Genau einer von zwölf Anbietern für EU-AI-Act-Schulungen, die ich in den vergangenen Monaten für Mandanten aus der Pharma- und Life-Sciences-Branche geprüft habe, erwähnt in seinen Unterlagen überhaupt GAMP 5. Die übrigen elf verkaufen eine generische Einführung in Hochrisiko-Systeme und KI-Literacy, ursprünglich für Banken oder Maschinenbauer entwickelt, und reichen sie an Pharma-Kunden nahezu unverändert weiter. Der verbreitete Irrtum dahinter: Wer bereits ein eingespieltes GxP-Schulungsprogramm betreibt, deckt mit einer zusätzlichen Pflichtstunde zur KI-Verordnung automatisch auch die Anforderungen der Life-Sciences-IT an Pharma-Compliance ab. Das stimmt nicht – und genau dieser Denkfehler kostet Unternehmen in Wirkstoffforschung und Diagnostik wertvolle Zeit, bevor eine passende Schulung überhaupt bei den Validierungsverantwortlichen ankommt.
Automatische Abdeckung der KI-Verordnung durch eine GxP-Schulung
Nein – und das ist der erste Irrtum, den ich in Erstgesprächen mit IT-Leitern und Qualitätsmanagement-Verantwortlichen ausräumen muss. Artikel 4 der KI-Verordnung verlangt ein eigenes Maß an KI-Kompetenz beim Personal; das ist eine separate Pflicht, die auch dann greift, wenn Ihre Mitarbeiter bereits routinemäßig zu GAMP 5 und computergestützter Systemvalidierung geschult werden. Beide Schulungswelten überschneiden sich inhaltlich kaum: GxP-Trainings drehen sich um Datenintegrität und Testprotokolle, während die KI-Verordnung fragt, ob Ihr Personal die Funktionsweise, die Risiken und die Grenzen eines konkreten KI-Systems versteht, bevor es überhaupt in die Validierung geht.
Ein Beispiel aus der Beratungspraxis macht den Unterschied greifbar. Ein Team in der Diagnostik-Entwicklung hatte sauber dokumentierte GAMP-5-Kategorien für jede Software-Komponente, aber niemand konnte auf Nachfrage erklären, warum das eingesetzte Modell zur Bildauswertung überhaupt als Hochrisiko-System gilt. Die Klassifizierung selbst ist ein eigenes Thema, das an anderer Stelle ausführlicher behandelt gehört; für die Schulungsauswahl reicht die Erkenntnis, dass GxP-Wissen und KI-VO-Wissen zwei unterschiedliche Fragen beantworten.
Intern multiplizieren oder extern einkaufen: Bei Pharma gelten andere Regeln
Viele Mittelständler lösen die Frage nach KI-Kompetenz, indem sie einen internen Multiplikator ausbilden, der das Wissen im Haus weiterträgt. Für ein SaaS-Unternehmen oder einen Versicherungsvermittler funktioniert das oft gut. In der Pharma-IT wackelt dieses Modell, sobald der Multiplikator die Schnittstelle zur Validierungsdokumentation nicht selbst mitverantwortet – dann bleibt das KI-Wissen im Silo der IT-Abteilung hängen, während Qualitätsmanagement und Regulatory Affairs außen vor bleiben. Wer die grundsätzliche Abwägung zwischen interner und externer Schulung nachlesen möchte, findet die allgemeinen Kriterien unter KI Schulung für interne Multiplikatoren oder externe Kurse im Vergleich; für Pharma kommt als zusätzlicher Filter hinzu, ob der Multiplikator Zugriff auf die CSV-Prozesse hat.
Der Trainingsmarkt selbst kennt diese Zusatzfrage kaum. Externe Kurse bringen zwar den Blick von außen mit, verlieren aber schnell den Anschluss an die eigene Validierungskette, sobald der Trainer die internen SOPs nicht kennt. Beide Wege haben ihre eigene Schwachstelle – die Wahl hängt weniger von der Unternehmensgröße ab als davon, wer im Haus bereits die CSV-Prozesse verantwortet.
Die Sicherheitskomponente, die viele Anbieter übersehen
Die eigentliche Krux liegt in Anhang III der KI-Verordnung. Er zählt acht Bereiche für Hochrisiko-Systeme auf, und die Details dazu gehören in einen eigenen Beitrag – wichtig für die Schulungsauswahl ist nur, dass Pharma-Anwendungen selten über die üblichen Kategorien wie Personalmanagement hineinfallen, sondern über die Rolle als Sicherheitskomponente in einem bereits regulierten Medizinprodukt. Ein überregional bekannter Anbieter für IT-Fortbildungen deckt in seinem Pharma-Modul zwar brav die Verordnungstheorie ab, lässt aber die Rolle der EMA und ihr Reflection Paper zur KI-Nutzung in der Arzneimittelentwicklung komplett aus – ein Lückenschluss, den kein Compliance-Team sich leisten sollte. Genau diesen Zusammenhang lassen die meisten Standardkurse aus, weil ihre Trainer aus der IT-Sicherheits- oder HR-Tech-Welt kommen und die Verzahnung mit der MDR schlicht nicht kennen.
Wer als Anbieter eines Systems gilt und wer als Betreiber, sorgt in praktisch jeder Schulung für Rückfragen – dieser Unterschied verdient eine eigene, gründliche Erklärung, die hier keinen Platz hat. Für die Pharma-Branche kommt erschwerend hinzu, dass die englische Originalfassung der Verordnung an manchen Stellen präziser ist als die deutsche Übersetzung; der Begriff der wesentlichen Änderung etwa entscheidet in der Fertigung oder Analyse darüber, ob eine Re-Validierung fällig wird. Selbst erfahrene Berater diskutieren an dieser Stelle, ab wann ein Modell-Update als solche Änderung zählt – bei mir sind die Textmarker-Linien auf den ausgedruckten Passagen dazu längst zu einem verblassten Orangeton verkommen, weil ich immer wieder darauf zurückkomme. Eine hundertprozentig trennscharfe Antwort gibt die Verordnung nicht her.
Life-Sciences-IT: Wo Patientensicherheit und Dokumentationspflicht zusammenlaufen
Bei einem Mandanten aus der Wirkstoffforschung erlebe ich mittlerweile öfter, dass in einer Schulung niemand mehr fragt, was ein Hochrisiko-System überhaupt ist. Die Fragen aus dem Raum drehen sich stattdessen um die Dokumentation nach Artikel 16 – wer welche technische Unterlage wann pflegen muss, sobald ein KI-System zur Sicherheitskomponente wird. Das ist ein verlässliches Signal: Sobald ein Team auf diesem Niveau fragt, ist eine Einsteiger-Schulung zur KI-Verordnung schlicht zu spät gebucht.
Die Dokumentationspflichten selbst verdienen eine eigene, detaillierte Aufarbeitung an anderer Stelle. Für die Life-Sciences-Branche zählt vor allem die Brücke zur Pharmakovigilanz: Wenn eine KI Signale aus Nebenwirkungsmeldungen filtert, ist das kein reines IT-Thema mehr, sondern Teil des Qualitätsmanagementsystems nach ISO 13485 oder vergleichbaren Standards. Für allgemeine KI-Modelle gilt außerdem eine eigene Übergangsfrist nach Artikel 113 – auch dieses Datum sollte in jedem Schulungsplan auftauchen, ohne dass die Schulung selbst zum reinen Fristen-Countdown verkommt.
Fragen Sie nach der GxP-Anschlussfähigkeit, bevor Sie buchen
Ein Mandant hatte vor der Zusammenarbeit mit mir bereits eine Rechtsanwaltskanzlei beauftragt, um die Lage einzuschätzen. Herausgekommen ist ein sauberes juristisches Gutachten, aber kein einziger Schulungstermin, keine Rollenverteilung, keine Antwort auf die Frage, wer im Haus welches Modul durcharbeiten muss. Das Gutachten lag am Ende in einer Schublade, während die eigentliche Schulungsplanung erst danach begann. Eine Kanzlei liefert Rechtssicherheit auf dem Papier, keinen umsetzbaren Fahrplan für die Belegschaft.
Mein früherer Kollege Ludwig Sachse, der heute auf der Prüferseite bei einem Zertifizierungsdienstleister arbeitet, bringt es in unseren Gesprächen regelmäßig auf den Punkt: Auditoren interessiert vor allem, ob die Teilnehmer im Gespräch nachweisen können, dass sie die Klassifizierung ihres eigenen Systems verstanden haben, nicht wie hübsch die Schulungsunterlage aussieht. Er lacht selbst gerne über besonders kleinteilige Risikomatrizen mancher Anbieter – und gibt unumwunden zu, dass seine eigene Matrix es auf fünfzehn Felder bringt. Fragen Sie einen Anbieter also nicht nur nach der Stundenzahl, sondern danach, ob er reale Nachweis-Situationen simuliert, etwa ein kurzes Rollenspiel, in dem ein Mitarbeiter einem Prüfer die eigene Risikoeinstufung erklären muss.
Ob Sie am Ende Inhouse oder offenes Seminar: KI Compliance Trainings für Teams wählen als Rahmen wählen, hängt stärker vom Reifegrad Ihrer QA-Prozesse ab als vom Preis pro Kopf – Letzteren sauber zu vergleichen ist ohnehin ein eigenes Thema mit vielen Fallstricken. Wichtiger ist die Frage, ob der Trainer weiß, was eine computergestützte Systemvalidierung ist, und ob er die Verantwortung der Geschäftsführung für die KI-Kompetenz im Haus klar benennen kann – diese Haftungsfrage wird an anderer Stelle ausführlich behandelt, gehört aber mindestens als Merksatz in jede Pharma-Schulung.
Woran Sie eine pharmataugliche Schulung wirklich erkennen
Die Prüfung ist einfacher, als sie klingt. Fragen Sie den Anbieter konkret, wie er GAMP 5 und die KI-Verordnung harmonisiert, und lassen Sie sich ein Beispiel aus der Medizinprodukte- oder Diagnostik-Branche zeigen, keine Blaupause aus dem Bankwesen. Ein Trainer, der die acht Hochrisiko-Bereiche nur auswendig aufsagen kann, ohne sie auf klinische Prozesse zu übertragen, wird Ihr Team nicht durch eine echte Prüfung führen. Sprechen Sie zusätzlich mit Ihrem Qualitätsmanagement, bevor Sie extern buchen – in dieser Branche ist Schulungsauswahl kein reines IT-Thema.
Der Test, der sich in der Praxis bewährt hat, ist unspektakulär: Wenn ein Anbieter GAMP 5, CSV oder Pharmakovigilanz nicht einmal erwähnen kann, ist er für Ihre Branche die falsche Wahl, egal wie sauber seine allgemeine Einführung in die KI-Verordnung sonst aufgebaut ist. Buchen Sie stattdessen ein Format, das direkt an Ihre bestehende Validierungskette andockt, selbst wenn es dadurch kleiner oder spezialisierter ausfällt als das große Standardpaket. Das ist der Unterschied zwischen einer Schulung, die eine Unterschrift auf dem Zertifikat produziert, und einer, die im Ernstfall vor einem Prüfer auch trägt.