NIST AI RMF.
Förstå AI-risker i konkret användning, fatta motiverade beslut och kontrollera skyddsåtgärdernas effekt.
- NIST AI 100-1 · AI RMF 1.0
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
NIST AI RMF är ett frivilligt ramverk för riskhantering av AI-system. AI Risk Management Framework 1.0 stöder utveckling, användning och bedömning med funktionerna Govern, Map, Measure och Manage. Det kopplar tekniska granskningar till ansvar och konsekvensbedömning under hela livscykeln. Något allmänt certifieringsförfarande skapas inte.
AI RMF 1.0, Playbook och Generative AI Profile.
NIST AI RMF 1.0 är en publikation från USA:s National Institute of Standards and Technology från den 26 januari 2023. NIST AI 100-1 beskriver risker för människor, organisationer och samhälle samt egenskaper hos tillförlitlig AI. Ramverket inriktar bedömningen på faktisk användning: att en modell klarar ett test besvarar inte vilka följder dess utdata får i en operativ rutin.
NIST AI RMF Playbook kompletterar ramverket med frivilliga handlingsförslag. Enligt NIST:s Playbook-sida är den ingen checklista som ska fullföljas i sin helhet. Lämpliga förslag väljs för det egna sammanhanget. NIST AI 600-1 från juli 2024 är i sin tur en separat Generative AI Profile. Den fördjupar risker med generativ AI och kompletterar grundutgåvan i stället för att ersätta den med en ny version.
På programsidan och i vanliga frågor uppdaterade i augusti 2026 aviserar NIST en revidering av AI RMF 1.0. Denna sida avser publicerad grundutgåva och angivna tillägg. För det egna arbetet bör ni dokumentera vilken version, vilken profil och vilket källäge som ligger till grund för bedömningen.
Vem AI Risk Management Framework är avsett för.
Enligt NIST AI 100-1, kapitel 2, riktar sig NIST AI RMF till olika aktörer i AI-livscykeln: utveckling, upphandling, användning och bedömning. NIST:s vanliga frågor nämner organisationer av olika storlek och i olika branscher. Även företag som köper extern AI kan använda ramverket för frågor om egen användning, leverantörsberoenden och eget ansvar.
Bedömningen hör hemma i ett tvärfunktionellt team. Tekniska experter kan exempelvis granska systemets beteende medan verksamhetsansvariga förklarar vilka fel som får betydande följder i arbetsflödet. Dataskydd, säkerhet och berörda personers perspektiv kompletterar arbetet. Enligt NIST AI 100-1, kapitel 3, kan målkonflikter finnas mellan tillförlitlighetsegenskaper. Ett enda bra mätvärde ersätter därför inget motiverat helhetsbeslut.
Koppla samman Govern, Map, Measure och Manage.
De fyra funktionerna i NIST AI 100-1, kapitel 5, ordnar AI-riskarbetet. De är inte fyra projektfaser som obligatoriskt avslutas efter varandra. Govern verkar övergripande. Insikter från drift och bedömning leder tillbaka till klargörande av sammanhang och beslut.
Govern: ansvar och beslutsregler.
Enligt kapitel 5.1 kopplar Govern tekniskt arbete till ansvar, risktolerans och organisatoriska regler. För konkret användning måste det vara begripligt vem som ansvarar för bedömningen, vem som får besluta om kvarvarande risker och när eskalering sker. Styrningen förblir verksam även efter godkännande och bär upp de andra funktionerna.
Map: användningssammanhang och möjliga följder.
Enligt kapitel 5.2 undersöker Map syfte, miljö, medverkande och möjliga konsekvenser av ett AI-system. En assistent för interna textutkast har andra beslutspunkter än en tillämpning vars resultat medverkar till anställningsbeslut. Sammanhangsbeskrivningen synliggör vilken information som saknas och vilka antaganden som begränsar en senare bedömning.
Measure: pröva påståenden med lämpliga metoder.
Enligt kapitel 5.3 använder Measure kvalitativa och kvantitativa metoder för att undersöka risker och relevanta systemegenskaper. Tester bör passa identifierade följder och redovisa sina begränsningar. Ett resultat är endast så meningsfullt som data, testvillkor och undersökt användning tillåter. Osäkerhet ingår därför i bedömningen.
Manage: styr behandling och drift.
Enligt kapitel 5.4 ordnar Manage åtgärder och beslut utifrån bedömda risker. Där ingår behandling, övervakning och hantering av förändringar eller incidenter. En organisation bör kunna förklara varför den godkänner, begränsar eller avslutar en användning och vilka resultat som senare skulle ändra beslutet.
Tillämpa NIST AI RMF praktiskt.
Avgränsa användningsfallet.
Börja praktiskt med att välja en konkret AI-stödd rutin och dokumentera syfte, systemgräns, ansvarig person och använd ramverksversion.
Undersök sammanhanget tillsammans.
Kartlägg medverkande, berörda personer, leverantörer och möjliga följder och dokumentera motstridiga antaganden som öppna undersökningsfrågor.
Fastställ risker och bedömningsbehov.
Prioritera relevanta riskscenarier och avgör vilka tekniska granskningar, sakkunniga bedömningar och ytterligare uppgifter ett tillförlitligt beslut kräver.
Motivera behandling och godkännande.
Koppla resultaten till skyddsåtgärder, kvarvarande osäkerheter och ett beslut med tydligt ansvar, inklusive villkor och begränsningar.
Följ drift och förändringar.
Fastställ vilken återkoppling, vilka incidenter eller förändringar som utlöser ombedömning och vem som tar hand om arbetet som följer.
Styrk arbetet genom verifierbara beslut.
En RMF-inriktad bedömning blir spårbar genom omfattning, metoder och dokumenterade resultat. NIST AI 100-1, kapitel 4 och 6, behandlar effektivitet och situationsanpassade profiler. Meningsfulla underlag är exempelvis motiverad riskbedömning, spårbara utvärderingar, dokumenterade begränsningar och granskade behandlingsbeslut. Ett ifyllt frågeformulär visar inte ensamt att en risk är under kontroll.
Det frivilliga ramverket innehåller inget certifieringsförfarande enligt modellen för en ISO-ledningssystemstandard. Vid en extern bedömning ska ni pröva vad som faktiskt undersökts: vilken tillämpning, version, vilka metoder och vilken tidpunkt. Ett privat intyg ska bedömas utifrån dessa uppgifter och inte behandlas som ett generellt godkännande från NIST. Ingen allmän certifikatstid kan härledas ur AI RMF.
Andra ramverk för andra beslut.
ISO 42001 beskriver krav på ett ledningssystem för AI och möjlig oberoende certifiering. EU AI Act medför separata lagstadgade skyldigheter beroende på system, roll och tillämpningstidpunkt. NIST CSF stöder cybersäkerhetsriskarbete. Användning av dessa instrument ersätter ingen situationsanpassad AI-riskbedömning och innebär ingen automatisk ömsesidig uppfyllelse.
I Secani.
Secani erbjuder en redaktionell arbetskatalog för NIST AI RMF 1.0 med tyskt och engelskt innehåll. Den sparade AI-profilen omfattar uppgifter såsom roll, generativ användning, externa modeller och driftsstatus. Produktkatalogen markerar den sakkunniga granskning som återstår och återspeglar inte den separata Generative AI Profile eller framtida NIST-revisioner fullständigt. Inget automatiskt beslut om överensstämmelse eller certifiering uppstår.
Börja med ett konkret AI-beslut.
Välj en användning för vilken organisationen måste motivera ett tillförlitligt godkännande eller en begränsning. Samla befintlig sammanhangsinformation, utvärderingar och beslut och ange ansvarig person. Därigenom kan ni pröva vilken information som saknas för ett beslut och vilket arbete som behövs först. Startpunkten är en praktisk rekommendation. Playbook föreskriver ingen universell projektordning.
Källor.
- NIST: AI Risk Management Framework och revisionsläge
- NIST AI 100-1: AI RMF 1.0, kapitel 1–6
- NIST: AI Risk Management Framework FAQs
- NIST: AI RMF Playbook
- NIST AIRC: Playbook och tillämpningsanvisningar
- NIST AIRC: AI RMF Core, kapitel 5
- NIST AI 600-1: Generative Artificial Intelligence Profile
- NIST: publicering av profilen för generativ AI
Vanliga frågor.
NIST tillhandahåller AI RMF som ett frivilligt ramverk. Vilka lagkrav eller avtalskrav som gäller för konkret AI-användning ska prövas separat.
Nej. Styrningen verkar övergripande och funktionerna kopplas upprepade gånger samman utifrån sammanhanget. Varken Core eller Playbook utgör en stegordning som måste fullföljas i sin helhet för varje användning.
Nej. NIST AI 600-1 är en kompletterande profil till AI RMF 1.0 för generativ AI och ersätter inte grundutgåvan.
AI RMF skapar inget certifieringsförfarande som en ISO-ledningssystemstandard. En extern bedömning ska värderas utifrån metod och faktisk omfattning. Den ersätter ingen separat rättslig prövning av överensstämmelse.
Arbeta med AI-risker på ett spårbart sätt.
Secani stöder arbetet med den redaktionella AI RMF-katalogen och tillhörande AI-profil.
Denna sida beskriver NIST-publikationer övergripande. Angivna originalkällor och rättsliga krav som gäller för respektive användning är avgörande.