NIST-Rahmenwerk für das Management von KI-Risiken

Überblick

Das NIST AI Risk Management Framework (AI RMF 1.0), veröffentlicht am 26 January 2023, ist ein freiwilliges Leitliniendokument, das vom National Institute of Standards and Technology entwickelt wurde, um Organisationen dabei zu unterstützen, KI-Systeme auf vertrauenswürdige und verantwortungsvolle Weise zu entwerfen, zu entwickeln, einzusetzen und zu nutzen. Obwohl es rechtlich nicht bindend ist, hat sich das NIST AI RMF zu einem De-facto-Standard für die KI-Governance in den Vereinigten Staaten entwickelt und wird zunehmend in regulatorischen Leitlinien weltweit herangezogen.

Das Rahmenwerk ist um vier Kernfunktionen herum aufgebaut: Govern, Map, Measure und Manage. Diese Funktionen bieten einen flexiblen, strukturierten Ansatz für das Management von KI-Risiken, der an die Größe, die Branche und die Risikobereitschaft jeder Organisation angepasst werden kann.

Die Funktion GOVERN etabliert und pflegt die organisatorischen Strukturen, Richtlinien und Prozesse für das Management von KI-Risiken. Sie betont die Rechenschaftspflicht der Führungsebene, die Einbindung der Interessengruppen und die Integration des KI-Risikomanagements in das umfassendere Unternehmensrisikomanagement. Diese Funktion erkennt an, dass eine wirksame KI-Governance einen kulturellen Wandel erfordert und nicht nur technische Kontrollen.

Bei der Funktion MAP geht es darum, den Kontext zu verstehen, in dem KI-Systeme betrieben werden. Sie umfasst die Identifizierung und Kategorisierung von KI-Systemen, das Verständnis ihrer beabsichtigten Zwecke und potenziellen Auswirkungen sowie die Anerkennung des breiteren gesellschaftlichen Kontexts des KI-Einsatzes. Das Mapping umfasst zudem die Identifizierung der relevanten Interessengruppen und das Verständnis der rechtlichen und regulatorischen Rahmenbedingungen.

Die Funktion MEASURE konzentriert sich auf den Einsatz quantitativer und qualitativer Methoden, um KI-Risiken und ihre damit verbundenen Auswirkungen zu analysieren, zu bewerten, zu vergleichen und zu überwachen. Dazu gehört die Entwicklung von Kennzahlen für Vertrauenswürdigkeitsmerkmale wie Genauigkeit, Fairness, Datenschutz, Sicherheit, Resilienz, Transparenz, Erklärbarkeit und Rechenschaftspflicht.

Die Funktion MANAGE umfasst die Zuweisung von Ressourcen und die Umsetzung von Plänen, um auf KI-Risiken zu reagieren, sich von ihnen zu erholen und über sie zu kommunizieren. Dazu gehören die Priorisierung von Risiken, die Umsetzung von Minderungsstrategien und die Einrichtung von Prozessen für eine fortlaufende Überwachung und Anpassung.

Das Begleitdokument, das NIST AI RMF Playbook, enthält vorgeschlagene Maßnahmen und Verweise für jede Unterkategorie und macht das Rahmenwerk dadurch in der Umsetzung sehr praxistauglich. Das Playbook ist ein lebendiges Dokument, das das NIST aktualisiert, sobald sich die Praktiken weiterentwickeln.

Das NIST AI RMF wurde im Rahmen eines umfangreichen Multi-Stakeholder-Prozesses entwickelt, an dem Hunderte von Organisationen aus Industrie, Wissenschaft, Zivilgesellschaft und Regierung beteiligt waren. Dieser kollaborative Entwicklungsprozess hat dem Rahmenwerk eine breite Legitimität und Akzeptanz über alle Sektoren hinweg verliehen.

Das AI RMF ist eine freiwillige Orientierung, weder Gesetz noch Zertifizierung. EO 14110 verwies historisch auf NIST-Arbeiten, wurde aber am 20. Januar 2025 aufgehoben. Aktuelle Beschaffungs-, Vertrags- oder Branchenpflichten sind anhand ihrer eigenen Quellen und Anwendbarkeit zu prüfen. Das GenAI-Profil vom Juli 2024 ergänzt AI RMF 1.0, statt es zu ersetzen.