Conformidad de Software Farmacéutico GxP
Requisitos de producto para el software que opera en entorno regulado, incluido el que incorpora IA. Resuelve la pregunta que GAMP 5 y el Anexo 11 no contemplan: qué significa «estado validado» cuando el sistema aprende.
Matriz de trazabilidad regulatoria y paquete de inspección, publicados en abierto.
Las Guías Clásicas Suponen que el Software No Aprende
GAMP 5, el Anexo 11 y la Part 11 son excelentes y siguen vigentes. Pero todas se escribieron para software determinista: mismo dato de entrada, misma salida, siempre. Cuando el sistema aprende, el concepto que sostiene todo el edificio —el estado validado— deja de tener una respuesta obvia.
El marco de referencia real para validación, registros electrónicos y firmas. Sólido y exigible.
No resuelve: qué pasa con el estado validado tras un reentrenamiento, ni cómo se identifica el modelo en el registro de lote.
ISO/IEC 42001 y el Reglamento de IA aportan gobierno y gestión del riesgo.
No resuelve: nada de GxP. No hablan de audit trail, ni de ALCOA+, ni de liberación de lote.
Cruza las dos capas: la regulatoria por jurisdicción y la de IA en entorno validado.
Aporta: 12 requisitos de trazabilidad por jurisdicción, 8 requisitos de IA en GxP y el paquete de inspección.
Texto Normativo IRIS-PHARMA 40001:2026
El cuerpo completo, en abierto. Un departamento de calidad puede usar el Anexo A como lista de verificación de proveedores, y el Anexo C como guion de preparación de inspección, esté o no certificado el software.
Índice de la norma
- Alcance y jurisdicciones
- Referencias normativas
- Términos y definiciones
- Anexo A — Matriz de trazabilidad regulatoria
- Anexo B — IA en entornos GxP
- Anexo C — Paquete de inspección
- Anexo D — Catálogo 40010–40090
- Proceso de certificación
1 · 2 · 3 — Alcance, Referencias y Definiciones
1 Alcance
Esta norma especifica los requisitos de conformidad de producto aplicables al software empleado en entornos regulados farmacéuticos (GxP), incluido el que incorpora componentes de inteligencia artificial.
1.1 Objeto de la certificación
El objeto certificable es un producto de software identificado por nombre y versión, evaluado frente a los marcos regulatorios de las jurisdicciones declaradas en el alcance. No se certifica al fabricante ni a su sistema de calidad, que se certifican por otras vías.
1.2 Jurisdicciones
El alcance debe declarar expresamente las jurisdicciones cubiertas: Unión Europea, Estados Unidos y/o los marcos latinoamericanos. Un requisito cumplido para una jurisdicción no se presume cumplido para otra: la matriz de trazabilidad del Anexo A se completa por jurisdicción declarada.
1.3 Lo que esta norma añade sobre las guías clásicas
GAMP 5, el Anexo 11 y la Part 11 se escribieron para software determinista. Ninguno resuelve qué significa el «estado validado» cuando el sistema aprende. El Anexo B de esta norma cubre expresamente ese hueco: reentrenamiento como control de cambios, versionado del modelo en el registro GxP, deriva como desviación y operación acreditada sin IA.
1.4 Exclusiones y advertencia esencial
Esta norma no sustituye a la inspección regulatoria ni a la validación que corresponde al titular. Ninguna agencia aprueba ni certifica software frente a la Part 11 o el Anexo 11: el cumplimiento se demuestra en inspección. Esta certificación es una evaluación de conformidad independiente que prepara esa evidencia, no la sustituye.
2 Referencias normativas
Los siguientes documentos se citan de forma total o parcial y son indispensables para la aplicación de esta norma.
- 21 CFR Part 11 — Registros y firmas electrónicas (FDA).
- 21 CFR 210/211 — GMP de medicamentos terminados (FDA).
- EudraLex Vol. 4 Anexo 11 — Sistemas informatizados (UE).
- EudraLex Vol. 4 Anexo 15 y Anexo 16 — Cualificación, validación y liberación por QP.
- ICH Q7, Q9, Q10 — GMP de principios activos, gestión del riesgo y sistema de calidad.
- GAMP 5 (2ª edición) — Enfoque basado en riesgo para sistemas informatizados GxP.
- PIC/S PI 041 — Integridad de datos en entornos regulados.
- ANVISA RDC 658/2022 · COFEPRIS NOM-059 · ANMAT 3827/2018 — Marcos latinoamericanos.
- IRIS 14001 e IRIS-SEC 27001 — Normas base de producto y de seguridad.
3 Términos y definiciones
3.1 sistema GxP
Sistema informatizado cuyo funcionamiento puede afectar a la calidad del producto, a la integridad del dato regulado o a la seguridad del paciente.
3.2 ALCOA+
Conjunto de atributos exigidos al dato regulado: atribuible, legible, contemporáneo, original y exacto, más completo, consistente, duradero y disponible.
3.3 estado validado
Condición documentada en la que se ha demostrado que el sistema cumple sus requisitos de forma reproducible. Todo cambio no controlado lo invalida.
3.4 audit trail
Registro seguro, generado por el sistema y no editable, que permite reconstruir quién hizo qué, cuándo y sobre qué dato.
3.5 desviación
Apartamiento respecto de un procedimiento aprobado o de un parámetro establecido, que exige registro, investigación y decisión documentada.
3.6 componente de IA
Parte del sistema cuyo comportamiento se deriva de datos de entrenamiento y no exclusivamente de reglas programadas explícitamente.
3.7 paquete de inspección
Conjunto ordenado de evidencias que el titular presenta ante una inspección o una auditoría de cliente. Se define en el Anexo C.
Anexo A (normativo) — Matriz de Trazabilidad Regulatoria
Doce requisitos, tres jurisdicciones. La matriz se completa por cada jurisdicción declarada en el alcance: un requisito cumplido para el Anexo 11 no se presume cumplido para la Part 11 aunque se parezcan.
| Ref | Requisito | Unión Europea | Estados Unidos | LatAm |
|---|---|---|---|---|
| T.1 | Atribuible: toda acción identifica a su autor | Anexo 11 §12 | 21 CFR 11.10(d) | RDC 658 Cap. V |
| T.2 | Legible: el registro es interpretable durante todo su periodo de conservación | Anexo 11 §7 | 21 CFR 11.10(c) | NOM-059 12.3 |
| T.3 | Contemporáneo: se registra en el momento en que ocurre | Anexo 11 §12 | 21 CFR 211.100(b) | RDC 658 Cap. V |
| T.4 | Original: se conserva el dato primario o copia certificada | Anexo 11 §8 | Guía DI de FDA | ANMAT 3827 |
| T.5 | Exacto: el dato refleja lo realmente ocurrido | Anexo 15 §3 | 21 CFR 211.194 | NOM-059 12.5 |
| T.6 | Audit trail no desactivable ni editable | Anexo 11 §9 | 21 CFR 11.10(e) | RDC 658 Cap. V |
| T.7 | Firma electrónica vinculada al registro firmado | Anexo 11 §14 | 21 CFR 11.70 | RDC 658 Cap. VI |
| T.8 | Segregación de funciones en la liberación de lote | Anexo 16 | 21 CFR 211.22 | NOM-059 9.1 |
| T.9 | Validación proporcionada al riesgo del sistema | Anexo 15 | Guía CSA de FDA | RDC 658 Cap. IV |
| T.10 | Control de cambios con reevaluación del estado validado | Anexo 11 §10 | 21 CFR 211.100 | NOM-059 12.7 |
| T.11 | Copia de seguridad y restauración verificadas | Anexo 11 §7.2 | 21 CFR 11.10(c) | ANMAT 3827 |
| T.12 | Archivo y recuperación durante el periodo legal de conservación | Anexo 11 §17 | 21 CFR 211.180 | RDC 658 Cap. VII |
Los requisitos T.1 a T.5 son los atributos ALCOA del dato regulado; T.6 a T.12 cubren audit trail, firma, segregación, validación, cambios, respaldo y archivo.
Anexo B (normativo) — IA en Entornos GxP
El bloque que no existe en las guías clásicas, y la razón de ser de esta norma. Aplica solo cuando el sistema incorpora un componente de IA; en caso contrario se declara no aplicable con justificación.
| Ref | Requisito |
|---|---|
| A.1 | Estado validado del modeloEl modelo forma parte del estado validado del sistema. Un reentrenamiento es un cambio y activa el control de cambios. |
| A.2 | Versionado trazable del modeloCada registro GxP producido con asistencia de IA debe identificar la versión exacta del modelo que intervino. |
| A.3 | Supervisión humana en la decisión GxPNinguna decisión con efecto sobre la calidad del producto o la seguridad del paciente puede quedar sin confirmación humana registrada. |
| A.4 | Explicabilidad suficiente para el inspectorLa justificación de una decisión asistida por IA debe poder exponerse a un inspector sin acceso al código fuente. |
| A.5 | Detección y notificación de derivaLa deriva del modelo debe monitorizarse y su superación de umbral debe abrir una desviación. |
| A.6 | Datos de entrenamiento bajo control documentalEl conjunto de entrenamiento es información documentada GxP: origen, versión y aprobación registrados. |
| A.7 | Operación sin IA acreditadaDebe demostrarse que el proceso puede continuar cumpliendo GxP con el componente de IA fuera de servicio. |
| A.8 | Evaluación de impacto en el pacienteTodo despliegue debe llevar una evaluación documentada del impacto potencial sobre la seguridad del paciente. |
A.1 es el requisito central: un reentrenamiento es un cambio, y por tanto activa el control de cambios y la reevaluación del estado validado. Tratarlo como mantenimiento rutinario es el error más frecuente y el más caro.
Anexo C (normativo) — Paquete de Inspección
La mayoría de los hallazgos en inspección no vienen de que falte el control, sino de que la evidencia de que existe no aparece cuando se pide. Este anexo fija qué debe contener el expediente y cómo se ordena.
| Ref | Documento |
|---|---|
| C.1 | Especificación de requisitos de usuario (URS)Vigente, aprobada y trazable hasta las pruebas que la verifican. |
| C.2 | Análisis de riesgos del sistemaCon la categorización GAMP y la justificación del alcance de validación aplicado. |
| C.3 | Protocolos y resultados IQ/OQ/PQEjecutados, firmados y con las desviaciones cerradas. |
| C.4 | Matriz de trazabilidad del Anexo ACompleta por jurisdicción declarada, con la evidencia referenciada en cada celda. |
| C.5 | Evidencia de audit trailDemostración de que no es desactivable ni editable, y de que su revisión está procedimentada. |
| C.6 | Registro de control de cambiosIncluidos los reentrenamientos de modelo, si aplica el Anexo B. |
| C.7 | Ficha de modeloVersión, datos de entrenamiento, dominio de validez y umbrales de deriva, si aplica el Anexo B. |
| C.8 | Evidencia de operación sin IARegistro de la última prueba de continuidad GxP con el componente de IA fuera de servicio. |
| C.9 | Revisión periódicaÚltima revisión del estado validado, con su conclusión y acciones. |
| C.10 | Plan de respaldo, restauración y archivoCon evidencia de la última restauración verificada. |
La auditoría de certificación verifica este anexo simulando una inspección: se pide un documento concreto y se cronometra cuánto tarda en aparecer completo.
Anexo D (informativo) — Catálogo IRIS-PHARMA
IRIS-PHARMA 40001 es la norma base certificable. Los módulos 40010 a 40090 se auditan como ampliación de alcance sobre un certificado 40001 vigente.
| Código | Denominación | Ámbito | Referencia regulatoria |
|---|---|---|---|
| IRIS-PHARMA 40010 | Registros y Firmas Electrónicas | Seguridad, integridad, no repudio y equivalencia con la firma manuscrita | 21 CFR Part 11 · Anexo 11 UE · eIDAS |
| IRIS-PHARMA 40020 | Integridad de Datos (ALCOA+) | Integridad del dato en todo el ciclo de vida, de la captura al archivo | Guía DI de FDA · PIC/S PI 041 · OMS TRS 996 Anexo 5 |
| IRIS-PHARMA 40030 | Validación de Sistemas Informatizados | URS, análisis de riesgos, IQ/OQ/PQ, revisión periódica, enfoque CSV/CSA | GAMP 5 · Anexo 15 UE · Guía CSA de FDA |
| IRIS-PHARMA 40040 | Audit Trail y Control de Accesos | Audit trail completo, sellado de tiempo, roles y segregación de funciones | 21 CFR 11.10 · Anexo 11 UE §9, §12 |
| IRIS-PHARMA 40050 | Serialización y Trazabilidad | Serialización, verificación y trazabilidad en toda la cadena de suministro | DSCSA · FMD UE / Reg. 2016/161 · SNCM ANVISA |
| IRIS-PHARMA 40060 | IA en Entornos GxP | Supervisión humana, versionado de modelos, explicabilidad y Safety AI en producción | Anexo 22 GMP UE (borrador) · Guía IA de FDA · AI Act UE |
| IRIS-PHARMA 40070 | Sistemas Clínicos y de Farmacovigilancia | Software para ensayos clínicos, farmacovigilancia y notificación de seguridad | ICH E6(R3) GCP · GVP de EMA · 21 CFR Part 11 |
| IRIS-PHARMA 40080 | Conformidad Regulatoria LatAm | Conformidad específica para el mercado latinoamericano y sus agencias | ANVISA RDC 658/2022 · COFEPRIS NOM-059 · ANMAT 3827/2018 |
| IRIS-PHARMA 40090 | Registro Electrónico de Lote y CoA | EBR, flujos de liberación de lote y aprobación electrónica del Certificado de Análisis | 21 CFR 211.188/211.194 · Anexo 16 UE · ICH Q7 §11 |
Proceso de Certificación
Cuatro fases. La tercera es la que distingue a esta norma: una inspección simulada sobre el paquete de evidencias, cronometrada.
Se declara producto, versión y jurisdicciones. La matriz del Anexo A se abre por cada una.
URS, análisis de riesgos, protocolos de validación, control de cambios y ficha de modelo si aplica el Anexo B.
Se pide evidencia concreta y se mide cuánto tarda en aparecer completa, igual que haría un inspector.
Certificado por versión y jurisdicciones nombradas, con revisión anual y reevaluación ante reentrenamiento significativo.
Condiciones del esquema
- El certificado nombra versión y jurisdicciones. Declarar conformidad para una jurisdicción fuera del alcance es uso indebido del sello.
- Reentrenamiento significativo: es un cambio conforme a A.1, obliga a notificación y puede requerir reevaluación.
- Ampliación de jurisdicción: se audita como extensión sobre el certificado vigente, completando la matriz de la nueva jurisdicción.
- Reconocimiento cruzado: un certificado IRIS 14001 vigente cubre los requisitos A.3, A.5 y A.7 del Anexo B.
- Sin IA: el Anexo B se declara no aplicable con justificación, y el resto de la norma se audita igual.
Naturaleza del Esquema y Condiciones de Uso
Transparencia sobre qué es y qué no es IRIS-PHARMA 40001
Qué es
IRIS-PHARMA 40001 es un esquema de certificación de producto propio de la Iniciativa Europea Industria 4.0, publicado en abierto, cuyo cumplimiento se evalúa mediante auditoría de tercera parte independiente frente a los marcos regulatorios declarados.
Qué no es
No es una norma ISO, IEC, CEN ni UNE, y no está acreditada por ENAC. No implica aprobación, certificación ni reconocimiento por parte de la FDA, la EMA, ANVISA, COFEPRIS, ANMAT ni ninguna otra autoridad reguladora. La cita de referencias regulatorias identifica el marco frente al que se evalúa, nada más.
No sustituye a la inspección regulatoria, ni a la validación que corresponde al titular, ni a la cualificación del proveedor que debe realizar el cliente farmacéutico.
Condiciones de uso
El texto se publica en abierto para su lectura, cita y uso interno, incluido su uso como lista de verificación de proveedores y como guion de preparación de inspección. El uso del sello queda reservado a los productos con certificado vigente, y siempre con mención de la versión y las jurisdicciones evaluadas.
¿Quiere Certificar su Software Farmacéutico?
El primer paso es declarar producto, versión y jurisdicciones, y contrastar la matriz del Anexo A con la evidencia que ya tiene. Le dirá exactamente qué le falta.
Preguntas Frecuentes sobre IRIS-PHARMA 40001
¿La certificación IRIS-PHARMA significa que mi software está «aprobado por la FDA»?
No, y nadie puede afirmarlo legítimamente: la FDA no aprueba ni certifica software frente a 21 CFR Part 11. El cumplimiento se demuestra en inspección, no con un sello. IRIS-PHARMA es una evaluación de conformidad independiente que deja preparado el paquete de evidencias del Anexo C, de modo que cada auditoría de cliente o inspección regulatoria se afronte con el expediente hecho. Eso acorta ciclos de venta y reduce hallazgos, pero no sustituye a la inspección.
¿Qué aporta esta norma sobre GAMP 5 y el Anexo 11?
GAMP 5, el Anexo 11 y la Part 11 se escribieron para software determinista, donde el mismo dato de entrada da siempre la misma salida. Ninguno resuelve qué significa «estado validado» cuando el sistema aprende. El Anexo B cubre ese hueco con ocho requisitos: reentrenamiento tratado como control de cambios, versión del modelo identificada en cada registro GxP, deriva que abre desviación y operación acreditada con la IA fuera de servicio.
¿Puedo certificar solo para Europa y añadir Estados Unidos después?
Sí. El alcance declara jurisdicciones y la matriz de trazabilidad del Anexo A se completa por cada una. Añadir una jurisdicción es una ampliación auditada sobre el certificado vigente. Lo que no se admite es la presunción: un requisito cumplido para el Anexo 11 no se da por cumplido para la Part 11 aunque se parezcan.
Nuestro software no lleva IA. ¿Sirve igual?
Sí. El Anexo B solo aplica si hay componente de IA; se declara no aplicable y se justifica. El resto de la norma —integridad ALCOA+, audit trail, firmas, validación, paquete de inspección— es igual de pertinente para software determinista.
¿Qué es el «paquete de inspección» y por qué es el centro de la norma?
Es el conjunto ordenado de evidencias que el titular pone delante de un inspector. La mayoría de los hallazgos en inspección no vienen de que falte el control, sino de que la evidencia de que existe no aparece cuando se pide. El Anexo C fija qué debe contener y cómo se ordena, y la auditoría de certificación lo verifica simulando una inspección real.
¿Cómo se relaciona con IRIS 14001?
IRIS-PHARMA 40001 es la norma de producto para el entorno regulado; IRIS 14001 lo es para el entorno industrial general. Cuando el software farmacéutico incorpora IA, se auditan las dos: 14001 aporta la base de comportamiento seguro y trazable, y 40001 añade la capa regulatoria. Un certificado 14001 vigente da por cubiertos varios requisitos del Anexo B.
¿Está acreditada?
No. IRIS-PHARMA 40001 es un esquema propio de la Iniciativa Europea Industria 4.0, publicado en abierto, sin acreditación de ENAC ni respaldo de ISO, IEC, FDA, EMA ni de ninguna agencia reguladora. La mención de referencias regulatorias identifica el marco frente al que se evalúa, no implica reconocimiento por parte de esas autoridades.