Compliance lässt sich nicht nachrüsten

Mit dem CRA erreicht die Nachweispflicht die gesamte Softwarebranche: Wer ausliefert, muss belegen können, wie ein Produkt entstanden ist und wie es sich verhält. In der Pharmaindustrie ist das seit Jahrzehnten Usus. Dort entscheidet nicht die Funktion einer Anwendung über ihre Freigabe, sondern der dokumentierte Nachweis ihres Verhaltens.

Validierung ist kein Dokument, sondern ein Argument

Regulierte Umgebungen kennen keinen Zustand „läuft", nur „nachgewiesen". Wer Software in der pharmazeutischen Produktion, Qualitätskontrolle oder klinischen Entwicklung betreibt, muss gegenüber Behörden belegen, dass ein System für seinen definierten Verwendungszweck zuverlässig arbeitet. Die Grundlagen dafür – EU-GMP Annex 11, 21 CFR Part 11 – sind älter als die meisten heute gängigen Entwicklungswerkzeuge.

Der Kern dieser Richtlinie ist vertraut: Die „Computerized System Validation" bedeutet eine lückenlose Kette von Anforderung über Spezifikation und Test bis zu Beleg, dass der Test tatsächlich gelaufen ist. Requirements Traceability, automatisierte Testsuiten, reproduzierbare Builds, saubere Änderungskontrolle – das ist bereits das Gros der Arbeit.

Der Unterschied zwischen Software- und Pharmadokumentation liegt in der Gültigkeit: Ein Nachweis muss nicht dem nächsten Sprint standhalten, sondern einer Inspektion in fünf Jahren. Die sogenannte „Good Automated Manufacturing Practice" (GAMP 5) hat sich ausdrücklich vom Checklistendenken verabschiedet und stellt „critical thinking" in den Mittelpunkt: Der Aufwand folgt dem Risiko, nicht der Gewohnheit. Das ist eine Einladung, Validierung als Engineering-Aufgabe zu behandeln und nicht als Formular.

Low-Code verschiebt die Validierung, es ersetzt sie nicht

Kaum eine Technologie hat sich in Pharmaunternehmen so schnell verbreitet wie Low-Code. Auf der Microsoft Power Platform entstehen Anwendungen für Schulungsnachweise, Abweichungsmeldungen oder Probenlogistik – Prozesse, die zuvor in Excel-Dateien und E-Mail-Verläufen bestanden. Auf den ersten Blick ein Gewinn: Ein dokumentierter Workflow ist einer nicht dokumentierten Tabelle in jeder Hinsicht überlegen.

Die schwierige Frage stellt sich danach. Was ist mit einer Anwendung, die ein Fachbereich an einem Nachmittag gebaut hat und die seit drei Monaten Chargendaten verarbeitet? Die Antwort liegt nicht in der einzelnen App, sondern in der gesamten Plattform: getrennte Dev-, Test- und Produktionsumgebungen, Managed Environments, DLP-Richtlinien für Konnektoren, solutionbasiertes ALM mit Azure DevOps oder GitHub, dazu eine risikobasierte Einordnung, welche Anwendung überhaupt GxP-relevant ist. Der Prüfpunkt wandert von der App zur Governance.

Regulatorien einzuhalten, relativiert die zentrale Verheißung von Low-Code und ist zugleich die Voraussetzung dafür, dass Fachbereiche tatsächlich selbst entwickeln dürfen – in einem Rahmen, der die Nachweisführung übernimmt, statt sie jedem Einzelnen aufzubürden.

KI und das Ende der Reproduzierbarkeit

Die eigentliche Bruchstelle ist die künstliche Intelligenz. Regulatorische Erwartungen setzen auf Determinismus: gleiche Eingabe, gleiches Ergebnis, jederzeit reproduzierbar. Generative Modelle erfüllen das nicht, und keine Konfiguration ändert daran etwas Grundsätzliches.

Praktikabel sind derzeit vier Ansätze: Ein eng gefasster Verwendungszweck. Der Mensch als Entscheidungsinstanz. Die Validierung des Prozesses statt des Modells. Und kontinuierliches Monitoring statt einmaliger Qualifizierung, inklusive Versionierung von Modell, Prompt, Kontextquellen und Datenbasis.

Bemerkenswert ist, wie gut das aus der Pharmabranche stammende Prinzip der Datenintegrität greift. ALCOA+ verlangt, dass Daten zuordenbar, lesbar, zeitnah, im Original und korrekt vorliegen – im Kern ein Provenance-Modell, das die heutige Debatte über SBOMs und Lieferkettennachweise um Jahrzehnte vorwegnimmt. Bei KI-gestützten Systemen wird die Zuordenbarkeit zur schwierigsten Kategorie: Der Audit Trail muss unterscheiden können, ob eine Eintragung von einem Menschen oder von einem Modell stammt. Wer diese Trennung erst nachträglich einzieht, bekommt sie nicht mehr sauber hin.

Regulierung als Entwurfsmuster

Regulierte Softwareentwicklung ist kein Sonderfall mehr, sondern ein Vorlauf. Die Fragen, die Pharma-IT seit Jahren beschäftigen – Nachvollziehbarkeit, Verantwortungszuordnung, belastbare Nachweise für Systeme, die niemand vollständig überblickt – erreichen gerade die gesamte Branche. Die wichtigste Lehre daraus ist unspektakulär: Nachvollziehbarkeit lässt sich nicht nachrüsten. Sie entsteht in der Architektur oder gar nicht.

Dieser Beitrag berührt unsere Arbeit an der Schnittstelle von GxP-Compliance, Datenintegrität, Validierung und Power Platform.