KI in der Computersoftware-Sicherung (CSA)

In unserer Blogreihe zur Entwicklung der Software-Assurance in der Life-Sciences-Branche haben wir untersucht, warum Life-Sciences-Unternehmen von CSV auf CSA umsteigen, wie organisatorische Veränderungen eine erfolgreiche Umsetzung unterstützen und wie Schulungen, die Bereitstellung von Ressourcen und die Triage von Altsystemen dazu beitragen können , einen nachhaltigen Ansatz zu entwickeln.

In diesem letzten Teil geht es um eine Frage, die sich in der Regel anschließt: Kann Technologie die Validierung schneller und kostengünstiger machen? Wir glauben, dass dies möglich ist. Aus diesem Grund empfehlen wir, im Rahmen der Umstellung auf CSA ein KI-gestütztes Validierungstool zu evaluieren, anstatt dies als separate, spätere Initiative zu betrachten.

Hier untersuchen wir, wo der Stand der Regulierung im Bereich KI derzeit liegt, wie schnell sich die zugrunde liegende Technologie verändert, warum wir KI als Teil des CSA-Wandels betrachten und wie Unternehmen sie nutzen können, ohne neue Compliance-Risiken zu schaffen.

Das regulatorische Umfeld

Auch wenn sich die Behörden hinsichtlich ihrer konkreten Anforderungen und Zeitpläne unterscheiden, weisen ihre Leitlinien doch in eine einheitliche Richtung: KI sollte entsprechend ihrem Verwendungszweck, den damit verbundenen Risiken und den potenziellen Auswirkungen auf die Produktqualität und die Patientensicherheit geregelt werden.

FDA-Leitfaden zu CSA (endgültige Fassung, September 2025). Dieser berücksichtigt bereits KI-Tools, die in Produktions- und Qualitätssystemen eingesetzt werden, und wendet auf diese dieselbe risikobasierte Logik an wie auf jede andere Software.
Entwurf eines FDA-Leitfadens zur künstlichen Intelligenz (KI) zur Unterstützung der regulatorischen Entscheidungsfindung bei Arzneimitteln und Biologika (Januar 2025). Darin wird ein risikobasiertes Glaubwürdigkeitskonzept vorgestellt, das sich an der Frage orientiert, die die KI beantwortet (ihr Anwendungskontext), sowie an den Folgen einer falschen Antwort.
Leitlinien der FDA und der EMA für eine gute KI-Praxis (Januar 2026). Zehn gemeinsame Grundsätze, die den Einsatz von KI über den gesamten Lebenszyklus von Arzneimitteln hinweg abdecken, und das bislang deutlichste Signal dafür, dass die beiden Behörden eine Angleichung ihrer Vorgehensweisen anstreben.
EU-GMP-Anhang 22, Künstliche Intelligenz (Entwurf, Juli 2025). Der erste GMP-Text, der speziell für KI verfasst wurde. Er behandelt statische, deterministische Modelle, die in kritischen Anwendungen zum Einsatz kommen, und legt fest, dass generative KI und große Sprachmodelle nicht in kritischen GMP-Anwendungen verwendet werden sollten, während ihre Nutzung in nichtkritischen Anwendungen zulässig ist, sofern eine qualifizierte Person für die Ergebnisse verantwortlich ist. Die EMA veranstaltete Mitte 2026 einen Workshop für Interessengruppen und strebt die Fertigstellung des endgültigen Textes im 4. Quartal 2026 an. Parallel dazu wurden der überarbeitete Anhang 11 und Kapitel 4 zur Konsultation veröffentlicht.
EU-KI-Gesetz. Die Verpflichtungen für KI-Systeme mit hohem Risiko wurden im Rahmen der „Digital Omnibus“-Vereinbarung auf Dezember 2027 verschoben. Verschoben, nicht aufgehoben.
ISPE-GAMP-Leitfaden: Künstliche Intelligenz (Juli 2025). Der praxisorientierte Rahmen der Branche für die Anwendung des risikobasierten Lebenszyklusmodells von GAMP auf KI-gestützte computergestützte Systeme.

Insgesamt spiegeln diese Veröffentlichungen dieselben Grundsätze wider, auf denen CSA basiert: die Definition des Verwendungszwecks, die Risikobewertung, die Gewährleistung der Verantwortlichkeit durch qualifiziertes Personal und die Kontrolle des Systems über seinen gesamten Lebenszyklus hinweg. Organisationen, die CSA bereits eingeführt haben, sind daher mit der risikobasierten Terminologie vertraut, die die Regulierungsbehörden im Zusammenhang mit KI anwenden. Organisationen, die weiterhin auf traditionelle CSV-Praktiken setzen, müssen möglicherweise sowohl ihren Validierungsansatz als auch ihr KI-Governance-Rahmenwerk anpassen.

Rechnen Sie damit, dass sich diese Liste weiterhin ändern wird. Anhang 22 wird möglicherweise noch überarbeitet, bevor er endgültig feststeht, und seine Position zur generativen KI wird noch diskutiert. Das Ziel ist ein Programm, das neue Leitlinien übernimmt, ohne jedes Mal neu entwickelt werden zu müssen: risikobasiert, mit dokumentierter Begründung und unter Einbeziehung einer Person.

Die Technologie entwickelt sich schneller als die Richtlinien

So schnell sich die Regulierung auch entwickelt, die Technologie schreitet noch schneller voran. Die Leistungsfähigkeit der Modelle verbessert sich mittlerweile innerhalb von Monaten statt Jahren. Tools, die vor zwei Jahren noch lediglich ein Dokument zusammenfassen konnten, sind heute in der Lage, eine Risikobewertung anhand Ihrer eigenen Kriterien zu erstellen, Testfälle aus einer Anforderung zu generieren und die Ergebnisse der durchgeführten Tests auf Lücken zu überprüfen. Für Validierungsteams sind drei Veränderungen von besonderer Bedeutung.

KI wird in die Systeme integriert, die Sie validieren. Anbieter von eQMS-, LIMS-, MES- und Dokumentenmanagementsystemen liefern in ihren regelmäßigen Updates KI-Funktionen aus. Jede dieser Funktionen ist eine neue Funktion mit einem festgelegten Verwendungszweck und einem zu bewertenden Risiko – und sie wird nach dem Zeitplan des Anbieters bereitgestellt, nicht nach Ihrem.
Die Release-Frequenz hat die Situation grundlegend verändert. Cloud-Plattformen werden mehrmals im Jahr aktualisiert. Im Rahmen von CSV bedeutete jedes Release eine Folgenabschätzung und eine Runde von Regressionsskripten. Der manuelle Aufwand kann mit dieser Frequenz nicht Schritt halten, selbst im Rahmen von CSA nicht.
KI-gestützte Validierungstools werden immer leistungsfähiger. Digitale Validierungsplattformen können mittlerweile Aufgaben wie die Erstellung von Dokumentationen, die Gewährleistung der Rückverfolgbarkeit und die Durchführung von Vorabprüfungen unterstützen. Bei einer Umsetzung mit geeigneten Kontrollmechanismen und menschlicher Aufsicht können diese Funktionen Unternehmen dabei helfen, CSA einheitlicher und in größerem Umfang anzuwenden.

Die Auswahl eines KI-fähigen Tools ist ebenfalls eine Entscheidung im Rahmen des Änderungsmanagements. Modellaktualisierungen, neue Funktionen und Konfigurationsänderungen können sich auf das Systemverhalten auswirken. Unternehmen, die diese Änderungen effektiv verwalten, behandeln das KI-Modell und dessen Konfiguration als kontrollierte Elemente: Sie dokumentieren die verwendete Version, bewerten Änderungen und führen bei Bedarf eine entsprechende erneute Überprüfung durch.

Unsere Position: CSA ohne KI ist kein empfehlenswerter Ansatz

Wir empfehlen unseren Kunden stets, bei der Umstellung auf CSA den Einsatz eines KI-gestützten Validierungstools in Betracht zu ziehen. CSA verändert den Umfang und den Schwerpunkt der Prüfungsaktivitäten, während KI die Geschwindigkeit und Konsistenz bei der Durchführung dieser Aktivitäten verbessern kann. Die Einführung von CSA ohne die entsprechende Technologie könnte daher die operativen Vorteile der Umstellung einschränken.

CSA eliminiert geringwertige Aufgaben; KI beschleunigt die verbleibenden Arbeiten. Angaben zum Verwendungszweck, Risikobewertungen, Begründungen, Rückverfolgbarkeit und die Überprüfung von Belegen nehmen nach wie vor Zeit in Anspruch. Die KI erstellt Entwürfe, führt Gegenprüfungen durch und kennzeichnet sie. Die Entscheidung treffen Menschen.

Konsistenz ist der schwierigste Aspekt von CSA. In Teil 3 wurde das Kalibrierungsproblem beschrieben: Geschulte Gutachter kommen bei derselben Anlage zu unterschiedlichen Bewertungen. Ein Tool, das Ihre dokumentierten Risikokriterien jedes Mal auf dieselbe Weise anwendet, bietet den Gutachtern eine einheitliche Ausgangsbasis und macht Ausreißer sichtbar.

Hier zeigt sich der tatsächliche Nutzen. Die Einsparungen bei der Dokumentation durch CSA sind real, aber gering, wenn jeder Schritt weiterhin manuell erfolgt. Der größere Nutzen ergibt sich aus kürzeren Durchlaufzeiten pro System und pro Release, weniger Überprüfungsrunden und der Umverteilung von Personalzeit auf die risikoreichen Aufgaben, die diese Aufmerksamkeit verdienen.

KI kann sowohl die Geschwindigkeit als auch die Qualität verbessern. KI kann große Mengen an Testdaten auswerten, ohne dass es zu den Schwankungen kommt, die bei wiederholten manuellen Überprüfungen häufig auftreten. Sie kann fehlende Rückverfolgbarkeit, uneinheitliche Terminologie, unvollständige Aufzeichnungen und Daten identifizieren, die nicht mit dem erwarteten Ergebnis übereinstimmen. Dies sind häufige Probleme bei der Dokumentation, die zu Beanstandungen bei Audits oder Inspektionen führen können.

Beides gleichzeitig zu erledigen ist kostengünstiger als eine nachträgliche Umrüstung. Wenn man neue SOPs, Vorlagen und Schulungen für einen manuellen Prozess erstellt und diese ein Jahr später für ein Tool neu anpasst, muss man die Kosten für die Umstellung doppelt tragen.

Wo KI im CSA-Lebenszyklus zum Einsatz kommt

KI ersetzt den CSA-Prozess nicht. Vielmehr kann sie bestimmte Aktivitäten innerhalb dieses Prozesses unterstützen, während qualifiziertes Personal weiterhin für Risikobewertungen, die Anerkennung von Nachweisen und die endgültige Genehmigung verantwortlich bleibt.

CSA-Schritt	Wie KI den Prozess unterstützen kann	Was Ihre Mitarbeiter besitzen
Verwendungszweck definieren	Erstellt Entwürfe für Angaben zum Verwendungszweck auf der Grundlage von Anforderungen, Anbieterdokumentation und Prozessabbildungen; weist auf Lücken und mehrdeutige Funktionen hin	Überprüfung, ob die Angaben zum Verwendungszweck korrekt und vollständig sind
Risiko bewerten	Schlägt für jede Funktion eine Risikoeinstufung anhand Ihrer dokumentierten Kriterien vor, wobei die Begründung angegeben wird	Zustimmung zur Bewertung oder deren Ablehnung sowie Unterzeichnung der Begründung
Versicherungsschutz	Empfiehlt je nach Risiko eine skriptgesteuerte, nicht skriptgesteuerte oder anbieterbasierte Qualitätssicherung; erstellt Testfälle auf der Grundlage der Anforderungen	Genehmigung des Plans und des Grades an Strenge
Ausführen	Steuert die Ausführung auf einer digitalen Plattform, erfasst automatisch Nachweise und führt bei jeder Veröffentlichung automatisierte Regressionstests durch	Durchführung und Beobachtung von risikoreichen Tests; Beurteilung unerwarteter Ergebnisse
Überprüfen und protokollieren	Prüft die Nachweise anhand der erwarteten Ergebnisse, der Rückverfolgbarkeits- und Dokumentationsvorschriften; fasst Abweichungen zusammen	Abschließende Prüfung und Genehmigung
Pflegen	Liest die Versionshinweise des Anbieters, ordnet die Änderungen den validierten Funktionen zu und erstellt einen Entwurf der Auswirkungsanalyse; unterstützt die regelmäßige Überprüfung	Entscheidungen zur Änderungskontrolle

Digitale Plattformen, Tests ohne vorgegebenes Drehbuch und Nachweise der Anbieter

KI funktioniert am besten auf einer bereits digitalen Grundlage. Drei weitere Aspekte des technologischen Gesamtbildes sind ebenso wichtig wie die KI selbst.

Digitale Validierungsplattformen. Papierlose Erstellung, Unterzeichnung, Überprüfung und Genehmigung – mit integrierter Rückverfolgbarkeit und Part-11-Konformität. Ohne eine solche Plattform erstellt die KI Entwürfe, die von Mitarbeitern in Word kopiert und ausgedruckt werden. Mit einer solchen Plattform bleibt die gesamte Dokumentation vernetzt, durchsuchbar und für Inspektionen bereit.
Tools für nicht skriptbasierte und explorative Tests. CSA erlaubt ausdrücklich nicht skriptbasierte und Ad-hoc-Tests für Funktionen mit geringerem Risiko. Tools, die die Sitzung aufzeichnen, Screenshots erstellen und Ergebnisse automatisch protokollieren, machen explorative Tests zu stichhaltigen Nachweisen, ohne dass zuvor Skripte geschrieben werden müssen.
Lieferantenunterlagen. Lieferantenqualifizierungsunterlagen, Auditberichte und Testergebnisse von Lieferanten können im Rahmen von CSA genutzt werden, anstatt sie erneut zu erstellen. KI kann diese Unterlagen auswerten und aufzeigen, in welchen Bereichen die Tests des Lieferanten Ihren beabsichtigten Verwendungszweck abdecken und in welchen nicht.

Messung des ROI von CSA und KI

Der Nutzen von CSA und KI ist real, muss jedoch gemessen und darf nicht einfach angenommen werden. In Teil 3 wurde empfohlen, den Aufwand im ersten Jahr explizit zu erfassen; diese Ausgangsbasis liefert den Beweis.

Titel:

Aufwand. Stunden pro System und pro Release im Vergleich zur CSV-Basislinie.
Geschwindigkeit. Die verstrichene Zeit vom Änderungsantrag bis zur Freigabe.
Qualität. Anzahl der Überprüfungszyklen pro Teilergebnis und bei der Überprüfung festgestellte Fehler in der Dokumentation.
Schwerpunkt: Anteil des Prüfungsaufwands, der für risikoreiche Funktionen aufgewendet wird.
Ergebnis. Feststellungen aus Audits und Inspektionen zu CSA-zertifizierten Systemen.

Es ist mit dem in Teil 3 beschriebenen Implementierungsmuster zu rechnen: Der Aufwand wird zunächst während der Toolauswahl, der Konfiguration und der Durchführung des Pilotprojekts steigen, bevor er unter die CSV-Basislinie sinkt. Das richtige Tool kann die Übergangsphase verkürzen und den laufenden Aufwand verringern, wird jedoch die Notwendigkeit von Implementierungs- und Einführungsmaßnahmen nicht beseitigen.

Sicherheit des KI-Tools selbst gewährleisten

Ein bei der Validierung eingesetztes KI-Tool ist selbst eine im Qualitätssystem verwendete Software, und die CSA gilt auch dafür. Das ist kein Grund, darauf zu verzichten, sondern ein Grund, es korrekt einzurichten.

Definieren Sie den Verwendungszweck eng. Ein Tool, das Dokumente zur Überprüfung durch Menschen entwirft, birgt ein ganz anderes Risiko als eines, das alles genehmigt. Legen Sie fest, dass eine qualifizierte Person für jedes Ergebnis verantwortlich ist, im Einklang mit Anhang 22 sowie den Grundsätzen der FDA und der EMA.
Versionen und Konfiguration kontrollieren. Ermitteln Sie, welche Modellversion das Tool verwendet, und behandeln Sie Modellaktualisierungen als zu bewertende Änderungen.
Unterziehen Sie Eingabeaufforderungen, Vorlagen und Risikokriterien einer Dokumentenkontrolle. Sie prägen das Ergebnis ebenso stark wie das Modell.
Schützen Sie Ihre Daten. Vergewissern Sie sich, wo Daten verarbeitet und gespeichert werden, und stellen Sie sicher, dass vertrauliche Daten und GxP-Daten nicht zum Trainieren öffentlicher Modelle verwendet werden.
Führen Sie ein KI-Verzeichnis. Listen Sie jedes KI-fähige Tool und jede KI-Funktion in Ihren validierten Systemen auf, einschließlich des Verwendungszwecks und der Risikoeinstufung. Dies gehört mittlerweile zu den ersten Dingen, die ein Auditor einsehen möchte.

Ein praktischer Ausgangspunkt

Wählen Sie ein Pilotprojekt aus. Wählen Sie ein System aus der Triage in Teil 3 aus, idealerweise eines, für das ein Hersteller-Upgrade ansteht.
Wählen Sie das Tool anhand klarer Kriterien aus, darunter seine Eignung für den GxP-Einsatz, die Einhaltung der Anforderungen von Part 11, die Transparenz der von der KI generierten Ergebnisse, der Reifegrad des Qualitätsmanagementsystems des Anbieters sowie die Möglichkeit der Integration in die bereits vorhandenen Systeme.
Stellen Sie sicher, dass das Tool den CSA-Anforderungen entspricht. Legen Sie einen eng gefassten Verwendungszweck fest, führen Sie eine Risikobewertung durch und dokumentieren Sie die Begründung.
Führen Sie das Pilotprojekt parallel durch und erfassen Sie die Daten. Vergleichen Sie die Stundenanzahl und die verstrichene Zeit und setzen Sie die Ergebnisse mit Ihrem derzeitigen Vorgehen in Beziehung.
Aktualisieren und skalieren. Integrieren Sie das Tool in Standardarbeitsanweisungen, Vorlagen und rollenbasierte Schulungen und erweitern Sie es anschließend entsprechend der Reihenfolge, die durch die Triage vorgegeben wird.

Abschluss der Serie

In allen vier Teilen war die Botschaft einheitlich: CSA ist die erklärte Erwartung der FDA und kein Konzeptentwurf (Teil 1). Erfolg oder Misserfolg hängen von der Unternehmenskultur ab (Teil 2), und es bedarf echter Schulungen, dedizierter Ressourcen und einer konsequenten Triage bestehender Systeme (Teil 3). Die Technologie ist es, die diese Bemühungen in dauerhafte Geschwindigkeit, Konsistenz und Rendite umsetzt.

Der regulatorische Rahmen für KI wird sich weiterentwickeln, und die zugrunde liegende Technologie wird noch rascher voranschreiten. Unternehmen sind besser für den Umgang mit diesen Veränderungen gerüstet, wenn sie über ein risikobasiertes CSA-Programm, klare Governance-Strukturen, qualifizierte personelle Aufsicht sowie Technologien verfügen, die kontrollierte und wiederholbare Validierungsverfahren unterstützen.

Wie RCM Life Sciences Ihnen helfen kann

RCM Life Sciences unterstützt Unternehmen dabei, von der traditionellen CSV zu einem effizienteren, risikobasierten CSA-Modell überzugehen, ohne dabei die Kontrolle über Compliance, Qualität oder Datenintegrität zu verlieren. Unser Team verfügt über praktische Erfahrung in den Bereichen Qualität, Zulassungsrecht, Validierung von Computersystemen, eQMS, Projektmanagement und Initiativen zur digitalen Transformation. Wir helfen unseren Kunden dabei, aktuelle Validierungspraktiken zu bewerten, SOPs und Vorlagen neu zu gestalten, risikobasierte Sicherungsstrategien zu definieren, funktionsübergreifende Teams zu schulen und eine inspektionsbereite Umsetzung zu gewährleisten.

RCM unterstützt Unternehmen in jeder Phase der CSA-Einführung, einschließlich der Bewertung aktueller Praktiken, der Aktualisierung veralteter CSV-Verfahren, der Implementierung regulierter Systeme und der Reduzierung veralteter Validierungsunterlagen. Unser Team hilft bei der Entwicklung maßgeschneiderter, nachhaltiger Ansätze, die den Erwartungen der FDA und den Best Practices der Branche entsprechen und gleichzeitig die Patientensicherheit und Produktqualität gewährleisten.

Kontaktieren Sie uns, um die Auswahl und Implementierung von KI-gestützten Validierungstools im Rahmen Ihrer CSA-Umstellung zu besprechen, die Zuverlässigkeit von KI-gestützten Systemen und Funktionen sicherzustellen, ein KI-Inventar und ein Governance-Rahmenwerk aufzubauen oder den Return on Investment Ihres Validierungsprogramms zu messen.