Zulassungsanträge für BfArM und EMA vorbereiten

Das echte Ausmaß des Problems

Ein Zulassungsantrag im CTD-Format (Common Technical Document) ist eines der komplexesten Dokumente, die ein Pharmaunternehmen produziert. Module 1 bis 5 umfassen je nach Antrag Tausende Seiten, aufgeteilt in hunderte Einzeldokumente mit strengen Strukturvorgaben. Jedes Dokument muss mit korrekt formatierten Lesezeichen versehen, verlinkbar und in einer validen eCTD-Sequenz verpackt sein.

Die zwei Hauptkostentreiber:

Erstens: Formale Mängel. Das BfArM prüft eCTD-Sequenzen zuerst technisch gegen die Validierungskriterien, bevor die inhaltliche Beurteilung beginnt. Eine technisch ungültige Sequenz wird nicht angenommen und muss korrigiert neu eingereicht werden. Fehlende Pflichtdokumente fallen spätestens bei der Validierung des Antrags auf. Jede solche Runde kostet Zeit und blockiert die Ressourcen des Teams.

Zweitens: Konsistenz zwischen Modulen. CTD-Module referenzieren sich gegenseitig: Modul 2.5 (Clinical Overview) und Modul 2.7 (Clinical Summary) fassen die klinischen Daten aus Modul 5 zusammen, Modul 2.4 (Nonclinical Overview) basiert auf Modul 4. Wer in Modul 5 eine Studie ergänzt, aber Modul 2.7 nicht aktualisiert, produziert eine Inkonsistenz, die beim Prüfer auffällt und eine Frage auslöst. Solche Fragen kommen gesammelt in der Fragenliste der Behörde, und bis alle beantwortet sind, steht das Verfahren.

Was sich seit Dezember 2025 geändert hat:

Seit dem 1. Dezember 2025 sind die eCTD-Validierungskriterien 8.2 und die EU-Modul-1-Spezifikation 3.1.1 EU-weit verpflichtend, bei der EMA wie bei den nationalen Behörden. Alle neuen Sequenzen müssen diesem Stand entsprechen, auch in laufenden Verfahren. Wer mit einem veralteten Publishing-Stand arbeitet, scheitert an der technischen Validierung, nicht an der Qualität des Inhalts.

Mit vs. ohne KI, ein ehrlicher Vergleich

¹ Belastbare Vorher-nachher-Zahlen aus Einführungsprojekten liegen uns nicht vor. Miss selbst: Prüftage je Sequenz und die Zahl der Rückfragen, die auf Widersprüche zwischen Modulen zurückgehen.

Einschätzung auf einen Blick

Zeitersparnis, mittel (3/5) KI reduziert den Prüfaufwand erheblich, aber der Gesamtzeitplan einer Zulassung wird von inhaltlicher Qualität, Behördenbearbeitungszeiten und klinischen Daten dominiert, nicht vom Publishing. Deshalb 3 statt 4: Der Zeitgewinn ist real, aber nicht der dominante Hebel im gesamten Zulassungsprozess.

Kosteneinsparung, mittel (3/5) Eine vermiedene Rückfrage kann Wochen bis Monate im Verfahren sparen, aber nur, wenn sie die einzige offene Frage war. Die Behörde schickt eine gesammelte Fragenliste, und das Verfahren steht, bis alle Punkte beantwortet sind. Ein Konsistenzfehler weniger verkürzt diesen Stillstand deshalb oft gar nicht. Dazu kommt: Eine spätere Zulassung verschiebt Umsatz meist nur, und in die Rechnung gehört der Deckungsbeitrag, nicht der Umsatz. Teuer wird die Verzögerung vor allem dort, wo ein Wettbewerber mit demselben Wirkstoff zuerst am Markt ist. Deshalb 3: Der Hebel ist real, aber weder sicher noch leicht in Euro zu fassen.

Schnelle Umsetzung, sehr niedrig (1/5) Einer der schwierigsten Use Cases in dieser Kategorie. Ein System, dessen Prüfergebnis in Einreichungsentscheidungen einfließt, wird in der Praxis wie ein GxP-System validiert, meist nach dem risikobasierten Ansatz von GAMP 5. Realistische Implementierungszeit: 8–14 Monate. Wer schnellere Wege verspricht, ignoriert entweder die Validierung oder setzt ein System ein, das bei einem Audit nicht standhält.

ROI-Sicherheit, niedrig (2/5) Der Nutzen hängt davon ab, ob eine Rückfrage tatsächlich verhindert wird, und das ist ex ante ungewiss. Ein System, das formale Fehler erkennt, liefert keinen Schutz vor inhaltlichen Fragen der Behörde. Selbst nach mehreren Einreichungen bleibt offen, welche Rückfrage ohne das System gekommen wäre.

Skalierbarkeit, niedrig (2/5) Jeder neue Wirkstoff, jede neue Indikation bringt ein neues Dossier-Profil mit. KI-Prüfmodule, die auf einem Wirkstoff kalibriert wurden, müssen für den nächsten angepasst werden. Das System skaliert nicht ohne Pflegeaufwand, ein spürbarer Unterschied zur klinischen Studiendokumentation, wo dasselbe Prüfsystem für verschiedene Studien desselben Typs wiederverwendbar ist.

Richtwerte, stark abhängig von Produktportfolio, Behörden-Target und Dossier-Komplexität.

Was das System konkret macht

Ein KI-gestütztes CTD-Prüfsystem arbeitet auf zwei Ebenen.

Ebene 1: Formale Strukturprüfung

Das System kennt die aktuellen eCTD-Validierungsregeln (BfArM, EMA, Modul-1-Spezifikationen) und prüft die Dossierstruktur automatisch: Sind alle Pflichtdokumente für das jeweilige Verfahren vorhanden? Sind die Hyperlinks korrekt gesetzt? Stimmt die Lesezeichen-Hierarchie? Sind Dateinamen konform? Diese Prüfungen führt heute Lorenz docuBridge durch, KI fügt die Schicht hinzu, die inhaltliche Inkonsistenzen zwischen Modulen aufdeckt, nicht nur Formatfehler.

Ebene 2: Inhaltliche Konsistenzprüfung zwischen Modulen

Modul 2 ist eine Zusammenfassung von Modulen 3, 4 und 5. Wenn im Modul-5-CSR eine Studienzahl aktualisiert wird, aber die entsprechende Summary in Modul 2.7 nicht, entsteht eine Inkonsistenz. KI-gestützte Querprüfung erkennt solche Abweichungen, und zeigt an, wo Modul-2-Texte mit den Quelldaten aus Modulen 4 und 5 nicht mehr übereinstimmen.

Was bleibt Aufgabe des Regulatory-Affairs-Teams

KI prüft Struktur und Konsistenz, sie beurteilt keine regulatorische Strategie, keine wissenschaftliche Argumentation, kein Risk-Benefit-Assessment. Die inhaltliche Qualität des Dossiers, die Auswahl der richtigen Verfahrensart und die Kommunikation mit der Behörde bleiben menschliche Aufgaben. KI ist hier der Vorab-Qualitätssicherungsschritt, der Qualitätsprüfer, nicht der Autor.

Rechtliche Besonderheiten

CTD-Dossiers gehören zu den sensibelsten Dokumenten, die ein Pharmaunternehmen verwaltet: Sie enthalten Betriebs- und Geschäftsgeheimnisse, klinische Daten, Herstellungsverfahren und Formulierungsdetails. Für die KI-gestützte Verarbeitung dieser Daten gelten:

GxP-Validierungspflicht

Ein System, das in den Einreichungsprozess eingebunden ist und dessen Output direkt in das Dossier einfließt, gehört in die Validierung, üblich ist der risikobasierte Ansatz nach GAMP 5 (2. Ausgabe 2022). GAMP 5 ist ein Branchenleitfaden, kein Gesetz, aber bei einem Audit oder einer Inspektion wird genau danach gefragt: wie das System validiert wurde, welche Testdokumentation vorliegt und wer den Systemzustand überwacht.

Datenschutz und Vertraulichkeit

CTD-Module enthalten in der Regel keine personenbezogenen Probandendaten (diese sind pseudonymisiert oder aggregiert), aber sie enthalten vertrauliche Unternehmens- und Produktinformationen. Der Einsatz von Cloud-KI-Services erfordert einen AVV nach Art. 28 DSGVO und eine Prüfung, ob Geschäftsgeheimnisse an US-amerikanische Cloud-Anbieter übertragen werden dürfen. Empfehlung: Für produktive Einreichungsdossiers EU-gehostete Lösung mit klarer Datenisolierung nutzen.

eCTD 8.2 seit Dezember 2025 verpflichtend, auch beim BfArM

Seit 1. Dezember 2025 gelten für alle neuen Einreichungssequenzen EU-weit die eCTD-Validierungskriterien 8.2 und die EU-Modul-1-Spezifikation 3.1.1, bei der EMA wie beim BfArM. Ein automatisches Validierungs-Tool muss gegen diese aktuellen Regelwerke geprüft sein, ältere Versionen reichen nicht mehr.

Konkrete Werkzeuge, was wann passt

Lorenz docuBridge , der verbreitete Standard für europäische eCTD-Submissions. docuBridge prüft automatisch gegen aktuelle Validierungsregeln, erstellt valide eCTD-Sequenzen und unterstützt alle europäischen Verfahrenstypen. Für Regulatory-Affairs-Teams mit regelmäßigem BfArM/EMA-Einreichungsbedarf ist das der unverzichtbare Einstieg, vor jeder KI-Schicht. Kosten: marktüblich 10.000–30.000 €/Jahr für Mid-Size-Pharma, Angebot nur auf Anfrage.

Veeva Vault RIM (Regulatory Information Management), Wenn Veeva ohnehin als Dokumentenplattform genutzt wird: Vault RIM integriert Einreichungsverfolgung, eCTD-Versionierung und Content-Management in einer Plattform. Die KI-Agenten von Veeva AI kommen seit der ersten Veröffentlichung Ende 2025 schrittweise in den Releases dazu; ob eine Konsistenzprüfung zwischen CTD-Modulen dabei ist, lass dir im Angebot bestätigen. Kosten: einzelne Vault-Module ab ca. 25.000 €/Jahr, Enterprise-Einsätze deutlich höher.

Claude für Modul-2-Texterstellung, Als Schreibassistent für Clinical Overview und Summary-Dokumente in Modul 2: Medical Writers nutzen Claude für Erstdrafts von Standardabschnitten, die dann gegen Quell-Daten aus Modulen 4 und 5 überprüft werden. Als Schreibwerkzeug mit vollständiger menschlicher Prüfung liegt es außerhalb des validierten Systems. Für Dossierinhalte kommt nur ein Tarif ohne Training auf euren Daten infrage, also Claude Team ab zwei Plätzen: 25 USD je Platz und Monat, 20 USD bei Jahreszahlung.

Azure OpenAI Service mit EU-Region, Für Teams, die eine valide, API-basierte Lösung für automatische Querprüfungen zwischen Modulen aufbauen wollen. Azure OpenAI in EU-Region bietet Datenresidenz und einen Microsoft-AVV. Als Basis für eine eigene RAG-Lösung über das Dossier-Archiv. Kosten: nutzungsabhängig.

Zusammenfassung:

• Einreichungsvorbereitung grundsätzlich → ein eCTD-Publishing-Werkzeug wie Lorenz docuBridge (ohne geht es nicht)
• Veeva-Nutzer → Vault RIM mit KI-Features erweitern
• Modul-2-Texterstellung → Claude/ChatGPT als externes Schreibwerkzeug, im Team- oder Business-Tarif
• Vollintegrierte Konsistenzprüfung → eigene RAG-Lösung auf Azure EU

Datenschutz und Datenhaltung

CTD-Dossiers enthalten hochvertrauliche Informationen: Synthesewege, Formulierungsrezepturen, klinische Evidenz, Wirkstoffprofile. Diese Inhalte sind meist keine personenbezogenen Daten im DSGVO-Sinne, aber sie sind Betriebs- und Geschäftsgeheimnisse, die nicht ungeschützt in Cloud-Dienste geladen werden sollten.

Empfohlenes Vorgehen nach Schutzbedarfsstufe:

• Modul-1-Dokumente (administrative Anlagen): Geringes Risiko, Standard-Cloud-Dienste mit AVV zulässig
• Module 2–3 (Qualität, Synthesis, Manufacturing): Hohe Vertraulichkeit, EU-Hosting mit nachgewiesener Datenisolierung wählen
• Module 4–5 (Nonclinical/Clinical): Je nach Pseudonymisierungsgrad unterschiedlich; bei aggregierten Daten weniger sensitiv; bei Rohdaten aus Studien strenge Datenschutzregeln

Für alle Ebenen gilt: AVV nach Art. 28 DSGVO abschließen, bevor irgendein Dossierinhalt in Cloud-Dienste geladen wird. Das gilt auch für generische KI-Assistenten wie Claude oder ChatGPT, beide bieten in den Business-Tarifen einen AVV. EU-Datenresidenz gibt es bei ChatGPT nur im Enterprise-Tarif und in der API, bei Claude auf Anthropics eigener Plattform gar nicht, dort nur über AWS Bedrock oder Microsoft Foundry mit EU-Region.

Was es kostet, realistisch gerechnet

Einmalige Einrichtungskosten

• KI-Layer für Modulkonsistenzprüfung (eigene RAG-Lösung): 30.000–80.000 € Entwicklung + GAMP5-Validierungsdokumentation
• Veeva Vault RIM-Erweiterung mit KI: projektspezifisch, typisch 50.000–200.000 € Implementierung

Laufende Kosten

• Lorenz docuBridge (falls noch nicht vorhanden): marktüblich 10.000–30.000 €/Jahr Lizenz, dazu die Einführung
• Claude Team als Schreibwerkzeug: 25 USD je Platz und Monat, 20 USD bei Jahreszahlung, ab zwei Plätzen
• ChatGPT Business als Alternative: 25 USD je Nutzer und Monat, 20 USD bei Jahresabrechnung, ab zwei Nutzern
• Azure OpenAI API: nach Verbrauch (Token), die Größenordnung zeigt ein Pilotmonat mit echten Dossiers

Wie du den ROI misst Die sauberste Metrik: Zahl der Rückfragen und Mängelschreiben, die auf formale Fehler oder Widersprüche zwischen Modulen zurückgehen, vor und nach Einführung. Was eine vermiedene Rückfrage wert ist, hängt davon ab, ob sie den Stillstand des Verfahrens tatsächlich verkürzt hätte (siehe Kosteneinsparung oben), und an der Antwortzeit deines Teams, die du aus den letzten Verfahren kennst.

Rechenweg für den Fall, dass es trägt: Ein Produkt mit 2 Mio. Euro Jahresumsatz setzt in drei Monaten 3/12 mal 2 Mio. Euro um, also 500.000 Euro. Für die Entscheidung zählt davon nur der Deckungsbeitrag, und auch der nur, soweit die Verzögerung Umsatz wirklich kostet, statt ihn nach hinten zu schieben, etwa weil ein Wettbewerber zuerst am Markt ist. Das Wenn ist die Unsicherheit, die den ROI-Score auf 2 begrenzt.

Typische Einstiegsfehler

1. KI als Ersatz für Lorenz docuBridge sehen. KI und eCTD-Publishing-Tools lösen unterschiedliche Probleme. Lorenz erstellt valide eCTD-Sequenzen und prüft formale Struktur, das ist nicht ersetzbar durch ein allgemeines Sprachmodell. KI kommt auf die Ebene darüber: Inhaltliche Konsistenz zwischen Modulen. Wer Lorenz zugunsten eines KI-Tools umgeht, baut auf instabilem Fundament.

2. Validierungsaufwand unterschätzen. „Das Tool macht nur Prüfungen, keine Änderungen, muss das wirklich validiert werden?” Ja. Wenn das Prüfergebnis Entscheidungen für die Einreichung beeinflusst, ist es GxP-relevant. Validierung bedeutet nicht unbedingt monatelange IQ/OQ/PQ-Tests, aber User Requirements, Risikoanalyse und Testdokumentation sind Minimum. Ohne das: Risiko eines Befunds bei Audit oder Inspektion.

3. Tool auf einer Wirkstoffklasse trainieren, und für andere erwarten, dass es passt. CTD-Anforderungen variieren je nach Arzneimitteltyp (Generikum, Biologikum, neuer Wirkstoff), Verfahrenstyp (national, MRP, DCP, zentrales Verfahren) und Indikation. Ein System, das für ein Generikum im nationalen Verfahren kalibriert wurde, übersieht Anforderungen für ein Biologikum im zentralen Verfahren. Scope-Klarheit vor Implementierungsbeginn ist entscheidend.

Was mit der Einführung wirklich passiert

Regulatory Affairs ist ein Bereich, in dem Erfahrung extrem wertvoll ist, und in dem erfahrene Fachleute aus gutem Grund vorsichtig gegenüber Tools sind, die behaupten, Behördenanforderungen „automatisch” zu prüfen. Die Skepsis ist berechtigt.

Was gut funktioniert: KI als Qualitätsprüfschicht präsentieren, nicht als Entscheidungsautomatismus. Der Regulatory-Affairs-Manager entscheidet weiterhin über die Einreichungsstrategie, das Tool hilft, formale Fehler zu finden, bevor sie die Behörde findet.

Widerstände entstehen vor allem in zwei Situationen:

• Das Tool markiert etwas als Fehler, was aus Erfahrung des Prüfers kein Problem ist (False Positive), und dann wird das Tool als störend erlebt
• Das Tool übersieht einen Fehler, der zu einer Rückfrage führt, und dann ist das Vertrauen weg

Beides ist unvermeidlich in der Einführungsphase. Entscheidend ist, wie damit umgegangen wird: Jeder False Positive verbessert das System, wenn er dokumentiert und ausgewertet wird. Jeder Miss ist ein Lernfall für den nächsten Kalibrierungszyklus.

Was konkret hilft:

• Senior Regulatory Affairs Manager frühzeitig zum System-Co-Autor machen, nicht Endnutzer, sondern Kalibrierungs-Partner
• Erste drei Einreichungen mit paralleler manueller Prüfung, kein blindes Vertrauen in das System, aber systematischer Vergleich der Ergebnisse
• Feedback-Log einführen, jeder False Positive und jeder Miss wird protokolliert und ausgewertet

Realistischer Zeitplan mit Risikohinweisen

Häufige Einwände, und was dahintersteckt

„Jeder Antrag ist individuell, KI kann das nicht generisch abdecken.” Stimmt für die inhaltliche Strategie. Stimmt nicht für die formale Strukturprüfung: eCTD-Validierungsregeln sind für alle Anträge eines Verfahrenstyps identisch. Formale Fehler sind generisch erkennbar, inhaltliche Lücken nicht. Diesen Unterschied klar halten vermeidet falsche Erwartungen in beide Richtungen.

„Wenn das System einen Fehler übersieht, haben wir ein Problem.” Das ist die richtige Sorge, und der Grund, warum das System die menschliche Prüfung nicht ersetzt, sondern ergänzt. Kein Prüf-Tool ist fehlerfrei, und wie viele Fehler euer manueller Prüfschritt heute findet, weiß kaum ein Team. Der Parallelbetrieb der ersten drei Einreichungen liefert genau diese Zahl, für beide Wege. Besser ist das System erst, wenn es in diesem Vergleich mehr findet, bei vertretbar vielen Fehlalarmen, und das Restrisiko bewusst gesteuert wird.

„Das dauert 12 Monate, bis dahin läuft unser Antrag schon.” Korrekt für den nächsten Antrag. Aber: Pharmaunternehmen reichen typisch mehrere Male pro Jahr ein, Variationen, neue Indikationen, Post-Approval Changes, Verlängerungen. Wer heute beginnt, profitiert beim übernächsten Antrag. Wer wartet, schiebt das Problem nur nach hinten.

Woran du merkst, dass das zu dir passt

• Dein Unternehmen reicht mindestens zweimal pro Jahr beim BfArM oder EMA ein, Variationen, neue Indikationen, Verlängerungen oder Neuanträge
• Du hattest in den letzten drei Jahren mindestens einen Mängelbrief, der auf formale oder strukturelle Mängel im Dossier zurückzuführen war
• CTD-Erstellung bindet drei oder mehr Regulatory-Experten für mehrere Monate je Antrag
• Dein Regulatory-Affairs-Team wechselt häufig, und erfahrenes Wissen über eCTD-Konventionen geht bei jedem Abgang verloren
• Du hast bereits Lorenz docuBridge im Einsatz und willst die nächste Ebene (inhaltliche Konsistenz, automatisches Lückenscreening) ergänzen

Wann es sich noch nicht lohnt, drei harte Ausschlusskriterien:

1. Weniger als zwei Einreichungen pro Jahr. Das Einführungsprojekt (8–14 Monate inklusive Validierung) amortisiert sich bei seltenen Einreichungen nicht. Eine gut strukturierte Checkliste und erfahrene Regulatory Affairs Consultants sind das bessere Mittel.

2. Kein etabliertes eCTD-Publishing-System vorhanden. KI-gestützte Modulprüfung setzt voraus, dass das Dossier bereits in einem strukturierten eCTD-Format vorliegt. Wer noch mit nicht-strukturierten PDF-Konvoluten arbeitet, muss zuerst den Publishing-Prozess standardisieren.

3. Regulatory Affairs Team unter drei Personen oder ohne validierte Systemlandschaft. Ein KI-System für regulatorische Einreichungen braucht einen validierten Betrieb, dafür braucht es Personen, die Validierungsprojekte managen können. In Teams ohne diese Kapazität ist das Kosten-Nutzen-Verhältnis ungünstig.

Das kannst du heute noch tun

Lade das Modul 2.7 (Clinical Summary) und den Textteil der zugehörigen Clinical Study Reports aus einem früheren Antrag in Claude oder ChatGPT , und zwar im Team- beziehungsweise Business-Tarif mit AVV, nicht in einem privaten Konto. Stell die Frage: „Welche Zahlen und Befunde in Modul 2.7 lassen sich nicht direkt in einem der CSR-Dokumente verifizieren?”

Das ist kein valider Systemcheck, aber ein schneller Test, ob KI überhaupt in der Lage ist, solche Querprüfungen sinnvoll durchzuführen. Lass die Anhänge mit Einzelpatientendaten (die Listings in CSR-Abschnitt 16) weg: Pseudonymisierte Probandendaten bleiben Gesundheitsdaten nach Art. 9 DSGVO, auch in alten, abgeschlossenen Studien. Für den Test reichen Modul 2.7 und der Textteil der CSRs.

Für die strukturierte Qualitätssicherung vor einer Einreichung:

Quellen & Methodik

• eCTD-Validierungskriterien 8.2 und EU-M1-Spezifikation 3.1.1, verpflichtend ab 1. Dezember 2025: EMA eSubmission, EU Module 1 (abgerufen am 19.09.2026); BfArM, „e-Submission, Neue eCTD-Validierungskriterien v8.2 ab 01.12.2025 verpflichtend” (bfarm.de, 2025).
• GAMP 5 (2. Ausgabe, Juli 2022): ISPE GAMP 5: A Risk-Based Approach to Compliant GxP Computerized Systems. Branchenleitfaden für die Validierung computergestützter GxP-Systeme.
• Kosten der Werkzeuge: unsere Toolseiten zu Lorenz docuBridge, Veeva Vault, Claude und ChatGPT (Stand September 2026).