El Anexo 22 aún no forma parte definitiva de las GMP de la UE. El actual Anexo 11 sigue siendo la referencia aplicable. A continuación se presenta un marco práctico para preparar los casos de uso de inteligencia artificial en la fabricación farmacéutica.
El Anexo 22 no forma parte actualmente de las GMP de la UE
El primer punto de decisión es sencillo: el Anexo 22 no debe tratarse como una norma ya vigente.
Estado verificado el 26 de julio de 2026. El texto publicado sigue siendo el borrador sometido a consulta en julio de 2025. No es un anexo operativo de las GMP de la UE.
Por tanto, sería incorrecto afirmar que las GMP de la UE permiten, exigen o ya han aceptado un enfoque específico de validación para la IA adaptativa, probabilística o generativa en aplicaciones GMP críticas.
Esperar pasivamente también sería una respuesta equivocada. El taller de la EMA de junio–julio de 2026 recabó aportaciones de expertos sobre si la IA adaptativa, probabilística y generativa podría abordarse en futuras directrices y de qué manera. Entre las cuestiones planteadas figuraban la validación, las salvaguardas, la supervisión humana, la deriva, la ciberseguridad y los servicios externalizados o basados en la nube.
Si futuras directrices establecen una vía, ¿qué evidencias, límites y controles del ciclo de vida tendría que presentar su centro para demostrar que un sistema de IA se comprende y está bajo control?
La referencia GMP actual sigue siendo el Anexo 11
Para las GMP europeas de medicamentos de uso humano, la referencia actual para los sistemas informatizados utilizados en actividades reguladas por GMP sigue siendo el Anexo 11, complementado, cuando corresponda, por el Anexo 15, el Capítulo 1 y el Capítulo 7.
De acuerdo con el Anexo 11, la aplicación debe validarse y la infraestructura informática debe cualificarse. El alcance de la validación y de los controles de integridad de datos debe basarse en una evaluación de riesgos justificada y documentada que tenga en cuenta la seguridad del paciente, la integridad de los datos y la calidad del producto.
Las expectativas a lo largo del ciclo de vida incluyen además la gestión controlada de cambios, la evaluación periódica, la gestión de incidentes, la seguridad, la conservación de datos y, cuando proceda, las pistas de auditoría y la continuidad del negocio. La etiqueta “IA” no excluye al sistema de ese ciclo de vida: lo determinante es su uso previsto y su impacto GMP.
Qué proponía el borrador del Anexo 22 y qué no estableció
El borrador sometido a consulta en julio de 2025 proponía orientaciones adicionales específicas para la IA entrenada con datos o los modelos de machine learning integrados en sistemas informatizados cuando su uso afecta directamente a la seguridad del paciente, la calidad del producto o la integridad de los datos.
Las propuestas incluían el uso previsto, el espacio muestral de entrada, datos de prueba independientes, criterios de rendimiento predefinidos, explicabilidad cuando procediera, umbrales de confianza, control de cambios y seguimiento continuo.
El borrador también proponía que los modelos dinámicos o adaptativos, los modelos con salida probabilística, la IA generativa y los grandes modelos de lenguaje no se utilizaran en aplicaciones GMP críticas. Son posiciones contenidas en un borrador, no prohibiciones operativas actualmente vigentes. El taller de 2026 no las sustituyó ni creó una vía de autorización; recopiló evidencias para posibles directrices futuras.
Un enfoque práctico de preparación conforme al actual Anexo 11
Una puntuación media elevada del modelo no es suficiente para respaldar decisiones GMP. El centro debe definir la decisión que se apoya, comprender las condiciones en las que el modelo puede resultar poco fiable y determinar cómo responderá el proceso cuando se produzcan esas condiciones.
1. Definir el uso previsto y el límite de los derechos de decisión
Describa con precisión la entrada, la salida, el usuario, el punto del proceso y la persona responsable de la decisión. Indique también lo que el sistema no hace.
“Apoya las decisiones de calidad” es demasiado amplio. Un límite más preciso podría indicar que un modelo prioriza los registros de monitorización ambiental para la revisión del analista, pero no determina las desviaciones, no aprueba las investigaciones, no decide la disposición del producto ni libera un lote.
2. Evaluar el riesgo GMP y la respuesta ante fallos
Utilice el enfoque actual basado en riesgos para identificar condiciones de fallo previsibles, como una salida incorrecta, baja confianza, una entrada inadecuada, indisponibilidad o un cambio no evaluado.
Para cada condición relevante, defina la detección, el escalado, la alternativa de respaldo y la reevaluación de forma proporcional al impacto potencial sobre la seguridad del paciente, la calidad del producto y la integridad de los datos.
3. Establecer los límites de los datos y utilizar pruebas independientes
Documente el tipo, el origen, la calidad y los límites de los datos que el modelo está autorizado a recibir: su espacio muestral de entrada aprobado.
Mantenga separados los datos de desarrollo y los datos de prueba independientes y representativos. Registre las situaciones fuera de los límites aprobados y lo que debe hacer el proceso cuando se produzcan.
4. Predefinir los criterios de rendimiento e incertidumbre
Defina medidas de rendimiento adecuadas al caso de uso y criterios mínimos de aceptación antes de la evaluación.
Para las salidas probabilísticas, no se base únicamente en una media global. Considere los subgrupos y tipos de error pertinentes y defina después la respuesta operativa a la incertidumbre: señalar, escalar, suprimir la recomendación, abstenerse o continuar únicamente bajo una revisión humana definida.
5. Convertir la revisión humana en un control real
La supervisión humana es un control, no un sustituto del diseño controlado, las pruebas o la gestión del ciclo de vida.
Defina quién revisa, qué información ve, cuándo se requiere un escalado, qué puede modificar y cómo se registra la decisión GMP final. Colocar a una persona después del modelo no constituye automáticamente un control eficaz.
6. Gobernar la monitorización, los cambios y los proveedores
Las pruebas iniciales no ponen fin a la estrategia de control. Identifique los eventos que desencadenan una evaluación, como un cambio en la canalización de datos, una modificación de la población de entrada, una actualización del modelo por parte del proveedor, un reentrenamiento, una deriva significativa del rendimiento, salidas recurrentes con baja confianza, un incidente de seguridad o un cambio en el flujo de revisión humana.
Cuando intervenga un proveedor, un proveedor de nube o un proveedor externo de salvaguardas, deben existir acuerdos formales con terceros. La documentación del proveedor puede contribuir a la evaluación, pero no transfiere la responsabilidad GMP.
Checklist breve de preparación para la IA
| Área | Qué documentar ahora |
|---|---|
| Uso previsto | Decisión apoyada, punto del proceso, usuario y responsable humano de la decisión. |
| Límite de decisión | Lo que el modelo hace y lo que explícitamente no hace. |
| Riesgo GMP | Impacto sobre la seguridad del paciente, la calidad del producto y la integridad de los datos. |
| Límites de entrada | Espacio muestral aprobado, fuentes de datos y situaciones fuera de los límites. |
| Pruebas | Justificación de los datos de prueba independientes y criterios de rendimiento adecuados al caso. |
| Control de la incertidumbre | Regla de confianza o abstención, vía de escalado y alternativa manual. |
| Supervisión humana | Función del revisor, reglas de override y diseño del registro GMP final. |
| Desencadenantes del ciclo de vida | Cambios, deriva, reentrenamiento, indisponibilidad, desacuerdos y eventos de reevaluación. |
| Terceros | Dependencias de proveedores y nube, acuerdos y plan de supervisión. |
Un error frecuente que debe evitarse
“Una persona revisa la salida” no es suficiente por sí solo.
Esta afirmación no explica qué salidas requieren revisión, qué debe evaluar el revisor, cómo se muestra la incertidumbre, qué ocurre cuando el modelo y el revisor discrepan ni cómo se registra la decisión final.
Acción para el lunes: mapear un caso de uso de IA
Registre la decisión que el sistema apoya o automatiza, su impacto directo sobre la seguridad del paciente, la calidad del producto y la integridad de los datos, y la persona responsable de la decisión.
- Separe el uso previsto de las características del modelo.
- Registre el espacio muestral de entrada aprobado y la regla de gestión de la incertidumbre.
- Defina la alternativa manual, los registros de auditoría y los desencadenantes de reevaluación.
Preguntas frecuentes
¿El Anexo 22 forma parte actualmente de las GMP de la UE?
No. A 26 de julio de 2026, el texto publicado sigue siendo un borrador sometido a consulta y no es un anexo operativo de las GMP de la UE.
¿Qué se aplica actualmente a la IA utilizada en actividades GMP?
Los controles actuales de los sistemas informatizados siguen basándose en el Anexo 11, complementado, cuando corresponda, por el Anexo 15, el Capítulo 1 y el Capítulo 7.
¿Deben los centros esperar a la versión definitiva del Anexo 22?
No. Los centros ya pueden documentar el uso previsto, los límites de decisión, el riesgo GMP, los límites de los datos, las pruebas, los controles de incertidumbre, la responsabilidad humana y los desencadenantes de reevaluación del ciclo de vida.
¿La revisión humana hace que un sistema de IA sea conforme?
No por sí sola. La revisión humana debe ser un control diseñado con requisitos definidos de información, autoridad, escalado, override y registro.
Fuentes oficiales
- EMA multistakeholder workshop on Annex 22 guidance development
- European Commission consultation on Chapter 4, Annex 11 and new Annex 22
- EudraLex Volume 4
¿Necesita una base de validación más sólida conforme al Anexo 11?
La Operational Guide to Computer System Validation (CSV) in the GxP Environment proporciona una base práctica para el ciclo de vida de validación de sistemas informatizados, la definición de evidencias y la preparación para auditorías.
