NIST AI RMF.
AI-risico’s in het concrete gebruik begrijpen, onderbouwde beslissingen nemen en het effect van beschermingsmaatregelen toetsen.
- NIST AI 100-1 · AI RMF 1.0
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
Het NIST AI RMF is een vrijwillig kader voor risicomanagement van AI-systemen. Het AI Risk Management Framework 1.0 ondersteunt ontwikkeling, gebruik en beoordeling met de functies Govern, Map, Measure en Manage. Het verbindt technische toetsing met verantwoordelijkheid en beoordeling van gevolgen gedurende de levenscyclus; het schept geen algemene certificatieprocedure.
AI RMF 1.0, Playbook en Generative AI Profile.
NIST AI RMF 1.0 is een publicatie van het Amerikaanse National Institute of Standards and Technology van 26 januari 2023. NIST AI 100-1 beschrijft risico’s voor mensen, organisaties en de samenleving en eigenschappen van betrouwbare AI. Het raamwerk richt zich op het werkelijke gebruik: dat een model een test doorstaat, beantwoordt nog niet welke gevolgen de outputs in een operationeel proces hebben.
Het NIST AI RMF Playbook vult het kader aan met vrijwillige handelingsvoorstellen. Volgens de NIST-Playbook-pagina is het geen volledig af te werken checklist; passende voorstellen worden voor de eigen context geselecteerd. NIST AI 600-1 van juli 2024 is op zijn beurt een afzonderlijk Generative AI Profile. Het verdiept de risico’s van generatieve AI en vult de basisuitgave aan, in plaats van deze door een nieuwe versie te vervangen.
NIST kondigt op zijn programmapagina en in de in augustus 2026 bijgewerkte FAQ een herziening van AI RMF 1.0 aan. Deze pagina heeft betrekking op de gepubliceerde basisuitgave en de genoemde aanvullingen. Leg voor het eigen werk vast welke versie, welk profiel en welke bronstand een beoordeling ondersteunen.
Voor wie het AI Risk Management Framework is bedoeld.
Volgens NIST AI 100-1, hoofdstuk 2, richt het NIST AI RMF zich op verschillende actoren in de AI-levenscyclus: ontwikkeling, inkoop, gebruik en beoordeling. De NIST-FAQ noemt organisaties van verschillende groottes en sectoren. Ook een onderneming die externe AI inkoopt, kan hiermee vragen over het eigen gebruik, leveranciersafhankelijkheden en de eigen verantwoordelijkheid behandelen.
De beoordeling hoort thuis in een multidisciplinair team. Technische deskundigen kunnen bijvoorbeeld het gedrag van een systeem toetsen, terwijl inhoudelijk verantwoordelijken uitleggen welke fouten in een werkproces grote gevolgen hebben. Privacy, beveiliging en het perspectief van betrokken personen vullen dit werk aan. Volgens NIST AI 100-1, hoofdstuk 3, kunnen betrouwbaarheidseigenschappen onderling conflicteren; één goede meetwaarde vervangt daarom geen onderbouwde totaalbeslissing.
Govern, Map, Measure en Manage verbinden.
De vier functies uit NIST AI 100-1, hoofdstuk 5, ordenen het AI-risicowerk. Het zijn geen vier verplicht opeenvolgend af te ronden projectfasen. Govern werkt overkoepelend; inzichten uit gebruik en beoordeling leiden opnieuw tot contextbepaling en beslissingen.
Govern: verantwoordelijkheid en beslissingsregels.
Govern verbindt volgens hoofdstuk 5.1 het technische werk met verantwoordelijkheden, risicotolerantie en organisatorische regels. Voor een concrete toepassing moet begrijpelijk zijn wie een beoordeling verantwoordt, wie over resterende risico’s mag beslissen en wanneer wordt geëscaleerd. Governance blijft ook na goedkeuring actief en draagt de andere functies.
Map: gebruikscontext en mogelijke gevolgen.
Map onderzoekt volgens hoofdstuk 5.2 doel, omgeving, betrokkenen en mogelijke effecten van een AI-systeem. Een assistent voor interne tekstconcepten heeft andere beslissingspunten dan een toepassing waarvan de resultaten meebeslissen over sollicitaties. De contextbeschrijving maakt zichtbaar welke informatie ontbreekt en welke aannames een latere beoordeling beperken.
Measure: uitspraken toetsen met passende methoden.
Measure gebruikt volgens hoofdstuk 5.3 kwalitatieve en kwantitatieve methoden om risico’s en relevante systeemeigenschappen te onderzoeken. Tests moeten passen bij de vastgestelde gevolgen en hun grenzen zichtbaar maken. Een resultaat is slechts zo betekenisvol als de gegevens, testomstandigheden en onderzochte toepassing; onzekerheid hoort daarom bij de beoordeling.
Manage: behandeling en gebruik aansturen.
Manage ordent volgens hoofdstuk 5.4 maatregelen en beslissingen op basis van de beoordeelde risico’s. Daarbij horen behandeling, monitoring en de omgang met wijzigingen of incidenten. Een organisatie moet kunnen uitleggen waarom zij gebruik goedkeurt, beperkt of beëindigt en welke resultaten die beslissing later zouden veranderen.
NIST AI RMF praktisch toepassen.
Toepassing afbakenen.
Kies als praktische eerste stap een concreet AI-ondersteund proces en documenteer doel, systeemgrens, verantwoordelijke persoon en de gebruikte frameworkversie.
Context gezamenlijk onderzoeken.
Breng betrokken partijen, getroffen personen, leveranciers en mogelijke gevolgen in kaart en leg tegenstrijdige aannames vast als openstaande onderzoeksvragen.
Risico’s en beoordelingsbehoefte bepalen.
Prioriteer relevante risicoscenario’s en bepaal welke technische toetsen, inhoudelijke beoordelingen en aanvullende informatie voor een deugdelijke beslissing nodig zijn.
Behandeling en goedkeuring onderbouwen.
Verbind resultaten met beschermingsmaatregelen, resterende onzekerheden en een verantwoorde beslissing, inclusief voorwaarden en beperkingen.
Gebruik en wijzigingen volgen.
Leg vast welke feedback, incidenten of wijzigingen een herbeoordeling activeren en wie het daaruit voortkomende werk uitvoert.
Bewijsvoering door toetsbare beslissingen.
Een RMF-georiënteerde beoordeling wordt navolgbaar door scope, methoden en gedocumenteerde resultaten. NIST AI 100-1, hoofdstukken 4 en 6, behandelt doeltreffendheid en contextafhankelijke profielen. Betekenisvol zijn bijvoorbeeld een onderbouwde risicobeoordeling, navolgbare evaluaties, gedocumenteerde grenzen en getoetste behandelbeslissingen. Alleen een ingevulde vragenlijst toont niet aan dat een risico wordt beheerst.
Het vrijwillige raamwerk bevat geen certificatieprocedure naar het voorbeeld van een ISO-managementsysteemnorm. Bij een externe beoordeling moet worden getoetst wat daadwerkelijk is onderzocht: welke toepassing, welke versie, welke methoden en welk tijdstip. Een particuliere verklaring moet op basis van deze gegevens worden beoordeeld en niet als algemene goedkeuring door NIST worden behandeld. Een algemene certificaatlooptijd kan niet uit het AI RMF worden afgeleid.
Andere frameworks voor andere beslissingen.
ISO 42001 beschrijft eisen aan een AI-managementsysteem en een mogelijk onafhankelijk certificeringsbewijs. De EU AI Act schept afzonderlijke wettelijke verplichtingen afhankelijk van systeem, rol en toepassingsdatum. NIST CSF ondersteunt risicowerk rond cyberbeveiliging; de toepassing van deze instrumenten vervangt geen contextafhankelijke beoordeling van AI-risico’s en leidt niet tot automatische wederzijdse naleving.
In Secani.
Secani biedt een redactionele werkcatalogus voor NIST AI RMF 1.0 met Duitse en Engelse inhoud. Het opgeslagen AI-profiel bevat gegevens zoals rol, generatief gebruik, externe modellen en operationele status. De productcatalogus markeert de nog openstaande deskundige toetsing en dekt het afzonderlijke Generative AI Profile en toekomstige NIST-herzieningen niet volledig. Hieruit volgt geen automatische conformiteits- of certificatiebeslissing.
Begin met een concrete AI-beslissing.
Kies een toepassing waarvoor uw organisatie een deugdelijke goedkeuring of beperking moet onderbouwen. Verzamel bestaande contextinformatie, evaluaties en beslissingen en benoem de verantwoordelijke persoon. Daarmee kan worden getoetst welke informatie voor een beslissing ontbreekt en welk werk het eerst nodig is. Deze start is een praktische aanbeveling; het Playbook schrijft geen universele projectvolgorde voor.
Bronnen.
- NIST: AI Risk Management Framework en revisiestand
- NIST AI 100-1: AI RMF 1.0, hoofdstukken 1–6
- NIST: AI Risk Management Framework FAQs
- NIST: AI RMF Playbook
- NIST AIRC: Playbook en toepassingsaanwijzingen
- NIST AIRC: AI RMF Core, hoofdstuk 5
- NIST AI 600-1: Generative Artificial Intelligence Profile
- NIST: publicatie van het Generative AI Profile
Veelgestelde vragen.
NIST stelt het AI RMF beschikbaar als vrijwillig kader. Welke wettelijke of contractuele eisen voor een concrete AI-toepassing gelden, moet afzonderlijk worden getoetst.
Nee. Governance werkt overkoepelend; de functies worden herhaaldelijk verbonden op een manier die bij de context past. Noch de Core, noch het Playbook vormt een voor elke toepassing volledig af te werken stappenreeks.
Nee. NIST AI 600-1 is een aanvullend profiel bij AI RMF 1.0 voor generatieve AI en vervangt de basisuitgave niet.
Het AI RMF schept geen certificatieprocedure zoals bij een ISO-managementsysteemnorm. Een externe beoordeling moet op basis van methode en werkelijke scope worden beoordeeld; ze vervangt geen afzonderlijke juridische conformiteitstoetsing.
AI-risico’s navolgbaar behandelen.
Secani ondersteunt het werken met de redactionele AI RMF-catalogus en het bijbehorende AI-profiel.
Deze pagina duidt NIST-publicaties op algemeen niveau. De genoemde originele bronnen en de voor de betreffende toepassing geldende wettelijke eisen zijn bepalend.