Mit dem EU AI Act schafft die Europäische Union erstmals einen umfassenden Rechtsrahmen für den Einsatz von KI-Systemen. Während viele Unternehmen noch analysieren, welche Auswirkungen die neuen Anforderungen auf ihre Organisation haben, steht die Pharmaindustrie vor einer besonderen Situation: Sie bewegt sich bereits heute in einem hochregulierten Umfeld, in dem Validierung, Datenintegrität und Risikomanagement seit Jahren zentrale Bestandteile des Qualitätsmanagements sind. Genau an dieser Stelle treffen der EU AI Act, die bestehenden EU-GMP-Anforderungen aus Annex 11 sowie der im Juli 2025 als Draft veröffentlichte Annex 22 für Artificial Intelligence aufeinander. In diesem Artikel erfahren Sie, welche Schnittstellen bestehen, wo klassische CSV an Grenzen stößt und welche Fachprofile künftig den Unterschied machen.
Die Relevanz des EU AI Act für Pharmaunternehmen
Auf den ersten Blick erscheint der EU AI Act als neue regulatorische Herausforderung für Pharmaunternehmen. Viele der zugrunde liegenden Prinzipien sind der Branche jedoch bereits vertraut. Ähnlich wie die Good Manufacturing Practice (GMP) verfolgt auch der EU AI Act einen risikobasierten Ansatz: Potenzielle Risiken sollen identifiziert, bewertet und durch geeignete Maßnahmen kontrolliert werden. Die Umsetzung läuft bereits: Verbotene Praktiken sind seit Februar 2025 in Kraft, GPAI-Anforderungen gelten ab August 2025, vollständige High-Risk-Anforderungen ab August 2026.
Während GMP-Anforderungen die Produktqualität, Patientensicherheit und Datenintegrität in den Mittelpunkt stellen, fokussiert sich der EU AI Act auf die Risiken, die von KI-Systemen ausgehen können. Je höher das Risiko eines Systems, desto umfangreicher fallen die Anforderungen an Dokumentation, Überwachung und Governance aus.
Wo KI in der Pharmaindustrie bereits eingesetzt wird
Viele Pharmaunternehmen setzen heute bereits KI-gestützte Anwendungen ein, um Prozesse effizienter zu gestalten, Daten schneller auszuwerten oder fundiertere Entscheidungen zu treffen. Oft geschieht dies schrittweise und eingebettet in bestehende digitale Systeme, sodass der KI-Anteil auf den ersten Blick nicht immer offensichtlich ist.
Typische Einsatzbereiche sind unter anderem:
- Automatisierte Analyse von Qualitäts- und Produktionsdaten
- Predictive Maintenance für Produktionsanlagen
- Unterstützung bei der Dokumentenprüfung und Dokumentenerstellung
- Intelligente Suche in Qualitätsmanagementsystemen
- Optimierung von Lieferketten und Bedarfsprognosen
- Datenanalysen in klinischen Studien
- Unterstützung regulatorischer Prozesse durch generative KI
Mit zunehmender Verbreitung solcher Anwendungen rückt jedoch eine zentrale Frage in den Fokus: Wie lassen sich KI-Systeme in einem GMP-regulierten Umfeld sicher, nachvollziehbar und compliant betreiben? Genau an dieser Stelle entsteht die Schnittstelle zwischen dem EU AI Act, den bestehenden GMP-Anforderungen und den zukünftigen Vorgaben rund um künstliche Intelligenz im pharmazeutischen Umfeld.
EU-GMP Annex 11: Die Basis für computergestützte Systeme
Bereits lange vor dem EU AI Act mussten Pharmaunternehmen sicherstellen, dass computergestützte Systeme den Anforderungen der Good Manufacturing Practice (GMP) entsprechen. Die Grundlage dafür bildet EU-GMP Annex 11, der den Einsatz, die Validierung und den Betrieb solcher Systeme in GMP-regulierten Bereichen regelt.
Im Fokus stehen die Validierung von Systemen, die Sicherstellung der Datenintegrität sowie ein risikobasierter Ansatz über den gesamten Systemlebenszyklus hinweg. Unternehmen müssen nachweisen, dass ihre Systeme zuverlässig funktionieren und keine Risiken für Produktqualität oder Patientensicherheit darstellen.
Darüber hinaus fordert Annex 11 eine lückenlose Dokumentation von Änderungen, Verantwortlichkeiten und Datenflüssen. Themen wie Audit Trails, Zugriffsrechte, Datensicherung und Change Control gehören deshalb seit Jahren zum Standard in regulierten Pharmaumgebungen. Diese Anforderungen bilden heute auch die Grundlage für die Bewertung KI-gestützter Systeme in GMP-relevanten Prozessen.
Warum klassische CSV bei KI an Grenzen stößt
Während sich traditionelle Software in der Regel vorhersehbar verhält und auf fest definierten Regeln basiert, bringen KI-Systeme neue Herausforderungen für die Validierung mit sich. Ergebnisse können sich beispielsweise durch neue Trainingsdaten, Modellanpassungen oder veränderte Rahmenbedingungen verändern, ohne dass der zugrunde liegende Code angepasst wurde.
Damit entstehen Fragestellungen, die in klassischen CSV-Projekten bislang eine untergeordnete Rolle gespielt haben:
- Wie lässt sich die Qualität von Trainingsdaten bewerten?
- Wie werden Modelländerungen dokumentiert und kontrolliert?
- Wie kann die Nachvollziehbarkeit von KI-gestützten Entscheidungen sichergestellt werden?
- Wie werden Modell-Drift und Leistungsabweichungen überwacht?
Genau diese Herausforderungen sind ein wesentlicher Grund dafür, warum regulatorische Behörden den Einsatz künstlicher Intelligenz zunehmend gesondert betrachten. Der Draft von Annex 22 rückt KI erstmals explizit in den Fokus der GMP-Regularien und ergänzt die bestehenden Anforderungen aus Annex 11 um KI-spezifische Aspekte.
Annex 22 Artificial Intelligence: Der GMP-Blick auf KI
Mit dem Annex 22 „Artificial Intelligence“ reagiert die EU auf die zunehmende Nutzung von KI-Systemen in GMP-regulierten Prozessen. Der im Juli 2025 veröffentlichte Draft-Annex 22 befindet sich derzeit in der öffentlichen Konsultation und soll nach Finalisierung als verbindliche GMP-Leitlinie gelten. Während Annex 11 bereits allgemeine Anforderungen an computergestützte Systeme definiert, soll Annex 22 spezifische Leitlinien für den Einsatz künstlicher Intelligenz schaffen.
Der Hintergrund: KI-Systeme unterscheiden sich in wesentlichen Punkten von klassischer Software. Entscheidungen können auf komplexen Modellen basieren, die sich durch neue Daten weiterentwickeln. Dadurch entstehen zusätzliche Risiken hinsichtlich Transparenz, Nachvollziehbarkeit und Kontrolle. Genau diese Besonderheiten sollen künftig stärker berücksichtigt werden.
Für Pharmaunternehmen bedeutet dies, dass bestehende Validierungs- und Governance-Konzepte erweitert werden müssen. Neben der technischen Funktionalität rücken künftig auch Aspekte wie Datenqualität, Modellüberwachung und die Nachvollziehbarkeit KI-gestützter Ergebnisse stärker in den Fokus.
Schnittstellen zwischen Annex 11 und Annex 22
Dabei ersetzt Annex 22 die bestehenden GMP-Anforderungen nicht, sondern stellt eine Erweiterung hinsichtlich der Digitalisierung im KI-Zeitalter dar. Er baut auf den Grundprinzipien von Annex 11 auf und ergänzt diese um KI-spezifische Anforderungen.
Während Annex 11 unter anderem die Validierung computergestützter Systeme, Datenintegrität und Change Control adressiert, erweitert Annex 22 diese Themen um Fragestellungen wie:
- Qualität und Herkunft von Trainingsdaten
- Transparenz von KI-Modellen und Ergebnissen
- Kontinuierliche Überwachung der Modellleistung
- Umgang mit Modelländerungen und Drift
- Klare Verantwortlichkeiten für KI-Systeme
- Risikobasierte Governance über den gesamten Lebenszyklus
Damit entsteht ein regulatorischer Rahmen, der den besonderen Eigenschaften künstlicher Intelligenz Rechnung trägt, ohne die bewährten GMP-Grundsätze zu verlassen. Für Unternehmen wird es künftig entscheidend sein, beide Perspektiven zusammenzuführen: die Anforderungen an computergestützte Systeme aus Annex 11 und die spezifischen Erwartungen an KI-Systeme aus Annex 22.
Wo sich der EU AI Act, Annex 11 und Annex 22 überschneiden
Die Anforderungen des EU AI Act, von Annex 11 und des geplanten Annex 22 verfolgen unterschiedliche regulatorische Ziele. Dennoch zeigen sich bei genauerer Betrachtung einige Gemeinsamkeiten. Für Pharmaunternehmen bedeutet das: Viele bestehende GMP-Prinzipien können als Grundlage dienen, um auch die Anforderungen an KI-Systeme zu erfüllen.
Der EU AI Act verfolgt einen risikobasierten Ansatz und stellt je nach Risikoklasse unterschiedliche Anforderungen an KI-Systeme. Ein ähnliches Prinzip ist in der Pharmaindustrie seit Jahren etabliert. Durch Quality Risk Management werden potenzielle Risiken für Produktqualität, Patientensicherheit und Datenintegrität bewertet und kontrolliert.
Sowohl GMP als auch der EU AI Act verfolgen damit dasselbe Ziel: Risiken frühzeitig erkennen und durch geeignete Maßnahmen beherrschen.
Die Qualität eines KI-Systems hängt unmittelbar von der Qualität der zugrunde liegenden Daten ab. Deshalb legt der EU AI Act großen Wert auf eine nachvollziehbare Datenbasis und geeignete Governance-Strukturen.
Auch im GMP-Umfeld spielen Datenintegrität und Datenqualität eine zentrale Rolle. Unternehmen müssen sicherstellen, dass Daten vollständig, korrekt und nachvollziehbar sind. Die bekannten ALCOA+-Prinzipien bilden dabei seit Jahren die Grundlage für den Umgang mit GMP-relevanten Daten.
Der EU AI Act fordert eine angemessene Dokumentation von KI-Systemen sowie die Nachvollziehbarkeit ihrer Ergebnisse. Unternehmen müssen verstehen und dokumentieren können, wie ein System eingesetzt wird und welche Entscheidungen daraus resultieren.
Vergleichbare Anforderungen finden sich bereits in Annex 11. Audit Trails, Validierungsdokumentationen, Change Controls und definierte Prozesse sorgen dafür, dass Systeme und Änderungen jederzeit nachvollziehbar bleiben.
Ein zentrales Element des EU AI Act ist die sogenannte Human Oversight. KI-Systeme sollen nicht völlig autonom agieren, sondern durch qualifizierte Personen überwacht werden.
Auch GMP-Regelwerke basieren auf diesem Grundsatz. Kritische Entscheidungen liegen letztlich immer in der Verantwortung qualifizierter Mitarbeiterinnen und Mitarbeiter. Qualitätssicherung, Systemverantwortliche und Fachbereiche behalten die Kontrolle über Prozesse und Ergebnisse.
Sowohl der EU AI Act als auch die GMP-Regularien betrachten Systeme nicht als einmalige Projekte, sondern über ihren gesamten Lebenszyklus hinweg. Anforderungen enden nicht mit der Implementierung.
Vielmehr müssen Systeme kontinuierlich überwacht, Änderungen bewertet und die Leistungsfähigkeit regelmäßig überprüft werden. Für KI-Anwendungen gewinnt dabei insbesondere die Überwachung von Modelländerungen und potenzieller Modell-Drift an Bedeutung.
Die Überschneidungen zeigen deutlich, dass der EU AI Act für Pharmaunternehmen kein isoliertes Regulierungsthema ist. Vielmehr erweitert er bestehende GMP-Anforderungen um spezifische Vorgaben für den Einsatz künstlicher Intelligenz.
Die regulatorischen Anforderungen rund um KI, GMP und computergestützte Systeme entwickeln sich derzeit schneller als die verfügbaren Fachkompetenzen im Markt. Unternehmen stehen deshalb vor der Herausforderung, nicht nur ihre Prozesse anzupassen, sondern auch die richtigen Spezialistinnen und Spezialisten zu gewinnen. Dazu gehören:
- AI Governance & Compliance Manager: Mit dem EU AI Act steigt der Bedarf an Fachkräften, die regulatorische Anforderungen bewerten, Risiken managen und Governance-Strukturen für KI-Systeme etablieren können.
- CSV-/CSA-Spezialisten mit KI-Verständnis: Validierung bleibt auch im KI-Zeitalter ein zentrales Thema. Gefragt sind Experten, die klassische CSV- und CSA-Ansätze mit den Besonderheiten von KI-Systemen verbinden können.
- QA- und Data-Integrity-Experten: Datenqualität, Nachvollziehbarkeit und Compliance sind zentrale Anforderungen sowohl des EU AI Act als auch der GMP-Regularien. Entsprechend wichtig werden Fachkräfte aus den Bereichen Quality Assurance und Data Integrity.
- Digital- und KI-Experten mit GMP-Erfahrung: Ob Digital Transformation Leads oder Data Scientists – besonders gefragt sind Profile, die technisches Know-how mit einem Verständnis für GMP-regulierte Prozesse kombinieren.
Der EU AI Act macht deutlich, dass künstliche Intelligenz künftig nicht nur eine technologische Innovation, sondern auch eine regulatorische Verantwortung ist. Für Pharmaunternehmen entstehen die neuen Anforderungen jedoch nicht im luftleeren Raum: Mit Annex 11 und dem geplanten Annex 22 existieren bereits heute beziehungsweise künftig wichtige Leitplanken für den sicheren und GMP-konformen Einsatz von KI-Systemen. Unternehmen, die frühzeitig die richtigen Strukturen schaffen und die passenden Expertinnen und Experten an Bord holen, können die Potenziale von KI nutzen und gleichzeitig regulatorische Risiken minimieren. Dabei unterstützt die Aristo Group als spezialisierte Personalberatung für die Life Science Branche Unternehmen bei der Identifikation und Gewinnung genau der Talente, die an der Schnittstelle von KI, Compliance und GMP den Unterschied machen.
Was bedeutet der EU AI Act für Pharmaunternehmen?
Der EU AI Act schafft einen verbindlichen Rechtsrahmen für den Einsatz künstlicher Intelligenz in Europa. Für Pharmaunternehmen sind die Anforderungen besonders relevant, da KI-Systeme häufig in regulierten Bereichen eingesetzt werden und daher zusätzlich mit GMP-Anforderungen, Annex 11 und künftig Annex 22 in Einklang gebracht werden müssen.
Welche KI-Anwendungen in der Pharmaindustrie können vom EU AI Act betroffen sein?
Betroffen sein können unter anderem KI-Anwendungen in der Qualitätskontrolle, Dokumentenprüfung, Datenanalyse, Produktionsoptimierung, Predictive Maintenance, klinischen Forschung sowie generative KI-Lösungen für regulatorische Prozesse. Die konkreten Anforderungen hängen von der Risikoklasse des jeweiligen Systems ab.
Wie hängen EU AI Act, Annex 11 und Annex 22 zusammen?
Der EU AI Act reguliert den Einsatz von KI-Systemen auf europäischer Ebene. Annex 11 definiert GMP-Anforderungen für computergestützte Systeme, während Annex 22 künftig spezifische Anforderungen für künstliche Intelligenz in GMP-regulierten Umgebungen ergänzen soll. Gemeinsam adressieren sie Themen wie Risikomanagement, Datenintegrität, Transparenz und Lifecycle Management.
Reicht eine klassische Computer System Validation (CSV) für KI-Systeme aus?
Nicht immer. Während CSV weiterhin die Grundlage für die Validierung computergestützter Systeme bildet, bringen KI-Anwendungen zusätzliche Anforderungen mit sich. Dazu gehören beispielsweise die Bewertung von Trainingsdaten, die Überwachung von Modelländerungen, die Kontrolle von Modell-Drift sowie die Nachvollziehbarkeit KI-basierter Entscheidungen.
Welche Fachkräfte werden für die Umsetzung des EU AI Act in Pharmaunternehmen benötigt?
Besonders gefragt sind AI Governance & Compliance Manager, CSV-/CSA-Spezialisten mit KI-Verständnis, QA- und Data-Integrity-Experten sowie Data Scientists und Digital Transformation Leads mit GMP-Erfahrung. Unternehmen benötigen zunehmend Fachkräfte, die regulatorisches Know-how mit technischem Verständnis verbinden können.
Wie können Pharmaunternehmen Fachkräfte für EU AI Act, Annex 11 und Annex 22 finden?
Da viele der benötigten Kompetenzen sehr spezialisiert sind, gestaltet sich die Besetzung entsprechender Positionen oft schwierig. Spezialisierte Personalberatungen für die Life Science Branche wie bspw. die Aristo Group unterstützen Unternehmen dabei, Fachkräfte mit Erfahrung in GMP, CSV, Compliance, Data Integrity und KI-Governance gezielt zu identifizieren und zu gewinnen.
Wie bereiten sich Pharmaunternehmen auf Annex 22 vor?
Viele Unternehmen analysieren derzeit ihre bestehenden KI-Anwendungen, Validierungsprozesse und Governance-Strukturen. Ziel ist es, mögliche Lücken zwischen den Anforderungen aus Annex 11, dem EU AI Act und den erwarteten Anforderungen von Annex 22 frühzeitig zu identifizieren und geeignete Kompetenzen im Unternehmen aufzubauen.
