AI ותיעוד מערכת האיכות - מה צריך לעבור ולידציה לפני שמשתמשים

שאלה שמגיעה אלי מחברות שמבצעות דיגיטציה של מערכת האיכות שלהן: "אנחנו משתמשים ב-AI לכתיבת נהלים, לניהול שינויים, לסקירת מסמכים. אנחנו צריכים לוולדץ את זה"? התשובה המורכבת יותר: תלוי. ויש חשיבות גדולה לאיך שמגדירים את ה"שימוש ב-AI".

שתי קטגוריות שונות לחלוטין

לפני שמדברים על דרישות, צריך להבחין בין שתי קטגוריות שונות לחלוטין:

• קטגוריה א - AI ככלי כתיבה ועריכה: אדם משתמש ב-AI כדי לנסח, לערוך, או לשפר מסמך (שימוש ב-ChatGPT, Claude, Copilot). האדם הוא הסמכות. הוא קורא, מאמת, ומאשר את התוצר. המסמך הסופי עובר את כל תהליכי האישור הרגילים.

• קטגוריה ב - AI כמרכיב פונקציונלי בתהליך איכות: מערכת AI מבצעת פעולה אוטומטית בתוך מערכת האיכות, כגון: סיווג מסמכים, זיהוי סטיות, הפקת דוחות, ניתוח נתוני CAPA. כאן ה-AI עצמו הוא חלק מהתהליך המוסדר.

הדרישות לוולידציה שונות לחלוטין בין השניים.

קטגוריה א: AI ככלי כתיבה

כאשר אדם משתמש ב-AI ככלי לניסוח ועריכה, ה-AI אינו חלק מתהליך האיכות. הוא כלי שהאדם משתמש בו כחלק מתהליך העבודה שלו, בדיוק כמו שהוא משתמש ב-Word, Grammarly, או בכל עוזר כתיבה אחר.

מה ISO 13485:2016 אומר: סעיף 4.1.6 מחייב שארגון יגדיר תהליכים ובפרט: "processes needed for the quality management system". תהליך יצירת מסמכים חייב להיות מוגדר. אבל הכלי שבו משתמשים לכתיבה אינו בהכרח חלק מהתהליך המוסדר עצמו.

מה כן נדרש: תהליך בקרת מסמכים תקין לפי סעיף 4.2.4, שכולל: סקירה ואישור לפני הפצה, גרסאות מבוקרות, זיהוי שינויים. כל אלה חלים על המסמך הסופי ללא קשר לאיך הוא נוצר.

המלצה מעשית: כדאי לציין בנוהל כתיבת המסמכים שניתן להשתמש בכלי AI לניסוח, ולהדגיש שכל מסמך עובר סקירה ואישור על ידי בעל תפקיד מוסמך. זה מספיק. אין צורך בוולידציה פורמלית של כלי ה-AI עצמו.

קטגוריה ב: AI כמרכיב פונקציונלי ב-QMS

כאן הסיטואציה שונה לגמרי. אם מערכת AI מבצעת פעולה שיש לה השפעה על איכות המוצר, בטיחות המוצר, או עמידה בדרישות רגולטוריות, היא דורשת Computer Software Assurance (CSA) לפי גישת ה-FDA, ו-Computer Validation לפי ISO 13485.

ISO 13485:2016 סעיף 4.1.6: "The organization shall document procedures for the validation of the application of computer software used in the quality management system. Such software applications shall be validated prior to initial use and, as appropriate, after changes to such software or its application."

זו דרישה ברורה ומפורשת. תוכנה שמשמשת במערכת האיכות, ועונה על ההגדרה של "application of computer software" מחייבת ולידציה.

הגישה החדשה יותר של ה-FDA, המכונה Computer Software Assurance (CSA) ומפורטת ב-Guidance משנת 2025, מדגישה גישה מבוססת סיכון במקום תיעוד ולידציה כבד.

מה CSA שינה בגישת ה-FDA

ה-FDA פרסם ב-2025 את מסמך ההנחיה "Computer Software Assurance for Production and Quality System Software".

המסמך הזה מציג שינוי מהותי בגישה: במקום ולידציה פורמלית לכל תוכנה, ה-FDA מציע גישה מבוססת סיכון.

השאלה המרכזית לפי CSA: מה רמת הסיכון שהתוכנה מייצגת?

תוכנה שמשמשת לפעולות ייצור קריטיות, לסיווג NC, לאישור שחרור מוצר, לניהול CAPA, נמצאת ברמת סיכון גבוהה יותר. תוכנה שמשמשת לניסוח, לסקירה, לארגון מידע, נמצאת ברמת סיכון נמוכה יותר.

לפי CSA, התיעוד ורמת הוולידציה מדורגים לפי הסיכון.

לתוכנה Low-Risk, מספיקה רמת Assurance קלה יותר - בדיקה פונקציונלית בסיסית שמוכיחה שהתוכנה מבצעת את ייעודה, עם תיעוד מינימלי של הבדיקה.

לתוכנה High-Risk, נדרש תיעוד מלא יותר.

יישום מעשי: שאלות לשאול לפני שמשתמשים ב-AI במערכת האיכות

• שאלה 1: האם ה-AI מבצע פעולה שמשפיעה ישירות על בטיחות המוצר או עמידה בדרישות? אם כן: דרוש תהליך Validation/Assurance. אם לא: מספיקה מדיניות שימוש ברורה.

• שאלה 2: האם פלט ה-AI עובר סקירה אנושית לפני שמתקבלת החלטה? Human-in-the-Loop מפחית את רמת הסיכון ואת דרישות הוולידציה.

• שאלה 3: האם ה-AI משתנה לאורך זמן (Adaptive)? מערכת AI שלומדת ומשתנה דורשת תהליך ניטור ובקרת שינויים.

• שאלה 4: האם הספק של מערכת ה-AI מספק תיעוד מספק? לפי ISO 13485 סעיף 7.4 (ספקים), הספק של תוכנה קריטית הוא ספק שיש לנהל. אם הוא לא מספק תיעוד מספיק, זה חלק מניהול הסיכון.

מה שצריך להיות כתוב בנהלים

אם ארגון מחליט להשתמש ב-AI במערכת האיכות, אלה הנקודות שצריכות להיות מוגדרות:

• תחום השימוש: באילו תהליכים מותר להשתמש ב-AI? מה מחוץ לתחום?

• Human Oversight: מי בודק ומאשר כל פלט AI לפני שמתקבלת החלטה?

• תיעוד: כיצד מתועד השימוש ב-AI בתהליכי איכות קריטיים?

• Change Control: מה קורה כשמערכת ה-AI משתנה (גרסה חדשה, שינוי בפרמטרים)?

• Supplier Management: מי הספק, האם הוא מאושר, מה ה-SLA, מה קורה אם השירות מפסיק?

MDR ו-AI במערכת האיכות: זווית נוספת

תחת MDR Article 10(9), היצרן חייב לקיים מערכת ניהול איכות שמכסה את כל ההיבטים של מחזור חיי המוצר. אין ב-MDR התייחסות ספציפית ל-AI בניהול מערכת האיכות, אבל נוטיפייד בודי'ס מצפים שהארגון יוכל להסביר ולתעד כיצד כל תהליך במערכת האיכות מבוצע, מבוקר, ומוסדר.

שימוש ב-AI שאינו מתועד ואינו מוסדר יוצר שאלה לגיטימית בביקורת.

לסיום: ולידציה היא לא מילת קסם

לא כל שימוש ב-AI דורש ולידציה פורמלית. אבל כל שימוש ב-AI דורש מחשבה: מה רמת הסיכון, מה ההשפעה על בטיחות ואיכות, ומה תהליך ה-Oversight.

ארגון שמחליט להשתמש ב-AI במערכת האיכות ועושה זאת תוך הבנה ברורה של הגבולות, ומגדיר נהלים מתאימים, יהיה במצב טוב הרבה יותר מארגון שמשתמש ב-AI בלי לחשוב על הנושא בכלל.

ולידציה היא אמצעי, לא מטרה.

המטרה היא שימוש בטוח ומבוקר בכלים שמשרתים את המערכת, לא פוגעים בה.