Wie ein CRO einen KI-Anbieter im eigenen Qualitätssystem qualifiziert

Die Ausschreibung des Sponsors fragt bereits danach. Ihr QMS hat noch keine Antwort.

Irgendwann in den letzten beiden Zyklen ist eine Frage von der Innovationsfolie in den Qualifizierungsteil der Sponsorenausschreibung gewandert. Mit kleinen Abweichungen lautet sie so:

Beschreiben Sie alle Systeme künstlicher Intelligenz oder maschinellen Lernens, die bei der Erbringung dieser Leistungen eingesetzt werden. Beschreiben Sie, wie diese Systeme validiert werden. Beschreiben Sie, wie deren Ergebnisse innerhalb Ihres Qualitätsmanagementsystems kontrolliert werden. Benennen Sie, wer für das Ergebnis verantwortlich ist.

Das ist keine Innovationsfrage. Es ist eine Frage der Lieferantenqualifizierung, und sie landet bei der Qualitätseinheit, nicht im Vertrieb. Die meisten CROs beantworten sie derzeit auf eine von zwei Arten, und beide verlieren den Zuschlag.

Die zwei Antworten, die verlieren

Die erste ist die Verneinung. "Wir setzen bei der Erbringung dieser Leistungen keine KI-Systeme ein." Vor achtzehn Monaten war das vertretbar. Heute liest der Sponsor diesen Satz entweder als unwahr oder als nicht wettbewerbsfähig, weil er weiß, was die übrigen Bieter anbieten, und weil er weiß, wie ein moderner Medical-Writing- oder Machbarkeitsprozess aussieht.

Die zweite ist das Sicherheitszertifikat. Das CRO reicht den SOC-2-Bericht oder das ISO-27001-Zertifikat des Anbieters weiter. Das ist eine Kategorienverwechslung, und der Qualitätsverantwortliche des Sponsors erkennt sie sofort. SOC 2 sagt aus, dass der Anbieter Ihre Daten nicht verliert. Es sagt nichts darüber aus, ob auf das Ergebnis in einer regulatorischen Einreichung Verlass ist. Informationssicherheit und Computersystemvalidierung sind zwei verschiedene Disziplinen, die zwei verschiedene Fragen beantworten, und die Ausschreibung hat die zweite gestellt.

Warum die Qualitätseinheit tatsächlich feststeckt

Das gehört klar gesagt, denn die Schwierigkeit ist real und kein Sorgfaltsversäumnis.

Die Computersystemvalidierung, wie sie unter GAMP 5 praktiziert und von Inspektoren erwartet wird, beruht auf einer jahrzehntealten und völlig vernünftigen Annahme: Das System ist deterministisch. Sie definieren die Anforderung, spezifizieren das Design, prüfen Installation, Betrieb und Leistung und weisen nach, dass dieselbe Eingabe dieselbe Ausgabe erzeugt. Wiederholbarkeit ist der tragende Balken. Jedes Artefakt des Validierungspakets, jede Rückverfolgbarkeitsmatrix, jeder Requalifizierungsauslöser ruht darauf.

Ein großes Sprachmodell bietet Wiederholbarkeit in diesem Sinne nicht. Dieselbe Eingabe kann verschiedene Ausgaben erzeugen. Temperatureinstellungen und feste Startwerte verringern die Varianz, machen das System aber nicht deterministisch, und eine Qualitätseinheit, die ein PQ-Protokoll mit gegenteiliger Behauptung schreibt, hat ein Dokument geschrieben, das sie in der Inspektion nicht verteidigen kann.

Von der Qualitätsfunktion des CRO wird also verlangt, etwas zu validieren, dessen grundlegendes Verhalten genau den Rahmen sprengt, auf dem Validierung aufgebaut ist. Das ist kein Papierproblem. Es ist ein strukturelles, und einem Qualitätsleiter zu sagen, er solle "einfach die bestehende SOP erweitern", ist keine Antwort.

Was der Sponsor tatsächlich verlangt

Lesen Sie die Ausschreibungsfrage noch einmal und achten Sie darauf, was sie nicht fragt. Sie fragt nicht, ob das Modell genau ist. Sie verlangt keinen Benchmark-Wert. Sie fragt, wie das Ergebnis kontrolliert wird und wer dafür verantwortlich ist.

Das ist eine Frage nach Evidenz, nicht nach dem Modell.

Der regulatorische Rahmen, den der Sponsor im Kopf hat, ist der, in dem er ohnehin lebt. Nach 21 CFR Part 11 und EU-Annex 11 benötigen Aufzeichnungen, die eine regulierte Entscheidung stützen, zurechenbare, zeitnahe und dauerhafte Audit Trails. Nach ALCOA+ müssen die zugrundeliegenden Daten zurechenbar, lesbar, zeitnah, im Original vorhanden und richtig sein. Nach ICH E6(R3) bleibt der Sponsor für die in der Studiendurchführung eingesetzten Systeme verantwortlich, unabhängig davon, wer sie betreibt. Keiner dieser Rahmen fragt, ob ein Modell klug ist. Alle fragen, ob Sie Ihren Weg im Nachhinein nachweisen können, gegenüber jemandem, der Ihnen nicht wohlgesonnen ist, Jahre später.

Das ist die Umkehrung, die das ganze Problem löst:

Sie validieren nicht das Modell. Sie validieren die Evidenz, die das Modell erzeugt.

Ein probabilistisches System, das eine nicht überprüfbare Aussage ausgibt, ist nicht validierbar, und keine Menge an Dokumentation ändert daran etwas. Ein probabilistisches System, dessen Ausgabe von einem getrennten, unabhängigen Mechanismus geprüft wird, bevor ein Mensch sie sieht, ist ein anderes Objekt. In Ihr Qualitätssystem gelangt nicht die Meinung des Modells. Es gelangt ein geprüftes Artefakt mit rückverfolgbarer Herkunft, und mit geprüften Artefakten kann Ihr QMS bereits umgehen.

Verifikation als eigene Schicht

Das ist das Architekturprinzip hinter dem Three-Gate Verification System von NexTrial, und es lohnt sich, es strukturell zu beschreiben statt als Produktargument, denn die Struktur ist das, was die Qualitätseinheit eines CRO bewerten muss.

Gate 1, Jurisdiktion. Der anwendbare regulatorische Anforderungssatz wird aufgelöst, bevor irgendetwas generiert wird. Was die FDA verlangt, ist nicht, was die ANVISA verlangt, und nicht, was die CDSCO verlangt. Ein System, das Jurisdiktion als nachgelagerten Filter behandelt, hat bereits das falsche Artefakt erzeugt. Gate 1 ist so ausgelegt, dass Jurisdiktion eine Eingabebedingung wird und keine nachgelagerte Prüfung.

Gate 2, struktureller Nachweis. Das erzeugte Artefakt wird gegen die Anforderungsstruktur der Jurisdiktion geprüft, und zwar durch einen Mechanismus, der von dem erzeugenden Modell unabhängig ist. Der Sinn der Unabhängigkeit ist unkorrelierte Evidenz: Ein Modell, das seine eigene Ausgabe prüft, teilt die Fehlermodi dessen, was es prüft. Deshalb sind Selbstkonsistenzwerte und Konfidenzzahlen keine Evidenz. Diese strukturelle Nachweisschicht ist ausgeliefert und befindet sich in erster Validierung mit einem Sponsor. Ein Sponsor ist ein kleines n, und es steht hier bewusst als kleines n.

Gate 3, menschliche Aufsicht. Das Urteil geht an einen qualifizierten Menschen, der entscheidet. Keine Empfehlung, die der Mensch abzeichnet, und keine Automatisierung, die der Mensch beaufsichtigt. Die Entscheidung bleibt ein menschlicher Akt, mit der Evidenz daran geheftet.

Eine formale Verifikationsschicht auf Basis von Lean 4 befindet sich im Aufbau. Sie ist nicht in Betrieb, und es wird hier keine Leistungszahl daran geknüpft, denn eine Zahl an einem nicht ausgelieferten System ist eine erfundene Zahl.

Warum diese Struktur speziell für ein CRO zählt: Sie erzeugt ein Artefakt, das Sie dem Auditor des Sponsors vorlegen können, ohne das Modell verteidigen zu müssen. Verteidigt wird der Nachweis, nicht die Vorhersage.

Die jurisdiktionale Schicht und warum sie regional variiert

Für ein grenzüberschreitend tätiges CRO gelten drei Dinge gleichzeitig, und jedes erzeugt eine andere Fassung derselben Ausschreibungsfrage.

In Brasilien trifft ein internationaler Sponsor unter der ANVISA auf eine Anforderungsstruktur, die sich von der FDA-Struktur wirklich unterscheidet, und das CRO mit der lokalen Durchführung ist die Partei, die Konformität nachweisen muss. Diese Struktur zu kodieren statt eine US-Checkliste zu übersetzen, ist der Unterschied zwischen einer Einreichung, die durchgeht, und einer, die zurückkommt.

In Indien stehen die CDSCO-Pflichten zur Protokollkonformität für ausländische Sponsoren neben einem Liefermodell, das häufig funktionale Dienstleistung statt Vollservice ist. Das verändert, wer die Qualitätspflicht trägt und wie die Lieferantenqualifizierung bis zum Sponsor durchschlägt.

In Europa ist die offene Frage, ob ein bestimmtes Studienunterstützungssystem unter dem EU AI Act in die Hochrisikokategorie fällt und welche Pflichten dann greifen. Für diese Werkzeugklasse ist das nicht abschließend geklärt, und jeder Anbieter, der einem deutschen CRO sagt, es sei geklärt, sagt etwas, das er später zurücknehmen muss.

Regulatorischer Hinweis: EU AI Act

Die Einstufung KI-gestützter Studienunterstützungssysteme unter dem EU AI Act ist Mitte 2026 nicht abschließend geklärt.

Für CRO-Werkzeuge, die Studiendesign, Feasibility, Medical Writing oder Protokollkonformität unterstützen, ist derzeit nicht endgültig bestimmt, unter welchen konkreten Nutzungsbedingungen sie als Hochrisiko-KI-Systeme gelten und welche Pflichten dann im Einzelnen greifen. Maßgeblich ist die Zweckbestimmung des jeweiligen Systems, nicht die Branche des Betreibers.

Die Kommission hat Leitlinien zur Einstufung von Hochrisikosystemen im Entwurf vorgelegt. Solange diese sowie die zugehörigen Durchführungsrechtsakte und nationalen Auslegungen nicht final vorliegen, sollte jede Anbieteraussage zu einer definitiven Hochrisiko-Einstufung mit Vorsicht gelesen werden. Eine kategorische Zuordnung für diese Werkzeugklasse, ob "immer hochrisiko" oder "nie hochrisiko", wäre zum jetzigen Zeitpunkt spekulativ.

Der Zeitdruck ist davon unberührt. Nach dem derzeitigen Fristenplan des Artikels 113 greifen die Pflichten für Hochrisikosysteme nach Anhang III ab dem 2. August 2026. Wer die Einstufungsfrage offen lässt, hat damit die Frist nicht offen gelassen.

Die pragmatische Haltung für ein CRO ist deshalb, technische Dokumentation, Risikomanagement, Protokollierung und menschliche Aufsicht so aufzubauen, dass sie die Anforderungen an ein Hochrisikosystem erfüllen würden, und dieses Niveau gegenüber Auditoren belegen zu können, unabhängig davon, wie die formale Einstufung des konkreten Systems später ausfällt.

Stand: 28. Juli 2026. Dies ist keine Rechtsberatung.

Acht Fragen an jeden KI-Anbieter

Diese Fragen kann die Qualitätseinheit eines CRO an jeden Anbieter der Kategorie richten, auch an uns. Sie sind so geordnet, dass die ersten vier schnell disqualifizieren.

1. Wenn Ihr System ein Ergebnis erzeugt, welcher unabhängige Mechanismus prüft es, bevor ein Mensch es sieht? Lautet die Antwort "ein Konfidenzwert desselben Modells", gibt es keine unabhängige Prüfung.
2. Ist dieser Prüfmechanismus mit dem erzeugenden Modell korreliert? Gemeinsame Trainingsdaten, gemeinsame Architektur oder gemeinsamer Prompt-Kontext bedeuten gemeinsame blinde Flecken.
3. Welches Artefakt übergibt Ihr System an unser Qualitätssystem, und wie lautet dessen Herkunftsnachweis? Sie qualifizieren das Artefakt, nicht die Software.
4. Zeigen Sie mir den Audit Trail einer einzelnen Entscheidung, lückenlos. Was sich nicht auf Anforderung rekonstruieren lässt, übersteht keine Inspektion.
5. Welche jurisdiktionale Anforderungsstruktur wurde angewandt, und wo wird diese Kodierung gepflegt? Jurisdiktion als Übersetzungsschicht behandelt heißt Jurisdiktion falsch behandelt.
6. Was in Ihrer Plattform ist ausgeliefert und was ist im Aufbau? Verlangen Sie die Antwort in genau diesen Worten. Die Zeitform der Antwort verrät, was Sie kaufen.
7. Wo sitzt die menschliche Entscheidung in Ihrem Ablauf, und lässt sie sich umgehen? Wenn sie sich unter Zeitdruck umgehen lässt, wird sie umgangen.
8. Was speichert Ihr System, und was speichert es nie? Für ein CRO, das Sponsorendaten vertraglich hält, zählt die Grenze mehr als die Fähigkeit.

Ein Anbieter, der alle acht in klarer Sprache beantwortet, ist ein Anbieter, den Ihre Qualitätseinheit qualifizieren kann. Ein Anbieter, der mit Benchmark-Werten antwortet, hat die Frage nicht verstanden.

Der kommerzielle Punkt

Das CRO, das dem Sponsor ein Validierungspaket überreichen kann, gewinnt den Zuschlag. Nicht das CRO mit der meisten KI und nicht das mit der wenigsten. Es gewinnt jenes, dessen Qualitätseinheit den Qualifizierungsteil ohne Zögern beantwortet, denn diese Antwort macht aus einer Innovationsbehauptung eine beschaffbare Leistung.

Das ist die tatsächliche Nachfrage. Es ist kein Technologiekauf. Es ist ein Evidenzkauf.

Evidenz, kein Ersatz. Der Mensch entscheidet.

Häufige Fragen

Lässt sich ein KI-System unter GAMP 5 validieren?
Der Validierungsrahmen setzt deterministisches Verhalten voraus, und ein großes Sprachmodell liefert das nicht. Gangbar ist, die Evidenz zu validieren, die das System erzeugt, statt das Modell selbst, indem zwischen erzeugter Ausgabe und menschlicher Entscheidung ein unabhängiger Verifikationsmechanismus verlangt wird.

Genügen SOC 2 oder ISO 27001 der KI-Qualifizierungsfrage eines Sponsors?
Nein. Diese Zertifizierungen betreffen Informationssicherheit. Die Qualifizierungsfrage des Sponsors betrifft die Verlässlichkeit des Ergebnisses in einer regulierten Entscheidung. Das ist eine Frage der Computersystemvalidierung, keine Sicherheitsfrage.

Wer ist nach ICH E6(R3) für ein KI-Ergebnis in einer klinischen Studie verantwortlich?
Die Verantwortung für die in der Studiendurchführung eingesetzten Systeme verbleibt beim Sponsor, unabhängig davon, wer sie betreibt. Deshalb schlägt die Lieferantenqualifizierung des CRO auf die Inspektionsbereitschaft des Sponsors durch.

Was ist unkorrelierte Evidenz?
Verifikation durch einen Mechanismus, der Architektur, Trainingsdaten und Kontext des erzeugenden Modells nicht teilt. Korrelierte Prüfungen reproduzieren den ursprünglichen Fehler. Deshalb ist der Konfidenzwert eines Modells kein Beleg für seine Richtigkeit.

Was sollte ein CRO einen KI-Anbieter zuerst fragen?
Welcher unabhängige Mechanismus die Ausgabe prüft, bevor ein Mensch sie sieht. Gibt es keinen, sind die übrigen Fragen gegenstandslos.