7月7日，歐盟委員會發布了新的EU GMP修訂：包括第4章《文件》、附錄11《計算機化系統》和一個新的附錄——附錄22《人工智能》，如下：

修訂情況如下：

第 4 章 -文件

修訂后的第 4 章納入了一些變化，這些變化強調了文件在 GMP 合規性中的重要性，并支持在文件管理中使用新技術、混合解決方案和新服務。風險管理原則是其核心并集成到數據治理系統中，以確保所有形式（紙質、數字或混合）的文件的準確性、完整性、可用性和易讀性。所有文件，無論是文本、圖像、視頻還是音頻形式，都必須在其整個生命周期內保持完整和可讀性。該章節還闡明了對電子記錄、簽名和數據完整性的管理要求，同時確保與附錄 11 的同步修訂保持一致。

附錄11 – 計算機化系統

修訂后的附錄 11 對計算機化系統的生命周期管理提出了更高的要求，要求在所有步驟中全面應用質量風險管理原則。更新后的條款加強了有關定義和持續維護系統要求的義務，以及對供應商和外部服務提供商的監督。此外，附錄還加強了與保證數據完整性、審計追蹤、電子簽名和系統安全性相關的控制。

新的附錄完全不接受遺留系統，文件中明確，在用戶，數據或設置可以手動更改的情況下，審計追蹤功能應被視為強制性的，該功能可自動記錄GMP關鍵系統上的所有手動交互；不僅僅是“基于風險評估考慮”。在沒有審計追蹤功能的情況下控制流程或捕獲、保存或傳輸此類系統中的電子數據是不可接受的；此方面內的任何寬限期早已過期。

新版附錄11包含如下變化：

更新文件以包含EMA GMP網站上的附錄11問答和數據完整性問答的相關部分。

關于數據完整性，新的附錄11包括對“動態數據”和“靜態數據”（備份、存檔和處置）的要求。

考慮更新文件對“數字化轉型”和類似的新概念提出監管要求。

調整“適用范圍”，不僅包括計算機化系統“代替手動操作”的情況，還涵蓋用以代替“另一個系統或手動過程”的情況。

包含對服務器的監管，例如“云”服務（常見的云服務包括電子監管碼等）。

對于由服務提供商驗證和/或運營的關鍵系統（例如“云”服務），要求應不僅僅是“必須有正式協議”。受監管的用戶應可以訪問完整的文檔，以對系統進行驗證和安全運行，并能夠在監管檢查期間出示這些文檔，例如在服務提供商的幫助下。

概念文件表示，“商用現貨產品”（COTS）一詞的定義并不充分，而且很容易理解得過于寬泛。關鍵的 COTS 產品，即使是“廣泛用戶”使用的產品，也應由供應商或受監管用戶進行確認，并且應提供相關文檔以供檢查。應澄清該術語的使用以及對此類（例如“云”）系統的確認、驗證和安全操作的要求。

需要澄清“驗證”（和“確認”）一詞的含義。應該強調的是，這兩項活動都包括對用戶需求規范 （URS） 或類似內容中所述的必需和指定功能的確認。

文件表示，計算機化系統確認和驗證應特別挑戰用于做出GMP決策的系統的關鍵部分，確保產品質量和數據完整性的部分以及專門設計或定制的部分。

文件指出，關于“用戶需求應在整個生命周期中可追溯”這句話的含義還不夠清楚。用戶需求規范或類似內容，描述所有需要實施和必需的GMP關鍵自動化功能，并且受監管用戶所依賴，應成為系統任何確認或驗證的基礎，無論是由受監管用戶還是由供應商執行。用戶需求規范應在整個系統生命周期中保持更新并與實施的系統保持一致，并且用戶需求、任何底層功能規范和測試用例之間應有書面的可追溯性。

文件包含對敏捷開發過程的指導和關鍵數據和關鍵系統的分類指南。

關于備份，文件指出，對易失性介質的長期備份（或存檔）應基于經過驗證的程序（例如，通過“加速測試”）。在這種情況下，測試不應側重于備份是否仍可讀，而應驗證備份在給定時間段內是否可讀。

文件中缺少對備份過程的重要要求，例如備份涵蓋的內容（例如，僅數據還是數據和應用程序），進行哪些類型的備份（例如增量或完整），進行備份的頻率（所有類型），備份保留多長時間，備份使用哪種介質以及備份的保存位置（例如物理分離）。

文件指出，在用戶，數據或設置可以手動更改的情況下，審計追蹤功能應被視為強制性的，該功能可自動記錄GMP關鍵系統上的所有手動交互；不僅僅是“基于風險評估考慮”。在沒有審計追蹤功能的情況下控制流程或捕獲、保存或傳輸此類系統中的電子數據是不可接受的；此方面內的任何寬限期早已過期。

審計追蹤審查的概念和目的描述不充分。這一過程應側重于審查對系統進行的人工更改的完整性，例如核實更改的原因以及更改是否在不尋常的日期、時間以及由不尋常的用戶進行。

應提供可接受的審計追蹤審查頻率指南。對于關鍵參數的審計追蹤，例如在BMS系統中設置報警以對無菌灌裝相關的壓差發出警報，審計追蹤審查應成為批放行的一部分，遵循基于風險的方法。

文件指出，許多系統生成了大量的警報和事件數據，并且這些數據經常與審計追蹤條目混淆。雖然警報和事件可能需要自己的日志、確認和審查，但這不應與手動系統交互的審計追蹤審查相混淆。因此，至少應該能夠對這些進行排序。

應增加配置審查的概念。配置審查不應增加系統上已知變更的數量（升級歷史記錄），而應基于一段時間內硬件和軟件基準的比較。這應包括對任何差異的說明以及對再確認/驗證需求的評估。

根據ISO 27001，關于IT安全的部分應包括對系統和數據的機密性，完整性和可用性的關注。

應該明確指出，關鍵系統上的身份驗證應高度確定地識別受監管的用戶。因此，僅通過“通行卡”進行身份驗證可能是不夠的，因為它可能會被丟失并隨后被任何人發現。

應定期審查系統訪問和角色，以確保刪除被遺忘和不需要的訪問。

由于工業界已經在實施這項技術，因此在關鍵的GMP應用中使用人工智能（AI）和機器學習（ML）模型方面迫切需要監管指導和期望。主要關注點應放在用于測試這些模型的數據的相關性、充分性和完整性以及此類測試的結果（指標）上，而不是選擇、訓練和優化模型的過程。

指南包含關于計算機軟件保證（CSA）方面的內容。

附錄 22 - 人工智能

這是一個新增的附錄，這個關于人工智能的新附錄規定了在活性物質和醫藥產品制造中使用人工智能和機器學習的要求。它為 AI 模型的選擇、訓練和驗證設定了要求。重點包括模型預期用途的定義、性能指標的建立、模型訓練數據的質量以及測試數據的管理和處理。附錄 22 要求對 AI 系統進行持續監督，包括變更控制、模型性能監控和必要時的人工審查程序。