42001-16 Information für interessierte Parteien

Für: V
Quelle: ISO/IEC 42001:2023(en), Englisch. A.8, B.8

Das Maßnahmenziel A.8 lautet, sicherzustellen, dass relevante interessierte Parteien die Information haben, die nötig ist, um Risiken und ihre positiven und negativen Auswirkungen zu verstehen und zu beurteilen. Vier Referenzmaßnahmen, soweit notwendig.

A.8.2: die nötige Information für Nutzer des KI-Systems bestimmen und bereitstellen.

A.8.3: Möglichkeiten bereitstellen, damit interessierte Parteien nachteilige Auswirkungen des KI-Systems melden können.

A.8.4: einen Plan bestimmen und dokumentieren, um Vorfälle den Nutzern des KI-Systems zu kommunizieren.

A.8.5: die eigenen Pflichten bestimmen und dokumentieren, interessierten Parteien Information über das KI-System zu berichten.

B.8 verwendet „should“. B.8.2 sagt, Information könne technische Einzelheiten, Anweisungen und Hinweise umfassen, dass jemand mit einem KI-System interagiert, auch bei Ausgaben. Nutzer müssten verstehen können, wann sie mit einem KI-System interagieren und wie es arbeitet, und sie müssten Zweck, beabsichtigte Nutzungen und das Potenzial von Schaden oder Nutzen verstehen. Das „need to“ steht in der Anleitung, nicht als zusätzliches „shall“ neben A.8.2. Information sollte zugänglich sein. Was bereitgestellt werden kann, umfasst unter anderem Zweck, den Hinweis auf die Interaktion mit KI, die Art der Interaktion, wie und wann das System übersteuert wird, technische Anforderungen und Grenzen, menschliche Aufsicht, Genauigkeit und Leistung, relevante Ergebnisse der Folgenabschätzung, Änderungen und Kontakt. Kriterien, ob und was bereitgestellt wird, sollten dokumentiert werden. Die Organisation sollte prüfen, dass Nutzer Zugang haben und die Information vollständig, aktuell und zutreffend ist.

B.8.3: der Betrieb sollte auf gemeldete Probleme überwacht werden, und die Organisation sollte Möglichkeiten bieten, nachteilige Auswirkungen zu melden, als Beispiel Unfairness. Das ist Anleitung neben A.8.3. Das Melden von Bedenken innerhalb der Organisation ist A.3.3, siehe 42001-12. Beides ist nicht derselbe Prozess.

B.8.4: Vorfälle können das KI-System selbst betreffen oder Informationssicherheit oder Privatsphäre, als Beispiel eine Verletzung des Schutzes von Daten. Die Organisation sollte ihre Pflichten zur Benachrichtigung verstehen. Rechtliche Anforderungen und Regulierung können Arten von Vorfällen, Fristen, Behörden und den Inhalt vorschreiben. Die Organisation kann die Meldung in das weitere Vorfallmanagement integrieren, sollte aber Anforderungen kennen, die für KI oder einzelne Komponenten eigentümlich sind. ISO/IEC 27001 und ISO/IEC 27701 werden für Vorfallmanagement zu Security und Privatsphäre genannt. ISO/IEC 27701 liegt nicht vor. ISO/IEC 27001:2022 liegt im Arbeitsordner, wird hier aber nicht in die Maßnahme A.8.4 hineingelesen. Welche Frist gilt, sagt A.8.4 nicht.

B.8.5: ein Rechtsraum kann verlangen, dass Information mit Behörden geteilt wird. Was geteilt werden kann, umfasst technische Dokumentation, Risiken, Ergebnisse von Folgenabschätzungen, Protokolle. Die Organisation sollte ihre Pflichten verstehen. Der Abschnitt setzt voraus, dass die Organisation Rechtsanforderungen zum Informationsaustausch mit Strafverfolgungsbehörden kennt. Das ist Anleitung, kein bestimmter Rechtsakt.

Nicht in diesem Text: eine Nutzerinformation als Muster, eine Meldefrist, und ein Kommentar zu einer konkreten Informationspflicht gegenüber einer Behörde. A.8.5 verlangt, die eigenen Pflichten zu bestimmen und zu dokumentieren, soweit die Maßnahme notwendig ist. Abschnitt 10 behandelt die Nichtkonformität, nicht den Vorfall gegenüber Nutzern.