Dr. Joachim WeinbrechtVon Dr. Joachim Weinbrecht, Geschäftsführer W+W Consulting·Aktualisiert am

KI-Dokumentenprüfung bedeutet: Eine Software liest gescannte und digitale Chargenakten, Prüfberichte, Zertifikate und Belege, erfasst die relevanten Werte, prüft sie gegen Spezifikation und Regeln und legt dem Prüfer nur noch die Abweichungen mit Fundstelle vor. In regulierten Branchen funktioniert das GMP-konform, wenn die Prüflogik deterministisch bleibt, die Lösung für ihren Verwendungszweck validiert ist und die Entscheidung beim Menschen liegt. Unser Zielkorridor aus Projekten: unter einer Stunde statt zwei bis vier Stunden je Chargenakte.

Wer in Pharma, Medizintechnik, Lebensmittel oder Chemie Qualitätsverantwortung trägt, kennt das Problem: Die eigentliche Arbeit ist nicht das Prüfen, sondern das Suchen. Hunderte Seiten je Charge, handschriftliche Einträge, Stempel, Unterschriften, Messwerte, die gegen eine Spezifikation abgeglichen werden müssen. Dieser Beitrag zeigt, was KI dabei heute zuverlässig leistet, welche Regulatorik Stand November 2026 gilt und wie Sie ein Projekt aufsetzen, das am Ende auch eine Inspektion übersteht.

Was KI-Dokumentenprüfung konkret leistet

Im Leistungsblock KI-Datenverarbeitung und Bilderkennung setzen wir die Dokumentenprüfung so um, dass sich der Ablauf für QA und QC an einer klaren Kette orientiert:

  1. Dokument einlesen: Gescannte und digitale Dokumente werden übernommen, auch mit Tabellen, Checkboxen, Handschrift und Stempelfeldern.
  2. Werte erfassen: Chargennummer, Einwaage, Temperatur, Prozesszeiten, Unterschrift vorhanden ja/nein, Datum der Freigabe und weitere Pflichtangaben werden den richtigen Feldern zugeordnet.
  3. Gegen Spezifikation prüfen: Vollständigkeit, Unterschriften, Grenzwerte, Plausibilität und Datumslogik werden gegen Spezifikation, Stammdaten und Herstellvorschrift geprüft.
  4. Abweichungen markieren: Jede Auffälligkeit erscheint mit Seite, Feld und Ausschnitt aus dem Original.
  5. Mensch entscheidet: Der Prüfer bestätigt oder verwirft mit Begründung.
  6. Revisionssicher dokumentieren: Original, erfasster Wert, angewandte Regel, Ergebnis und Entscheidung werden mit Benutzer und Zeitstempel festgehalten.

Das Prinzip dahinter heißt Review by Exception: Der Mensch liest nicht mehr jede Seite, sondern bearbeitet die Ausnahmen, die die Lösung gefunden hat, und stichprobenartig den Rest. Die Verantwortung für die Freigabe ändert sich dadurch nicht. Wer sie vorher hatte, hat sie auch danach.

Zielkorridore aus unseren Projekten

Wir kommunizieren keine Studienergebnisse, sondern Erfahrungswerte, die wir im Proof of Value am jeweiligen Prozess nachmessen:

  • Chargenakte: unter 1 Stunde statt 2 bis 4 Stunden Prüfzeit
  • Einzelbeleg (Lieferschein, Zertifikat, Rechnung): 1 bis 2 statt 8 bis 10 Minuten
  • Prüfzeit insgesamt: rund minus 50 Prozent

Der Effekt kommt weniger aus der Geschwindigkeit der KI als aus dem Wegfall der Suche. Ein erfahrener Prüfer findet einen fehlenden Namenszug auch selbst. Er braucht nur sehr lange, um 300 Seiten danach abzusuchen.

Regulatorik: Was gilt Stand November 2026?

Die gute Nachricht vorweg: Für eine KI-gestützte Dokumentenprüfung braucht es keine Sondergenehmigung. Es gelten die bekannten Regeln für computergestützte Systeme, ergänzt um KI-spezifische Erwartungen, die gerade festgeschrieben werden. Entscheidend ist, dass die Lösung diese Anforderungen nachweisbar erfüllt.

GMP/GxP, Data Integrity und ALCOA+

Jedes System, das GMP-relevante Daten erzeugt oder verarbeitet, muss die Data-Integrity-Prinzipien erfüllen. ALCOA+ steht für zuordenbar, lesbar, zeitgleich, original und genau, ergänzt um vollständig, konsistent, dauerhaft und verfügbar. Für die KI-Prüfung heißt das: Jeder erfasste Wert muss auf das Originaldokument zurückführbar sein, jede Änderung und jede Entscheidung braucht einen Audit Trail mit Benutzer, Zeitstempel und Grund. Genau so sind unsere Lösungen ausgelegt.

EU-GMP Annex 11 und die laufende Revision

Annex 11 regelt computergestützte Systeme im EU-GMP-Leitfaden. Die geltende Fassung stammt aus 2011. Laut Europäischer Kommission wurden am 7. Juli 2025 Entwürfe für einen überarbeiteten Annex 11, ein überarbeitetes Kapitel 4 (Dokumentation) und einen neuen Annex 22 zur Konsultation gestellt, erarbeitet von der GMDP-Inspektorenarbeitsgruppe der EMA gemeinsam mit PIC/S. Die Konsultation endete am 7. Oktober 2025. Der Annex-11-Entwurf ist von rund 5 auf 19 Seiten gewachsen und legt deutlich mehr Gewicht auf Sicherheit, Identitäts- und Zugriffsmanagement, Audit Trails sowie Lieferantensteuerung. Stand November 2026 sind die Texte nicht final veröffentlicht. Wir richten Validierung und Rollen-/Rechtekonzept bereits heute am Entwurf aus, damit Sie bei Inkrafttreten nicht nachrüsten müssen.

Annex 22 „Artificial Intelligence“

Annex 22 ist der erste GMP-Anhang speziell für KI. Der Entwurf gliedert sich in Verwendungszweck (Intended Use), Akzeptanzkriterien, Testdaten, Unabhängigkeit der Testdaten, Testdurchführung, Erklärbarkeit, Konfidenz und Betrieb. Inhaltlich zielt er auf kritische Anwendungen mit direktem Einfluss auf Patientensicherheit, Produktqualität oder Datenintegrität. Dort erwartet er KI mit festem, nicht weiterlernendem Stand und reproduzierbaren Ergebnissen. Im Betrieb weiterlernende Systeme, KI mit probabilistischen Ausgaben sowie generative KI sollen laut Entwurf in kritischen GMP-Anwendungen nicht eingesetzt werden. Für nicht kritische Aufgaben ist generative KI möglich, wenn qualifiziertes Personal die Ergebnisse verantwortet.

Zum Status: Laut Branchenberichten vom Oktober 2026 ist Annex 22 weiterhin ein Entwurf. Die EMA hat in einem Workshop im Sommer 2026 eine Ausweitung des Anwendungsbereichs diskutiert, die Übergabe eines finalen Textes an die Kommission ist für das vierte Quartal 2026 angestrebt. Ein Datum für Veröffentlichung oder Inkrafttreten gibt es noch nicht.

Unsere Lesart für die Praxis: Die Chargenprüfung ist eine kritische Anwendung. Also gehört alles Freigaberelevante in deterministische, validierbare Prüfregeln. Generative KI hat dort höchstens eine unterstützende Rolle.

FDA 21 CFR Part 11 und Computer Software Assurance

Für Unternehmen mit US-Bezug gilt 21 CFR Part 11 für elektronische Aufzeichnungen und Unterschriften: Zugriffskontrolle, Audit Trail, Verknüpfung von Signatur und Datensatz. Unsere Lösungen bilden diese Anforderungen ab. Die FDA hat im September 2025 die finale Guidance „Computer Software Assurance for Production and Quality System Software“ veröffentlicht. Sie richtet sich an Medizinproduktehersteller und beschreibt einen risikobasierten Ansatz: Prüfaufwand dort, wo ein Softwarefehler Qualität oder Sicherheit beeinträchtigen kann, statt Dokumentation um ihrer selbst willen. Für Medizintechnik ist zudem relevant, dass in den USA seit dem 2. Februar 2026 die QMSR gilt, die ISO 13485 in 21 CFR Part 820 einbindet.

GAMP 5 Second Edition und GAMP-Leitfaden zu KI

GAMP 5 in der zweiten Auflage von 2022 betont kritisches Denken und risikobasiertes Vorgehen und ist mit dem CSA-Gedanken kompatibel. Im Oktober 2025 hat die ISPE einen eigenen GAMP-Leitfaden zu künstlicher Intelligenz veröffentlicht, der beschreibt, wie KI in GxP-Umgebungen eingeführt und betrieben werden kann. Beide Leitfäden sind neben dem Annex-22-Entwurf die Grundlage, auf der wir validieren.

So validiert W+W KI-Dokumentenprüfung

Validierung ist der Teil, an dem KI-Projekte in regulierten Branchen am häufigsten scheitern, meist weil sie zu spät mitgedacht wird. Wir planen sie deshalb vom ersten Workshop an mit. Die Grundbegriffe erklärt unser Glossar zur GxP-Validierung. Die Bausteine:

  • Intended Use: Schriftlich festlegen, welche Dokumenttypen, welche Prüfregeln und welche Entscheidung die Lösung unterstützt und welche nicht.
  • Risikobasierung: Prüfregeln nach Auswirkung klassifizieren. Ein übersehenes Unterschriftsfeld in der Freigabe wiegt schwerer als ein falsch gelesenes Lieferantenkürzel.
  • Akzeptanzkriterien und Testdatensätze: Vorab festlegen, welche Erkennungsquote je Feldtyp gefordert ist. Getestet wird mit einem repräsentativen, unabhängigen Testdatensatz, inklusive schlechter Scans und Grenzfälle.
  • Kein Self-Learning im Produktivbetrieb: Der validierte Stand ist eingefroren. Verbesserungen werden getrennt vorbereitet und gehen über Change Control mit Regressionstest in Produktion.
  • Konfidenz und Monitoring: Jeder erfasste Wert trägt einen Konfidenzwert. Unterhalb einer Schwelle geht der Wert zwingend an den Menschen. Im Betrieb überwachen wir Fehlerquoten und Veränderungen, etwa bei neuen Formularversionen.
  • Audit Trail: Original, erfasster Wert, Regel, Ergebnis, menschliche Entscheidung und Versionsstand werden revisionssicher gespeichert.

Der Ablauf für QA und QC im Alltag

Für die Qualitätssicherung ändert sich weniger, als viele erwarten. Der Prüfer öffnet die Akte nicht mehr auf Seite 1, sondern bei der Abweichungsliste:

  • Eingang: Die Akte kommt wie bisher aus Scanner, DMS, Postfach oder ERP und wird automatisch geprüft.
  • Arbeitsliste: Je Akte sieht der Prüfer, welche Regeln erfüllt sind und wo Abweichungen vorliegen, jeweils mit Fundstelle im Original.
  • Entscheidung: Bestätigen, verwerfen oder an Produktion zurückgeben, jeweils mit Begründung und elektronischer Signatur nach Part 11 beziehungsweise Annex 11.
  • Stichprobe: Ein definierter Anteil unauffälliger Akten wird zusätzlich manuell geprüft. Das sichert die Leistung der Lösung dauerhaft ab.
  • Regelpflege: Grenzwerte und Pflichtfelder pflegt die Qualitätssicherung selbst, als nachvollziehbare Regeln und unter Change Control.
  • Rückmeldung: Das Ergebnis steht in ERP, MES, LIMS oder QMS zur Verfügung, zum Beispiel als Status für die Chargenfreigabe.

Sicher und compliant: DSGVO, EU AI Act und GxP

Chargenakten und Prüfberichte enthalten Betriebsgeheimnisse und personenbezogene Daten wie Namen und Unterschriften. Die Lösungen von W+W sind DSGVO-konform und nach den Anforderungen des EU AI Act ausgelegt. Konkret heißt das:

  • Datenverarbeitung in EU-Rechenzentren ist möglich.
  • Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO regelt Zweck, Umfang und Schutzmaßnahmen.
  • Keine Nutzung Ihrer Daten zum Training fremder KI.
  • Rollen- und Rechtekonzept: Wer was sehen, prüfen und freigeben darf, ist festgelegt und nachvollziehbar.
  • Audit Trail: Jede Prüfung und jede Entscheidung ist lückenlos dokumentiert.
  • Menschliche Aufsicht: Die Lösung schlägt vor, der Mensch entscheidet.
  • Deterministische, validierbare Prüflogik im GxP-Einsatz: gleiche Akte, gleiches Ergebnis.

Zur Einordnung nach dem EU AI Act: Eine KI-Dokumentenprüfung in der Produktion ist typischerweise kein Hochrisikosystem im Sinne des Anhangs III. Ist KI Sicherheitsbauteil eines regulierten Produkts, etwa eines Medizinprodukts, kann das anders aussehen. Laut Future of Privacy Forum wurden die Hochrisiko-Pflichten durch den im Juli 2026 im Amtsblatt veröffentlichten AI-Omnibus verschoben: für Anhang-III-Systeme auf den 2. Dezember 2027, für produktgebundene Systeme nach Anhang I auf den 2. August 2028. Die Pflicht zur Förderung von KI-Kompetenz bleibt bestehen. Mehr dazu in unserem Beitrag zum EU AI Act für Unternehmen.

Welche Dokumente sich wie gut automatisieren lassen

Nicht jedes Dokument eignet sich gleich gut. Die folgende Übersicht zeigt typische Prüfregeln und den realistisch erreichbaren Automatisierungsgrad. „Hoch“ heißt: Die Lösung prüft die meisten Regeln selbst, der Mensch bearbeitet Ausnahmen. „Mittel“ heißt: Die Lösung bereitet vor, der Mensch prüft gezielt.

Dokumenttyp Typische Prüfregeln Automatisierungsgrad
Chargenprotokoll / Batch Record (Pharma, Chemie) Vollständigkeit aller Schritte, Unterschriften und Gegenzeichnungen, Einwaagen und Prozessparameter gegen Herstellvorschrift, chronologische Datumslogik, Korrekturen nach GDP Mittel bis hoch, abhängig von Handschriftanteil und Formularvarianz
Prüfbericht / Analysenzertifikat (CoA) Messwerte gegen Spezifikation, Methode und Einheit, Chargenbezug, Gültigkeit, Unterschrift der Prüfstelle Hoch bei strukturierten Lieferantenformaten
Fertigungs- und Prüfdokumentation Medizinprodukt Seriennummern und Losbezug, Prüfschritte vollständig, Messmittel kalibriert, Freigabesignatur Mittel bis hoch
Lieferschein / Wareneingang Abgleich mit Bestellung, Mengen, Charge, Mindesthaltbarkeit, Temperaturnachweis Hoch
Zertifikate (z. B. Lebensmittel, Rohstoffe) Aussteller, Gültigkeitszeitraum, Geltungsbereich, Bezug zum Lieferanten im Stammdatensatz Hoch
Rechnung Abgleich mit Bestellung und Wareneingang, Pflichtangaben, Steuerlogik Hoch
Abweichungs- und CAPA-Berichte Vollständigkeit der Felder, Fristen, Verknüpfung zur Charge; inhaltliche Bewertung bleibt beim Menschen Niedrig bis mittel, KI-gestützte Zusammenfassung möglich

In der Lebensmittelindustrie stehen eher Rohstoffzertifikate, Wareneingangsdokumente und HACCP-Aufzeichnungen im Fokus, in der Medizintechnik die Fertigungs- und Prüfdokumentation je Los oder Serie. Mehr zu den Branchen finden Sie auf unserer Seite zur Lebensmittelbranche.

So läuft ein Projekt ab

  1. QuickCheck: Kurzes Gespräch zu Dokumenttyp, Volumen, Scanqualität und Systemlandschaft. Ergebnis: Lohnt sich ein näherer Blick, ja oder nein.
  2. Strategieworkshop: Im KI-Strategieworkshop priorisieren wir Anwendungsfälle nach Nutzen, Risiko und Datenlage und legen den ersten Kandidaten fest.
  3. Discovery: Analyse echter Dokumente, Aufnahme der Prüfregeln mit der Qualitätssicherung, Messung der Ausgangsbasis: Wie lange dauert die Prüfung heute, welche Fehler treten auf?
  4. Proof of Value: Die Lösung läuft auf einem repräsentativen Dokumentenbestand. Wir messen erneut an derselben Kennzahl. Erst jetzt entscheiden Sie über den Ausbau.
  5. Validierung und Betrieb: Intended Use, Risikobewertung, Testplan, Testdurchführung, Freigabe; danach Monitoring, periodische Überprüfung und Change Control.

Typische Fehler

  • Mit dem schwierigsten Dokument starten. Die handschriftlichste, variantenreichste Akte ist ein schlechter Pilot. Beginnen Sie mit hohem Volumen und mittlerer Komplexität.
  • Einen Chatbot zur Prüfinstanz machen. Generative KI, die „Charge in Ordnung“ sagt, ist weder reproduzierbar noch nach heutigem Entwurfsstand für kritische GMP-Anwendungen vorgesehen.
  • Validierung ans Ende schieben. Wer Intended Use und Akzeptanzkriterien erst nach dem Pilot festlegt, baut oft neu.
  • Keine Ausgangsbasis messen. Ohne Vorher-Messung lässt sich der Nutzen nicht belegen, und das Budget für den Rollout fehlt.
  • Regeln beim Dienstleister einkapseln. Prüfregeln gehören in die Hand Ihrer Qualitätssicherung, sonst wird jede Spezifikationsänderung zum Projekt.
  • Datenschutz zu spät klären. AV-Vertrag, Verarbeitungsort und Rechtekonzept gehören in die Discovery, nicht in die Woche vor dem Go-live.
  • Papierprozess digital nachbauen. Oft ist der größere Hebel, Formulare zu vereinheitlichen oder auf ein elektronisches Chargenprotokoll umzustellen. Die KI-Prüfung ersetzt diese Entscheidung nicht.

Kostenlogik: wovon der Aufwand abhängt

Pauschalpreise wären unseriös, weil die Treiber stark variieren. Entscheidend sind:

  • Anzahl und Varianz der Dokumenttypen: Jede zusätzliche Formularvariante braucht Einrichtung und eigene Testdaten.
  • Scan- und Handschriftqualität: Schlechte Vorlagen erhöhen den Anteil manueller Nacharbeit.
  • Kritikalität: Der Validierungsaufwand skaliert mit dem Risiko. Eine Rechnungsprüfung braucht weniger Nachweise als eine Chargenprüfung vor der Freigabe.
  • Integration: Die Anbindung an ERP, MES, LIMS oder QMS ist oft aufwendiger als die KI-Prüfung selbst.
  • Betrieb: Laufende Kosten für die Verarbeitung je Dokument, Monitoring, periodische Überprüfung und Change Control.

Die Wirtschaftlichkeitsrechnung ist einfach: eingesparte Prüfzeit je Dokument mal Volumen mal Stundensatz, dazu kürzere Durchlaufzeiten bis zur Freigabe und weniger Nacharbeit nach Inspektionen. Dem stehen Projekt-, Validierungs- und Betriebskosten gegenüber. Diese Rechnung machen wir im Proof of Value mit Ihren echten Zahlen, nicht mit Annahmen.

So unterstützt W+W

Unter KI by W+W verbinden wir Prozessverständnis aus über 50 SAP- und ERP-Projekten mit der Umsetzung von KI-Lösungen. Konkret: Wir nehmen mit Ihrer Qualitätssicherung die Prüfregeln auf, messen die Ausgangsbasis, setzen die Lösung im Proof of Value auf Ihren Dokumenten auf und begleiten Validierung und Anbindung an ERP, MES oder QMS. Die Freigabeentscheidung bleibt bei Ihnen, die Prüflogik liegt nachvollziehbar in Ihrer Hand.

Quellen

Häufige Fragen

Häufige Fragen zur KI-Dokumentenprüfung

Darf KI in der GMP-Umgebung Chargenakten prüfen?

Ja, wenn die Lösung für ihren Verwendungszweck validiert ist und die Entscheidung beim Menschen bleibt. Die KI liest, erfasst Werte und prüft gegen Regeln, die Freigabe verantwortet weiterhin qualifiziertes Personal. Maßgeblich sind EU-GMP Annex 11, die Data-Integrity-Prinzipien nach ALCOA+ und, sobald verabschiedet, Annex 22. Im Produktivbetrieb lernt die Lösung nicht selbstständig weiter; Änderungen laufen über Change Control.

Was ist Annex 22 und gilt er schon?

Annex 22 ist ein neuer Anhang des EU-GMP-Leitfadens zu künstlicher Intelligenz. Der Entwurf wurde am 7. Juli 2025 zur Konsultation veröffentlicht, die am 7. Oktober 2025 endete. Stand November 2026 ist er nicht verabschiedet. Er beschreibt aber bereits, was Inspektoren erwarten werden: definierter Verwendungszweck, Akzeptanzkriterien, unabhängige Testdaten, Erklärbarkeit, Konfidenzwerte und Überwachung im Betrieb.

Wie viel Zeit spart KI bei der Prüfung einer Chargenakte?

Aus unseren Projekten kommunizieren wir als Zielkorridor: unter einer Stunde statt zwei bis vier Stunden je Chargenakte, ein bis zwei statt acht bis zehn Minuten je Beleg und insgesamt rund 50 Prozent weniger Prüfzeit. Das sind Erfahrungswerte, keine Garantie. Wie viel Sie tatsächlich erreichen, messen wir im Proof of Value am eigenen Prozess gegen eine vorher erhobene Ausgangsbasis.

Kann ich generative KI wie ChatGPT für die Chargenprüfung nutzen?

Nicht als Entscheidungsinstanz. Der Entwurf von Annex 22 sieht generative und probabilistische KI für kritische GMP-Anwendungen nicht vor. Die eigentliche Prüfung muss reproduzierbar sein: gleiche Akte, gleiches Ergebnis. Deshalb arbeitet die Prüflogik in unseren Lösungen deterministisch und validierbar. Generative KI kann unterstützen, etwa beim Zusammenfassen von Abweichungstexten, wenn eine qualifizierte Person jedes Ergebnis prüft.

Ist eine KI-Dokumentenprüfung nach dem EU AI Act ein Hochrisikosystem?

In der Regel nicht. Eine Prüfung von Chargenakten, Prüfberichten oder Belegen fällt typischerweise nicht unter die Hochrisiko-Bereiche des Anhangs III. Anders kann es aussehen, wenn KI Sicherheitsbauteil eines regulierten Produkts ist. Unabhängig davon gilt die Pflicht zur KI-Kompetenz der Mitarbeitenden. Die GMP-Anforderungen sind für diesen Anwendungsfall ohnehin deutlich strenger als der AI Act.

Wie lange dauert ein Projekt bis zum validierten Betrieb?

Das hängt vor allem von der Zahl der Dokumenttypen, der Scanqualität und Ihrem Validierungsansatz ab. Sinnvoll ist ein Start mit einem einzigen, volumenstarken Dokumenttyp. QuickCheck und Strategieworkshop klären Machbarkeit und Nutzen, der Proof of Value liefert Messwerte am echten Prozess. Erst danach planen wir Validierung und Rollout, damit Sie keinen Aufwand in einen ungeeigneten Anwendungsfall investieren.