FDA首张AI合规警告信解读：药企用AI生成GMP文件的法律边界在哪里

2026年4月2日，FDA向密歇根州Livonia市的Purolea Cosmetics Lab发出了一份警告信。这封信的意义远超一家小型合同生产商的合规问题——它是FDA历史上第一份明确引用"在药品制造中不当使用人工智能"（Inappropriate Use of Artificial Intelligence in Pharmaceutical Manufacturing）的警告信。

一家生产顺势疗法OTC药品的合同制造商，用AI代理生成了药品规格书、生产规程和主生产控制记录，然后直接投入使用，没有经过质量部门（Quality Unit）审查。更荒诞的是，当FDA调查员发现该公司在产品上市前未完成工艺验证时，企业负责人的回应是："AI代理从未告诉我们这是必需的。"

FDA的态度很明确：你可以用AI辅助文件编制，但AI生成的文件必须经过具备资质的人员审查，确认其准确性和CGMP合规性，才能成为受控记录。质量部门的责任不能委托给算法。

事件始末：Purolea到底做了什么

Purolea Cosmetics Lab注册名称中带有"Cosmetics"，但FDA认定其实际从事顺势疗法OTC药品的合同生产，因此21 CFR Part 210和211（cGMP）完全适用。这一点需要特别说明——FDA对企业的监管基于其实际活动，而非注册名称或自我定位。一家名为"化妆品实验室"的企业，如果生产的是OTC药品，就得遵守药品GMP。

FDA现场检查发现

2025年10月28日至30日，FDA对Purolea进行了为期三天的现场检查。检查中发现的违规行为相当全面：

违规领域	具体问题	涉及法规条款
AI生成GMP文件	使用AI代理创建药品规格书、生产规程、主生产控制记录，未经质量部门审查	21 CFR 211.22(c)
工艺验证缺失	产品已上市销售但未完成工艺验证	21 CFR 211.100
卫生条件不合格	生产区域发现昆虫、污物、树叶、杂物	21 CFR 211.56
微生物检测缺失	产品放行前未进行微生物检测	21 CFR 211.165
原料检测缺失	未对原料进行鉴别和纯度检测	21 CFR 211.84

从这张表可以看出，Purolea的问题远不止AI使用不当。卫生条件、微生物检测、原料控制等基础GMP要求全部不达标。但FDA选择在警告信标题中专门点出AI问题，信号意义很强。

企业负责人的"AI没告诉我"辩解

FDA调查员在现场发现，Purolea的多款顺势疗法OTC产品已经进入商业分销渠道，但企业未能提供任何工艺验证（Process Validation）文件。当被追问原因时，企业负责人的原话是"the AI agent never told us it was required"——AI代理从未告诉我们这是必需的。

这个回应暴露了一个危险的认知误区：把AI工具当作GMP合规的知识权威，而非辅助工具。工艺验证是cGMP的基本要求，21 CFR 211.100(a)明确规定，任何药品的生产工艺必须有书面程序确保其一致性、均匀性和质量特征。这一要求不因企业是否使用AI而改变。

Purolea目前已停止药品生产。FDA在警告信中要求企业在恢复生产前完成全面整改，包括建立适当的质量体系、完成工艺验证、对所有AI生成的GMP文件进行审查和纠正。

FDA的法律依据：质量部门的不可替代性

FDA对Purolea提出AI相关指控的核心法律依据是21 CFR 211.22(c)——质量部门的责任条款。

21 CFR 211.22(c)的原文与解读

该条款规定：质量部门应有权且负责批准或拒绝所有组件、药品产品容器、密封件、中间物料、包装材料、标签和药品产品。质量部门应有权审查生产记录，确保没有错误发生，并且已完全遵守所有既定的书面程序。如果发生错误或未经授权的程序，质量部门应有权调查并在产品放行前解决差异。

拆开来看，这条法规赋予了质量部门三项核心权力：

文件审批权——所有与产品质量相关的文件必须经质量部门批准。AI生成的规格书、规程、主生产控制记录属于这一范畴。不管文件的初稿是人写的还是AI生成的，最终签署批准的必须是有资质的质量部门人员。

记录审查权——生产记录必须由质量部门审查，确认无差错且符合既定书面程序。这意味着质量部门需要有能力识别AI生成文件中的错误或遗漏。如果质量部门本身不具备足够的GMP知识来判断文件的正确性，那这个审查就是走过场。

调查和处置权——发现偏差时，质量部门有权调查并在产品放行前解决。Purolea案例中，如果质量部门履行了审查职责，应当能在产品上市前发现工艺验证缺失的问题。

21 CFR 211.100：工艺验证的硬性要求

FDA同时引用了21 CFR 211.100——工艺验证条款。该条款要求药品生产必须有书面程序，确保产品具有其所声称的鉴别、规格、质量和纯度。工艺验证是证明某个工艺在反复运行中能始终生产出符合规格产品的系统性工作。

Purolea的问题在于：AI代理为其生成的GMP文件中没有包含工艺验证的要求，而企业将AI输出直接等同于合规文件使用，跳过了本应由质量部门执行的合规性审查。这就形成了一个恶性循环——AI不知道需要工艺验证 → 生成的文件中没有工艺验证 → 企业认为不需要工艺验证 → 产品未经验证就上市。

"AI没告诉我"为什么不能免责

从法律角度看，Purolea企业负责人的辩解站不住脚，原因有三个层面。

法规不因工具选择而改变

cGMP的要求是客观存在的法律标准。21 CFR Parts 210和211对OTC药品生产商的要求，不会因为企业使用AI、聘请外部顾问、还是自己手工编写文件而有任何区别。法规的对象是"从事药品生产的企业"，不是"编写文件的人或工具"。

FDA在警告信中的态度十分明确：AI输出不能替代人工审查，质量部门的责任不能委托给算法。这一立场直指问题核心——GMP体系中的每一个责任环节都必须有明确的、可追溯的人类主体承担。

AI工具的局限性是已知风险

当前主流的大语言模型（包括用于GMP文件生成的AI代理）存在几个固有的技术局限：

AI局限性	在GMP环境中的表现	对合规的影响
训练数据截止	可能不包含最新的FDA指南或法规修订	文件引用过时要求或遗漏新要求
幻觉（Hallucination）	生成看似合理但实际不存在的法规引用或标准	企业可能执行不存在的合规要求
上下文缺失	不了解企业的具体产品、设备、工艺特征	文件内容过于通用，缺乏针对性
逻辑推理局限	无法像GMP专家一样进行系统性风险评估	可能遗漏关键控制点（如Purolea的工艺验证）

这些局限性在AI行业是公开知识。企业在选择使用AI工具时，就被认为应该知晓这些风险并采取相应的控制措施。法律上的"应知"原则在这里完全适用。

行业指南已经提供了框架

在Purolea事件之前，GAMP 5（Good Automated Manufacturing Practice）、21 CFR Part 11（电子记录与电子签名）以及FDA的CSA（Computer Software Assurance）指南，都已经为自动化系统在GxP环境中的使用提供了清晰的框架。这些指南的共同原则是：任何自动化系统的输出进入GxP流程前，必须经过有资质人员的审查和确认。

ISPE的GAMP 5第二版（2022年发布）专门增加了对AI/ML应用的指导，强调基于风险的验证方法和人工监督。FDA 2022年发布的CSA指南取代了传统的CSV（计算机化系统验证）方法，转向基于风险的软件保证，但核心要求没变——软件的适用性必须经过验证，输出必须经过审查。

质量部门的AI时代审查义务

Purolea案例之后，质量部门在面对AI生成文件时的审查义务变得更加清晰。我们认为，FDA实际上在建立一个新的合规标准：AI生成文件必须经过与人工编制文件同等甚至更严格的审查。

审查清单：AI生成GMP文件的质量部门审查要点

审查维度	具体检查内容	参考依据
法规完整性	文件是否涵盖所有适用的cGMP要求	21 CFR 210/211
技术准确性	工艺参数、检验方法、接受标准是否与产品和工艺匹配	产品开发数据、验证数据
法规引用核实	引用的法规条款号、指南文件是否存在且为当前版本	FDA官网、Federal Register
产品针对性	文件内容是否针对本企业的具体产品，而非通用模板	产品规格书、DMF文件
工艺验证覆盖	是否包含必要的验证和确认要求	21 CFR 211.100, FDA工艺验证指南
偏差处理流程	是否包含偏差识别、调查和CAPA的完整流程	21 CFR 211.192
变更控制	是否包含变更分类、评估、批准的流程	21 CFR 211.100(a)
数据完整性	是否满足ALCOA+原则	FDA数据完整性指南
人员资质要求	操作人员和审查人员的资质要求是否明确	21 CFR 211.25

这份清单不是一次性检查表，而应该嵌入企业的SOP中，成为AI生成文件的常规审查流程。

审查人员的资质要求

谁来审？这是Purolea案例引出的另一个关键问题。审查AI生成GMP文件的人，必须具备足够的GMP知识和产品/工艺专业知识来判断文件内容的正确性。这就带来一个现实挑战：如果企业本身缺乏GMP专业人才，那么即使有了"AI生成文件需要审查"的规定，审查也可能流于形式。

对于中国药企来说，这个挑战尤为突出。很多中小型药企的质量团队规模有限，GMP专员可能身兼数职。如果这些企业开始使用AI工具生成GMP文件，但没有足够的人力去审查每一份AI输出，就会陷入与Purolea相同的困境。

AI工具在GMP环境中的合理使用边界

Purolea案例并不意味着FDA禁止在GMP环境中使用AI。恰恰相反，FDA在多个场合表达过对AI在药品制造中合理应用的支持态度。问题不在于用不用AI，而在于怎么用。

可以用AI做什么

文件初稿编制——AI可以基于企业的工艺参数、设备信息和产品规格，生成SOP、批生产记录、规格书等文件的初稿。这能大幅提高文件编制效率，特别是对于英文文档能力有限的中国企业。

法规检索和比对——AI可以帮助快速检索适用的法规条款和指南文件，并将不同市场的监管要求进行比对。这对同时应对FDA、EMA、NMPA多个市场要求的企业尤其有用。

数据分析和趋势识别——在批记录审查、偏差分析、OOS调查等场景中，AI可以辅助识别数据趋势和异常模式。

翻译辅助——将中文GMP文件翻译为英文，或理解英文法规原文时，AI的翻译能力可以显著提高效率。

不能用AI做什么

替代质量部门的审批决策——AI生成的文件可以进入审查流程，但最终的批准或拒绝决定必须由有资质的质量部门人员做出。这一点没有讨论空间。

替代对法规的专业判断——AI可以告诉你21 CFR 211.100说什么，但不能替代你对"我的产品是否需要工艺验证"这个问题的专业判断。Purolea的问题恰恰在于把AI输出等同于专业判断。

在未经验证的场景中使用——如果AI工具未经验证就用于GMP关键用途，本身就是一个cGMP违规行为。企业需要证明所使用的AI工具在特定用途下是可靠和可重复的。

使用边界的判断框架

使用场景	AI参与程度	人工审查要求	风险等级
文件初稿编制（SOP、规程）	高：AI生成完整初稿	必须：逐条审查法规引用和技术参数	中
数据分析和趋势报告	中：AI分析数据，生成图表和初步结论	必须：确认分析逻辑和结论的合理性	中
批记录审查	低：AI辅助标记异常值	必须：人工逐项确认	高
法规检索和信息汇总	高：AI检索和整理信息	建议：核实原始法规来源	低
翻译辅助	高：AI完成主要翻译	必须：由GMP专业人员审校	中
质量决策（放行/拒绝）	零：AI不应参与最终决策	必须：完全由质量部门决定	极高

中国药企面临的特殊风险

Purolea是一家美国本土企业。但这个案例对中国药企的影响可能更大，原因有几个方面。

语言壁垒放大AI依赖风险

很多中国药企在应对FDA检查或准备FDA申报材料时，存在明显的语言壁垒。AI翻译和文档生成工具因此成为高频使用场景。但问题在于：如果企业无法独立判断AI生成的英文GMP文件是否正确，那审查环节就形同虚设。

我们接触过一些中国药企，质量团队的英文阅读能力仅限于日常邮件沟通。面对FDA调查员的现场提问，或者审查英文版的SOP和批记录时，往往需要借助翻译工具或外部顾问。在这种情况下，如果企业使用AI生成英文GMP文件，审查质量很难保证。

AI工具的中文GMP知识覆盖不足

当前主流AI模型（GPT系列、Claude、Gemini等）的训练数据以英文为主。在GMP领域，FDA cGMP、EU GMP、ICH指南的英文原文是这些模型的核心知识来源。但中国药企的实际操作中，大量GMP文件以中文为主，需要同时满足NMPA和FDA的要求。

AI模型对NMPA法规体系、中国药典要求、以及中国GMP特有的实践（如中药制剂的质量控制）的理解，远不如对FDA cGMP体系那么完整。这就增加了AI生成文件中出现遗漏或错误的风险——特别是在中美双报的场景下，文件需要同时满足两个监管体系的要求。

出海企业的紧迫时间线

近几年，越来越多的中国药企启动了对美出口或FDA申报项目。从ANDA（简略新药申请）到505(b)(2)，从原料药DMF到成品药NDA，时间线往往很紧。在赶工状态下，企业更容易依赖AI工具快速生成文件，而放松审查标准。

FDA对Purolea的检查发生在2025年10月，企业从使用AI工具到被查出问题，中间的时间可能不长。这也提醒我们，AI生成文件的合规风险可能在短时间内就暴露出来——特别是在FDA现场检查中。

建立合规的AI治理框架：实操建议

基于Purolea案例和FDA的态度，中国药企如果要在GMP环境中使用AI工具，需要建立一套系统的治理框架。以下是我们认为必要的几个环节。

文件层面：制定AI使用SOP

企业应该制定一份专门的SOP，规定AI工具在GMP环境中的使用规则。这份SOP至少应涵盖：

适用范围——明确哪些GMP文件可以使用AI辅助编制，哪些不能（如质量决策文件）
工具清单——列出经批准可以在GMP环境中使用的AI工具，以及每个工具的批准用途
使用记录——要求记录每次AI工具使用的场景、输入内容概要、输出结果概要
审查流程——规定AI生成文件必须经过的审查步骤、审查人员资质要求和审查记录要求
版本追溯——在文件的修订历史中标注哪些内容由AI辅助生成

人员层面：确保审查能力

AI治理框架的有效性取决于审查人员的专业能力。对于中国药企，我们建议：

明确审查责任人——每份AI生成的GMP文件必须指定一个有资质的审查人。审查人应当具备相关产品的GMP经验，熟悉适用法规，且不参与文件的AI辅助编制过程（避免自己审自己）。

建立审查培训体系——对质量部门人员进行AI工具局限性培训，帮助他们理解AI生成文件中常见的错误类型（幻觉、引用错误、遗漏关键要求等），提高审查效率。

外部审查资源——对于企业内部审查能力不足的情况，考虑聘请外部GMP顾问参与审查。虽然成本更高，但比起FDA警告信的后果（停产、进口禁令、市场信誉损失），这是一笔合理的投入。

技术层面：验证AI工具的适用性

按照GAMP 5和FDA CSA指南的原则，用于GMP关键用途的AI工具应当经过适用性验证：

功能验证——确认AI工具在特定用途下（如SOP生成、法规检索）的输出质量满足预期
局限性评估——记录AI工具已知的局限性（如训练数据截止日期、对中文法规的覆盖度）
变更管理——AI工具版本更新时，评估是否需要重新验证
输出监控——定期抽查AI生成文件的质量，建立质量趋势数据

行动清单

如果你的企业正在或计划在GMP环境中使用AI工具，建议按以下优先级行动：

立即：盘点当前AI工具使用情况——哪些部门在用什么工具做什么用途
本周内：暂停所有未经审查的AI生成GMP文件的使用，启动逐一审查
一个月内：制定AI使用SOP初稿，指定审查人员和流程
三个月内：完成关键AI工具的适用性评估，建立输出质量监控机制
六个月内：将AI治理要求纳入质量体系培训和内部审计计划

行业反响与后续走向

Purolea警告信发出后，多家行业机构发表了分析文章。Kneat Solutions认为这是FDA对AI在GMP环境中使用的"里程碑式先例"。EAS Consulting Group指出，FDA将AI使用不当与卫生条件不合格、检测缺失等传统GMP违规并列引用，表明FDA将其视为同等严重的问题。ECA Academy的分析认为，这份警告信为全行业设定了一个明确的基线——AI生成的GMP文件需要合格的人工审查和签署。

Dechert律师事务所和Epstein Becker & Green律师事务所分别从法律合规角度进行了分析，认为FDA的立场为企业使用AI设定了清晰的法律边界：AI可以作为文件编制的辅助工具，但不能替代质量部门的专业判断和审批职能。

FDA后续可能采取的行动

就目前的信息判断，FDA后续可能从几个方向推进对AI使用的监管：

发布指导文件——FDA可能在近期发布关于AI在药品制造中使用的行业指南，明确监管期望和合规标准。目前FDA已有关于AI/ML在药品开发中使用的讨论文件，但针对GMP环境下AI使用的专门指南尚未出台。

检查中增加AI相关审查——FDA调查员在今后的现场检查中，可能会主动询问企业是否使用AI工具生成GMP文件，并检查相应的审查流程和使用记录。

与国际监管机构协调——PIC/S、EMA等机构可能会参考FDA的立场，在各自管辖范围内发布类似的要求或指南。

参考资源

FDA Warning Letter to Purolea Cosmetics Lab — FDA 2026年4月2日向Purolea发出的警告信原文，首份明确引用AI不当使用的药品制造警告信
21 CFR Part 211 — Current Good Manufacturing Practice for Finished Pharmaceuticals — FDA成品药品cGMP法规全文，涵盖质量部门职责（211.22）、工艺验证（211.100）等关键条款
FDA Computer Software Assurance (CSA) Guidance — FDA计算机化系统保证指南，基于风险的软件验证方法
ISPE GAMP 5 Second Edition — ISPE GAMP 5第二版，包含AI/ML在GxP环境中的应用指导
21 CFR Part 11 — Electronic Records; Electronic Signatures — FDA电子记录与电子签名法规，适用于AI工具生成的电子GMP记录
FDA Process Validation Guidance — FDA工艺验证指南，生命周期方法的一般原则和实践

常见问题

AI工具生成的GMP文件被FDA检查员发现，一定会被发警告信吗？

不一定。Purolea被发警告信的原因不是单纯"使用了AI"，而是AI生成的文件未经质量部门审查、内容存在重大遗漏（如工艺验证要求缺失），且同时伴有卫生条件不合格、检测缺失等多项违规。如果企业的AI生成文件经过了质量部门的充分审查，确保内容正确完整，FDA不太可能仅仅因为"使用了AI工具"而发出警告信。关键在于审查流程是否到位，而非工具本身。

中国药企使用AI工具编写FDA申报材料，需要向FDA披露吗？

截至2026年5月，FDA没有要求企业在申报材料中披露是否使用了AI工具辅助编制。但企业应当保留AI使用的内部记录，包括哪些内容由AI辅助生成、经过谁的审查、审查了哪些方面。这些记录在FDA现场检查时可能被要求提供。另外，FDA在2024年发布的关于AI在药品开发中使用的讨论文件中，提出了透明度和可追溯性的原则，后续可能转化为正式要求。

如果企业的质量团队没有能力审查AI生成的英文GMP文件，怎么办？

这是一个很现实的问题。三个建议：一是聘请有FDA cGMP经验的外部顾问参与审查，确保文件质量；二是在使用AI工具时，先对AI工具本身在特定用途下的输出质量进行评估，了解其常见的错误模式，有针对性地加强审查；三是在团队内部培养至少一至两名具备英文GMP文件审查能力的骨干，长期来看这是最可持续的方案。

FDA对AI在药品制造中的使用，态度是支持还是反对？

FDA的态度是"支持但需要适当控制"。FDA在多个场合表示对AI在药品开发、制造和监管审查中的应用持开放态度。FDA的CDER已经设立了新兴技术项目（ETP），专门帮助企业对接新技术相关的监管问题。但FDA同时坚持，AI的使用不能降低GMP合规标准，质量部门的职责不能被自动化工具取代。简单讲，FDA不反对用AI，但反对用AI代替人的判断和责任。

GAMP 5对AI在GMP环境中的使用有什么具体指导？

GAMP 5第二版（2022年7月发布）增加了一个专门章节讨论AI/ML应用。核心观点包括：AI/ML模型应当根据其对产品质量和患者安全的影响进行风险分级；高影响的AI应用需要更严格的验证和持续监控；无论AI模型的复杂程度如何，最终决策应由有资质的人员做出。GAMP 5还强调了数据质量的重要性——AI模型的训练数据如果存在偏差或质量缺陷，输出结果的可靠性就无法保证。

工艺验证和AI有什么关系？Purolea为什么因为AI被 cite 工艺验证违规？

Purolea的工艺验证违规和AI使用是两个相关但独立的违规行为。Purolea用AI代理生成了全套GMP文件，但这些文件中没有包含工艺验证的要求。因为企业没有经过质量部门审查就直接使用了这些AI生成文件，工艺验证的缺失也就没有被发现。如果质量部门履行了审查职责，应当能识别出AI生成文件中遗漏的工艺验证要求。所以FDA把这两个问题一起引用——AI使用不当是文件编制层面的问题，工艺验证缺失是执行层面的问题，但根源都是质量部门审查职能的缺失。