NIST AI Risk Management Framework (AI RMF 1.0)

Što je ovaj dokument?

NIST AI Risk Management Framework (AI RMF 1.0) dragovoljan je okvir objavljen 26. siječnja 2023. od strane američkog Nacionalnog instituta za standarde i tehnologiju (National Institute of Standards and Technology — NIST). Razvijen je kroz 18-mjesečni konsenzusom vođeni, otvoreni i transparentni proces u suradnji s više od 240 organizacija iz privatne industrije, akademske zajednice, civilnog društva i vlada.

Iako je američki okvir, NIST AI RMF široko je priznat i korišten globalno, uključujući u europskom kontekstu kao komplementarni alat za upravljanje rizicima AI sustava uz EU AI Act.

Ključne točke

Četiri temeljne funkcije

NIST AI RMF operacionalizira upravljanje rizicima kroz četiri funkcije:

1. GOVERN (Upravljanje)

Uspostavlja kulturu upravljanja AI rizicima u organizaciji. Primjenjuje se na sve faze procesa i obuhvaća:

• Organizacijske politike i procedure za AI rizike
• Odgovornost i donošenje odluka
• Organizacijsku kulturu i svijest o rizicima
• Upravljanje trećim stranama i lancem opskrbe

2. MAP (Mapiranje)

Identificira kontekst u kojem AI sustav djeluje i potencijalne rizike. Obuhvaća:

• Razumijevanje namjene i konteksta uporabe AI sustava
• Identifikaciju zainteresiranih strana i mogućih utjecaja
• Mapiranje rizika specifičnih za sustav i kontekst
• Dokumentiranje pretpostavki i ograničenja sustava

3. MEASURE (Mjerenje)

Koristi kvantitativne i kvalitativne metode za analizu i procjenu rizika:

• Metrike za procjenu AI rizika (pristranost, točnost, pouzdanost)
• Testiranje i evaluacija AI sustava
• Praćenje performansi sustava u operativnom okruženju
• Procjena učinkovitosti mjera ublažavanja

4. MANAGE (Upravljanje rizicima)

Definira i implementira mjere za ublažavanje i kontrolu rizika:

• Planovi za tretiranje rizika
• Komunikacija rizika zainteresiranim stranama
• Kontinuirano praćenje i ažuriranje mjera
• Planovi za incidente i odgovor

Ključne karakteristike okvira

NIST AI RMF dizajniran je kao:

• Dragovoljan — Nije regulatorni zahtjev, već preporučeni okvir
• Sektorski neutralan — Primjenjiv na sve industrije
• Neovisno o slučaju uporabe — Fleksibilan za različite AI primjene
• Zaštita prava — Naglašava poštivanje temeljnih prava i sloboda
• Skalabilan — Prilagodljiv organizacijama svih veličina

Prateći dokumenti

Uz AI RMF 1.0, NIST je objavio niz pratećih resursa:

• AI RMF Playbook — Praktične smjernice za implementaciju svake funkcije i potkategorije
• AI RMF Roadmap — Plan za budući razvoj okvira
• AI RMF Crosswalk — Mapiranje prema drugim okvirima i standardima
• AI RMF Perspectives — Dodatne perspektive i smjernice

Generative AI Profile (AI 600-1)

NIST je 26. srpnja 2024. objavio NIST AI 600-1 — Generative Artificial Intelligence Profile. Ovaj profil:

• Identificira jedinstvene rizike generativnog AI-ja
• Predlaže specifične mjere za upravljanje rizicima generativnog AI-ja
• Nadopunjuje AI RMF 1.0 s fokusiranim smjernicama za najbrže rastuću kategoriju AI sustava

Kako se primjenjuje na organizacije?

Relevantnost za EU AI Act

Iako NIST AI RMF nije europski regulatorni zahtjev, pruža praktičnu vrijednost za organizacije koje se usklađuju s EU AI Actom:

NIST AI RMF funkcija	Povezanost s EU AI Actom
GOVERN	Čl. 17. — Sustav upravljanja kvalitetom
MAP	Čl. 9. — Identifikacija rizika; Čl. 27. — Procjena učinka
MEASURE	Čl. 9. — Analiza rizika; Čl. 15. — Testiranje točnosti
MANAGE	Čl. 9. — Ublažavanje rizika; Čl. 72. — Praćenje nakon tržišta

Prednosti korištenja NIST AI RMF

1. Globalna primjenjivost — Pomaže organizacijama koje posluju i u EU i u SAD-u
2. Praktičnost — Playbook pruža konkretne korake za implementaciju
3. Komplementarnost — Dopunjuje ISO standarde i europske harmonizirane standarde
4. Fleksibilnost — Prilagodljiv različitim veličinama i zrelostima organizacija

Praktični koraci za implementaciju

1. Procjena zrelosti — Procijenite trenutnu razinu upravljanja AI rizicima u organizaciji
2. Mapiranje funkcija — Preslikajte četiri NIST funkcije na postojeće organizacijske procese
3. GOVERN — Definirajte AI politike, odgovornosti i procese donošenja odluka
4. MAP — Identificirajte sve AI sustave, njihov kontekst i zainteresirane strane
5. MEASURE — Uspostavite metrike i postupke za mjerenje AI rizika
6. MANAGE — Implementirajte mjere ublažavanja i planove za odgovor na incidente
7. Integrirajte — Povežite NIST AI RMF s ISO 42001/23894 i zahtjevima EU AI Acta

Crosswalk s EU AI Actom

NIST je objavio crosswalk dokument koji mapira AI RMF kategorije prema zahtjevima različitih regulativa, uključujući EU AI Act. Ovo je korisno organizacijama koje trebaju istovremeno ispunjavati višestruke regulatorne zahtjeve.

Relevantni članci EU AI Acta

Članak	Povezanost s NIST AI RMF
Čl. 9.	Sustav upravljanja rizicima → MAP + MEASURE + MANAGE
Čl. 15.	Točnost i robusnost → MEASURE metrike
Čl. 17.	Sustav upravljanja kvalitetom → GOVERN
Čl. 27.	Procjena učinka na temeljna prava → MAP
Čl. 72.	Praćenje nakon tržišta → MANAGE kontinuirano praćenje

Izvorni dokumenti

• NIST AI RMF: AI Risk Management Framework
• NIST AI RMF dokument (PDF): NIST AI 100-1
• Generative AI Profile: NIST AI 600-1
• NIST AI Resource Center: AI RMF Resources