Generative KI hält Einzug in GxP-Dokumentation, SOP-Assistenten und Abweichungsklassifizierung — während die Regulierung mit Annex 22 aufholt. Die meisten Unternehmen sind auf keines von beidem vorbereitet.
Generative AI is entering GxP documentation, SOP assistants, and deviation workflows — while regulation catches up via Annex 22. Most companies are prepared for neither.
Use-Case-Assessment anfragen Request a use-case assessmentWarum jetzt handeln
Why act now
EU GMP Annex 22 ergänzt Annex 11 (Computergestützte Systeme) um ML-spezifische Anforderungen. Er gilt für alle KI-Systeme, die GxP-relevante Entscheidungen beeinflussen — unabhängig davon, ob das System primär als KI vermarktet wird.
EU GMP Annex 22 supplements Annex 11 (Computerised Systems) with ML-specific requirements. It applies to all AI systems that influence GxP-relevant decisions — regardless of whether the system is marketed primarily as AI.
Regulatorischer Status
Jetzt handeln sichert Vorlaufzeit — nach Inkrafttreten bleibt keine Übergangsphase für laufende Systeme.
Acting now secures lead time — after entry into force, there is no transition period for running systems.
KERN-ANFORDERUNGEN (DRAFT)
Risikobasierte Klassifizierung aller KI/ML-Systeme nach Verwendungszweck und Entscheidungstiefe
Risk-based classification of all AI/ML systems by intended use and decision depth
Nachweisbare Datenqualität: Herkunft, Repräsentativität und Bias-Analyse der Trainingsdaten
Demonstrable data quality: provenance, representativeness, and bias analysis of training data
Explainability: Modellentscheidungen müssen für Fachpersonal nachvollziehbar und dokumentierbar sein
Explainability: model decisions must be traceable and documentable for qualified personnel
Continuous Monitoring: Modellleistung wird laufend überwacht, Drift erkannt und dokumentiert
Continuous monitoring: model performance tracked, drift detected and documented on an ongoing basis
Human Oversight: Kritische GxP-Entscheidungen erfordern menschliche Kontrolle — kein vollautomatischer Betrieb
Human oversight: critical GxP decisions require human control — no fully automated operation
Anforderungen basieren auf dem Konsultationsdokument Juli 2025. Änderungen bis zur finalen Fassung möglich.
Requirements based on the July 2025 consultation document. Changes possible until the final version.
Was auf dem Spiel steht
What is at stake
AUSLÖSER
Behördeninspektion oder internes Audit
Regulatory inspection or internal audit
BEFUND
KI-System im GxP-Prozess — nicht validiert, kein Audit-Trail
AI system in GxP process — not validated, no audit trail
Sofortige Nachvalidierungspflicht
Mandatory immediate revalidation
Produktionsunterbrechung oder Chargensperrung
Production stoppage or batch hold
Reputationsschaden und Folgeinspektionen
Reputational damage and follow-up inspections
Der Significon-Ansatz
The Significon approach
Use-Case-Assessment
Use-case assessment
Welche KI-Systeme sind GxP-relevant? Welche nicht?
Which AI systems are GxP-relevant? Which are not?
Risikoklassifizierung
Risk classification
GAMP5-Kategorie, Entscheidungstiefe, Auswirkungsanalyse
GAMP5 category, decision depth, impact analysis
Validierungsplan
Validation plan
Teststrategie, Datenqualität, Explainability-Konzept
Test strategy, data quality, explainability concept
Implementierung & Test
Implementation & test
IQ/OQ/PQ, Bias-Tests, Audit-Trail-Aufbau
IQ/OQ/PQ, bias tests, audit trail setup
Monitoring & Review
Monitoring & review
Drift-Erkennung, Periodische Überprüfung, Revalidierung
Drift detection, periodic review, revalidation
Wir beginnen mit dem Assessment — einem 60-minütigen strukturierten Workshop, in dem wir gemeinsam alle KI-Systeme in Ihren GxP-Prozessen identifizieren, priorisieren und eine konkrete Handlungsempfehlung erarbeiten. Kein Auftrag vorausgesetzt.
We start with an assessment — a structured 60-minute workshop in which we jointly identify all AI systems in your GxP processes, prioritize them, and develop a concrete action plan. No engagement required.
Die Grundfragen
The fundamental questions
LLMs können funktional kaum validiert werden — sie sind nicht-deterministisch und intern nicht auditierbar. Wer trotzdem KI einsetzt, muss eine andere Antwort finden: nicht „was tut das Modell", sondern „was stellt der Prozess sicher".
LLMs can barely be validated for their functionality — they are non-deterministic and internally unauditable. Those who deploy AI anyway must find a different answer: not "what does the model do" but "what does the process ensure".
01
Erst wenn der Nachweis geführt ist, dass Risiken bekannt, bewertet und durch geeignete Maßnahmen beherrschbar sind. Das ist keine Absichtserklärung — das ist ein auditierbarer Nachweis, der vor dem Einsatz vorliegen muss.
Only once proof is provided that risks are known, assessed, and controllable through appropriate measures. This is not a declaration of intent — it is an auditable proof that must exist before deployment.
02
KI darf keine qualitätsbestimmende Entscheidung selbst treffen. Der Human-in-the-Loop-Ansatz muss technisch erzwungen und nachvollziehbar sein — nicht durch interne Vereinbarung, die im Betrieb umgangen werden kann.
AI must not make quality-determining decisions on its own. The human-in-the-loop approach must be technically enforced and traceable — not through internal agreements that can be bypassed in operation.
03
Durch Prozessgestaltung, die den Nachweis strukturell erzeugt — nicht durch retrospektive Dokumentation eines bereits laufenden Systems. Der Prozess wird validiert, nicht das Modell.
Through process design that structurally produces the proof — not through retrospective documentation of an already running system. The process is validated, not the model.
Das Schlüsselkonzept
The key concept
Risikomanagement wird wichtiger — nicht um Aufwand zu reduzieren, sondern um KI-Einsatz überhaupt erst zu ermöglichen. Der Nachweis, dass Risiken bekannt und verstanden sind, ist die Eintrittskarte. Wer ihn nicht führen kann, darf nicht beginnen.
Risk management becomes more important — not to reduce effort, but to make AI use possible in the first place. Proof that risks are known and understood is the entry ticket. Those who cannot provide it must not start.
Erst muss der Prozess vollständig verstanden und spezifiziert sein. Dann das System, das ihn umsetzt. Erst dann kommt KI — als Element innerhalb eines bereits validierten Schritts, nicht als Treiber der Prozessgestaltung.
First, the process must be fully understood and specified. Then the system that implements it. Only then does AI come — as an element within an already validated step, not as the driver of process design.
Ein Human-in-the-Loop, der auf Vereinbarungen basiert, die im Betrieb unterlaufen werden können, ist kein HITL. Er muss technisch erzwungen und im Audit-Trail nachvollziehbar sein — wer hat wann welche KI-Ausgabe gesehen, bewertet und freigegeben.
A human-in-the-loop based on agreements that can be bypassed in operation is not HITL. It must be technically enforced and traceable in the audit trail — who saw, evaluated, and approved which AI output, and when.
Klare Rollen und Verantwortlichkeiten in der Organisation. Vollständige, konsistente Dokumentation. Sind diese Grundlagen nicht belastbar, gilt: Garbage in, garbage out — unabhängig davon, wie gut die KI-Architektur ist. Das ist das häufig unterschätzte Hauptproblem.
Clear roles and responsibilities in the organisation. Complete, consistent documentation. If these foundations are not solid: garbage in, garbage out — regardless of how good the AI architecture is. This is the most frequently underestimated core problem.
Validated by Design braucht ein Tool, das Prozesslogik, HITL-Gates und Nachweisstrategie technisch implementiert und versioniert. Camunda ist nicht eine Option unter vielen — es ist das Tool, das diese Governance implementierbar und vor dem Auditor nachweisbar macht.
Validated by Design requires a tool that technically implements and versions process logic, HITL gates, and evidence strategy. Camunda is not one option among many — it is the tool that makes this governance implementable and provable before an auditor.
Das Ergebnis: Nicht das LLM wird validiert — was bei nicht-deterministischen Modellen kaum möglich ist. Stattdessen wird der Prozess so gestaltet, dass er Validität strukturell erzeugt und nachvollziehbar macht. Konformität entsteht durch die Architektur, nicht durch nachgelagerte Kontrolle.
The result: The LLM is not validated — which is barely possible for non-deterministic models. Instead, the process is designed to structurally produce and make validity traceable. Conformity emerges through architecture, not through end-of-line control.
Warum Significon
Why Significon
| Kriterium | Typischer Ansatz Typical approach | Significon |
|---|---|---|
| Validierungsstart Validation start | Nach Inbetriebnahme des Systems After the system goes live | Integriert in die Einführungsplanung Integrated into deployment planning |
| Dokumentation Documentation | Retrospektiv, unvollständig Retrospective, often incomplete | Lebenszyklus-begleitend, auditierbar Lifecycle-parallel, audit-ready |
| KI-Spezifik AI specifics | Generische CSV-Templates Generic CSV templates | ML-adaptierter Validierungsrahmen ML-adapted validation framework |
| Monitoring Monitoring | Optional, projektabhängig Optional, project-dependent | Pflichtbestandteil, Annex-22-konform Mandatory component, Annex 22 compliant |
| Regulatorische Grundlage Regulatory basis | Annex 11 analog angewandt Annex 11 applied by analogy | Annex 11 + Annex 22 + EU AI Act Annex 11 + Annex 22 + EU AI Act |
Im Use-Case-Assessment identifizieren wir gemeinsam alle KI-Systeme in Ihren GxP-Prozessen, priorisieren den Handlungsbedarf und zeigen einen konkreten nächsten Schritt. Kein Auftrag, kein Folge-Pitching.
In the use-case assessment we jointly identify all AI systems in your GxP processes, prioritize action needs, and define a concrete next step. No commitment, no follow-on pitching.