Validation des systèmes informatisés | Data Integrity | Intelligence artificielle | GxP
L'intelligence artificielle prend progressivement sa place dans l'industrie pharmaceutique.
Aujourd'hui, des outils comme ChatGPT ou Claude peuvent aider les professionnels à rédiger des documents, analyser des informations, préparer des procédures ou rechercher des exigences réglementaires.
Ces outils permettent de gagner du temps. Mais leur utilisation soulève une question importante :
Faut-il valider ChatGPT ou tout autre outil d'intelligence artificielle utilisé dans un environnement GxP ?
La réponse dépend avant tout de son utilisation.
En réalité, la bonne question n'est pas simplement de savoir si l'outil doit être validé, mais plutôt :
À quoi sert l'IA, quels sont les risques associés à son utilisation et comment peut-on les maîtriser ?
Deux événements récents permettent de mieux comprendre cette problématique.
1. L'intelligence artificielle au cœur des discussions FDA
Du 14 au 16 septembre 2026, la conférence PDA/FDA Joint Regulatory Conference s'est tenue à Washington.
L'intelligence artificielle faisait partie des sujets abordés, notamment dans les domaines de la conformité réglementaire, de la gestion des données et des activités de fabrication pharmaceutique.
Le programme officiel prévoyait une session sur l'utilisation des outils d'IA par les autorités réglementaires et l'industrie. Elle mettait l'accent sur les règles d'utilisation, les garde-fous et le rôle des experts humains. Pour l'entreprise, cela implique notamment :
- La nécessité de définir des règles d'utilisation.
- L'importance de protéger les données.
- Le rôle indispensable des experts humains dans la vérification des résultats.
Le programme d'une autre session, consacrée aux outils numériques en environnement CGMP, soulignait l'importance des contrôles, de la supervision humaine et de la validation.
Le message est simple : l'IA peut être utilisée dans l'industrie pharmaceutique, mais son utilisation doit rester maîtrisée.
2. Une Warning Letter FDA qui illustre les risques
Le 2 avril 2026, la FDA a adressé une Warning Letter à l'entreprise Purolea Cosmetics Lab.
L'entreprise utilisait des agents d'intelligence artificielle pour l'aider à respecter les exigences réglementaires.
Ces outils avaient notamment servi à préparer des procédures, des spécifications et des documents de fabrication.
Mais lors de son inspection, la FDA a constaté un problème important : les documents produits avec l'aide de l'IA n'avaient pas été correctement vérifiés pour garantir leur exactitude et leur conformité aux exigences CGMP.
L'entreprise avait également omis de réaliser une validation de procédé avant la distribution de ses produits.
Lors de l'inspection, elle a expliqué qu'elle ignorait cette obligation parce que son outil d'intelligence artificielle ne l'avait pas signalée.
La FDA a alors rappelé que les documents et recommandations produits par l'IA pour les activités CGMP concernées doivent être vérifiés et approuvés par une personne autorisée de l'unité Qualité.
Ce qu'il faut retenir
L'intelligence artificielle peut produire un document qui semble complet et professionnel.
Mais cela ne signifie pas que son contenu est correct.
Une IA peut aider à rédiger une procédure. Elle ne peut pas remplacer la responsabilité de l'Assurance Qualité.
Cette lettre illustre l'application d'exigences CGMP existantes à un cas précis. Elle ne crée pas une obligation générale de valider tous les outils d'IA.
3. Faut-il donc valider ChatGPT ou Claude ?
Pas systématiquement.
Tout dépend de ce que l'entreprise fait avec l'outil.
Prenons trois exemples.
Exemple 1 : reformuler un e-mail
Un collaborateur utilise ChatGPT pour améliorer la rédaction d'un e-mail interne sans impact GxP.
L'outil ne prend aucune décision qualité et ne modifie aucune donnée réglementée.
Le risque GxP est généralement faible.
Une validation formelle n'est donc pas nécessairement justifiée pour cet usage.
Exemple 2 : préparer une procédure GMP
Un responsable Qualité utilise l'IA pour préparer une première version d'une procédure.
Le document est ensuite vérifié, corrigé et approuvé selon le processus documentaire de l'entreprise.
Dans ce cas, l'IA participe à une activité GxP.
Il devient nécessaire de définir les règles d'utilisation, les vérifications attendues et les responsabilités.
L'effort d'assurance ou de validation doit être déterminé selon le risque.
Exemple 3 : analyser automatiquement des données qualité
Une entreprise utilise une IA pour analyser des résultats de contrôle qualité et proposer automatiquement des décisions.
Le résultat de l'IA peut alors influencer directement une décision GxP.
Le risque est plus important.
L'entreprise devra démontrer que la solution est adaptée à son utilisation, que ses résultats sont suffisamment fiables et que les contrôles nécessaires sont en place.
Ces trois exemples montrent qu'un même outil peut présenter des risques très différents selon son utilisation.
C'est pourquoi il est essentiel de commencer par définir son Intended Use, c'est-à-dire son utilisation prévue.
4. L'Intended Use : le point de départ
Avant d'utiliser une intelligence artificielle dans un environnement GxP, une entreprise doit comprendre précisément ce qu'elle souhaite en faire.
Quelques questions permettent de commencer cette évaluation :
Quel est l'objectif de l'IA ?
Sert-elle uniquement à aider un collaborateur ou intervient-elle directement dans un processus GxP ?
Comment ses résultats sont-ils utilisés ?
Sont-ils vérifiés par une personne compétente avant leur utilisation ?
Quelles données sont introduites dans l'outil ?
S'agit-il de données publiques, confidentielles, personnelles ou GxP ?
Quelles seraient les conséquences d'une erreur ?
Une réponse incorrecte pourrait-elle avoir un impact sur la qualité du produit, la sécurité du patient ou l'intégrité des données ?
Les réponses permettent d'identifier les risques et de définir les contrôles nécessaires.
Une approche simple basée sur le risque
Le raisonnement peut se résumer ainsi :
Utilisation prévue → Impact GxP → Analyse de risques → Mesures de maîtrise → Assurance ou validation adaptée
Cette approche évite de valider inutilement des usages à faible risque tout en renforçant les contrôles pour les utilisations plus critiques.
5. La vérification humaine reste indispensable
On parle souvent de Human-in-the-Loop (HITL) pour désigner l'intervention humaine dans un processus utilisant l'intelligence artificielle.
Mais cette intervention doit être réelle et efficace.
Il ne suffit pas qu'un collaborateur clique sur « Approuver » après avoir lu rapidement un document généré par l'IA.
La personne chargée de la vérification doit être capable de détecter les erreurs.
Elle doit notamment pouvoir vérifier :
- L'exactitude des informations.
- La conformité aux exigences réglementaires.
- La cohérence avec les procédures internes.
- La pertinence des conclusions proposées.
Une réponse générée par l'IA peut être convaincante tout en étant incorrecte.
La vérification humaine doit donc être réalisée par une personne compétente, et pas simplement constituer une étape administrative.
L'entreprise reste responsable des décisions prises à partir des résultats de l'IA.
6. Comment encadrer l'utilisation de l'IA en environnement GxP ?
Une entreprise pharmaceutique n'a pas nécessairement besoin de créer un système de validation entièrement nouveau pour gérer l'intelligence artificielle.
Elle peut s'appuyer sur les principes existants de validation des systèmes informatisés (CSV), de Computer Software Assurance (CSA) et de Data Integrity.
Une approche pratique consiste à :
1. Identifier les utilisations de l'IA
Recenser les outils utilisés et les activités auxquelles ils contribuent.
2. Évaluer leur impact GxP
Déterminer si leur utilisation peut affecter la qualité du produit, la sécurité du patient, les données ou les décisions réglementaires.
3. Analyser les risques
Identifier les conséquences possibles d'une erreur, d'une réponse incomplète ou d'une mauvaise utilisation.
4. Définir les contrôles nécessaires
Par exemple : vérification humaine, protection des données, gestion des accès, formation des utilisateurs ou contrôle des résultats.
5. Déterminer les besoins de validation
Adapter les activités d'assurance et de validation au niveau de risque et à l'utilisation prévue.
6. Maintenir la maîtrise dans le temps
Réévaluer les risques lorsque les usages, les fonctionnalités ou les conditions d'utilisation de l'IA évoluent.
Cette démarche permet d'intégrer progressivement l'intelligence artificielle dans les processus existants, sans perdre la maîtrise des activités GxP.
7. Conclusion : ce n'est pas l'outil qui compte, mais son utilisation
L'intelligence artificielle représente une réelle opportunité pour l'industrie pharmaceutique.
Elle peut aider les équipes à travailler plus efficacement, à exploiter les informations et à préparer certains documents.
Mais elle introduit également de nouveaux risques.
Les enseignements de la conférence PDA/FDA 2026 et de la Warning Letter du 2 avril 2026 rappellent une règle essentielle :
L'utilisation de l'intelligence artificielle ne supprime pas les responsabilités réglementaires de l'entreprise.
Il ne faut donc pas considérer que tous les usages de ChatGPT nécessitent automatiquement une validation complète.
À l'inverse, il serait risqué de considérer qu'aucune validation n'est nécessaire simplement parce que l'outil est présenté comme un assistant.
La démarche doit rester fondée sur l'utilisation prévue et les risques associés.
Finalement, la question à se poser est simple :
« Savons-nous comment nous utilisons l'IA, quels risques elle présente et comment nous vérifions que ses résultats sont fiables ? »
C'est sur cette base qu'une entreprise peut construire une utilisation maîtrisée et conforme de l'intelligence artificielle en environnement GxP.
L'accompagnement VeriData Advisory
L'intégration de l'intelligence artificielle dans les activités GxP nécessite une approche adaptée aux risques et aux exigences réglementaires.
VeriData Advisory accompagne les entreprises pharmaceutiques et les organisations réglementées dans l'évaluation de leurs systèmes informatisés, la maîtrise des risques Data Integrity et la définition de stratégies de validation adaptées aux usages.
Notre approche repose sur un principe simple : mettre en place les contrôles nécessaires, au bon niveau, pour garantir la fiabilité des systèmes et des données.