NIST AI RMF.

NIST AI RMF 1.0 to publikacja amerykańskiego National Institute of Standards and Technology z 26 stycznia 2023 r. NIST AI 100-1 opisuje ryzyka dla ludzi, organizacji i społeczeństwa oraz cechy godnej zaufania AI. Ramy skupiają analizę na rzeczywistym użyciu: pozytywny test modelu nie wyjaśnia jeszcze skutków jego wyników w procesie operacyjnym.

NIST AI RMF Playbook uzupełnia ramy dobrowolnymi propozycjami działań. Według strony NIST Playbook nie jest listą kontrolną do pełnego wykonania; odpowiednie propozycje wybiera się dla własnego kontekstu. NIST AI 600-1 z lipca 2024 r. stanowi natomiast osobny Generative AI Profile. Rozwija ryzyka generatywnej AI i uzupełnia wydanie podstawowe, zamiast zastępować je nową wersją.

Na stronie programu i w FAQ zaktualizowanym w sierpniu 2026 r. NIST zapowiada aktualizację AI RMF 1.0. Ta strona odnosi się do opublikowanego wydania podstawowego i wskazanych uzupełnień. We własnej pracy należy zapisać wersję, profil i stan źródeł stanowiące podstawę oceny.

NIST AI RMF jest zgodnie z NIST AI 100-1, rozdział 2, skierowany do różnych uczestników cyklu życia AI: rozwoju, zakupów, stosowania i oceny. FAQ NIST wymienia organizacje różnych wielkości i branż. Także przedsiębiorstwo kupujące zewnętrzną AI może z jego pomocą analizować własne użycie, zależności od dostawców i własną odpowiedzialność.

Analiza należy do zespołu interdyscyplinarnego. Specjaliści techniczni mogą na przykład badać zachowanie systemu, a osoby odpowiedzialne merytorycznie wyjaśniać, jakie błędy w procesie mają poważne konsekwencje. Ochrona danych, bezpieczeństwo i perspektywa osób dotkniętych skutkami uzupełniają te prace. Zgodnie z NIST AI 100-1, rozdział 3, między cechami godnej zaufania AI mogą występować konflikty celów; pojedynczy dobry wskaźnik nie zastępuje więc uzasadnionej decyzji całościowej.

Ocena oparta na RMF staje się przejrzysta dzięki zakresowi, metodom i udokumentowanym wynikom. NIST AI 100-1, rozdziały 4 i 6, omawia skuteczność i profile zależne od kontekstu. Miarodajne są na przykład uzasadniona analiza ryzyka, przejrzyste ewaluacje, udokumentowane ograniczenia i sprawdzone decyzje o postępowaniu z ryzykiem. Sam wypełniony kwestionariusz nie pokazuje, że ryzyko jest opanowane.

Dobrowolne ramy nie zawierają procedury certyfikacji na wzór normy systemu zarządzania ISO. Przy ocenie zewnętrznej należy sprawdzić, co rzeczywiście badano: jaką aplikację, wersję, metody i moment. Prywatne poświadczenie trzeba oceniać według tych informacji, a nie traktować jako ogólnego dopuszczenia przez NIST. Z AI RMF nie można wywieść ogólnego okresu ważności certyfikatu.

ISO 42001 opisuje wymagania systemu zarządzania AI i możliwe niezależne potwierdzenie certyfikacyjne. Akt w sprawie AI ustanawia odrębne obowiązki ustawowe zależne od systemu, roli i daty stosowania. NIST CSF wspiera pracę nad ryzykiem cyberbezpieczeństwa; stosowanie tych instrumentów nie zastępuje kontekstowej analizy ryzyka AI i nie oznacza automatycznego wzajemnego spełnienia.

Secani udostępnia autorski katalog roboczy NIST AI RMF 1.0 z treściami niemieckimi i angielskimi. Zapisany profil AI obejmuje informacje takie jak rola, użycie generatywne, modele zewnętrzne i status operacyjny. Katalog produktu wskazuje oczekującą weryfikację merytoryczną i nie odzwierciedla w pełni osobnego profilu generatywnej AI ani przyszłych rewizji NIST. Nie powstaje z tego automatyczna decyzja zgodności ani certyfikacji.

Należy wybrać użycie, dla którego organizacja musi wiarygodnie uzasadnić dopuszczenie lub ograniczenie. Zebrać istniejące informacje o kontekście, ewaluacje i decyzje oraz wskazać osobę odpowiedzialną. Pozwala to sprawdzić brakujące informacje do decyzji i prace potrzebne w pierwszej kolejności. Ten początek jest praktycznym zaleceniem; Playbook nie narzuca uniwersalnej sekwencji projektu.