FDA：Computer Software Assurance が2025年9月に確定

2025年9月24日、Federal Registerで最終ガイダンス「Computer Software Assurance for Production and Quality System Software」の入手可能性が公示されました。

  • 対象：医療機器の製造・品質システムで使用されるコンピュータおよび自動データ処理システム
  • 位置づけ：21 CFR Part 820（QSR/CGMP）を基礎とし、21 CFR Part 11にも言及
  • 中核概念：テスト一辺倒ではなく「コンピュータソフトウェアへのリスクベースアプローチ」
  • 既存ガイダンス「General Principles of Software Validation」のSection 6を置き換える

EU：Annex 11 は5ページ→19ページ、Annex 22（AI）を新設

一方、欧州は反対方向に動きました。2025年7月7日、欧州委員会がEU GMPガイドラインの改訂案をパブリックコメント用に公開しました（意見提出期限：2025年10月7日）。

文書変更内容
Annex 11（コンピュータ化システム）5ページ→19ページに大幅拡充。17章＋用語集。従来のバリデーション中心から「セキュリティ」「アイデンティティ／アクセス管理」「監査証跡」を重視する構成へ再編
Annex 22（人工知能）新設。11章構成。意図された使用（intended use）、受入基準、テストデータの独立性、テスト実行、説明可能性（explainability）、信頼度、運用要件
Chapter 4（文書化）9ページ→17ページ。ガバナンス、リスクマネジメント、マスタ文書、署名、保管、ハイブリッドシステム要件

Annex 22 が実務に効くのは、MESに載るAI外観検査やAI予測品質を「そのまま」使えなくするという点です。intended use の明文化、テストデータの独立性の担保、説明可能性の確保、信頼度の定義──これらを満たさないAI機能は、GMP環境では使えません。ベンダーのデモで「AIで不良を検出できます」と示されたとき、規制産業ではその先に上記の要求が待っていることを前提に評価する必要があります。

関連して、ISPE GAMP Guide: Artificial Intelligence（2025年7月、290ページ）が公開されています。GAMP 5 Second Edition（2022年）のAppendix D11を、データガバナンス、モデルライフサイクル管理、ドリフト監視、AI固有リスク統制へと大幅に拡張したものです。GAMP 5 2nd を置き換えるものではなく、並行して使います。

非対称が意味すること

FDAとEUの規制方向の非対称 FDA（米国） CSA 最終ガイダンス 2025年9月24日 ↓ 工数を減らす リスクベース／非スクリプトテスト許容 EU（欧州） GMP Annex 11 改訂案 ＋ Annex 22 新設 2025年7月7日 公開（意見期限 10月7日） ↑ 要求を増やす セキュリティ／ID管理／監査証跡／AI統制 グローバル展開では、両方を同時に満たす設計が必要になる
2025〜2026年のGxP規制の方向性

米国と欧州の両方に製品を出す企業にとって、これは「厳しいほうに合わせる」で済む話ではありません。FDAはリスクベースを許容するが要求はしないため、EU基準で作れば米国でも通ります。問題は、EU基準がバリデーション以外の領域（セキュリティ、ID管理、監査証跡、AI統制）に広がったことです。

具体的に確認すべき項目は次のとおりです。

  • ID・アクセス管理：MESの権限モデルが、職務分掌と最小権限の原則を満たしているか。共有アカウントが残っていないか
  • 監査証跡：誰が・いつ・何を・なぜ変更したかが、改ざん不能な形で残るか。レビュー手順が定義されているか
  • セキュリティ：OT環境でのパッチ適用、ネットワーク分離、インシデント対応。IEC 62443との整合が実務標準になりつつあります
  • AI機能のintended use：MESに載るAI機能ひとつひとつについて、用途と受入基準を文書化できるか
  • ハイブリッド運用：紙と電子が混在する工程の要件（Chapter 4改訂案）

なお、EU AI Act の高リスク義務は延期されました。2026年6月16日に欧州議会が改正を承認し、Annex III（単体の高リスクAI）は2026年8月2日→2027年12月2日へ、Annex I（機械・医療機器等に組み込まれる高リスクAI）は2027年8月2日→2028年8月2日へ。MESに載るAI外観検査・AI制御はAnnex I該当の可能性があり、2028年8月2日が実質的な準備デッドラインになります。

規制産業のMES要件整理をご相談ください

GxP環境でのバリデーション範囲、監査証跡設計、AI機能の適用可否まで含めてご支援します。

無料で相談する

よくある質問

Annex 11の改訂案はいつ確定しますか？

本稿執筆時点で確定時期は公表されていません。意見提出期限は2025年10月7日で、通常はその後の改訂・採択に年単位の時間がかかります。ただし改訂案の方向性（セキュリティ・ID管理・監査証跡の重視）は明確なので、新規導入の設計はドラフトを先取りしておくのが安全です。

米国にしか出荷していない場合、EUの改訂は無視してよいですか？

直接の適用はありません。ただしグローバルに事業展開する製薬企業の多くはEU基準を社内標準に採用するため、取引先や親会社経由で要求が来る可能性があります。また、FDAのCSAはバリデーションの効率化を許容するものであり、監査証跡やデータインテグリティの要求が緩んだわけではない点に注意が必要です。