NIST AI RMF.
Forstå AI-risici i den konkrete anvendelse, træf begrundede beslutninger, og kontroller beskyttelsesforanstaltningernes virkning.
- NIST AI 100-1 · AI RMF 1.0
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 6 min.
Kort svar.
NIST AI RMF er en frivillig ramme for risikostyring af AI-systemer. AI Risk Management Framework 1.0 understøtter udvikling, anvendelse og vurdering med funktionerne Govern, Map, Measure og Manage. Det forbinder tekniske undersøgelser med ansvar og konsekvensbetragtning gennem livscyklussen; det indfører ikke en generel certificeringsprocedure.
AI RMF 1.0, Playbook og Generative AI Profile.
NIST AI RMF 1.0 er en publikation fra det amerikanske National Institute of Standards and Technology af 26. januar 2023. NIST AI 100-1 beskriver risici for mennesker, organisationer og samfund samt egenskaber ved pålidelig AI. Rammeværket retter fokus mod den faktiske anvendelse: At en model består en test, besvarer endnu ikke, hvilke følger dens output har i en driftsprocedure.
NIST AI RMF Playbook supplerer rammen med frivillige handlingsforslag. Ifølge NIST’s Playbook-side er det ikke en tjekliste, som skal gennemarbejdes fuldstændigt; passende forslag vælges til egen kontekst. NIST AI 600-1 fra juli 2024 er derimod en særskilt Generative AI Profile. Den uddyber risici ved generativ AI og supplerer grundudgaven frem for at erstatte den med en ny version.
NIST varsler en revision af AI RMF 1.0 på sin programside og i FAQ’en opdateret i august 2026. Denne side henviser til den offentliggjorte grundudgave og de nævnte supplementer. Til eget arbejde bør det dokumenteres, hvilken udgave, profil og kildestatus der ligger til grund for en vurdering.
Hvem AI Risk Management Framework er tiltænkt.
NIST AI RMF henvender sig efter NIST AI 100-1, kapitel 2, til forskellige aktører i AI-livscyklussen: udvikling, indkøb, anvendelse og vurdering. NIST’s FAQ nævner organisationer af forskellige størrelser og brancher. En virksomhed, der køber ekstern AI, kan også bruge det til spørgsmål om egen anvendelse, leverandørafhængigheder og eget ansvar.
Vurderingen hører til i et tværfagligt team. Tekniske specialister kan eksempelvis undersøge et systems adfærd, mens fagligt ansvarlige forklarer, hvilke fejl der har store følger i en arbejdsgang. Databeskyttelse, sikkerhed og berørte personers perspektiv supplerer arbejdet. Efter NIST AI 100-1, kapitel 3, kan der være målkonflikter mellem pålidelighedsegenskaber; en enkelt god måleværdi erstatter derfor ikke en begrundet samlet beslutning.
Forbind Govern, Map, Measure og Manage.
De fire funktioner fra NIST AI 100-1, kapitel 5, strukturerer AI-risikoarbejdet. De er ikke fire projektfaser, der nødvendigvis afsluttes efter hinanden. Govern virker på tværs; indsigter fra drift og vurdering fører tilbage til kontekstafklaring og beslutninger.
Govern: ansvar og beslutningsregler.
Govern forbinder efter kapitel 5.1 det tekniske arbejde med ansvar, risikotolerance og organisatoriske regler. For en konkret anvendelse skal det være forståeligt, hvem der har ansvar for en vurdering, hvem der må beslutte om resterende risici, og hvornår der eskaleres. Governance forbliver virksom efter en godkendelse og understøtter de øvrige funktioner.
Map: anvendelseskontekst og mulige følger.
Map undersøger efter kapitel 5.2 et AI-systems formål, omgivelser, deltagere og mulige konsekvenser. En assistent til interne tekstudkast har andre beslutningspunkter end en applikation, hvis resultater er med til at afgøre ansøgninger. Kontekstbeskrivelsen viser, hvilke oplysninger der mangler, og hvilke antagelser der begrænser en senere vurdering.
Measure: efterprøv udsagn med passende metoder.
Measure bruger efter kapitel 5.3 kvalitative og kvantitative metoder til at undersøge risici og relevante systemegenskaber. Test bør passe til de identificerede følger og oplyse deres grænser. Et resultat er kun så meningsfuldt som data, testbetingelser og den undersøgte anvendelse; usikkerhed indgår derfor i vurderingen.
Manage: styr håndtering og drift.
Manage ordner efter kapitel 5.4 foranstaltninger og beslutninger efter de vurderede risici. Det omfatter håndtering, overvågning og omgang med ændringer eller hændelser. En organisation bør kunne forklare, hvorfor den godkender, begrænser eller afslutter en anvendelse, og hvilke resultater der senere ville ændre beslutningen.
Anvend NIST AI RMF i praksis.
Afgræns anvendelsestilfældet.
Vælg som praktisk begyndelse en konkret AI-understøttet arbejdsgang, og dokumenter formål, systemgrænse, ansvarlig person og den anvendte rammeværksudgave.
Undersøg konteksten sammen.
Registrer deltagere, berørte personer, leverandører og mulige følger, og dokumenter modstridende antagelser som åbne undersøgelsesspørgsmål.
Fastlæg risici og vurderingsbehov.
Prioriter relevante risikoscenarier, og beslut, hvilke tekniske undersøgelser, faglige vurderinger og yderligere oplysninger en holdbar beslutning kræver.
Begrund håndtering og godkendelse.
Forbind resultater med beskyttelsesforanstaltninger, resterende usikkerheder og en beslutning med klart ansvar, herunder betingelser og begrænsninger.
Følg drift og ændringer.
Fastlæg, hvilken feedback, hvilke hændelser eller ændringer der udløser revurdering, og hvem der overtager det følgende arbejde.
Dokumentation gennem kontrollerbare beslutninger.
En RMF-orienteret vurdering bliver sporbar gennem omfang, metoder og dokumenterede resultater. NIST AI 100-1, kapitel 4 og 6, behandler effektivitet og kontekstbaserede profiler. Meningsfulde beviser er eksempelvis en begrundet risikovurdering, sporbare evalueringer, dokumenterede grænser og efterprøvede beslutninger om håndtering. Et udfyldt spørgeskema alene viser ikke, at en risiko er under kontrol.
Det frivillige rammeværk indeholder ikke en certificeringsprocedure som en ISO-ledelsessystemstandard. Ved en ekstern vurdering skal det undersøges, hvad der faktisk blev vurderet: hvilken applikation, version, metode og hvilket tidspunkt. En privat erklæring skal vurderes ud fra disse oplysninger og ikke behandles som en generel godkendelse fra NIST. En generel certifikatgyldighed kan ikke udledes af AI RMF.
Andre rammeværker til andre beslutninger.
ISO 42001 beskriver krav til et AI-ledelsessystem og mulig uafhængig certificeringsdokumentation. EU AI Act skaber særskilte lovpligter afhængigt af system, rolle og anvendelsestidspunkt. NIST CSF understøtter arbejdet med cybersikkerhedsrisici; brugen af disse instrumenter erstatter ikke en kontekstbaseret AI-risikovurdering og medfører ikke automatisk gensidig opfyldelse.
I Secani.
Secani stiller et redaktionelt arbejdskatalog til NIST AI RMF 1.0 med tysk og engelsk indhold til rådighed. Den gemte AI-profil omfatter oplysninger som rolle, generativ anvendelse, eksterne modeller og driftsstatus. Produktkataloget markerer den udestående faglige undersøgelse og gengiver ikke den særskilte Generative AI Profile eller kommende NIST-revisioner fuldstændigt. Det giver ingen automatisk overensstemmelses- eller certificeringsafgørelse.
Begynd med en konkret AI-beslutning.
Vælg en anvendelse, hvor Deres organisation skal begrunde en holdbar godkendelse eller begrænsning. Saml eksisterende kontekstoplysninger, evalueringer og beslutninger, og udpeg den ansvarlige person. Dermed kan det undersøges, hvilke oplysninger der mangler til en beslutning, og hvilket arbejde der først kræves. Begyndelsen er en praktisk anbefaling; Playbook foreskriver ikke et universelt projektforløb.
Kilder.
- NIST: AI Risk Management Framework og revisionsstatus
- NIST AI 100-1: AI RMF 1.0, kapitel 1–6
- NIST: AI Risk Management Framework FAQs
- NIST: AI RMF Playbook
- NIST AIRC: Playbook og anvendelsesvejledning
- NIST AIRC: AI RMF Core, kapitel 5
- NIST AI 600-1: Generative Artificial Intelligence Profile
- NIST: offentliggørelse af Generative AI Profile
Ofte stillede spørgsmål.
NIST stiller AI RMF til rådighed som en frivillig ramme. Hvilke lovmæssige eller kontraktlige krav der gælder for en konkret AI-anvendelse, skal undersøges særskilt.
Nej. Governance virker på tværs; funktionerne forbindes gentagne gange efter konteksten. Hverken Core eller Playbook udgør en trinrækkefølge, der skal gennemarbejdes fuldstændigt for enhver anvendelse.
Nej. NIST AI 600-1 er en supplerende profil til AI RMF 1.0 for generativ AI og erstatter ikke grundudgaven.
AI RMF indfører ikke en certificeringsprocedure som en ISO-ledelsessystemstandard. En ekstern vurdering skal bedømmes ud fra sin metode og sit faktiske omfang; den erstatter ikke en særskilt juridisk overensstemmelsesundersøgelse.
Arbejd sporbart med AI-risici.
Secani understøtter arbejdet med det redaktionelle AI RMF-katalog og den tilhørende AI-profil.
Denne side forklarer NIST-publikationer generelt. De nævnte originalkilder og de juridiske krav, der gælder for den enkelte anvendelse, er afgørende.