NIST AI RMF.
Comprendere i rischi dell'IA nell'impiego concreto, prendere decisioni motivate e verificare l'effetto delle misure di protezione.
- NIST AI 100-1 · AI RMF 1.0
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 7 min.
Risposta breve.
NIST AI RMF è un quadro volontario per la gestione dei rischi dei sistemi di IA. L'AI Risk Management Framework 1.0 sostiene sviluppo, impiego e valutazione con le funzioni Govern, Map, Measure e Manage. Collega verifiche tecniche, responsabilità e analisi delle conseguenze lungo il ciclo di vita; non istituisce una procedura generale di certificazione.
AI RMF 1.0, Playbook e Generative AI Profile.
NIST AI RMF 1.0 è una pubblicazione del National Institute of Standards and Technology statunitense del 26 gennaio 2023. NIST AI 100-1 descrive rischi per persone, organizzazioni e società e caratteristiche dell'IA affidabile. Il framework concentra l'analisi sull'impiego effettivo: il superamento di un test da parte di un modello non chiarisce ancora quali conseguenze abbiano i suoi output in una procedura operativa.
Il NIST AI RMF Playbook integra il quadro con proposte volontarie di azione. Secondo la pagina NIST del Playbook, non è una checklist da completare integralmente; si scelgono le proposte adatte al proprio contesto. NIST AI 600-1 di luglio 2024 è invece un Generative AI Profile separato. Approfondisce i rischi dell'IA generativa e integra l'edizione di base, anziché sostituirla con una nuova versione.
NIST annuncia una revisione di AI RMF 1.0 nella pagina del programma e nelle FAQ aggiornate ad agosto 2026. Questa pagina si riferisce all'edizione di base pubblicata e alle integrazioni citate. Per il proprio lavoro occorre registrare versione, profilo e stato delle fonti su cui si fonda una valutazione.
A chi è destinato l'AI Risk Management Framework.
Secondo NIST AI 100-1, capitolo 2, il NIST AI RMF si rivolge a diversi attori del ciclo di vita dell'IA: sviluppo, acquisto, impiego e valutazione. Le FAQ NIST citano organizzazioni di dimensioni e settori diversi. Anche un'impresa che acquista IA esterna può usarlo per affrontare questioni sul proprio utilizzo, sulle dipendenze dai fornitori e sulla responsabilità propria.
L'analisi compete a un team interdisciplinare. Gli specialisti tecnici possono, per esempio, verificare il comportamento di un sistema, mentre i responsabili di funzione spiegano quali errori abbiano conseguenze rilevanti in una procedura. Protezione dei dati, sicurezza e prospettiva delle persone interessate completano il lavoro. Secondo NIST AI 100-1, capitolo 3, possono esistere conflitti tra caratteristiche di affidabilità; un singolo buon valore misurato non sostituisce quindi una decisione complessiva motivata.
Collegare Govern, Map, Measure e Manage.
Le quattro funzioni di NIST AI 100-1, capitolo 5, organizzano il lavoro sui rischi dell'IA. Non sono quattro fasi di progetto da completare necessariamente in sequenza. Govern agisce trasversalmente; le conoscenze operative e di valutazione riportano al chiarimento del contesto e alle decisioni.
Govern: responsabilità e regole decisionali.
Secondo il capitolo 5.1, Govern collega il lavoro tecnico a responsabilità, tolleranza al rischio e regole organizzative. Per un impiego concreto deve essere comprensibile chi è responsabile della valutazione, chi può decidere sui rischi residui e quando attivare un'escalation. La governance resta efficace anche dopo un'approvazione e sostiene le altre funzioni.
Map: contesto d'uso e possibili conseguenze.
Secondo il capitolo 5.2, Map esamina finalità, ambiente, soggetti coinvolti e possibili impatti di un sistema di IA. Un assistente per bozze interne ha punti decisionali diversi da un'applicazione i cui risultati contribuiscono a decidere sulle candidature. La descrizione del contesto mostra quali informazioni mancano e quali ipotesi limitano una valutazione successiva.
Measure: verificare le dichiarazioni con metodi adatti.
Secondo il capitolo 5.3, Measure utilizza metodi qualitativi e quantitativi per esaminare rischi e caratteristiche rilevanti del sistema. I test dovrebbero corrispondere alle conseguenze individuate e rendere espliciti i limiti. Un risultato è significativo quanto i dati, le condizioni di test e l'impiego esaminato; l'incertezza fa quindi parte della valutazione.
Manage: governare trattamento e operatività.
Secondo il capitolo 5.4, Manage ordina misure e decisioni in base ai rischi valutati. Comprende trattamento, monitoraggio e gestione di modifiche o incidenti. Un'organizzazione dovrebbe poter spiegare perché autorizza, limita o termina un impiego e quali risultati modificherebbero in seguito tale decisione.
Applicare NIST AI RMF nella pratica.
Delimitare il caso d'uso.
Come avvio pratico, scegliete una procedura concreta supportata dall'IA e documentate finalità, confini del sistema, persona responsabile e versione del framework utilizzata.
Esaminare insieme il contesto.
Rilevate partecipanti, persone interessate, fornitori e possibili conseguenze e registrate ipotesi contrastanti come domande aperte da indagare.
Determinare rischi e necessità di valutazione.
Date priorità agli scenari di rischio rilevanti e decidete quali verifiche tecniche, valutazioni specialistiche e informazioni aggiuntive servano a una decisione solida.
Motivare trattamento e approvazione.
Collegate i risultati a protezioni, incertezze residue e una decisione con responsabilità definita, comprese condizioni e limitazioni.
Monitorare operatività e cambiamenti.
Definite quali riscontri, incidenti o modifiche attivano una nuova valutazione e chi assume il lavoro che ne deriva.
Evidenze attraverso decisioni verificabili.
Una valutazione orientata al RMF diventa tracciabile attraverso ambito, metodi e risultati documentati. NIST AI 100-1, capitoli 4 e 6, tratta efficacia e profili contestuali. Sono significativi, per esempio, un'analisi motivata dei rischi, valutazioni tracciabili, limiti documentati e decisioni di trattamento verificate. Un questionario compilato da solo non dimostra che un rischio sia sotto controllo.
Il quadro volontario non contiene una procedura di certificazione sul modello di una norma ISO di sistema di gestione. Per una valutazione esterna occorre verificare cosa sia stato effettivamente esaminato: applicazione, versione, metodi e momento. Un'attestazione privata va giudicata in base a questi dati e non trattata come autorizzazione generale di NIST. Dall'AI RMF non deriva una durata generale del certificato.
Altri framework per altre decisioni.
ISO 42001 descrive i requisiti di un sistema di gestione dell'IA e una possibile certificazione indipendente. L'EU AI Act istituisce obblighi legali separati secondo sistema, ruolo e data di applicazione. NIST CSF sostiene il lavoro sui rischi di cybersicurezza; applicare questi strumenti non sostituisce un'analisi contestuale dei rischi dell'IA e non comporta un adempimento reciproco automatico.
In Secani.
Secani offre un catalogo redazionale di lavoro su NIST AI RMF 1.0 con contenuti in tedesco e inglese. Il profilo IA salvato comprende dati come ruolo, impiego generativo, modelli esterni e stato operativo. Il catalogo del prodotto segnala la verifica specialistica ancora in sospeso e non rappresenta integralmente il Generative AI Profile separato né le future revisioni NIST. Non ne deriva una decisione automatica di conformità o certificazione.
Iniziare con una decisione concreta sull'IA.
Scegliete un impiego per cui la vostra organizzazione deve motivare solidamente un'approvazione o una limitazione. Raccogliete informazioni di contesto, valutazioni e decisioni esistenti e individuate la persona responsabile. Su questa base è possibile verificare quali informazioni manchino per decidere e quale lavoro serva per primo. L'avvio è una raccomandazione pratica; il Playbook non prescrive una sequenza universale di progetto.
Fonti.
- NIST: AI Risk Management Framework e stato della revisione
- NIST AI 100-1: AI RMF 1.0, capitoli 1–6
- NIST: AI Risk Management Framework FAQs
- NIST: AI RMF Playbook
- NIST AIRC: Playbook e indicazioni applicative
- NIST AIRC: AI RMF Core, capitolo 5
- NIST AI 600-1: Generative Artificial Intelligence Profile
- NIST: pubblicazione del Generative AI Profile
Domande frequenti.
NIST offre l'AI RMF come quadro volontario. I requisiti legali o contrattuali applicabili a un concreto impiego dell'IA richiedono verifiche separate.
No. La governance agisce trasversalmente; le funzioni vengono collegate ripetutamente secondo il contesto. Né il Core né il Playbook costituiscono una sequenza da completare integralmente per ogni impiego.
No. NIST AI 600-1 è un profilo integrativo di AI RMF 1.0 per l'IA generativa e non sostituisce l'edizione di base.
L'AI RMF non istituisce una procedura di certificazione come una norma ISO di sistema di gestione. Una valutazione esterna va giudicata in base al metodo e all'ambito effettivo; non sostituisce una verifica separata della conformità legale.
Gestire i rischi dell'IA in modo tracciabile.
Secani sostiene il lavoro con il catalogo redazionale AI RMF e il relativo profilo IA.
Questa pagina inquadra le pubblicazioni NIST in termini generali. Fanno fede le fonti originali citate e i requisiti legali applicabili al rispettivo impiego.