Annex 11 개정, 왜 지금 챙겨야 할까요? EU GMP의 컴퓨터화 시스템 (Computerised Systems) 부속서인 Annex 11이 2011년 이후 14년 만에 대대적으로 손질됩니다. 초안이 2025년 7월 공개되고 그해 10월 공개 의견수렴 (public consultation)까지 마무리되면서, 최종본은 2026년 중 발표가 유력합니다. 여기에 인공지능 (AI)을 다루는 신설 부속서 Annex 22까지 함께 붙습니다. 본 포스팅에서는 Annex 11 개정과 Annex 22 신설의 타임라인, 핵심 변화, 그리고 품질관리 (QC)·품질 보증 (QA) 실무와 취업 준비에 이것이 어떤 의미인지까지 차근차근 알아보겠습니다.
Annex 11 개정과 Annex 22, 무엇이 달라지나
가장 눈에 띄는 변화는 분량입니다. 기존 5쪽짜리 문서가 용어집을 포함해 약 19쪽, 17개 챕터로 확대됩니다. 8개의 상위 원칙 (overarching principles)이 전체 요구사항의 뼈대를 이루고, 그 아래로 점검 기록·접근권한·공급자 관리 같은 항목이 훨씬 촘촘해집니다.
배경은 단순합니다. 2011년 원문은 클라우드 (Cloud)도, AI도 상정하지 않았습니다. 그사이 실험실과 제조 현장은 SaaS·클라우드·자동화로 빠르게 옮겨갔는데, 규제 문서만 14년 전에 멈춰 있었던 것이죠. 이번 개정은 그 공백을 메우는 작업입니다. 개정은 유럽연합 집행위원회 (EC)와 PIC/S가 공동으로 진행해, EU와 PIC/S 가입국(캐나다 등)에서 정합성을 유지할 전망입니다. 한국 식약처도 PIC/S 가입국이라, 국내 GMP 해석에도 시차를 두고 영향을 줄 수 있습니다.
일정은 이렇게 정리됩니다. 초안 공개 2025년 7월 7일 → 의견수렴 마감 2025년 10월 7일 → 최종본 2026년 중 발표 예정. 시행 시점은 최종 본문에 명시될 예정이며, 통상 6~12개월 유예가 예상됩니다.
실무를 바꾸는 핵심 변화 5가지
개정안의 무게중심을 실무 언어로 옮기면 다섯 갈래입니다.
① 점검 기록 (Audit Trail)의 ‘검토’가 핵심이 됩니다. 시스템은 각 이벤트가 발생한 시점에 ‘누가·무엇을·언제·왜’를 자동으로 남기고, 변경 전후 값을 함께 기록해야 합니다. 이 기록은 영구히 잠겨야 하며, 제조단위 (Batch) 출하 전에 독립적인 담당자가 문서화된 절차에 따라 검토해야 합니다. 즉 ‘점검 기록을 켜 두었는가’가 아니라 ‘검토했고 그 검토를 남겼는가’가 관건입니다.
② 접근권한 관리 (IAM)가 강화됩니다. 개인별 고유 계정이 의무화되어 쓰기 권한을 가진 공유계정은 금지됩니다. 중요 시스템 원격 접속에는 다중인증 (MFA)이 요구되고, 직무 분리 (Segregation of Duties)와 최소권한 원칙이 명문화됩니다.
③ 공급자·클라우드 책임이 계약으로 내려옵니다. 클라우드·서비스 제공자와의 계약에 활동 범위, 규제 준수, 보고 체계, 실사 (Inspection) 협조 조건, 데이터 반출 전략 등 9개 필수 항목을 담아야 합니다.
④ 사이버보안 (Cybersecurity)이 처음으로 GMP 요구사항이 됩니다. 20개 소항목으로 패치 관리, 침투 테스트, 방화벽, USB 통제, 백신, 재해복구 계획까지 다룹니다.
⑤ 밸리데이션 (Validation)이 라이프사이클과 위험 기반으로 재편됩니다. 사용자 요구사항 명세서 (URS)가 SaaS·클라우드를 포함한 모든 GMP 시스템에 의무화되고, 요구사항–설계–시험 간 추적성 (Traceability)을 문서로 증명해야 합니다. 품질리스크관리 (QRM, ICH Q9(R1) 기준)가 전주기에 적용되어, 제품 품질·데이터 완전성 (Data Integrity)에 영향이 없는 미결 항목은 조건부 승인도 허용됩니다.
Annex 22 — AI를 어디까지 허용하나
신설된 Annex 22는 GMP에서 AI 사용의 선을 그어 줍니다. 핵심은 명확합니다. GMP-중요 (critical) 영역에서는 정적·결정론적 (static, deterministic) 모델만 허용합니다. 같은 입력에 항상 같은 출력을 내는, 검증 가능한 모델만 중요 판정·시험 자동화 등에 쓸 수 있다는 뜻입니다.
반대로 동적 모델 (Dynamic Model), 생성형 AI, 대규모 언어모델 (LLM)은 중요 용도에서 배제됩니다. 이들은 비중요 (non-critical) 역할에서 사람의 감독 (human oversight) 아래에서만 허용됩니다.
▶ 그럼 실험실에서 챗봇이나 생성형 AI는 아예 못 쓰나요? 그렇지 않습니다. 회의록 초안, 문서 검색 보조 같은 비중요 업무 보조는 가능합니다. 다만 시험 결과의 적합/부적합을 가르거나 데이터를 처리·판정하는 ‘중요’ 지점에는 결과가 재현되지 않는 모델을 넣지 말라는 것이 Annex 22의 요지입니다.
QC/QA 실무와 취업 준비에는 어떻게 쓰이나
규제 문서 한 편이 왜 취업 준비생에게까지 중요할까요? 면접과 실무의 언어가 바로 여기서 나오기 때문입니다.
실무 예시를 하나 들어 보겠습니다. 함량 규격 (Spec.)이 90~110%인 제품의 시험 데이터를 실험실 정보 관리 시스템 (LIMS)에서 다룬다고 합시다. 한 분석자가 초기값 88.5%를 얻은 뒤 재적분하여 92.0%로 바꿨다면, 개정 Annex 11 기준에서는 (1) 변경 전 88.5%와 변경 후 92.0%가 점검 기록에 남고, (2) ‘왜’ 바꿨는지 사유가 기록되며, (3) 출하 전 독립 검토자가 그 점검 기록을 확인하고 검토 사실을 문서로 남겨야 합니다. 이 세 가지 중 하나라도 빠지면 데이터 완전성 결함으로 지적됩니다.
▶ 신입인데 이걸 어디까지 알아야 하나요? 용어와 흐름을 ‘내 언어로’ 설명할 수 있으면 충분합니다. 예컨대 “점검 기록은 생성보다 검토·문서화가 핵심이고, 공유계정 금지·MFA는 접근권한 관리의 기본”이라고 말할 수 있으면, 면접에서 실무 감각을 보여 주는 답변이 됩니다.
QA 관점에서는 세 문서(Chapter 4, Annex 11, Annex 22)를 묶어 차이 분석 (Gap Analysis)을 돌리는 것이 실무 과제가 됩니다. EU로 수출하는 기업이라면 점검 기록 검토 절차, 공급자 계약 9개 항목, 접근권한 gap을 우선 점검 대상으로 삼게 됩니다. 취업 준비생이라면 지원 회사가 EU·미국 수출 사이트를 운영하는지 확인하고, 자기소개서에 “컴퓨터화 시스템 밸리데이션과 데이터 완전성에 관심이 있다”는 방향성을 구체 사례와 함께 녹이면 좋습니다.
핵심 요약
정리하면, 이번 Annex 11 개정은 컴퓨터화 시스템 관리의 무게중심을 ‘기능을 갖췄는가’에서 ‘증명하고 검토했는가’로 옮겨 놓습니다. 점검 기록의 검토·문서화, 접근권한 관리, 공급자·클라우드 책임, 사이버보안, 그리고 Annex 22의 AI 경계선 — 이 다섯 가지만 기억하시면 됩니다. 최종본이 나오면 유예기간 안에 gap을 메우는 것이 실무의 숙제이고, 취업 준비생에게는 면접에서 바로 쓸 수 있는 최신 규제 소재가 됩니다.
점검 기록의 기본 개념부터 다시 잡고 싶으시다면 Audit trail(점검 기록) 개념 이해 글을, 데이터 완전성과 ALCOA++ 요구 기준은 ALCOA++ 개념과 데이터 완전성(DI) 요구 기준 향상 글을 참고하시면 됩니다. 개정 원문과 진행 상황은 유럽연합 집행위원회의 Annex 11 개정 의견수렴 페이지에서 직접 확인하실 수 있습니다.