42001-18 Dritte und Kunden

Für: V, IA
Quelle: ISO/IEC 42001:2023(en), Englisch. A.10, B.10. Der Satz in 8.1 zu extern bereitgestellten Prozessen, Produkten oder Dienstleistungen steht in 42001-09.

Das Maßnahmenziel A.10 lautet, sicherzustellen, dass die Organisation ihre Verantwortlichkeiten versteht und rechenschaftspflichtig bleibt und dass Risiken angemessen verteilt werden, wenn Dritte in irgendeiner Stufe des Lebenszyklus beteiligt sind. Drei Referenzmaßnahmen, soweit notwendig.

A.10.2: sicherstellen, dass Verantwortlichkeiten im Lebenszyklus des KI-Systems zwischen der Organisation, ihren Partnern, Lieferanten, Kunden und Dritten zugeteilt werden.

A.10.3: einen Prozess einrichten, der sicherstellt, dass die Nutzung von Dienstleistungen, Produkten oder Materialien von Lieferanten mit dem Ansatz der Organisation zur verantwortungsvollen Entwicklung und Nutzung von KI-Systemen übereinstimmt.

A.10.4: sicherstellen, dass der verantwortungsvolle Ansatz zu Entwicklung und Nutzung die Erwartungen und Bedürfnisse der Kunden berücksichtigt.

B.10 verwendet „should“. B.10.2: Verantwortlichkeiten können sich aufteilen zwischen Parteien, die Daten bereitstellen, Parteien, die Algorithmen und Modelle bereitstellen, und Parteien, die das System entwickeln oder nutzen. Die Organisation sollte alle beteiligten Parteien und ihre Rollen dokumentieren und ihre Verantwortlichkeiten bestimmen. Liefert sie ein System an einen Dritten, sollte sie einen verantwortungsvollen Entwicklungsansatz sicherstellen und die nötige Dokumentation bereitstellen können. Werden personenbezogene Daten verarbeitet, sind Verantwortlichkeiten üblicherweise zwischen Verantwortlichen und Auftragsverarbeitern geteilt. ISO/IEC 29100 und, wo die Privatsphäre zu wahren ist, Maßnahmen wie in ISO/IEC 27701 sollten betrachtet werden. Die Organisation kann die Rolle des Verantwortlichen, des gemeinsamen Verantwortlichen, des Auftragsverarbeiters oder beider haben. Beide Normen werden hier nicht nacherzählt. „Usually“ und „can“ bleiben Anleitung.

B.10.3: Lieferanten können Datensätze, Algorithmen, Modelle, Bibliotheken oder ein ganzes System liefern. Organisationen sollten Arten von Lieferanten, das Gelieferte und das unterschiedliche Risiko bedenken, wenn sie auswählen, Anforderungen stellen und Überwachung festlegen. Sie sollten dokumentieren, wie System und Komponenten in die eigenen Systeme integriert werden. Erfüllt ein System oder eine Komponente die beabsichtigte Leistung nicht oder kann sie Auswirkungen haben, die nicht zum verantwortungsvollen Ansatz passen, sollte die Organisation vom Lieferanten Korrekturmaßnahmen verlangen. Sie kann mit ihm zusammenarbeiten. Sie sollte sicherstellen, dass angemessene Dokumentation geliefert wird.

B.10.4: die Organisation sollte Erwartungen und Bedürfnisse verstehen, wenn sie selbst liefert. Das kann Anforderungen in Entwurf und Technik sein oder vertragliche Anforderungen oder Nutzungsvereinbarungen. Sie sollte verstehen, wo die Verantwortung beim Anbieter und wo sie beim Kunden liegt, und dabei Bedürfnisse und Erwartungen erfüllen. Sie kann Risiken der Nutzung durch den Kunden ermitteln und sie behandeln, indem sie dem Kunden Information gibt, damit der die entsprechenden Risiken behandelt. Grenzen einer Domäne, für die das System gilt, sollten dem Kunden kommuniziert werden. „Should“ und „can“.

Nicht in diesem Text: ein Lieferantenfragebogen, eine Pflicht zur Zertifizierung des Lieferanten, und eine datenschutzrechtliche Rollenbestimmung. A.10.2 bis A.10.4 sind die Anforderungen, soweit sie notwendig sind. 8.1 verlangt die Steuerung extern bereitgestellter Prozesse, Produkte oder Dienstleistungen, die für das System relevant sind, unabhängig davon als Satz des Kapitels 8.