42001-01 Für wen die Norm gilt

Für: V
Quelle: ISO/IEC 42001:2023(en), Englisch. Einleitung, Abschnitt 1, Abschnitt 2, 4.4

Die Einleitung beschreibt KI als zunehmend in allen Sektoren eingesetzt, die Informationstechnik nutzen, und als erwarteten wirtschaftlichen Treiber. Bestimmte Anwendungen können in den kommenden Jahren gesellschaftliche Herausforderungen erzeugen. Das Dokument will Organisationen helfen, ihre Rolle in Bezug auf KI-Systeme verantwortungsvoll wahrzunehmen. Als Beispiele nennt die Einleitung nutzen, entwickeln, überwachen oder Produkte und Dienstleistungen bereitstellen, die KI nutzen. Drei Überlegungen hebt sie hervor, jeweils mit „can“ oder als Beschreibung, nicht als Anforderungsliste: automatische Entscheidungsfindung, manchmal intransparent und nicht erklärbar, kann eine Steuerung verlangen, die über klassische IT-Systeme hinausgeht; Datenanalyse, Erkenntnis und maschinelles Lernen statt allein von Menschen geschriebener Logik verändern Entwicklung, Begründung und Bereitstellung; Systeme mit fortlaufendem Lernen ändern ihr Verhalten im Gebrauch und brauchen besondere Berücksichtigung, damit der verantwortungsvolle Gebrauch bei verändertem Verhalten weiter besteht.

Das Dokument liefert Anforderungen, um ein KI-Managementsystem im Kontext der Organisation aufzubauen, zu verwirklichen, aufrechtzuerhalten und fortlaufend zu verbessern. Organisationen werden erwartet, die Anwendung der Anforderungen auf Merkmale zu richten, die für KI eigentümlich sind. Fortlaufendes Lernen und Verbessern oder fehlende Transparenz oder Erklärbarkeit können andere Schutzmaßnahmen rechtfertigen, wenn sie gegenüber der herkömmlichen Ausführung derselben Aufgabe zusätzliche Bedenken erzeugen. Die Einführung eines KI-Managementsystems, um vorhandene Führungsstrukturen zu erweitern, ist eine strategische Entscheidung.

Bedürfnisse und Ziele, Prozesse, Größe und Struktur sowie die Erwartungen interessierter Parteien beeinflussen Aufbau und Verwirklichung. Ebenso die Vielzahl der Anwendungsfälle und die Balance zwischen Steuerungsmechanismen und Innovation. Organisationen können die Anforderungen mit einem risikobasierten Ansatz anwenden, damit das Maß an Steuerung zum Anwendungsfall, zur Dienstleistung oder zum Produkt im Anwendungsbereich passt. „Can“. Diese Einflussgrößen werden erwartet, sich zu ändern und von Zeit zu Zeit überprüft zu werden.

Das System sollte in die Prozesse und die gesamte Führungsstruktur integriert werden. KI-spezifische Fragen sollten beim Entwurf von Prozessen, Informationssystemen und Steuerungen bedacht werden. „Should“. Als entscheidende Beispiele solcher Führungsprozesse nennt die Einleitung: Festlegen von Organisationszielen, Einbeziehung interessierter Parteien und Organisationspolitik; Umgang mit Risiken und Chancen; Prozesse für Bedenken zur Vertrauenswürdigkeit, etwa Sicherheit im Sinne von Security, Sicherheit im Sinne von Safety, Fairness, Transparenz, Datenqualität und Qualität der KI-Systeme über den Lebenszyklus; Prozesse für Lieferanten, Partner und Dritte, die KI-Systeme bereitstellen oder entwickeln. Das sind Beispiele der Einleitung. Das Dokument sagt, es gebe Leitlinien für den Einsatz anwendbarer Maßnahmen zur Unterstützung solcher Prozesse, und es vermeide spezifische Anleitung zu Führungsprozessen. Die Organisation kann anerkannte Rahmen, andere Internationale Normen und eigene Erfahrung kombinieren, etwa für Risikomanagement, Lebenszyklus und Datenqualität. Anhang B ist trotzdem die normative Umsetzungsanleitung zu den Maßnahmen von Tabelle A.1, mit der Grenze aus B.1. Das steht in 42001-21.

Eine Organisation, die die Anforderungen erfüllt, kann Nachweise ihrer Verantwortung und Rechenschaft in Bezug auf ihre Rolle bei KI-Systemen erzeugen. „Can“. Die Reihenfolge der Anforderungen spiegelt weder ihre Wichtigkeit noch die Reihenfolge der Umsetzung. Aufzählungen sind nur zum Verweisen nummeriert.

Der Abschnitt zur Kompatibilität sagt, das Dokument nutze die harmonisierte Struktur. Das KI-Managementsystem liefere Anforderungen, die für den Umgang mit Fragen und Risiken aus der Nutzung von KI spezifisch sind. Derselbe Ansatz erleichtere die Umsetzung und die Übereinstimmung mit anderen Managementsystemnormen, etwa zu Qualität, Sicherheit, Security und Privatsphäre. Anhang D führt das als informative Anleitung aus, siehe 42001-20.

Abschnitt 1 legt fest, dass das Dokument Anforderungen bestimmt und Anleitung gibt für Aufbau, Verwirklichung, Aufrechterhaltung und fortlaufende Verbesserung eines KI-Managementsystems im Kontext einer Organisation. Es ist bestimmt für eine Organisation, die Produkte oder Dienstleistungen bereitstellt oder nutzt, welche KI-Systeme verwenden. Es soll der Organisation helfen, KI-Systeme verantwortungsvoll zu entwickeln, bereitzustellen oder zu nutzen, ihre Ziele zu verfolgen und anwendbare Anforderungen, Verpflichtungen gegenüber interessierten Parteien und Erwartungen von ihnen zu erfüllen. Das englische „is intended to“ ist Zweck, nicht ein zweites „shall“. Es gilt für jede Organisation, unabhängig von Größe, Art und Wesen, die solche Produkte oder Dienstleistungen bereitstellt oder nutzt. Konkrete Leistungskriterien für KI legt Abschnitt 1 nicht fest. Einen Satz, Konformität sei nur ohne jeden Ausschluss zulässig, enthält Abschnitt 1 nicht.

Abschnitt 2 nennt als einzige normative Verweisung ISO/IEC 22989:2022. Deren Inhalt wird hier nicht ausgeführt.

4.4 verlangt, ein KI-Managementsystem einschließlich der benötigten Prozesse und ihrer Wechselwirkungen aufzubauen, zu verwirklichen, aufrechtzuerhalten, fortlaufend zu verbessern und zu dokumentieren, entsprechend den Anforderungen dieses Dokuments. „Document“ steht in diesem Satz neben den vier üblichen Verben.

Nicht in diesem Text: eine Definition von „KI-System“. Die steht in ISO/IEC 22989:2022, diese Ausgabe liegt nicht vor. Kein Artikel zum EU AI Act. Die Einleitung nennt gesellschaftliche Herausforderungen als Hintergrund und zählt keine Rechtsakte auf.