42001-17 Nutzung von KI-Systemen

Für: V, IA
Quelle: ISO/IEC 42001:2023(en), Englisch. A.9, B.9

Das Maßnahmenziel A.9 lautet, sicherzustellen, dass die Organisation KI-Systeme verantwortungsvoll und entsprechend den Politiken der Organisation nutzt. Drei Referenzmaßnahmen, soweit notwendig. Sie gelten für die Nutzung. Die Entwicklungsseite steht in A.6, siehe 42001-14.

A.9.2: die Prozesse für die verantwortungsvolle Nutzung von KI-Systemen definieren und dokumentieren.

A.9.3: Ziele bestimmen und dokumentieren, die die verantwortungsvolle Nutzung leiten.

A.9.4: sicherstellen, dass das KI-System entsprechend seinen beabsichtigten Nutzungen und der begleitenden Dokumentation genutzt wird.

B.9 verwendet „should“. B.9.2: ob das System selbst entwickelt oder von einem Dritten bezogen wird, die Organisation sollte klarstellen, welche Überlegungen die Nutzung bestimmen, und Politiken dazu entwickeln. Beispiele: erforderliche Genehmigungen, Kosten einschließlich fortlaufender Überwachung und Instandhaltung, zugelassene Beschaffungsanforderungen, anwendbare rechtliche Anforderungen. Vorhandene Politiken für andere Systeme können einbezogen werden, wenn das gewünscht ist.

B.9.3 nennt Ziele, die eine Organisation je nach Kontext haben kann: Fairness, Rechenschaft, Transparenz, Erklärbarkeit, Zuverlässigkeit, Safety, Robustheit und Redundanz, Privatsphäre und Security, Zugänglichkeit. „Some objectives include“. Das ist keine Pflichtliste. Anhang C ist der informative Katalog, siehe 42001-19. Einmal definiert, sollte die Organisation Mechanismen umsetzen, um die Ziele zu erreichen. Sie sollte bestimmen, in welchen Lebenszyklusphasen Ziele sinnvoller menschlicher Aufsicht aufgenommen werden sollten. Das kann umfassen: menschliche Prüfer mit der Befugnis, Entscheidungen des Systems außer Kraft zu setzen; Aufsicht, wenn Anweisungen oder andere Dokumentation das für eine annehmbare Nutzung verlangen; Überwachung der Leistung einschließlich der Genauigkeit der Ausgaben; Melden von Bedenken zu Ausgaben und zu Änderungen der Leistung; Erwägen, ob automatisierte Entscheidungsfindung für einen verantwortungsvollen Ansatz und die beabsichtigte Nutzung angemessen ist. Der Bedarf an Aufsicht kann durch die Folgenabschätzung informiert sein. Das Personal sollte informiert und geschult sein und die Anweisungen und seine Aufgaben verstehen. „Should“ und „can“. Eine Zeile „menschliche Aufsicht“ in Tabelle A.1 gibt es nicht.

B.9.4: das System sollte entsprechend den Anweisungen und der anderen Dokumentation bereitgestellt werden. Daten, auf die es angewendet wird, können mit der Dokumentation übereinstimmen müssen, damit die Leistung zutrifft. Der Betrieb sollte überwacht werden. Erzeugt die korrekte Bereitstellung nach den Anweisungen Bedenken wegen Auswirkungen oder rechtlicher Anforderungen, sollte die Organisation das intern und gegenüber dritten Lieferanten des Systems kommunizieren. Ereignisprotokolle oder andere Dokumentation der Bereitstellung und des Betriebs sollten aufbewahrt werden, soweit sie zeigen können, dass das System wie beabsichtigt genutzt wird, oder die Kommunikation von Bedenken unterstützen. Die Dauer hängt von der beabsichtigten Nutzung, den Aufbewahrungsregeln und relevanten rechtlichen Anforderungen ab.

Nicht in diesem Text: eine Nutzungsrichtlinie als Muster, eine Pflicht zu jedem Zielbeispiel in B.9.3, und eine aus der Anleitung gelesene Pflicht, jede automatisierte Entscheidung durch einen Menschen bestätigen zu lassen. A.9.4 verlangt, soweit notwendig, die Nutzung entsprechend der beabsichtigten Nutzung und der begleitenden Dokumentation sicherzustellen.