme:

  • EU AI Act er loven. Den klassificerer højrisiko-AI og sætter krav til risikostyring, datakvalitet, logning og menneskeligt tilsyn. En del gælder allerede: gennemsigtighedskravene i artikel 50 siden 2. august 2026. Efter 2026-ændringen gælder højrisiko for bilag III fra 2. december 2027 og for bilag I, herunder MDR, fra 2. august 2028.
  • Annex 22 bliver GMP-laget, der oversætter AI-kravene til inspektionsnære krav i produktionen, når den er vedtaget.
  • GAMP 5 er branchens metode. 2. udgave har AI og machine learning i Appendix D11, og ISPE udgav en selvstændig GAMP AI-guide i 2025. For medicinsk udstyr vejer IEC 62304 og ISO 13485 lige så tungt.

AI Act afgør, hvad der er højrisiko, og hvilke forpligtelser der gælder. Annex 22 afgør, hvad produktionen skal kunne vise. GAMP 5 viser, hvordan I gør det. Lovsiden gennemgår vi i AI Act for life science.

Hvad betyder det for et system, der allerede er valideret?

Intet sker automatisk. Et udkast udløser ikke revalidering, og en vedtaget tekst gør det heller ikke i sig selv. Nye krav lander gennem jeres change control og det periodiske review, og dér skal jeres eksisterende dokumentation kunne bære dem.

Område Hvad der forventes at ændre sig Hvad der udløser en påvirkningsvurdering
Systemkrav Kravene skal vedligeholdes gennem hele levetiden, ikke kun ved go-live Nyt eller ændret systemkrav, ny release, ny integration
Leverandør Oversight bliver et løbende krav, ikke kun en engangs-kvalificering Nye subprocessors, ændret SLA, model- eller platformopdatering
Dataintegritet Skærpede krav til audit trail, signaturer og security Ændret logning, nye brugere eller roller, ny infrastruktur

Konkret skal jeres sporbarhedsmatrix og valideringsrapport kunne holde til, at kravene flytter sig. Kan I ikke vise, hvorfor et system stadig er valideret efter en ændring, er det i praksis ikke valideret.

Hvad betyder det for jeres softwareudvikling?

Bygger I pharma- og medico-software, flytter kravene sig ind i koden og arkitekturen, ikke kun i dokumentationen. Tre ting bør være designvalg fra dag ét:

  • Audit trail og logning som et mønster i arkitekturen, ikke en funktion, der boltes på til sidst.
  • Versionsstyring af kode, model og data, så et systemkrav kan spores til en test og en frigivelse.
  • Leverandørdokumentation, der kan genbruges i jeres egen valideringspakke. Kan den ikke det, betaler I for den to gange.

Bygger I custom, er valideringsdokumentationen et by-design-artefakt, og IQ, OQ og PQ skrives undervejs. Sådan bygger vi pharma- og medico-software, og sådan holder kvalitetsledelse og QMS ejerskab og review på plads.

Hvad bør I gøre nu, før teksterne vedtages?

Vent ikke på den endelige tekst, men bind heller ikke budget på et gæt. Tre trin kan sættes i gang nu:

  • Lav en gap-vurdering mod udkastene. Sammenlign jeres nuværende Annex 11-dokumentation og jeres systemkrav med de fire strammede områder.
  • Byg en leverandørmatrix. Kortlæg hver kritisk leverandør mod de relevante afsnit, og stil de spørgsmål, der afgør, om I kan genbruge deres materiale: Hvor mange dage varsler I om en release? Kan vi få jeres valideringspakke og en SOC 2- eller ISO 27001-rapport? Hvordan varsler I ændringer i model eller subprocessors? Hvad er jeres retention på audit trail, og kan vi eksportere den?
  • Tag AI-modeller ind i change control, før I tager dem i drift. Skriv intended use, performance metrics og retraining-politik ned, mens systemet er lille, og udvid SOP’erne, så change control dækker retraining, og leverandørstyring dækker løbende oversight.

Udkastet er ikke vedtaget, men retningen er lagt fast: en gap-vurdering tager dage, en eftermontering tager måneder.

Ved I ikke, hvor I står, starter vi som regel med en gap-analyse under GxP-compliance, der kortlægger afstanden mellem den dokumentation, I har, og den, teksterne forventer.

Ofte stillede spørgsmål

Er Annex 11-revisionen vedtaget?

Nej. Udkastet var i fælles høring hos Europa-Kommissionen og PIC/S fra 7. juli til 7. oktober 2025, og EudraLex bind 4 viser fortsat Annex 11 og Chapter 4 i januar 2011-versionen. Der er hverken offentliggjort en endelig tekst eller en ikrafttrædelsesdato.

Hvornår træder Annex 22 i kraft?

Det ved ingen endnu. Hverken Kommissionen eller PIC/S har offentliggjort en tidsplan for den endelige tekst, så indtil da er Annex 22 et udkast, der ikke kan planlægges efter dato, men godt efter indhold.

Er Annex 22 det samme som EU AI Act?

Nej. EU AI Act er lovgivning, der klassificerer højrisiko-AI og sætter forpligtelser. Annex 22 bliver et GMP-krav, der oversætter AI-forventningerne til produktionen og inspektionen. I skal kunne begge dele, og de gælder samtidig.

Gælder Annex 22 også for AI, vi køber som API eller SaaS?

Ja, hvis anvendelsen falder inden for scope. Udkastet kræver, at modellen reviewes af den regulerede bruger, uanset om den er trænet og testet in-house eller leveret af en leverandør. Jeres egen anvendelse, data og tærskler skal stadig valideres, og generativ AI og sprogmodeller ligger fortsat uden for scope til kritiske GMP-anvendelser.

Skal vi vente med AI-validering, til Annex 22 er vedtaget?

Nej. Kravene i udkastet ligner dem, GAMP 5 og EU AI Act allerede stiller: intended use, performance metrics, dokumenterede data og løbende oversight. Bygger I dem ind nu, er I klar, når teksten lander.

Kilder

Udkastene og høringen ligger hos Europa-Kommissionen. Status på de gældende tekster er tjekket mod EudraLex bind 4 den 6. oktober 2026.

Vil I vide, hvor jeres systemer står mod de nye krav, så start med en gap-vurdering. Vi hjælper med CSV-validering fra plan til rapport og med at bygge pharma-software, der er validerbar fra første linje, så Annex 11 og Annex 22 er tænkt ind fra starten.