Conformità GCP ICH E6(R3): evidenze digitali nei trial decentralizzati per sponsor e siti europei

I trial clinici stanno uscendo dalle mura dell'ospedale. Il paziente compila un diario elettronico dal divano di casa, indossa un sensore che registra il battito durante la notte, firma il consenso da un tablet e incontra lo sperimentatore in televisita. È il modello del trial decentralizzato, e nel giro di pochi anni è passato da eccezione pandemica a prassi consolidata per sponsor e siti europei.

Il problema è che gran parte di quei dati nasce lontano dal controllo diretto del centro sperimentale, su dispositivi e applicazioni gestiti da fornitori terzi. Con la revisione ICH E6(R3) della good clinical practice 2026, la qualità del dato raccolto a distanza smette di essere una buona pratica raccomandata e diventa un requisito esplicito, ancorato ai principi ALCOA+. La domanda che ogni sponsor si pone è semplice: come si dimostra, davanti a un ispettore, che un dato generato dal dispositivo di un paziente è integro, attribuibile e non è stato alterato?

La risposta passa dalle evidenze digitali. Un dato a distanza è difendibile quando porta con sé tre attributi tecnici verificabili: una marca temporale che fissa il momento esatto della raccolta, un'identificazione univoca della fonte e un'impronta crittografica che rende rilevabile qualsiasi manomissione. Su questo terreno si gioca la conformità GCP della prossima generazione di studi, e qui interviene la certificazione del dato alla fonte.

Questo approfondimento fa parte della guida: 21 CFR Part 11 e prove digitali nei trial

Cosa cambia con ICH E6(R3) rispetto a E6(R2)

ICH E6(R3) è la prima riscrittura strutturale della good clinical practice internazionale da quasi un decennio. Adottata in versione finale Step 4 il 6 gennaio 2025 dall'International Council for Harmonisation, è diventata effettiva in Europa il 23 luglio 2025 per i Principi e l'Annex 1, secondo il calendario fissato dall'Agenzia Europea per i Medicinali. Rispetto a E6(R2) del 2016, la revisione introduce cinque cambiamenti di sostanza.

Il primo è la gestione della qualità basata sul rischio: al posto della logica a lista di controllo di E6(R2), E6(R3) chiede una qualità progettata fin dall'inizio, concentrata sui fattori critici. Il secondo rafforza l'integrità del dato secondo i principi ALCOA+. Il terzo introduce requisiti per i fornitori tecnologici terzi, con maggiore responsabilità in capo allo sponsor. Il quarto aggiorna il consenso informato, anche nelle forme elettroniche e a distanza. Il quinto spinge verso una sorveglianza della sicurezza più tempestiva lungo tutto il ciclo dello studio.

I trial decentralizzati entrano nella norma

La novità più visibile è il riconoscimento esplicito dei disegni di trial decentralizzato. E6(R2) era pensato per uno studio che si svolge fisicamente in un centro; E6(R3) prende atto che il dato originale oggi può nascere in formati diversi, dalle cartelle cliniche elettroniche ai dispositivi indossabili fino alle piattaforme di esiti riferiti dal paziente. Le considerazioni specifiche per i trial non tradizionali, inclusi i decentralized clinical trial, sono destinate all'Annex 2, la cui pubblicazione finale è prevista dopo la conclusione della consultazione pubblica.

Per gli sponsor europei la direzione è chiara: ogni dato raccolto fuori dal centro va governato con lo stesso rigore di un dato raccolto in loco. La certificazione delle prove digitali nelle sperimentazioni cliniche diventa così l'anello di continuità tra raccolta a distanza e ammissibilità del dato.

ALCOA+ e l'integrità del dato come requisito esplicito

Il cuore tecnico della revisione è il rafforzamento di ALCOA+. L'acronimo, nato in ambito FDA e adottato da EMA e WHO, descrive nove attributi che un dato deve possedere per essere affidabile: attribuibile, leggibile, contemporaneo, originale, accurato, completo, coerente, duraturo e disponibile. La versione estesa ALCOA++ aggiunge un decimo attributo, la tracciabilità.

E6(R3) sposta l'attenzione sul risultato: i dati devono poter essere accettati con fiducia e sostenere decisioni corrette. La sezione sui dati di origine viene aggiornata per riconoscere che il dato originale può nascere su dispositivi indossabili e piattaforme di esiti riferiti dal paziente, dove marca temporale e identificazione del dispositivo diventano elementi chiave dell'audit trail. Su come l'integrità del dato certificata alla fonte risponda a questa esigenza torniamo più avanti.

Le evidenze digitali nei trial decentralizzati: la qualità del dato a distanza

Quando il dato nasce sul dispositivo del paziente, la sfida non è raccoglierlo ma renderlo difendibile. Un valore letto da un sensore indossabile o un esito inserito in un'applicazione vale come un dato di laboratorio solo se accompagnato da prove tecniche su origine, momento e integrità. Ed è esattamente il punto su cui la good clinical practice 2026 alza l'asticella.

Dati da dispositivi paziente, indossabili e app

Nel trial decentralizzato confluiscono fonti eterogenee: ePRO per gli esiti riferiti dal paziente, e-consent per il consenso a distanza, sensori indossabili che misurano parametri in continuo, applicazioni di diario elettronico e sessioni di televisita. Ognuna genera dati che il centro sperimentale non controlla fisicamente. Per i sistemi ePRO, in particolare, occorre garantire che il dato riferito dal paziente sia catturato in modo accurato e con controlli che impediscano la manipolazione.

Il rischio non è teorico. Un diario compilato in ritardo e datato a posteriori, un valore modificato dopo la raccolta, un dato privo di attribuzione certa al paziente: sono criticità che un ispettore può sollevare e che, in assenza di prove robuste, mettono in discussione l'intero set di dati.

Marca temporale, hash e identificazione univoca del dato

I tre attributi che rendono un dato a distanza difendibile sono tecnici e oggettivi. La marca temporale qualificata fissa il momento esatto della raccolta e soddisfa il requisito di contemporaneità di ALCOA+. L'impronta crittografica, calcolata con algoritmo hash SHA-256 prima di qualsiasi archiviazione, rende immediatamente rilevabile ogni alterazione successiva. L'identificazione univoca dell'operatore, del dispositivo e dell'istante di acquisizione rende il dato attribuibile alla sua fonte.

Questa è la differenza tra raccogliere un dato e poterlo difendere. Come già illustrato nella guida sui requisiti FDA 21 CFR Part 11 per i trial, audit trail, identificazione del firmatario e validazione del sistema restano i pilastri di un dato elettronico difendibile. Il modello decentralizzato non li attenua: li estende a ogni dispositivo coinvolto.

Fornitori tecnologici terzi e responsabilità dello sponsor

E6(R3) carica sullo sponsor un onere preciso: implementare un sistema di gestione della qualità e governare i fornitori, dai laboratori terzi ai fornitori di tecnologia mobile, in linea con i rischi dello studio. I processi di qualità del fornitore devono essere adeguati allo scopo, anche quando il fornitore non è di per sé costruito per la good clinical practice. In pratica, la responsabilità della qualità dei dati resta allo sponsor anche quando a produrli è un sistema che non gestisce.

Questo cambia il modo di selezionare e controllare i fornitori. Documentare in modo verificabile la catena di custodia del dato, dalla generazione sul dispositivo alla conservazione, diventa il criterio con cui dimostrare di aver assolto questo obbligo. Una verifica accurata delle fonti, come nella Source Data Verification durante le visite di monitoraggio, presuppone che il dato di origine sia tracciabile e immodificabile fin dall'istante in cui viene creato.

Come TrueScreen rafforza l'integrità ALCOA+ alla fonte

TrueScreen protegge, verifica e certifica l'autenticità dei dati digitali, rendendo i processi critici più affidabili, tracciabili e conformi alle principali normative. Non certifica la conformità GCP dello sponsor né è un sistema validato ICH E6(R3): fornisce lo strato tecnico di integrità che abilita i controlli richiesti da ALCOA+ a livello di singolo dato, lasciando la responsabilità regolatoria allo sponsor e alla CRO.

Il metodo è una metodologia forense in più fasi: acquisizione del dato direttamente all'origine in ambienti protetti che ne preservano l'integrità, verifica delle informazioni acquisite, certificazione con apposizione di un sigillo digitale ufficiale e di una marca temporale qualificata riconosciuti internazionalmente, conservazione su sistemi sicuri. Il sigillo e la marca temporale sono emessi attraverso l'integrazione con Trust Service Provider qualificati ai sensi del Regolamento eIDAS, e hanno pieno valore legale.

Tradotto sui principi ALCOA+: l'identificazione univoca di operatore, dispositivo e momento rende ogni dato attribuibile; l'acquisizione all'origine ne preserva l'originalità; l'hash SHA-256 calcolato prima dell'archiviazione garantisce che qualsiasi alterazione sia rilevabile, a tutela dell'accuratezza; la marca temporale qualificata soddisfa la contemporaneità; la catena di custodia documentata rende il percorso del dato tracciabile. Nel decentralized clinical trial la stessa logica vale sia per l'acquisizione manuale del paziente sia per i dati che arrivano in automatico da sistemi ePRO ed eCOA via integrazione API.

Questa impostazione è coerente con la Provenienza digitale: garantire l'autenticità del dato alla fonte, invece di rincorrere la verifica del falso a valle. Per uno sponsor che gestisce decine di dispositivi paziente distribuiti su più siti europei, è la base tecnica su cui costruire un dossier difendibile.