En julio de 2025, la EMA publicó el borrador revisado del Anexo 11. Pasó de 5 a 19 páginas. La mayoría de plantas farmacéuticas españolas lo leyeron como una actualización regulatoria más — algo para que QA lo procese, lo archive y lo incorpore al próximo ciclo de revisión documental.
Y lo que diagnostica es que la mayoría de plantas farmacéuticas españolas no están preparadas.
Error de categoría.
El Anexo 11 revisado no es una actualización. Es un espejo. Y lo que refleja es la brecha entre lo que la industria lleva cinco años llamando «digitalización» y lo que la regulación entiende por integridad de datos.
Ese espejo tiene un nombre técnico: ALCOA+. Y a partir de 2026, ALCOA+ deja de ser una recomendación de buenas prácticas para convertirse en requisito regulatorio exigible de forma electrónica y automática.
La pregunta que debería estar sobre la mesa de cada Director de Calidad y cada Director de Operaciones de una planta farmacéutica española no es «¿cumplimos el Anexo 11?» La pregunta correcta es: «¿Puede nuestro sistema de control demostrar ALCOA+ de forma automática, electrónica y trazable desde el origen del dato?»
Para la mayoría de plantas, la respuesta honesta es no. Y la razón técnica tiene nombre: ausencia de ISA-88.
Qué dice el Anexo 11 revisado que antes no decía
El Anexo 11 original era un documento de principios. Establecía que los sistemas informatizados debían ser validados, que debía existir un audit trail, que los datos debían ser seguros. Correcto pero genérico.
La versión revisada es un documento de requisitos concretos. Cuatro cambios que lo transforman en una herramienta de inspección con dientes:
Primero: ALCOA+ deja de ser interpretable. El texto revisado vincula cada principio ALCOA+ a una capacidad técnica específica que el sistema debe demostrar. Atribuible significa que el sistema puede identificar automáticamente qué equipo generó el dato y en qué contexto de proceso. Contemporáneo significa timestamp NTP certificado, verificable y sincronizado en todos los sistemas. Consistente significa que los timestamps del PLC, el SCADA, el historian y el eBR son coherentes entre sí — y que el sistema puede demostrarlo.
Segundo: el ciclo de vida del dato es trazable de extremo a extremo. No basta con que el dato esté bien en el momento de su generación. El Anexo 11 revisado exige que la trazabilidad se mantenga desde la generación del dato hasta su archivo — incluyendo cualquier transformación, migración o agregación intermedia.
Tercero: la infraestructura cloud queda explícitamente regulada. Cualquier sistema que gestione datos GxP en AWS, Azure o Google Cloud debe cumplir exactamente los mismos requisitos que un sistema on-premise. El proveedor cloud no es el responsable de la conformidad. La planta lo es.
Cuarto: los sistemas de Inteligencia Artificial tienen su propio marco. El Anexo 22, publicado en borrador simultáneamente, establece por primera vez requisitos GMP específicos para IA y Machine Learning en manufactura farmacéutica. Cuatro requisitos no negociables: trazabilidad de los datos de entrenamiento conforme a ALCOA++, audit trail de cada decisión del sistema, validación según GAMP 5 y explicabilidad ante inspector de las decisiones tomadas por el modelo.
Por qué el Anexo 11 revisado es imposible de cumplir sin ISA-88
Aquí está el problema técnico concreto que ningún proveedor de eBR ni ningún integrador de MES va a explicarte en la propuesta comercial.
El Anexo 11 revisado exige que cada dato de proceso sea atribuible, contemporáneo y consistente de forma automática y electrónica. Eso significa que el sistema debe saber, para cada valor que registra, tres cosas de forma simultánea: quién lo generó (qué equipo, en qué estado), cuándo lo generó (timestamp NTP verificable) y en qué contexto lo generó (qué fase del proceso, qué lote, bajo qué receta aprobada).
Esas tres cosas juntas — equipo, tiempo y contexto de proceso — son exactamente lo que define ISA-88.
Sin ISA-88 correctamente implementado como capa arquitectónica del sistema de control, el dato de proceso existe pero carece de contexto regulatorio. El historian tiene la temperatura. El eBR tiene el registro. Pero el sistema no puede demostrar automáticamente que esa temperatura pertenece a esa fase de ese lote bajo esa receta aprobada — porque nunca se estableció esa vinculación formal.
El inspector pregunta: «¿Puede demostrar que este dato fue capturado contemporáneamente durante la Fase de Granulación Húmeda del lote 341?»
Sin ISA-88, la respuesta requiere reconstrucción manual. Cruzar el historian con el eBR. Comparar timestamps. Justificar discrepancias. Demostrar que el operario no introdujo el dato 20 minutos después de que el proceso había terminado.
Con ISA-88, la respuesta es automática. El sistema genera el contexto regulatorio en tiempo real, en el origen del dato, antes de que llegue al historian, al eBR o a cualquier otro sistema.
Ese es el gap que el Anexo 11 revisado va a poner de manifiesto en cada inspección a partir de 2026.
El Anexo 22 y la trampa de los proyectos de IA sin base ISA-88
El Anexo 22 merece atención separada porque introduce una categoría de riesgo regulatorio que la industria farmacéutica española no ha procesado todavía.
Muchas plantas están invirtiendo en proyectos de Inteligencia Artificial: detección automática de desviaciones, mantenimiento predictivo, optimización de recetas. Inversiones que en algunos casos superan el millón de euros. Y que en la mayoría de los casos están construidas sobre datos de historian sin estructura ISA-88.
El Anexo 22 establece que cualquier sistema de IA que opere en un entorno GMP debe cumplir ALCOA++ — la extensión de ALCOA+ que incorpora la trazabilidad del dato a lo largo de todo su ciclo de vida, incluyendo los datos de entrenamiento del modelo. No solo los datos de producción. Los datos con los que el modelo aprendió.
La implicación es esta: si el modelo de machine learning fue entrenado sobre datos de historian sin contexto ISA-88 — datos sin fase, sin lote, sin receta —, esos datos no son trazables conforme a ALCOA++. El modelo no es validable conforme a GAMP 5. Y el sistema no es defendible ante una inspección.
No es un problema futuro. Es un problema presente en cada planta farmacéutica española que tiene un proyecto de IA activo sobre datos legacy sin estructura ISA-88.
La secuencia regulatoriamente correcta es la misma que la secuencia técnicamente correcta: ISA-88 como capa de contexto del dato, ISA-95 como jerarquía empresa-planta, y solo entonces — con datos ALCOA++ desde el origen — la IA opera en un entorno GMP defendible.
Lo que el inspector va a preguntar que hoy no tiene respuesta
Para hacer el riesgo concreto, estas son las cinco preguntas que un inspector entrenado en el Anexo 11 revisado puede formular — y que sin ISA-88 no tienen respuesta electrónica automática:
«Muéstreme el audit trail completo de la Fase de Granulación del lote 341.» Sin ISA-88, el audit trail de proceso no está vinculado a la fase. Existe el audit trail del eBR y existe el audit trail del SCADA — pero no son el mismo audit trail, y el sistema no puede unificarlos automáticamente.
«¿Puede demostrar que todos los timestamps de este lote son coherentes entre sí?» Sin sincronización NTP documentada y sin un sistema que registre el contexto de fase en el origen, la coherencia entre el PLC, el SCADA y el eBR es manual y reconstruida. No electrónica y automática.
«¿Quién introdujo este parámetro y cuándo, en relación con el momento real del evento de proceso?» Sin ISA-88, la atribución del dato al contexto de proceso no es automática. Si el operario introdujo el valor 20 minutos después de que el proceso terminó, el sistema no lo detecta como incumplimiento contemporáneo.
«¿Bajo qué versión de Master Recipe aprobada se ejecutó esta fase?» Sin la separación formal ISA-88 entre Master Recipe y Control Recipe, la vinculación del dato de proceso a la versión aprobada de receta no es automática — es declarativa.
«¿Pueden los datos con los que opera su modelo de IA ser trazados hasta su origen conforme a ALCOA++?» Esta es la pregunta del Anexo 22. Y su respuesta depende enteramente de si los datos de entrenamiento tienen contexto ISA-88 desde su generación.
Cinco preguntas. Cinco hallazgos potenciales. Todos evitables con la misma solución arquitectónica.
La implementación es posible sin parar la producción
El argumento más frecuente contra la implementación de ISA-88 en plantas farmacéuticas españolas en producción activa es siempre el mismo: «No podemos parar las líneas.»
La metodología Shadow Mode existe precisamente para desactivar ese argumento.
Shadow Mode es una estrategia de cambio controlado reconocida explícitamente por GAMP 5 en su Apéndice O6 — Operational Change and Configuration Management — como metodología válida para modernizar sistemas informatizados en entornos GMP sin interrumpir la producción.
El principio es sencillo: la capa ISA-88 se instala en paralelo al sistema legacy mediante interfaces OPC-UA estándar. Solo lectura. Sin tocar la lógica de control existente. Durante 8 a 12 semanas, ambos sistemas operan simultáneamente. El sistema legacy sigue siendo el único que determina las acciones de proceso. ISA-88 observa, contextualiza y genera el registro paralelo.
Cuando la equivalencia funcional entre ambos sistemas está demostrada y documentada lote a lote, se realiza el cutover en una parada de mantenimiento ya planificada. Línea a línea. Sin paradas adicionales. Sin riesgo de producción.
El paquete de validación que emerge del Shadow Mode — IQ, OQ, PQ — es el mismo paquete que el inspector revisará para verificar el cambio de sistema. El Shadow Mode es, simultáneamente, la metodología de implementación y el protocolo de validación. Sin trabajo adicional de QA.
El momento de hacer el diagnóstico es antes de que llegue el inspector
El Anexo 11 revisado tiene versión final prevista para el verano de 2026. El Anexo 22 está en la misma línea temporal. La ventana para hacer el diagnóstico y planificar la respuesta regulatoria existe — pero se está cerrando.
La deuda legacy ISA-88 no desaparece sola. Crece con cada lote que se fabrica sin contexto semántico. Con cada proyecto de IA que se entrena sobre datos sin estructura. Con cada inspección que se supera por los pelos reconstruyendo manualmente lo que el sistema debería generar automáticamente.
El Quick Scan ISA-88 es el primer paso: cinco días de diagnóstico en planta, sin tocar sistemas, sin interrumpir la producción. Entregable concreto al día siete: inventario completo de deuda legacy, gap report ISA-88/95 priorizado y roadmap de implementación a 18 meses — incluyendo la secuencia de Shadow Mode y la estrategia de respuesta regulatoria ante Anexo 11 y Anexo 22.
Porque la pregunta no es si el Anexo 11 revisado va a afectar a tu planta. La pregunta es si vas a saberlo antes o después de que llegue el inspector.
