Jak zaklasyfikować system do kategorii GAMP 5 i co z tego wynika dla zakresu walidacji?
Kategoria zależy od stopnia konfiguracji i kodu własnego: kat. 3 to oprogramowanie standardowe używane bez konfiguracji lub w konfiguracji domyślnej, kat. 4 obejmuje oprogramowanie konfigurowalne (LIMS, MES, ERP), a kat. 5 oprogramowanie tworzone na zamówienie. Im wyższa kategoria i wpływ GxP, tym więcej testów własnych, mniej polegania na dostawcy. Klasyfikację robimy w kroku 01 i zapisujemy jej uzasadnienie, bo inspektor pyta nie o numer, lecz o to, dlaczego.
Czy system o niskim wpływie GxP też trzeba walidować?
Ocena wpływu GxP decyduje o zakresie, nie o tym, czy walidować. System bez wpływu na jakość produktu, bezpieczeństwo pacjenta i integralność danych wymaga tylko udokumentowanej oceny i uzasadnienia. System z wpływem pośrednim dostaje proporcjonalnie mniejszy pakiet: ocena ryzyka, kluczowe testy, RTM. Najczęstsze uchybienie to brak dowodu, że ocenę w ogóle przeprowadzono.
GAMP 5 czy CSA — czy trzeba wybierać?
Nie, to nie są konkurencyjne podejścia. CSA to wytyczne FDA dla oprogramowania w produkcji i systemie jakości wyrobów medycznych (21 CFR 820), sfinalizowane 24 września 2025; wytwórców leków nie obowiązują. GAMP 5 w 2. wydaniu (2022) już zawiera to samo krytyczne, oparte na ryzyku myślenie i ma załącznik wprost odnoszący się do CSA. Valready pracuje według GAMP 5 (2. wyd.): stamtąd bierze cykl życia, kategorię systemu i zakres testów proporcjonalny do ryzyka.
Czy dokumentacja walidacyjna wygenerowana przez AI może spełnić wymagania GMP?
Może, pod warunkiem nadzoru człowieka. W Valready AI przygotowuje wyłącznie szkice. W sprincie przegląda je nasz ekspert CSV, zanim trafią do Ciebie; w Workspace przegląd prowadzi Twój zespół, a narzędzie nie zamknie pokrycia wymagania, dopóki człowiek nie zaakceptuje testu. Formalne zatwierdzenie następuje w Twoim QMS, przez Twoją Jednostkę Jakości. Odpowiada to zasadzie nadzoru człowieka (human-in-the-loop) z projektu EU GMP Annex 22. AI nigdy nie zatwierdza niczego samodzielnie.
Co projekt Annex 22 oznacza w praktyce dla użycia AI w dokumentacji walidacyjnej?
Projekt Annex 22 (konsultacje zakończone w 2025 r., finalizacja w toku) oczekuje zdefiniowanego przeznaczenia modelu, walidacji i kontroli zmian, nadzoru człowieka nad wynikami oraz przejrzystości danych. Dla dokumentacji: wynik AI pozostaje szkicem, dopóki człowiek go nie przejrzy, a przegląd musi być udokumentowany: kto, kiedy i co zmienił. Jeśli Twój QMS nie ma procedury użycia AI, spisz ją przed pierwszym projektem.
Jak ma wyglądać macierz RTM, żeby obroniła się podczas inspekcji?
Każde wymaganie z URS musi mieć co najmniej jeden test z wynikiem i odniesieniem do dowodu, a każdy test — wymaganie, które pokrywa. Inspektor sprawdza w obie strony: wymagania bez testu i testy bez wymagania. Najczęstsze uchybienia: RTM zrobiona po testach, rozjazd wersji między URS a protokołem, wymagania „pokryte” testem, który sprawdza coś innego. Valready pilnuje tej spójności w trakcie, nie na końcu.
System SaaS dostał nową wersję od dostawcy — czy muszę rewalidować wszystko?
Nie całość, ale trzeba wykazać, że zmianę oceniono. Potrzebne są: ocena wpływu zmiany na wymagania i funkcje GxP, test regresyjny tego, co dotknięte, oraz zapis w kontroli zmian. Przy częstych wydaniach SaaS najwięcej zależy od umowy z dostawcą: informacja o zmianach z wyprzedzeniem i dostęp do jego dokumentacji testowej. Przegląd okresowy wyłapuje to, co umknęło między wydaniami.
W jakim zakresie mogę oprzeć się na dokumentacji dostawcy zamiast testować samemu?
GAMP 5 wprost zachęca do wykorzystania pracy dostawcy, pod warunkiem udokumentowanej oceny dostawcy (audyt, kwestionariusz lub ocena zdalna) i sprawdzenia, że jego testy pokrywają Twoje wymagania. Sam testujesz to, co specyficzne dla Twojej konfiguracji, procesu i danych. Powołanie się na dokumenty dostawcy bez oceny dostawcy to jedno z częstszych uchybień.
Czy mogę wziąć sam Workspace, bez sprintu walidacyjnego?
Tak. Workspace to osobny produkt w subskrypcji: otrzymujesz narzędzie i prowadzisz dokumentację własnym zespołem. Sprint walidacyjny jest opcjonalny i kupuje się go osobno. Dostęp do Workspace nadajemy imiennie, bez samodzielnej rejestracji. Kontrola dostępu jest zaprojektowana pod wymagania Annex 11.
Czy gwarantujecie przejście audytu lub inspekcji?
Nie. Nikt uczciwie nie może tego obiecać. Dajemy strukturę dokumentacji, która wiąże każde wymaganie z testem i dowodem; o końcowej zgodności decyduje zakres, kontekst i to, co zatwierdzi Twoja Jednostka Jakości.
Co z bezpieczeństwem naszej wrażliwej dokumentacji?
Dane klienta są odseparowane i nie służą do trenowania modeli. Środowisko produkcyjne działa w Unii Europejskiej (Azure). Narzędzie ma kontrolę dostępu, audit trail i wersjonowanie.
Od czego zaczynamy współpracę?
Od rozmowy o jednym systemie. Zwykle pierwszym krokiem jest sprint dokumentacji CSV w stałej cenie, a po nim, w razie potrzeby, utrzymanie w Workspace.