NIST AI RMF.
Pochopte rizika AI v konkrétním použití, přijímejte odůvodněná rozhodnutí a ověřujte účinek ochranných opatření.
- NIST AI 100-1 · AI RMF 1.0
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Doba čtení: 6 min
Stručná odpověď.
NIST AI RMF je dobrovolný rámec řízení rizik systémů AI. AI Risk Management Framework 1.0 podporuje vývoj, nasazení a hodnocení funkcemi Govern, Map, Measure a Manage. Propojuje technické ověřování s odpovědností a posuzováním dopadů během životního cyklu; nezakládá obecný certifikační postup.
AI RMF 1.0, Playbook a Generative AI Profile.
NIST AI RMF 1.0 je publikací amerického National Institute of Standards and Technology z 26. ledna 2023. NIST AI 100-1 popisuje rizika pro lidi, organizace a společnost i vlastnosti důvěryhodné AI. Rámec se zaměřuje na skutečné použití: úspěšný test modelu ještě neodpovídá na otázku dopadů jeho výstupů v provozním postupu.
NIST AI RMF Playbook doplňuje rámec dobrovolnými návrhy činností. Podle stránky NIST Playbook nejde o kontrolní seznam k úplnému vyplnění; vhodné návrhy se vybírají pro vlastní kontext. NIST AI 600-1 z července 2024 je zase samostatným profilem Generative AI Profile. Prohlubuje rizika generativní AI a doplňuje základní vydání, místo aby je nahrazoval novou verzí.
NIST na programové stránce a ve FAQ aktualizovaných v srpnu 2026 oznamuje revizi AI RMF 1.0. Tato stránka se vztahuje na zveřejněné základní vydání a jmenovaná doplnění. Pro vlastní práci je třeba zaznamenat verzi, profil a stav zdrojů, na nichž hodnocení stojí.
Pro koho je AI Risk Management Framework určen.
NIST AI RMF je podle NIST AI 100-1, kapitoly 2, určen různým aktérům životního cyklu AI: vývoji, pořizování, nasazení a hodnocení. FAQ NIST uvádějí organizace různých velikostí a odvětví. I podnik nakupující externí AI s ním může řešit otázky vlastního použití, dodavatelských závislostí a odpovědnosti.
Posouzení patří mezioborovému týmu. Techničtí odborníci mohou například ověřovat chování systému, zatímco odborně odpovědné osoby vysvětlí, které chyby mají v pracovním postupu závažné následky. Ochrana osobních údajů, bezpečnost a perspektiva dotčených osob tuto práci doplňují. Podle NIST AI 100-1, kapitoly 3, mohou mezi vlastnostmi důvěryhodnosti existovat střety cílů; jediný dobrý ukazatel proto nenahrazuje odůvodněné celkové rozhodnutí.
Propojení Govern, Map, Measure a Manage.
Čtyři funkce z NIST AI 100-1, kapitoly 5, uspořádávají práci s riziky AI. Nejde o čtyři projektové fáze, které musí být uzavřeny postupně. Govern působí napříč; poznatky z provozu a hodnocení vedou zpět k vyjasnění kontextu a rozhodování.
Govern: odpovědnost a pravidla rozhodování.
Govern podle kapitoly 5.1 propojuje technickou práci s odpovědnostmi, tolerancí rizika a organizačními pravidly. Pro konkrétní použití musí být srozumitelné, kdo odpovídá za hodnocení, kdo smí rozhodovat o zbytkových rizicích a kdy se eskaluje. Správa zůstává účinná i po schválení a podporuje ostatní funkce.
Map: kontext použití a možné dopady.
Map podle kapitoly 5.2 zkoumá účel, prostředí, účastníky a možné dopady systému AI. Asistent pro interní návrhy textů má jiné rozhodovací body než aplikace, jejíž výsledky spolurozhodují o přijímání zaměstnanců. Popis kontextu ukazuje chybějící informace a předpoklady omezující pozdější hodnocení.
Measure: ověřovat tvrzení vhodnými metodami.
Measure podle kapitoly 5.3 využívá kvalitativní a kvantitativní metody ke zkoumání rizik a relevantních vlastností systému. Testy by měly odpovídat zjištěným dopadům a odhalovat své meze. Vypovídací hodnota výsledku závisí na datech, podmínkách testu a zkoumaném použití; nejistota proto patří do hodnocení.
Manage: řídit ošetření a provoz.
Manage podle kapitoly 5.4 uspořádává opatření a rozhodnutí podle vyhodnocených rizik. Patří sem ošetření, monitorování a řešení změn nebo incidentů. Organizace by měla umět vysvětlit, proč použití schvaluje, omezuje nebo ukončuje a jaké výsledky by později toto rozhodnutí změnily.
Praktické používání NIST AI RMF.
Vymezit případ použití.
Jako praktický první krok vyberte konkrétní postup podporovaný AI a zdokumentujte účel, hranice systému, odpovědnou osobu a použitou verzi rámce.
Společně prozkoumat kontext.
Zachyťte účastníky, dotčené osoby, dodavatele a možné dopady a zaznamenejte protichůdné předpoklady jako otevřené otázky ke zkoumání.
Určit rizika a potřebu hodnocení.
Prioritizujte relevantní rizikové scénáře a rozhodněte, jaké technické kontroly, odborná hodnocení a dodatečné informace vyžaduje spolehlivé rozhodnutí.
Zdůvodnit ošetření a schválení.
Propojte výsledky s ochrannými opatřeními, zbytkovými nejistotami a rozhodnutím s jasnou odpovědností včetně podmínek a omezení.
Sledovat provoz a změny.
Určete, která zpětná vazba, incidenty nebo změny vyvolají nové hodnocení a kdo převezme vzniklou práci.
Prokazování ověřitelnými rozhodnutími.
Hodnocení orientované na RMF je průkazné svým rozsahem, metodami a dokumentovanými výsledky. NIST AI 100-1, kapitoly 4 a 6, se zabývá účinností a profily podle kontextu. Vypovídající jsou například odůvodněné posouzení rizik, dohledatelná hodnocení, dokumentované meze a ověřená rozhodnutí o ošetření. Samotný vyplněný dotazník neukazuje zvládnutí rizika.
Dobrovolný rámec neobsahuje certifikační postup podle vzoru normy systému řízení ISO. Při externím hodnocení je třeba ověřit skutečný předmět zkoumání: aplikaci, verzi, metody a okamžik. Soukromé osvědčení je třeba posuzovat podle těchto údajů a nepovažovat je za plošné schválení NIST. Obecnou dobu platnosti certifikátu nelze z AI RMF odvodit.
Další rámce pro jiná rozhodnutí.
ISO 42001 popisuje požadavky na systém řízení AI a možný nezávislý certifikační doklad. EU AI Act zakládá samostatné zákonné povinnosti podle systému, role a okamžiku použitelnosti. NIST CSF podporuje práci s kybernetickými riziky; používání těchto nástrojů nenahrazuje posouzení rizik AI podle kontextu a nezakládá automatické vzájemné splnění.
V Secani.
Secani nabízí redakční pracovní katalog NIST AI RMF 1.0 s německým a anglickým obsahem. Uložený profil AI zahrnuje údaje jako roli, generativní použití, externí modely a provozní stav. Produktový katalog označuje dosud neprovedené odborné posouzení a nepokrývá úplně samostatný profil generativní AI ani budoucí revize NIST. Nevzniká tím automatické rozhodnutí o shodě nebo certifikaci.
Začněte konkrétním rozhodnutím o AI.
Vyberte použití, pro které vaše organizace musí odůvodnit spolehlivé schválení nebo omezení. Shromážděte existující kontextové informace, hodnocení a rozhodnutí a určete odpovědnou osobu. Lze pak ověřit, které informace pro rozhodnutí chybějí a jaká práce je potřebná nejdříve. Tento začátek je praktickým doporučením; Playbook nepředepisuje univerzální pořadí projektu.
Zdroje.
- NIST: AI Risk Management Framework a stav revize
- NIST AI 100-1: AI RMF 1.0, kapitoly 1–6
- NIST: časté dotazy k AI Risk Management Framework
- NIST: AI RMF Playbook
- NIST AIRC: Playbook a pokyny k použití
- NIST AIRC: AI RMF Core, kapitola 5
- NIST AI 600-1: Generative Artificial Intelligence Profile
- NIST: zveřejnění profilu generativní AI
Časté dotazy.
NIST poskytuje AI RMF jako dobrovolný rámec. Jaké zákonné nebo smluvní požadavky platí pro konkrétní použití AI, je třeba posoudit samostatně.
Ne. Správa působí napříč; funkce se opakovaně propojují podle kontextu. Core ani Playbook nepředstavují sled kroků, který musí být pro každé použití úplně splněn.
Ne. NIST AI 600-1 je doplňujícím profilem AI RMF 1.0 pro generativní AI a nenahrazuje základní vydání.
AI RMF nezakládá certifikační postup jako u normy systému řízení ISO. Externí hodnocení je třeba posuzovat podle metody a skutečného rozsahu; nenahrazuje samostatné právní posouzení shody.
Pracujte s riziky AI dohledatelně.
Secani podporuje práci s redakčním katalogem AI RMF a souvisejícím profilem AI.
Tato stránka obecně vysvětluje publikace NIST. Rozhodující jsou uvedené původní zdroje a právní požadavky platné pro příslušné použití.