NIST KI-RMF & die EU-KI-Verordnung

NIST KI-RMF vs die EU-KI-Verordnung: Ein Praktischer Leitfaden

Das NIST KI-Risikomanagement-Framework ist ein freiwilliges US-Framework, das auf vier Funktionen — GOVERN, MAP, MEASURE und MANAGE — aufbaut. Die EU-KI-Verordnung ist bindendes, risikogestaffeltes EU-Recht. Die NIST-Funktionen entsprechen sauber vielen EU-KI-Verordnung-Pflichten, was das Framework zu einem hervorragenden Betriebsmodell für Konformität macht — aber das Befolgen davon erfüllt nicht allein Ihre EU-rechtlichen Pflichten. Hier ist der Leitfaden.

Zuletzt aktualisiert: 4. Juli 2026

Offizielle Quellen zum EU-KI-Gesetz

Für den rechtsverbindlichen Gesetzestext und die offiziellen Hinweise der EU, konsultieren Sie bitte diese maßgeblichen Quellen. Wir aktualisieren unsere Seiten, wenn sich die Produkte von AIAgentree ändern; für das Gesetz selbst aktualisiert die EU schneller, als es irgendein Drittanbieter tun kann.

Verordnung (EU) 2024/1689 – vollständiger Text auf EUR-Lex

Der rechtsverbindliche Text der Verordnung

EU-KI-Gesetz auf artificialintelligenceact.eu

Referenzseite des Future of Life Institute (~150.000 monatliche Nutzer)

KI-Gesetz-Service-Desk

Offizielle Fragen und Antworten sowie Hinweise der EU-Kommission

EU-KI-Gesetz-Compliance-Checker

Offizielles, interaktives Bewertungstool mit einer Dauer von 10 Minuten

Speziell zu diesem Thema

Was Sie auf den Seiten von AIAgentree finden: Implementierungsanleitungen für KI-Entwicklungsteams, die unsere Plattform verwenden. Für den Gesetzestext selbst folgen Sie den oben genannten Links.

Was jedes ist

Ein freiwilliges Framework und ein bindendes Gesetz, die für unterschiedliche Zwecke konzipiert sind:

Das NIST KI-RMF (KI 100-1, veröffentlicht im Januar 2023) ist ein freiwilliges Framework der US-amerikanischen National Institute of Standards and Technology. Es hilft Organisationen, KI-Risiken durch vier Funktionen zu managen, und ist darauf ausgelegt, flexibel, sektoragnostisch und nicht präskriptiv zu sein. Es gibt keine Zertifizierung und keine rechtliche Verpflichtung, es zu verwenden.
Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist direkt anwendbares EU-Recht. Sie sortiert KI-Systeme in Risikostufen und verhängt konkrete, durchsetzbare Pflichten auf Anbieter und Deployer, unterstützt durch Strafen.
Das NIST-RMF sagt Ihnen, wie Sie Risikomanagement organisieren; die EU-KI-Verordnung sagt Ihnen, was Sie tun und beweisen müssen für spezifische Systeme.

Freiwilliges Framework vs bindendes Gesetz: Die vier Funktionen

Die vier Funktionen des RMF bilden einen kontinuierlichen Zyklus. Das Verständnis jeder Funktion ist der Schlüssel zum Leitfaden:

GOVERN — übergreifende Kultur, Richtlinien, Rollen und Rechenschaftspflicht für KI-Risiken. Es untermauert die anderen drei Funktionen.
MAP — Kontext herstellen und KI-Systeme kategorisieren: ihren Zweck, ihre Umgebung und die Risiken, die daraus entstehen.
MEASURE — KI-Risiken analysieren, bewerten, benchmarken und überwachen, unter Verwendung quantitativer und qualitativer Methoden.
MANAGE — Risiken priorisieren und handeln: Ressourcen zuweisen, reagieren, wiederherstellen und Entscheidungen über den Lebenszyklus des Systems dokumentieren.

Leitfaden: NIST-Funktionen zu EU-KI-Verordnung-Pflichten

Wo jede NIST-Funktion die Arbeit leistet, die die EU-KI-Verordnung erfordert. Verwenden Sie diesen, um vorhandene RMF-Beweise gegen EU-Artikel-Pflichten wiederzuverwenden:

GOVERN → Artikel 17 (Qualitätsmanagementsystem) und organisatorische Rechenschaftspflicht — die Governance-Schicht, die die EU-KI-Verordnung hinter jedem hochrisikoreichen System erwartet.
MAP → Artikel 9 (Risikoidentifizierung und beabsichtigter Zweck) und Artikel 13 (Transparenz über beabsichtigten Einsatz, Fähigkeiten und Einschränkungen gegenüber Deployern).
MEASURE → Artikel 9 (Risikoanalyse und -bewertung) und Artikel 15 (Genauigkeit, Robustheit und Cybersicherheitstests und -metriken).
MANAGE → Artikel 9 (Risikobehandlung und -minderung), Artikel 12 (Protokollierung / Logging des Betriebs) und Artikel 14 (menschliche Aufsicht und Intervention).
Dokumentation über alle vier Funktionen → Artikel 11 und Anhang IV (technische Dokumentation) — die Betonung des RMF auf die Dokumentation von Entscheidungen entspricht den Dokumentationspflichten der Verordnung.

Dies ist ein richtungsweisender Leitfaden, um die Lückenanalyse zu leiten, kein offizieller Äquivalenznachweis. NIST veröffentlicht eigene Leitfäden zwischen dem KI-RMF und anderen Frameworks; behandeln Sie diese Zuordnung als Ausgangspunkt, dann bestätigen Sie jede EU-Artikel-spezifische Beweislast für jedes in Frage kommende System.

Wo NIST-RMF aufhört und EU-Recht beginnt

Das RMF unterstützt EU-KI-Verordnung-Arbeit, erfüllt sie aber nie. Halten Sie diese Grenzen klar:

Keine Rechtswirkung. Das RMF ist freiwillige US-Richtlinie; es schafft keine Rechte oder Pflichten unter EU-Recht und kann nicht als Konformität zitiert werden.
Kein Konformitätsweg. Das Befolgen des RMF produziert keine CE-Kennzeichnung, keine Konformitätsbewertung, keine EU-Datenbank-Registrierung und keinen EU-Bevollmächtigten — alles, was die EU-KI-Verordnung für hochrisikoreiche Systeme erfordert.
Systembezogene Beweise sind immer noch erforderlich. Das RMF ist bewusst flexibel; die EU-KI-Verordnung ist präskriptiv. Sie müssen immer noch artikelbezogene Beweise (Artikel 9–15) für jedes spezifische hochrisikoreiche System produzieren, nicht eine allgemeine Risikohaltung.
Vermutung der Konformität kommt von EU-Standards. Nur harmonisierte europäische Normen — nicht das NIST-RMF — können eine Vermutung der Konformität unter der Verordnung gewähren.

Wie AIAgentree hilft

AIAgentree produziert die nachverfolgbaren Aufzeichnungen, die sowohl die NIST-MEASURE- und MANAGE-Funktionen als auch die EU-KI-Verordnung-Protokollierungs- und Aufsichtspflichten belegen — dieselben zugrunde liegenden Daten dienen beiden Modellen (AIAgentree ist nicht NIST- oder EU-KI-Verordnung-'zertifiziert'; es generiert die Beweise):

Manipulationssichere Entscheidungsaufzeichnungen erfassen jede Agentenentscheidung und ihr Ergebnis — das Betriebsbeweismaterial, das MANAGE erfordert, und die Protokollierung, die Artikel 12 erfordert — mit Präzedenzsuche und Ergebnisverfolgung, damit Risikotrends messbar sind (MEASURE).
Menschliche Aufsichts- und Genehmigungsworkflows protokollieren, wer eine Entscheidung überprüft, außer Kraft setzt oder genehmigt hat und warum — direkt belegend für die Reaktionsphase von MANAGE und die menschliche Aufsicht von Artikel 14.
Python- und TypeScript-SDKs sowie REST-, MCP-, A2A- und OpenTelemetry-Schnittstellen, um diese Beweise in Ihre bestehenden RMF-, GRC- oder SIEM-Tools zu integrieren. EU-Datenresidenz in Deutschland, prüfgeeignete Aufbewahrung (mindestens 6 Monate), asynchrone Erfassung unter 10 ms und ein 25-Spuren-Free-Tarif, um zu beginnen. (SOC 2 ist in Bearbeitung.)

Kostenlose Testversion starten

Häufig gestellte Fragen

Macht die Verwendung des NIST AI RMF mich konform mit dem EU-AI-Gesetz?

Nein. Der NIST AI RMF ist eine freiwillige US-Richtlinie mit keiner rechtlichen Kraft in der EU. Es ist ein hervorragendes Betriebsmodell - seine vier Funktionen entsprechen den EU-AI-Gesetz-Anforderungen - aber es liefert keine Konformitätsbewertung, keine CE-Kennzeichnung, keine EU-Datenbank-Registrierung oder die artikelbezogene Beweisführung, die das Gesetz erfordert. Es unterstützt die Konformitätsarbeit; es erfüllt sie jedoch nicht.

Wie entsprechen die vier NIST-Funktionen dem EU-AI-Gesetz?

GOVERN entspricht den Erwartungen an die Qualitätssicherung und Rechenschaftspflicht des Gesetzes (Artikel 17). MAP entspricht der Risikoidentifizierung und der Transparenz über den beabsichtigten Einsatz (Artikel 9 und 13). MEASURE entspricht der Risikoanalyse und den Pflichten zur Genauigkeit, Robustheit und Cybersicherheit (Artikel 9 und 15). MANAGE entspricht der Risikobehandlung, Protokollierung und menschlicher Aufsicht (Artikel 9, 12 und 14). Die Dokumentation über alle vier Funktionen hinweg unterstützt Artikel 11 und Anhang IV.

Ist der NIST AI RMF verpflichtend?

Nein. Der RMF ist für Organisationen freiwillig. Einige US-Bundesbehörden sind angewiesen, NIST-Richtlinien zu verwenden, aber für die meisten Unternehmen ist es eine angenommene Best Practice und keine rechtliche Anforderung. Das EU-AI-Gesetz hingegen ist verpflichtendes Recht, wo immer es anwendbar ist.

Kann ich meine NIST AI RMF-Arbeit für das EU-AI-Gesetz wiederverwenden?

Ja - das ist der praktische Wert des Crosswalk. Risikobewertungen (MAP/MEASURE), Governance-Artikel (GOVERN), Minderungs- und Überwachungsprotokolle (MANAGE) und die Dokumentation, die der RMF fördert, können alle als Beweis gegen die Artikel 9-15 und 17 des EU-AI-Gesetzes wiederverwendet werden. Dann fügen Sie die EU-spezifischen, systemweiten Verpflichtungen hinzu, die der RMF nicht abdeckt.

Was ist besser, NIST AI RMF oder das EU-AI-Gesetz?

Sie sind keine Alternativen. Der NIST AI RMF ist ein freiwilliger Rahmen für die Risikobewältigung von KI; das EU-AI-Gesetz ist bindendes Recht, das definiert, was Sie für bestimmte Systeme tun müssen. Wenn Sie in der EU oder für die EU tätig sind, ist das Gesetz nicht optional - und der RMF ist eine der effektivsten Möglichkeiten, die erforderliche Arbeit zu organisieren, um es zu erfüllen.