42001-03 Kontext, interessierte Parteien, Anwendungsbereich

Für: V
Quelle: ISO/IEC 42001:2023(en), Englisch. 4.1, 4.2, 4.3

4.1 verlangt, externe und interne Themen zu bestimmen, die für den Zweck der Organisation relevant sind und sich auf die Fähigkeit auswirken, die beabsichtigten Ergebnisse des KI-Managementsystems zu erreichen.

Dieselbe Stelle verlangt:

The organization shall determine whether climate change is a relevant issue.

Die Organisation muss bestimmen, ob der Klimawandel ein relevantes Thema ist. Der Satz sagt nicht, dass er es immer ist. Die Anmerkung zu 4.2 sagt, relevante interessierte Parteien könnten Anforderungen im Zusammenhang mit dem Klimawandel haben. „Can“. Das ist Anmerkung.

Die Organisation muss den beabsichtigten Zweck der KI-Systeme berücksichtigen, die sie entwickelt, bereitstellt oder nutzt. Sie muss ihre Rollen in Bezug auf diese Systeme bestimmen.

Anmerkung 1 sagt, es könne hilfreich sein, die Rolle gegenüber dem KI-System zu bestimmen. Rollen können unter anderem umfassen: Anbieter, einschließlich Plattform- und Produkt- oder Dienstleistungsanbieter; Produzenten, einschließlich Entwicklern, Entwerfern, Betreibern, Prüfern und Bewertern, Bereitstellern, Fachleuten für menschliche Faktoren, Domänenexperten, Folgenbewertern, Beschaffenden, Fachleuten für Steuerung und Aufsicht; Kunden, einschließlich Nutzern; Partner, einschließlich Systemintegratoren und Datenanbietern; Betroffene, einschließlich betroffener Personen bei Daten und anderer Betroffener; relevante Behörden, einschließlich Politik und Regulierer. Eine detaillierte Beschreibung dieser Rollen steht in ISO/IEC 22989. Arten von Rollen und ihr Verhältnis zum Lebenszyklus beschreibt nach derselben Anmerkung auch das NIST AI Risk Management Framework im Literaturverzeichnis. Beides wird nicht nacherzählt. Die Rollen der Organisation können bestimmen, ob und in welchem Umfang Anforderungen und Maßnahmen dieses Dokuments anwendbar sind. Die Liste ist mit „can include, but are not limited to“ eingeleitet. Die Anforderung ist, die eigenen Rollen zu bestimmen, nicht jede genannte Rolle zu besetzen.

Anmerkung 2 sagt, externe und interne Themen könnten je nach Rollen und Rechtsraum variieren. Sie können unter anderem umfassen: anwendbare rechtliche Anforderungen, einschließlich verbotener Nutzungen von KI; Politiken, Leitlinien und Entscheidungen von Regulierern; Anreize oder Folgen des beabsichtigten Zwecks und der Nutzung; Kultur, Traditionen, Werte, Normen und Ethik; Wettbewerb und Trends. Intern: Kontext, Steuerung, Ziele, Politiken und Verfahren; vertragliche Verpflichtungen; beabsichtigter Zweck des zu entwickelnden oder zu nutzenden Systems. „Can include“. Die Anmerkung nennt keine bestimmte Rechtsvorschrift und keine Liste verbotener Nutzungen.

Anmerkung 3: die Rollenbestimmung kann durch Pflichten zu Datenkategorien geprägt sein, als Beispiel die Rolle als Verantwortlicher oder Auftragsverarbeiter bei personenbezogenen Daten. Siehe ISO/IEC 29100. Rollen können auch durch rechtliche Anforderungen informiert sein, die für KI-Systeme spezifisch sind. „Can“. ISO/IEC 29100 liegt nicht vor.

4.2 verlangt zu bestimmen: die interessierten Parteien, die für das System relevant sind; die relevanten Anforderungen dieser Parteien; welche dieser Anforderungen durch das KI-Managementsystem behandelt werden.

4.3 verlangt, Grenzen und Anwendbarkeit zu bestimmen, um den Anwendungsbereich festzulegen. Dabei muss die Organisation die Themen aus 4.1 und die Anforderungen aus 4.2 berücksichtigen. Der Anwendungsbereich muss als dokumentierte Information verfügbar sein. Er muss die Tätigkeiten der Organisation bestimmen in Bezug auf die Anforderungen dieses Dokuments zu System, Führung, Planung, Unterstützung, Betrieb, Leistung, Bewertung, Verbesserung, Maßnahmen und Zielen.

Dokumentierte Information: Der Anwendungsbereich muss als dokumentierte Information verfügbar sein (4.3).

Nicht in diesem Text: eine Methode der Kontextanalyse, eine Pflichtliste von Rollen, und ein Klima- oder Rechtsartikel. 4.1 verlangt die Bestimmung, ob der Klimawandel relevant ist. Welche rechtliche Anforderung gilt, bestimmt die Organisation unter den Themen von 4.1. Der EU AI Act wird aus dieser PDF nicht erläutert.